Un ricercatore di sicurezza smonta il marketing della VPN gratuita di Microsoft Edge: “Non è una vera VPN”

Microsoft ha attirato l’attenzione di un ricercatore di sicurezza con un post su X che descriveva Edge Secure Network VPN come uno strumento di privacy gratuito e integrato, che non richiede app aggiuntive né abbonamenti.

Il post, pubblicato dall’account ufficiale di Microsoft Edge, presentava la funzione come un modo semplice per aggiungere un livello extra di protezione durante la navigazione, specialmente sulle reti Wi-Fi pubbliche.

La risposta del ricercatore non si è fatta attendere, e ha rapidamente spostato la conversazione su un dibattito più ampio ovvero sulle modalità con cui dovrebbero essere descritti gli strumenti di privacy integrati nei browser, e quale livello di protezione possono realisticamente aspettarsi gli utenti. Una questione che in questo caso vede Microsoft nell’occhio del ciclone, ma che si applica anche al resto dei browser consumer che pubblicizzano funzioni di VPN.

Offerta

Apple iPhone Air 256 GB

899€ invece di 1239€

-27%

Amazon 🛒

La critica del ricercatore contro Microsoft: ”È un proxy, non una VPN”

Sooraj Sathyanarayanan, Privacy Researcher e Security Strategist che lavora presso Brave Browser, ha risposto con una critica tecnica dettagliata:

“Edge Secure Network NON è una VPN. È un proxy HTTP CONNECT costruito sulla Privacy Proxy Platform di Cloudflare. Instrada solo il traffico all’interno del browser Edge.”

Secondo la sua analisi, Edge Secure Network funziona come un meccanismo di tunneling a livello browser, non come una rete privata virtuale a livello di sistema. Solo il traffico generato all’interno di Microsoft Edge passa attraverso il canale protetto. Le attività di altre applicazioni, servizi in background, client email, aggiornamenti del sistema operativo e persino le query DNS continuano a usare il percorso di rete normale.

Le differenze con una VPN tradizionale

Il ricercatore descrive la funzione come un proxy progettato per proteggere le sessioni di navigazione all’interno di Edge, non per creare un tunnel crittografato che copra tutto il dispositivo. Molti strumenti VPN commerciali, al contrario, instradano tutto il traffico di sistema attraverso un endpoint sicuro, con kill switch e selezione manuale dei server.

Un altro punto sollevato riguarda il requisito di accedere con un account Microsoft personale per abilitare la funzione. Microsoft spiega che è necessario per far rispettare il limite mensile di 5 GB, ma il ricercatore fa notare che questo collega il livello di protezione a un’identità autenticata, non a un utilizzo anonimo.

Come viene descritta da Microsoft questa “VPN”

Secondo la documentazione ufficiale, Edge Secure Network VPN è una funzione di protezione leggera a livello browser che usa “tecnologia VPN” per crittografare il traffico generato all’interno di Edge, aiutando a proteggere l’attività di navigazione da terze parti, tracker o attori malevoli.

Dunque, se si sta navigando da una rete pubblica, come un bar o un aeroporto, Edge può instradare il traffico del browser attraverso un tunnel crittografato così che dati sensibili come credenziali di accesso, dettagli di pagamento o compilazione di moduli non possano essere intercettati. Microsoft afferma anche che la funzione nasconde l’indirizzo IP dell’utente ai siti web.

La funzione è disponibile gratuitamente ma solo per gli utenti che accedono a Edge con un account Microsoft personale. Il tier gratuito include 5 GB di dati mensili, dopo i quali la protezione si interrompe fino al reset della quota. Per conservare dati, alcuni scenari ad alta larghezza di banda, inclusi servizi di streaming come Netflix, Hulu e HBO, sono esclusi dall’instradamento.

Altre limitazioni

Edge Secure Network VPN ha altre limitazioni infatti non è disponibile su dispositivi gestiti o aziendali e non funziona in alcune regioni. È assente il supporto sulla selezione manuale del server: Microsoft ha confermato in risposta a una domanda su X che Secure Network si connette automaticamente a un server geograficamente vicino, senza permettere agli utenti di scegliere un paese o una regione.

Per impostazione predefinita, la funzione opera in modalità “Ottimizzata“, il che significa che la protezione potrebbe attivarsi solo in determinate condizioni, come quando si usa Wi-Fi pubblico o si visitano siti non HTTPS, a meno che gli utenti non cambino manualmente la configurazione.

Il problema della fiducia a due parti

Sathyanarayanan descrive l’architettura come un modello di fiducia a due parti: Microsoft gestisce l’identità dell’account mentre l’instradamento di rete è gestito da Cloudflare. Microsoft assicura che Cloudflare non vede le identità degli account, e Cloudflare dichiara di non ispezionare il traffico degli utenti. Ma il ricercatore fa notare che il sistema si basa sulla fiducia nelle dichiarazioni di entrambe le parti, senza un audit pubblico indipendente.

Un problema di comunicazione più ampio

Come accennato in apertura, Microsoft non è sola in questa strategia. Anche Opera, per esempio, offre da tempo una funzione VPN integrata nel browser. Questi strumenti sono pensati per un mondo che privilegia la comodità piuttosto che la profondità o la necessità di smanettare poiché si attivano automaticamente in certe situazioni, richiedono configurazione minima e riducono rischi ovvi come le connessioni Wi-Fi non sicure.

Ma ormai la chiarezza su cosa queste funzioni facciano e cosa non coprano diventa sempre più importante per la fiducia degli utenti che, mai come in questi tempi, cercano trasparenza dalle aziende. Che la funzione venga vista come una protezione utile o come qualcosa di sopravvalutato dipenderà probabilmente da come Microsoft continuerà a spiegare il suo ruolo e i suoi limiti.