Cosa rischia ora chi usa la VPN per vedere le partite di calcio in streaming: la mossa di Dazn

Si apre un nuovo capitolo nella guerra contro il pezzotto. Dopo i problemi con il Piracy Shield si cercano nuove strategie per identificare e punire chi visualizza contenuti senza un regolare abbonamento. Ora sembra che Dazn voglia chiedere l'elenco dei nomi alla Procura di Catania, che in seguito a una maxi inchiesta ha smantellato una rete di oltre 2.500 canali pirata. La piattaforma vuole costituirsi parte civile nel processo penale per ottenere i risarcimenti e recuperare i danni economici subiti. Non solo, stabilire un precedente legale potrebbe dissuadere gli utenti dal guardare le partite trasmesse su piattaforme illegali.

Molto probabilmente chi ha deciso di visualizzare contenuti senza un regolare abbonamento avrà utilizzato una VPN per non essere rintracciato. Non è detto però che una rete privata virtuale sia sufficiente, per capire meglio come funziona una VPN e in quali casi le autorità possono raccogliere informazioni e tracciare gli utenti che le utilizzano abbiamo parlato con Maria Pia Izzo, giurista consulente informatico-forense che lavora insieme a Eva Balzarotti nello studio Atlan66.

Partiamo dalle basi, come funziona una VPN?

Cominciamo specificando che VPN è l'acronimo di Virtual Private Network, "rete privata virtuale", ossia una tecnologia progettata per garantire connessioni digitali anonime, sicure e private. La VPN crea un canale (tunnel) di comunicazione privato caratterizzato da un livello di sicurezza elevato come se fosse una rete fisica dedicata ma accessibile come una qualsiasi rete internet.

Le persone che usano una VPN quindi sono davvero non tracciabili?

I dati sono trasferiti in modalità crittografata e protetta da una sorta di involucro che isola l'utente dal resto della rete nascondendo l'indirizzo IP e permettendo, per esempio, un accesso sicuro agli hotspot Wi-Fi pubblici. Una VPN funziona basandosi su una serie di processi complessi che interagendo tra loro garantiscono la sicurezza e la privacy dell'utente tramite il reindirizzamento del traffico internet verso un server remoto che è quello del provider scelto dall'utente.

In questo modo tutti i dati sono protetti.

Diciamo che la navigazione via VPN transita tramite un tunnel-dati sicuro tra il dispositivo dell'utente ed il server VPN remoto, stabilito mediante protocolli di tunneling avanzati (come OpenVPN, L2TP/IPSec, etc) che definiscono le regole di "incapsulamento dei dati" per garantirne la protezione da eventuali accessi esterni. I dati che viaggiano via VPN sono crittografati e possono essere accessibili solo a chi sia in possesso della chiave di decrittazione. La VPN opera, inoltre, la mascheratura dell'indirizzo IP in uscita dal server VPN in modo da preservare l'anonimato dell'utente online ed aggirare eventuali restrizioni geografiche.

Le informazioni vengono condivise fra il computer e il provider di servizi Internet (ISP). Ecco cosa può vedere il provider?

Proprio in ragione ai processi sinergici che caratterizzano il funzionamento di una VPN, l'ISP (service internet provider) riesce al massimo a vedere che l'utente si sta connettendo ad internet tramite l'utilizzo di una connessione al server VPN. L'ISP non può tracciare l'attività online e neppure la posizione geografica dell'utente che naviga tramite VPN perchè rileva solo il passaggio di dati crittografati verso un server remoto.

L’ISP potrebbe condividere la nostra cronologia di ricerca, per esempio con gli inserzionisti?

Se non usiamo una VPN, e pertanto i dati sono intellegibili, sì, a patto che tali dati siano ancora disponibili sui server del provider che può trattenerli per un determinato periodo temporale secondo la normativa in materia di privacy e sicurezza. Le condivisioni delle cronologie di ricerca con gli inserzionisti salvo casi di violazioni clamorose che hanno riguardato importanti piattaforme di social media, dipendono generalmente dall'accettazione dei cookie sui propri browser.

E invece con le forze dell'ordine?

Su ordine dell'autorità giudiziaria che può agire anche tramite le forze dell'ordine (come la Polizia di Stato) l'ISP deve provvedere alla consegna di tutto quanto relativo alla navigazione internet dell'utente che si sia reso responsabile di un reato informatico o che viceversa ne sia stato vittima. Altre condivisioni di dati con enti governativi devono essere anch'esse regolate da appositi interventi del legislatore e/o dell'ente governativo interessato.

La polizia può tracciare una VPN?

Come dicevamo la VPN garantisce l'anonimato dell'utente e la crittografia dei dati a meno che il software per la navigazione protetta non abbia falle di sicurezza che possono essere utilizzate eventualmente dalla polizia, autorizzata dall'autorità giudiziaria, per accedere al traffico dati dell'utente. Per l'accesso al traffico dati via VPN però occorre la collaborazione del provider di VPN che non sempre e non in tutti i Paesi del mondo è disponibile in tal senso, anche in ragione delle policy privacy interne al provider spesso molto rigide ed alle normative vigenti sul territoro di erogazione del servizio in materia di sicurezza e privacy.

Quali informazioni può fornire un provider VPN alla polizia?

Se interpellato formalmente e su ordine dell'autorità giudiziaria tramite la polizia, il provider deve fornire quanti più dati possibile salvo la possibilità di opporre le policy privacy interne che non gli consentono di accedere ai dati dell'utente e l'eventuale normativa di riferimento.

In quali casi la polizia può chiedere di tracciare una VPN?

In tutti i casi consentiti dalla legge al fine di perseguire reati quali ad esempio la pedopornografia online, il traffico di esseri umani, il terrorismo di matrice religiosa, il traffico di armi, etc etc.

Prendiamo un esempio recente, Dazn potrebbe chiedere alla Procura di Catania i nomi degli utenti che hanno utilizzato il ‘pezzotto', chi ha usato una rete VPN è al sicuro?

Dipende dalle politiche di privacy e sicurezza interne e dalla normativa vigente nel territorio di residenza del provider VPN. In ogni caso la VPN non nasce per consentire agli utenti di commettere reati impunemente bensì nasce per proteggere i dati degli utenti da possibili accessi malevoli.

Dazn ha il diritto di chiedere i nomi degli utenti?

Astrattamente sì, chiaramente le regole dipendono dalla giurisdizione territoriale in cui il procedimento penale è incardinato ma anche dal momento processuale in cui la richiesta dei nomi degli utenti fraudolenti viene fatta. In Italia, per esempio, questo tipo di istanza proposta in fase di indagini preliminari ossia in quella fase del processo penale sottoposto a segreto istruttorio non può essere accolta.