Le app russe monitorano se utilizzi una VPN

Una nuova indagine condotta dal gruppo per la libertà di internet RKS Global ha scoperto una preoccupante pratica di sorveglianza incorporata in alcune delle applicazioni più diffuse in Russia. Su 30 principali app russe esaminate, 22 sono risultate impegnate attivamente nel rilevare e registrare se gli utenti hanno una VPN attiva sul proprio dispositivo. L'elenco include app di nomi noti come Sberbank, Yandex e VKontakte. Secondo l'indagine, questi dati vengono archiviati su server a cui i servizi di sicurezza dello Stato possono accedere, rappresentando un'escalation significativa nel modo in cui i governi tracciano gli utenti VPN.

Non si tratta semplicemente di bloccare le VPN. Si tratta di identificare chi cerca di utilizzarle.

Come le app rilevano l'utilizzo di una VPN

Potresti pensare che una VPN renda invisibile la tua attività su internet. A livello di rete, una VPN cifra effettivamente il tuo traffico e maschera il tuo indirizzo IP. Ma le app installate direttamente sul tuo dispositivo operano su un livello completamente diverso, e questa distinzione è enormemente importante.

Quando un'app viene eseguita sul tuo smartphone, può osservare determinate caratteristiche dell'ambiente del dispositivo. Diversi metodi tecnici consentono alle app di dedurre l'utilizzo di una VPN senza mai ispezionare il traffico cifrato:

  • Ispezione delle interfacce di rete: Le app possono interrogare quali interfacce di rete sono attive su un dispositivo. Una VPN crea tipicamente un adattatore di rete virtuale con convenzioni di denominazione riconoscibili, rendendo la sua presenza rilevabile da qualsiasi app con autorizzazioni di rete di base.
  • Confronto incrociato degli indirizzi IP: Le app che conoscono la tua posizione approssimativa (tramite GPS, dati delle celle telefoniche o posizionamento Wi-Fi) possono confrontare tale posizione con l'indirizzo IP da cui sembra provenire il tuo traffico. Una discrepanza è un forte indicatore dell'uso di una VPN.
  • Rilevamento delle perdite DNS: Se un'app effettua richieste DNS e osserva che le risposte provengono da server inaspettati, può segnalare una potenziale attività VPN.
  • Analisi della latenza e del routing: Le connessioni VPN introducono spesso una latenza misurabile. Le app più sofisticate possono rilevare schemi di routing insoliti che suggeriscono che il traffico viene instradato attraverso un tunnel.

Nessuno di questi metodi richiede che una VPN si interrompa o presenti perdite. Il rilevamento avviene a livello applicativo, non a livello di rete, motivo per cui questa forma di sorveglianza è particolarmente difficile da contrastare attraverso il solo utilizzo convenzionale di una VPN.

Le implicazioni globali della sorveglianza a livello applicativo

La Russia non agisce in isolamento in questo contesto. Le tecniche descritte sopra non sono esclusive degli sviluppatori russi. Qualsiasi governo in grado di obbligare gli sviluppatori di app a incorporare codice di rilevamento, o qualsiasi sviluppatore disposto a farlo volontariamente, potrebbe replicare questo approccio.

Questo è rilevante per gli utenti al di fuori della Russia per diversi motivi. In primo luogo, molte persone in tutto il mondo utilizzano app sviluppate in paesi con politiche internet restrittive, a volte senza rendersi conto dell'origine o della proprietà di tali app. In secondo luogo, la normalizzazione della registrazione del rilevamento VPN crea un precedente che altri governi potrebbero seguire o stanno già seguendo silenziosamente. In terzo luogo, chiunque viaggi in paesi con accesso internet limitato e utilizzi app familiari sul proprio dispositivo potrebbe esporre il proprio utilizzo della VPN senza alcuna indicazione che ciò stia accadendo.

I risultati di RKS Global evidenziano anche una verità più ampia sulla privacy digitale: la cifratura protegge i tuoi dati in transito, ma non ti protegge dal software in esecuzione direttamente sul tuo dispositivo.

Cosa significa questo per te

Se utilizzi una VPN per la privacy o per accedere a contenuti con restrizioni, è essenziale comprendere i limiti di tale protezione. Ecco alcune misure concrete che puoi adottare:

Controlla le autorizzazioni delle tue app. Verifica quali app sul tuo dispositivo hanno accesso ai dati di posizione, allo stato della rete e alle informazioni del dispositivo. Sia su Android che su iOS, puoi limitare queste autorizzazioni singolarmente. Un'app che non può leggere la tua interfaccia di rete o la tua posizione non può facilmente correlare tali dati con il tuo indirizzo IP.

Sii selettivo riguardo alle app che installi. Le app di sviluppatori in paesi con requisiti di sorveglianza statale comportano un rischio maggiore di incorporare codice di tracciamento. Ciò non significa che tutte queste app lo facciano, ma il contesto legale di quei paesi implica che gli sviluppatori potrebbero avere poca scelta se costretti dalle autorità.

Considera l'utilizzo di un dispositivo separato per le attività sensibili. Alcuni esperti di privacy raccomandano di utilizzare un dispositivo dedicato, con un numero minimo di app installate, per le attività in cui la protezione VPN è più importante. Meno app significano meno potenziali vettori di rilevamento.

Utilizza strumenti di comunicazione open source o verificati. Per le comunicazioni sensibili, le applicazioni che hanno superato audit di sicurezza indipendenti offrono maggiori garanzie che non incorporino funzionalità nascoste di rilevamento o registrazione.

Comprendi che nessuno strumento da solo è una soluzione completa. Una VPN è uno strato di una strategia per la privacy, non uno scudo completo. Combinare la protezione a livello di rete con un'attenta gestione delle app e dei dispositivi offre una copertura sostanzialmente migliore.

L'indagine di RKS Global è un promemoria del fatto che le capacità di sorveglianza si stanno evolvendo e che le app presenti nella schermata principale del tuo telefono possono essere parte di quel sistema. Rimanere informati su come funzionano questi meccanismi è il primo passo verso scelte più consapevoli riguardo alla propria privacy digitale.