Invisibile o cifrato? Cosa fa davvero una VPN

Una VPN cambia chi vede cosa, ma non ti rende anonimo.

Molti pensano che accendere una VPN equivalga a "sparire" dalla rete. In realtà una VPN crea un tunnel cifrato tra il tuo dispositivo e un server del fornitore. Il vantaggio è che il traffico resta nascosto a chi controlla la rete locale, come un Wi-Fi pubblico. Il limite è che il tunnel termina sul server VPN: il fornitore diventa quindi in grado di osservare il traffico che transita attraverso il proprio servizio e, quando non è presente una cifratura ulteriore come HTTPS, anche il contenuto. Devi quindi fidarti del fornitore e del Paese in cui opera.[1] Il sito che visiti vede l'IP del server VPN al posto del tuo. La fiducia non è sparita: è passata dal tuo provider internet al fornitore VPN.

Quando il problema è la VPN stessa.

Il 19 agosto 2026 Citrix ha corretto due vulnerabilità critiche in NetScaler ADC e NetScaler Gateway, tecnologie usate da molte aziende per le VPN aziendali. La più grave (CVE-2026-19490) permette a un attaccante remoto di bypassare l'autenticazione senza alcuna credenziale, se l'apparato è configurato come gateway VPN.[10] Il 9 settembre l'agenzia statunitense CISA l'ha inserita tra le vulnerabilità sfruttate attivamente.[11] È un promemoria che la fiducia riposta in una VPN riguarda anche la sicurezza tecnica dell'infrastruttura che la eroga, non solo il comportamento del fornitore.

L'IP è solo uno degli indizi che ti identificano.

Se accedi al tuo account, il servizio sa chi sei, con o senza VPN. Anche senza cookie, un dispositivo può essere riconosciuto dalla combinazione delle sue caratteristiche (browser, sistema operativo, lingua, schermo): è il *fingerprinting*. Lo stesso Tor Browser, progettato per contrastarlo, dichiara che rendere tutti gli utenti identici è "praticamente impossibile": punta a ridurre quanto ciascuno si distingue.[2]

Tor funziona in modo diverso: distribuisce la fiducia.

Tor non è una VPN. Il traffico passa normalmente per tre relay, gestiti da volontari, con livelli di cifratura separati.[3] Il primo è un Guard relay selezionato dal client e riutilizzato per un certo periodo (2-3 mesi), per proteggere da alcuni attacchi noti; il percorso viene poi completato da un relay intermedio e da un Exit relay, e questi ultimi due cambiano a ogni nuovo sito visitato.[4] Ogni relay conosce solo il relay precedente e quello successivo, non l'intero percorso.[5] Sul "dark web" serve chiarezza: Tor è la tecnologia, mentre i servizi *onion* (indirizzi .onion) sono siti raggiungibili solo tramite Tor, con traffico cifrato da un capo all'altro.[6] Nel linguaggio comune "dark web" indica di solito questi servizi. Usare Tor non è di per sé illecito: il Tor Project ricorda che lo usano attivisti, giornalisti e persone vittime di abusi.[7]

Con i torrent l'anonimato salta comunque.

BitTorrent è un sistema *peer-to-peer*: scambi file direttamente con altri utenti, che possono vedere il tuo IP. Con una VPN vedrebbero l'IP del server VPN al posto del tuo, ma il fornitore VPN resta un punto di fiducia: a seconda dei dati che conserva e del contesto giuridico applicabile, potrebbe essere possibile associare l'attività al cliente. Con Tor invece è peggio: il Tor Project sconsiglia i torrent perché molti client rivelano l'IP reale ai peer anche se passano da Tor, e perché caricano i relay dei volontari.[8] Nessuno strumento cambia poi la legge: mettere a disposizione in rete un'opera protetta, senza averne diritto, è punito dall'art. 171 della L. 633/1941.[9]

Che cosa scegliere

• **Wi-Fi pubblico o servizi bloccati in un'altra area geografica:** una VPN può aiutare.
• **Ridurre l'associazione tra identità, IP e destinazione:** Tor, usato correttamente e seguendo le sue regole d'uso.
• **Torrent:** né VPN né Tor rendono invisibili, e non rendono lecito ciò che è illecito.

Figura — Cosa vede chi, con VPN, Tor e torrent

a) Senza protezioni

Dispositivo → **ISP** (vede tutto: destinazione + contenuto se non HTTPS) → Sito

`[ESPOSTO] IP reale, destinazione, contenuto non cifrato`

b) Con VPN

Dispositivo → tunnel cifrato → **Server VPN** (vede tutto: IP reale + destinazione) → Sito (vede solo l'IP del server VPN)

`[PROTETTO dall'ISP]` · `[ESPOSTO al fornitore VPN]`

c) Con Tor

Dispositivo → **Guard** (vede IP reale, non la destinazione) → **Middle** (non vede l'IP reale dell'utente né la destinazione finale) → **Exit** (vede la destinazione, non l'IP reale) → Sito

`[PROTETTO]` — nessun singolo nodo vede insieme IP reale e destinazione

d) Con torrent (peer-to-peer)

Dispositivo ↔ **Peer multipli** (scambio diretto)

• Senza protezioni: `[ESPOSTO]` IP reale visibile ai peer
• Con VPN: `[PROTETTO dai peer]` (vedono l'IP del server VPN) · `[ESPOSTO al fornitore VPN]`
• Con Tor: `[SCONSIGLIATO]` — molti client rivelano comunque l'IP reale nella richiesta al tracker

Legenda colori semantici (per la versione grafica): verde `#2E7D5B` = protetto, rosso `#A32026` = esposto/sconsigliato.

Ricostruzione originale a scopo divulgativo — vedi Avvertenza.

Note

1. Il tunnel VPN cifra la connessione fino al server del fornitore; un'eventuale cifratura applicativa come HTTPS resta comunque attiva end-to-end e non è sostituibile dal fornitore VPN senza che ciò sia rilevabile dal browser.

2. La limitazione del fingerprinting nel Tor Browser riduce le "categorie" distinguibili, non le annulla.

3. Il percorso Tor comprende normalmente tre relay (guard, middle, exit), con livelli di cifratura separati.

4. Il guard relay è selezionato dal client Tor e resta lo stesso per circa 2-3 mesi; gli altri due relay del circuito cambiano più spesso, a ogni nuovo sito visitato.

5. Ogni relay del circuito conosce solo il relay precedente e quello successivo, non l'intero percorso: è il principio di base dell'onion routing.

6. Gli onion service sono raggiungibili solo tramite Tor.

7. Citrix e NVD attribuiscono punteggi CVSS diversi alla stessa vulnerabilità (9.3 vs 9.8) perché usano versioni diverse dello standard CVSS (v4.0 e v3.1); non è un errore, ma una differenza di metrica.

Riferimenti

[1] EFF, *Surveillance Self-Defense*, voce "Commercial VPN" (ssd.eff.org/glossary/ticari-vpn).

[2] Tor Project, *Tor Browser Manual*, "Anti-fingerprinting" (tb-manual.torproject.org/anti-fingerprinting/).

[3] Tor Project, *Tor Browser Manual*, "About" (manual-f04e0b.pages.torproject.net/about/).

[4] Tor Project, Support, "Why does the first IP address in my Tor circuit always stay the same?" (support.torproject.org/tbb/tbb-2/).

[5] Tor Project, documentazione di design della rete Tor (onion routing: ogni relay conosce solo predecessore e successore nel circuito).

[6] Tor Project, "Understanding and using onion services in Tor Browser" (support.torproject.org/onionservices/).

[7] Tor Project, Support, sezione "Misc" (archive.torproject.org/websites/support.torproject.org/misc/).

[8] Tor Project, Support, "Can I use Tor with Torrent?" (support.torproject.org/misc/misc-4/).

[9] L. 22 aprile 1941, n. 633, art. 171, comma 1, lett. a-bis) — testo verificato dal PDF di Normattiva fornito da Simone Mammola.

[10] Cloud Software Group (Citrix), Security Bulletin CTX696939, 19 agosto 2026 — CVE-2026-19490 (bypass di autenticazione, CVSS v4.0 9.3 secondo Citrix, 9.8 secondo NVD in CVSS v3.1) e CVE-2026-19489 (overflow di memoria, CVSS 8.8).

[11] CISA, Known Exploited Vulnerabilities Catalog, voce CVE-2026-19490, aggiunta il 9 settembre 2026.

Avvertenza

Contenuto divulgativo, non consulenza legale né tecnica. Lo schema (figura a/b/c/d) è una ricostruzione originale, da dichiarare in didascalia.