WIRED ha pubblicato un'intervista esclusiva con Andrew Boyd, CEO di Paragon Solutions, un produttore di strumenti di spionaggio commerciale legato agli Stati Uniti. Secondo il riassunto di WIRED, la conversazione rivela "i limiti della promessa dell'azienda di impedire agli attori malintenzionati di abusare del suo potente strumento di spionaggio". Per chiunque utilizzi strumenti per la privacy, è un momento utile per esaminare i limiti della protezione VPN contro lo spyware di Paragon: cosa fa una VPN, cosa non fa e dove si trova il rischio reale.

Una nota sulle fonti: la parte dell'articolo di WIRED a nostra disposizione è il titolo e il riassunto. Questo post quindi si attiene a quanto afferma quel riassunto e non descrive dettagli dell'intervista al di là di esso.

Cosa rivela l'intervista al CEO di Paragon

Il punto centrale nell'impostazione di WIRED è che Paragon ha fatto una promessa: afferma che impedirà agli attori malintenzionati di abusare del suo spyware. L'intervista, secondo WIRED, indaga dove quella promessa si ferma. In altre parole, le assicurazioni dell'azienda sull'uso responsabile hanno dei confini, e le stesse risposte del CEO aiutano a mapparli.

Questo è importante perché lo spyware commerciale viene venduto come strumento per governi e forze dell'ordine, eppure il suo potere non dipende da chi lo detiene. Uno strumento costruito per accedere silenziosamente a un telefono può, nelle mani sbagliate o sotto una supervisione debole, essere puntato contro giornalisti, attivisti o oppositori politici. La promessa di un fornitore è solo uno dei tanti controlli, e il giornalismo di WIRED suggerisce che quel controllo non è assoluto.

Perché le protezioni contro l'abuso dello spyware sono insufficienti

Le protezioni dei fornitori di solito si basano su alcune cose: a chi l'azienda accetta di vendere, quali termini contrattuali accettano i clienti e cosa può fare l'azienda dopo una vendita se si sospetta un abuso. Ognuna di queste dipende dalla fiducia e dalla visibilità. Una volta che un cliente utilizza lo strumento, il fornitore può avere una conoscenza limitata di come viene usato, e i bersagli raramente sanno di essere sorvegliati.

Questo divario è il problema pratico. Una promessa di prevenire gli abusi è difficile da verificare dall'esterno, e le persone più a rischio sono di solito le meno in grado di confermare se una protezione ha funzionato. La conclusione non è che ogni fornitore stia agendo in malafede, ma che le promesse politiche non dovrebbero essere confuse con garanzie tecniche.

Cosa può e cosa non può fare una VPN contro lo spyware

Qui diventano chiari i limiti della protezione VPN contro lo spyware di Paragon. Una VPN crittografa il traffico tra il tuo dispositivo e il server VPN e maschera il tuo indirizzo IP dai siti che visiti. Questo è prezioso su Wi-Fi pubblici e per ridurre il tracciamento da parte del tuo provider internet.

Ma lo spyware mercenario opera a livello del dispositivo. Una volta in esecuzione su un telefono, può potenzialmente leggere ciò che vedi sullo schermo, ciò che digiti e ciò che memorizzano le tue app, prima che venga applicata la crittografia o dopo che è stata rimossa. Un tunnel VPN si colloca al di fuori di questo problema, quindi non può rilevare, bloccare o rimuovere lo spyware già presente sul dispositivo. Non ferma nemmeno il metodo di infezione iniziale, qualunque esso sia.

Una crittografia forte resta comunque importante per proteggere i dati in transito e a riposo. Se vuoi un background su dove sta andando la crittografia, la nostra voce di glossario sulla crittografia post-quantistica spiega come sono progettati gli algoritmi a prova di futuro. Tieni solo presente che una crittografia migliore non aiuta quando l'endpoint stesso è compromesso.

Cosa significa per te

Per la maggior parte delle persone, uno spyware mirato di questo tipo è una minaccia a bassa probabilità. Questi strumenti sono generalmente associati a bersagli specifici e di alto valore piuttosto che a campagne di massa. Tuttavia, l'intervista è un promemoria per mantenere aspettative realistiche su ciò che può fare qualsiasi singolo prodotto per la privacy.

Se sei un giornalista, un attivista, un avvocato o qualcuno in un ruolo politicamente sensibile, il tuo profilo di rischio è diverso. In quel caso, una VPN dovrebbe essere trattata come uno strato utile, non come uno scudo contro un attaccante ben finanziato.

Passi pratici per gli utenti a rischio

  • Aggiorna prontamente. Installa gli aggiornamenti del sistema operativo e delle app non appena sono disponibili, poiché le patch chiudono le falle su cui spesso fa affidamento lo spyware.
  • Riavvia regolarmente. Riavviare il telefono può interrompere alcuni tipi di codice malevolo.
  • Usa le funzionalità di rafforzamento integrate. Dai un'occhiata alle modalità ad alta sicurezza o di tipo lockdown offerte dal produttore del tuo telefono e attivale se la tua situazione lo richiede.
  • Limita ciò che c'è sul dispositivo. Rimuovi le app inutilizzate, rivedi i permessi ed evita di conservare materiale sensibile di cui non hai bisogno.
  • Diffida di link e allegati inaspettati. Anche quando un attacco non richiede un clic, ridurre l'esposizione vale comunque la pena.
  • Cerca aiuto esperto se sospetti di essere preso di mira. I gruppi di sicurezza digitale che supportano le persone a rischio possono consigliarti sui prossimi passi.

In conclusione

L'intervista di WIRED al CEO di Paragon sottolinea che la promessa di un'azienda di prevenire gli abusi ha dei limiti, e che quei limiti ricadono più duramente sulle persone prese di mira. Continua a usare una VPN per ciò che fa bene, ma non contarci come protezione contro lo spyware a livello di dispositivo. Trattala come uno strato di protezione della privacy e segui le linee guida sul rafforzamento del dispositivo se il tuo lavoro o le tue circostanze ti espongono a un rischio maggiore.