Wyden chiede alla NSA di ammettere che un solo salto VPN non basta
Un senatore americano in carica ha chiesto alla National Security Agency di dire ad alta voce quello che i ricercatori di privacy ripetono da anni: una comune VPN commerciale non protegge da un avversario statale. Il 2 settembre 2026 Ron Wyden ha scritto al direttore della NSA, il generale Joshua Rudd, sostenendo che le indicazioni federali trattano ancora una VPN a singolo salto come protezione sufficiente, e ha chiesto risposte non classificate entro il 14 ottobre. La richiesta è stretta e tecnica, e colpisce esattamente l'assunto più fragile su cui questi servizi vengono venduti.
Che cosa dice la lettera
L'argomento di Wyden poggia su un'analisi del Congressional Research Service che cita testualmente: una VPN a singolo salto, per quanto fortemente cifrata, non offre in sostanza alcuna protezione contro un avversario capace di costringere quel singolo fornitore o di infiltrarvisi. Il punto debole non è la cifratura, è l'unico punto di concentrazione. Tutto quello che fate passa da una sola azienda, in una sola giurisdizione, su un solo parco di server, e chi raggiunge quell'azienda vede l'altro capo di ogni connessione.
Di contro, la lettera nomina le architetture che quel punto unico lo tolgono: il routing su più nodi e le mixnet. Wyden chiede alla NSA di valutarne l'efficacia reale, citando Tor, Nym e Apple Private Relay, e di dire come i sistemi proxy multi-hop si confrontino con i progetti mixnet.
L'attacco non richiede di rompere la cifratura
Il meccanismo descritto si chiama correlazione del traffico, e vale la pena capirlo perché spiega perché la "cifratura di livello militare" qui non risponde. Chi osserva entrambi i lati di un server VPN non deve decifrare nulla. Confronta tempi e volumi dei dati cifrati in entrata con tempi e volumi in uscita, e lo schema lega un utente a una destinazione. La cifratura nasconde il contenuto. Non nasconde la forma del traffico.
Un'osservazione del genere non è alla portata del vicino di casa o della rete di un bar. È alla portata di un'organizzazione che vede grandi porzioni di internet insieme, o che può mettersi dentro un fornitore. È esattamente il modello di minaccia di cui scrive Wyden.
Di che cosa parlano davvero le raccomandazioni ufficiali di oggi
Il vuoto indicato dalla lettera non è che lo Stato abbia detto il falso. È che i consigli esistenti rispondono a un'altra domanda. Il materiale pubblicato da NSA e CISA sulle VPN riguarda soprattutto come evitare che gli apparati VPN ad accesso remoto vengano bucati: aggiornarli, irrobustirli, dismettere i prodotti obsoleti. È una guida per l'amministratore che protegge un gateway aziendale.
Non è una guida per chi sceglie una VPN di consumo perché un servizio di intelligence straniero non legga le sue comunicazioni. Wyden lo scrive così: gli americani esposti a minacce straniere avanzate, compresi dipendenti pubblici, appaltatori della difesa, giornalisti e difensori dei diritti umani, meritano consigli chiari e onesti su come proteggere le proprie comunicazioni dalla sorveglianza di avversari stranieri. Oggi quelle persone leggono un consiglio scritto per un altro problema.
Che cosa cambia per un utente qualunque
Sarebbe facile leggerlo come "le VPN non servono", ma non è ciò che dice la lettera. Una VPN a singolo salto continua a fare quello che ha sempre fatto: porta il traffico via dalla rete locale e dall'operatore, impedisce ai siti di ricavare la vostra zona dall'IP, aggira i blocchi legati al luogo da cui sembrate arrivare. Contro un inserzionista, un gestore di rete o un censore, è concreto.
Con il modello di minaccia cambia il ruolo del fornitore stesso. Quando l'avversario può costringere o compromettere l'azienda, ciò che era il vantaggio, un solo operatore che vede entrambi i capi, diventa il punto di rottura. Per questo esiste il routing multi-hop, e per questo Tor e le mixnet sono costruite così: nessun singolo operatore deve sapere insieme chi siete e che cosa avete chiesto. Il prezzo è la velocità, e per la maggior parte delle persone quasi sempre quel cambio non conviene.
Perché la domanda arriva adesso
Wyden tira da anni lo stesso filo: che cosa sa lo Stato della sorveglianza sugli americani e che cosa ne racconta loro. Abbiamo seguito i suoi avvertimenti precedenti, tra cui il punto che usare una VPN può indebolire le tutele legali di un utente statunitense secondo le norme sull'intelligence estera. Questa lettera è la metà tecnica dello stesso ragionamento: se la posizione ufficiale è che una VPN commerciale basta, allora va sostenuta con prove oppure aggiornata.
