Abbiamo veramente bisogno di una VPN?

Guarda su YouTube → 43:36 23 aprile 2024

Descrizione

L'obiettivo di questo video è quello di fare chiarezza sul perché le VPN non vanno ad aumentare la sicurezza dei loro utenti. Non è mia intenzione attaccare i provider di VPN in quanto tali, o anche le persone che le sponsorizzano. Posso infatti capire la necessità di rendere sostenibile un progetto divulgativo, ma ci sono dei limiti, ed il limite più grande è quando si comincia a manipolare la realtà tecnica dei fatti pur di vendere un prodotto. Per capire bene la realtà di queste cose bisogna studiare, e anche tanto. In questo video cerco quindi di portare delle demo tecniche per capire più in dettaglio in che "senso" le VPN non aumentano la nostra sicurezza sul web. Per fortuna il web è un posto più sicuro di quel che pensiamo, non grazie ai provider di VPN che si sono svegliati qualche anno fa, ma grazie alle tantissime persone che nel corso dei decenni hanno contribuito alla creazione, implementazione e standardizzazione dei più importanti algoritmi di crittografia moderni, tra cui troviamo il TLS (Transport Layer Security). ------------------------- TIMESTAMP 00:00 Introduzione 05:40 Le promesse vendute dai VPN providers 07:00 È rischioso connettersi ad un Wi-Fi pubblico? 10:35 Ha senso parlare di "Military Grade Encryption"? 14:20 Fiducia, ISP e VPN provider 18:05 Internet è veramente così insicuro? 18:50 Scenario 1: Canale non protetto (HTTP senza TLS) 26:40 Scenario 2: Canale protetto (HTTP con TLS) 31:52 Perché il TLS basta e avanza 34:00 Certificati HTTPs 36:00 Verso una pubblicità più onesta 38:40 La VPN non protegge dal phishing 41:05 Conclusione ------------------------- RIFERIMENTI - Material: https://github.com/LeonardoE95/yt-it/tree/main/src/2024-04-24-pensieri-computazionali-vpn-e-sicurezza - Video di Tom Scott: https://www.youtube.com/watch?v=WVDQEoe6ZWY - Studio "Investigating VPN Ads on YouTube": https://www.cs.umd.edu/~akgul/papers/vpn-ads.pdf - RFC TLS: https://datatracker.ietf.org/doc/html/rfc8446 ------------------------- CONTATTI - Blog: https://blog.leonardotamiano.xyz/ - Github: https://github.com/LeonardoE95?tab=repositories - Support: https://www.paypal.com/donate/?hosted_button_id=T49GUPRXALYTQ

Commenti 51

I commenti vengono da YouTube e sono aggiornati periodicamente.

@shurizzle 24 aprile 2024 29

Sponsor di questo video: NoVPN
1 risposta
1. @esadecimale Autore 25 aprile 2024 8
  
  SudVPN (cit)
@benedetto. 24 aprile 2024 1

video giusto per rilassarsi mentre si prepara l’esame di internet e telecomunicazioni
@michelecicozzi1197 24 ottobre 2024 1

Hai centrato al 100% il problema. Un po come il lucchetto verde HTTPS che era percepito a torto come una sicurezza del sito web. "Usa la nostra VPN e navigherai sicuro nell'internet", poi cosa ci sia prima del tunnel VPN e dopo se lo dimenticano.Come ben sai le VPN nascono per ben altri usi ( io le chiamo ironicamente VPN al contrario...ne uso una ogni volta che in smart working devo accedere a risorse della rete aziendale...da PC aziendale e file di configurazione installato dall'IT... giusto un po diversa come questione come ben saprai ). Entrambi i tuoi canali e il blog sono super interessanti e creati da una persona competente che sa quel che dice e scrive complimenti davvero :)
@manliob8342 24 aprile 2024 4

I VPN providers, come molti ISP, sono dei concentratori di informazioni rivendibili, esattamente come lo sono il negozio sotto casa o il supermercato. Quindi, i nostri dati sono già in possesso di tutte quelle aziende che comprano-vendono dati per indagini di mercato o altri fini commerciali. Insomma, ormai la privacy è andata, quindi sanno tutti quale cetriolo preferisci prendere, quando lo prendi e come lo prendi. Stai sereno! =)
@Latuasovranitadigitale 26 aprile 2024 1

Ciao Leonardo, non so se ci siamo sincronizzati in questi giorni, senza neanche conoscerci, ma ho fatto 1 puntata sulle VPN che è molto in linea con quanto dici qui! Non ho idea di come io sia arrivato al tuo video perché non frequento YouTube in realtà, la puntata è sul mio podcast non hostato su YouTube ma solo specchiato, però trovo veramente ben fatto il tuo video e mi piace la spiegazione pratica. Nella mia puntata non ho dato abbastanza peso all'HTTP e HTTPS, quindi invece sono giustamente protagonisti. Mi farebbe piacere fare due chiacchiere con te perché le tue competenze sono sicuramente utili per costruire un mondo migliore, un domani dove l'informatica è veramente al nostro servizio senza magagne varie.
@LupoUlulallaLuna 11 gennaio 2025 1

molto chiaro. ottima spiegazione. grazie.
@LucaCanali 24 aprile 2024 1

Complimenti Leonardo, porti sempre video dettagliati, attuali e chiari !! TOPPPEEEE !!!
@agomago8709 28 aprile 2024 2

Finalmente si affronta l'argomento in modo serio e competente. Devo però aggiungere che purtroppo chiunque può acquistare un certificato e rendere "sicuro" un server. Tutto ciò é paradossale perché il browser ti dirà che il sito é sicuro anche se gestito da un truffatore. Inutile dire che anche in questo caso la VPN non fornirà protezione...
1 risposta
1. @esadecimale Autore 15 maggio 2024 3
  
  si, si confonde la "sicurezza del canale comunicativo", con la "sicurezza dell'applicazione web". Sono concetti molto, molto diversi, eppure c'è stata una vera e propria "campagna di marketing" nel spingere a guardare solo il lucchetto, che ti informa solo sul canale informativo, non su chi sta dietro a quel canale...
@ppiero7 24 aprile 2024 1

video eccellente per chiarezza e semplicità. bravo e complimenti ;)
@wilfridvoynich6617 24 aprile 2024 3

Paradossalmente una VPN potrebbe abbassare la sicurezza di chi la usa semplicemente perchè l'utente, riponendo tutta la sua fiducia nello strumento, tenderebbe a non mettere più in atto tutti quegli accorgimenti che invece farebbe normalmente in assenza di essa. Anche riguardo la privacy avrei dubbi ma in caso aspetto che ne parli :-)
@kevinthomaj 11 giugno 2025

bel video, complimenti continua cosi
@marcofari532 24 aprile 2024 2

Completamente d'accordo, senza considerare che molte vpn famose (non faccio nomi ma è quella più sponsorizzata su YouTube) loggano eccome e la maggior parte degli indirizzi ip che hanno a disposizione sono contrassegnati come fraudolenti (almeno da scamalytics), rendendo molte volte la navigazione impossibile visto che scattano sempre i captcha. Inoltre ormai molti siti come Netflix o Prime non funzionano più con il trucchetto delle vpn..servirebbe un vps hostato nel paese di cui si vuole usufruire dei contenuti per non avere problemi. PS: quei VAR non si possono vedere però ahahahah scherzo
@francescom6870 17 novembre 2024

Ciao esadecimale sei veramente un grande complimenti ,grazie
@AndreaDraghetti 30 aprile 2024

Chapeau!
@larpanet 24 aprile 2024

Bravo!
@severinomassaci4353 11 dicembre 2024

Hai perfettamente ragione.Da oltre 40anni faccio sicurezza informatica.Scoprio sempre nuovi sistemi.ciao.
@lucac67 26 aprile 2024

ottima spiegazione
@orestescialdone3842 24 aprile 2024

dirti bravo e' troppo poco!!!! bellissimo video
@LimonArts 24 aprile 2024

Ottimo video 👍
@giovannisardisco4541 23 aprile 2024

Sono a 5 min, ma già adoro questo video
@uzzocs 24 aprile 2024

adoro
@ytbison 24 aprile 2024 2

Qualità
@MetiuT 27 aprile 2024 1

Ciao, grazie come sempre, contenuti intelligenti e di qualità. Una domanda, l'esempio che facevi con l'ISP che non vede che noi ci stiamo connettendo ad una VPN, che appunto devia il canale, succede analogamente anche con la rete TOR questa "deviazione"?
@michemon 3 settembre 2025

Sei stato chiarissimo
2 risposte
1. @esadecimale Autore 4 settembre 2025
  
  Ti ringrazio!
2. @michemon 4 settembre 2025
  
  @esadecimalesono io che ringrazio te.
@agomago8709 28 aprile 2024

Comunque una campagna pubblicitaria così massiva potrebbe anche far pensare male...
@bypit9694 25 aprile 2024

Molto ben fatto questo video, complimenti. Ho guardato i video che hai sul canale e vedo che ce ne sono di molto interessanti. Iscritto. Per caso non è che hai in programma un video su Burp suite o Nessus?
5 risposte
1. @esadecimale Autore 25 aprile 2024
  
  Allora su burp ho un po' di pensieri, tra un po' penso che ci registro qualcosa, su nessus mai utilizzato troppo quindi non penso
2. @bypit9694 26 aprile 2024
  
  @esadecimale Grande, ho quasi finito una web app con tutti i dati del db belli criptati aes 256 e volevo poi approfondire l'argomento sicurezza anche per la scelta dell'hosting. Certi aspetti più vicini alla programmazione tipo sql injection o alcune configurazioni di apache ho avuto modo di approfondirli ma il resto è tutto da studiare. Non che la cosa mi dispiaccia anzi mi intriga molto e mi devo trattenere, mi ci metterei subito ma ho altro da finire ora. Se lo fai me lo guardo proprio volentieri e ti ringrazio.
3. @esadecimale Autore 26 aprile 2024
  
  @bypit9694 guarda sul canale ho fatto gia una serie sulla web exploitation di base (la trovi nelle playlist come “Web Exploitation con DVWA”). È uscita tutta quanta, quindi in caso puoi guardare le vuln che ti interessano. Nella seria pero do per assunto una minima conoscenza di burp, la mia idea era quindi quella di fare un episodio “zero” in cui introduco burp e poi si puo continuare con la serie.
4. @bypit9694 27 aprile 2024
  
  @esadecimale Sicuro che ci guardo. Riguardo a una minima conoscenza di burp, ottima occasione per cominciare ad approfondire. Mi sembra una buona idea "zero day". A pensarci poi, una bella guida per utenti medi che, senza voler diventare professionisti di sicurezza vogliono avere un riferimento utile per avere almeno una base di valutazione delle vulnerabilità potrebbe essere interessante anche per un pubblico più vasto. Chissà, poi alla fine io parlo partendo dalle mie esigenze. Comunque ti ringrazio e mi vado a cercare questo video.
5. @bypit9694 27 aprile 2024
  
  @esadecimale Ho visto su DVWA ben 15 video... mi sa che me li guardo per bene. Certo che il tuo canale è pieno di chicche. Bellissimo!
@akucybersec 26 aprile 2024

Niente: per due volte ho scritto un commento enorme per fare una considerazione (tra l'altro, nel commento facevo anche i complimenti per il video), ma YouTube ha deciso di eliminare entrambe le volte i miei commenti. Viva la libertà d'espressione.
@marcomalpassi7655 26 aprile 2024

molto interessante ma al di là della mia comprensione. Comunque da quello che so io chi utilizza la vpn essenzialmente non vuole essere beccato a piratare dalla polizia postale. Mi pare di avere letto che non è così anzi che corrono rischi maggiori a riguardo. Per la sicurezza io non mi fido ne di antivirus ne di fare operazioni bancarie col pc o peggio ancora col telefonino, sopratutto perchè ritengo che una persona che non sia un operatore finanziario non ne ha nessun bisogno o necessità! insomma chi paga il conto del supermercato col telefonino per me è un pirla. Comunque posso dire che siti come ebay, delcampe, paypal e simili e lo stesso google hanno sistemi per la sicurezza formidabili. per esempio basta provare ad entrare su google dal pc di un amico, o da macchina virtuale!
@fenix_1776 24 aprile 2024 1

RISPOSTA BREVE : NO, NON TI SERVE.
@langellotti 24 aprile 2024

ma lo sanno tutti che la maggior parte degli utenti delle vpn lo fa per vedere iptv pirata o per altre cose..e non per la sicurezza
@MatthewSeoexpert 25 aprile 2024 1

Veramente molto chiaro grazie mille.. quindi in pratica in questo come in altri campi ci sara sempre una gara tra hacker e ricercatori per sfondare il protocollo e la sua crittografia con un grosso rischio che le ai aiutino piu gli uni che gli altri ?
1 risposta
1. @esadecimale Autore 25 aprile 2024 1
  
  Guarda per adesso le AI non riuscirebbero ad attaccare il TLS, non ho mai letto di paper che fanno cose del genere e gli attacchi che ho visto e studiato erano talmente sofisticati che non ci sarebbero proprio i dati di training necessari per far imparare ad una IA questi attack patterns, almeno non adesso. Per il resto sì, il TLS è diventato robusto negli anni per via dei vari ricercatori che hanno trovato di volta in volta varie vulnerabilità. L'ultima versione del protocllo, la TLS v1.3, è quella di robusta di sempre per tutta una serie di scelte, e fino adesso non ci sono stati attacchi particolarmente significativi a questa versione del protocollo. (Anche il TLSv1.2 è molto sicuro)
@angelonunziolombardi 7 maggio 2024 1

Bellissimo video, morale della favola, è una cagata che le VPN ti proteggono dal "furto di dati", o meglio, implementano un qualcosa che già esiste, ossia un tunnel crittografato. Già esiste essendo che la comunicazione tra client e server nella maggior parte dei casi avviene mediante https che utilizza tls come layer di crittografia durante la comunicazione, giusto?
2 risposte
1. @esadecimale Autore 7 maggio 2024 2
  
  si la “morale”, se così la vogliamo chiamare, è proprio quella. La cosa che personalmente mi da più fastidio è che mica ti raccontano della sicurezza introdotta dal TLS. No, devono far finta che siamo ancora nel 1990, quando effettivamente non era ancora stato sviluppato il TLS.
2. @angelonunziolombardi 7 maggio 2024 1
  
  @esadecimale purtroppo dovrebbe essere anche premura dell'utente capire un pò come funziona internet e non bersi qualsiasi cosa gli venga rifilata. La vulnerabilità peggiore siamo noi con i nostri comportamenti scorretti. Possiamo adottare tutte le protezioni più sofisticati che ci siano, ma se non colmiamo la nostra ignoranza c'è poco da fare
@Yuri-cd9xi 24 aprile 2024

Comunque finché entro in un sito http ma non inserisco nessun dato particolare non ci sono problemi, giusto?
2 risposte
1. @esadecimale Autore 24 aprile 2024
  
  Corretto! Perfettamente valido ad esempio leggere un blog in http. L’importante è non inserire dati sensibili e sapere che l’interazione potrebbe essere vista da altre persone.
2. @Yuri-cd9xi 24 aprile 2024
  
  @esadecimale Chiarissimo, grazie!
@fralla2987 26 aprile 2024

Domanda Partiamo dal presupposto che tutto quello che hai è ovviamente giusto, ma facciamo questo caso Io sono connesso a una rete pubblica, un attaccante ha la vita più facile nel poter bucare il mio dispositivo se connesso in WLAN/LAN, in questa maniera l'attaccante cattura sia i messaggi cifrati grazie al TLS, ma potrebbe comunque catturate la chiave di cifratura? In questo caso, la VPN andrebbe ad aggiungere alla cifratura del TLS un ulteriore cifratura non catturabile(facilmente almeno), e quindi in questo caso la VPN servirebbe eccome
3 risposte
1. @esadecimale Autore 26 aprile 2024 3
  
  La chiave si troverebbe nel tuo dispositivo. Trovare un modo per eseguire del codice dalla stessa WLAN/LAN nel tuo dispositivo richiede la presenza di una vulnerabilità, sia essa nota oppure no, sul tuo dispositivo. Assumendo l’esistenza di un vulnerabilità del genere un attaccante avrebbe accesso al dispositivo, e dunque in quel caso neanche una VPN ti aiuterebbe, perché l’attacco sarebbe al device, non al canale di comunicazione. In ultima analisi l’unica cosa che “protegge” la VPN è il canale di comunicazione, non il dispositivo in quanto tale. Ma per proteggere il canale basta e avanza il TLS. In tutti i casi in cui attacchi il TLS passando per il device, allora lo stesso attacco funzionerebbe anche con una VPN.
2. @marcomalpassi7655 26 aprile 2024
  
  @esadecimale esattamente , i pirati attaccano i dispositivi delle persone ed è su quelli che bisogna fare molta attenzione!
3. @fralla2987 26 aprile 2024 1
  
  @esadecimale giustamente mi era scappato di mente del fatto che se si ha accesso al dispositivo si ha anche accesso alla chiave privata della VPN pensare queste cose alle 4 di notte non é la migliore scelta xD