#MundoHacker: ¿Qué servicio de VPN utilizar?

La semana pasada, al hilo de la presentación de Seguridad en 2 Minutos, el proyecto audiovisual con periodicidad semanal en el que daremos solución a dudas comunes y arrojaremos luz sobre cuestiones básicas que todo usuario debe conocer para gestionar el riesgo, la seguridad y privacidad de sus datos, me preguntaba Javi Felices (@javifelices (ES)) qué servicios de VPN recomendaba.

La pregunta era muy específica y creo que no se ajusta muy bien a responderla en un vídeo de dos minutos de duración, por lo que he preferido aprovechar la serie #MundoHacker para tratarla con más profundidad, y de paso, adentrar al lector que desconozca estos términos (y no haya visto el vídeo) de qué se trata y cómo elegir entre uno u otro servicio. Comencemos.

El peligro de las conexiones en WIFI públicas

Hablamos de WIFI públicas por no hablar de conexiones en general, ya que son estas un elemento habitual en la vida de la mayoría de usuarios de tecnología, y por su proliferación, suponen un verdadero vector de riesgo para toda la información que trabajemos en ellas.

Para ahondar en el tema, lo recomendable sería que viera el vídeo enlazado arriba, o bien este artículo de hace un tiempo sobre los peligros de las Redes WIFI, pero básicamente, el concepto que tiene que entender es quecualquier conexión a una red compartida se suele hacer (si no cuenta con los factores de seguridad adecuados, algo habitual en las redes WIFI públicas e incluso en la amplia mayoría de WIFIs de establecimientos) utilizando el mismo canal que el resto de usuarios conectados. Es decir, es como si usted mantuviera conversación en la misma línea telefónica que todos los inquilinos de su bloque de pisos, de forma que con tan solo descolgar el teléfono, pudiera escuchar qué están diciendo el resto.

Para evitar que todo lo que se diga sea fácilmente rastreable, surgen las conexiones a servicios utilizando protocolos seguros (SSL, TLS), pero incluso con estos protocolos, y obviando que a día de hoy hay diversas formas de saltárselos, la comunicación sigue sin ser privada.

Afortunadamente, hay una manera de evitar que lo que decimos acabe en manos de quien menos deseamos, incluso en redes inseguras, y esa sería aprovechar las ventajas de una red privada virtual. Una VPN.

¿Qué es y por qué necesito una VPN?

Una red privada virtual es una red virtual creada por encima de una red pública física (como Internet) entre dos puntos, nuestro dispositivo y un servidor. La ventaja de utilizar una red privada virtual es que podemos aplicar las directrices de cualquier red privada, como por ejemplo, cifrar todos los paquetes de punto a punto.

El resultado es una comunicación que sale de nuestro ordenador cifrada y que no se descifra hasta llegar al servidor VPN, después de haber salido de la red WIFI en la que estábamos, haber cruzado los cables y centralitas oportunos hasta un servidor situado en algún punto del mundo.

Además, y puesto que a efectos prácticos la petición sale del servidor VPN y no de la localización del cliente, es una manera de saltarse las restricciones geográficas de servicios digitales, proteger nuestra privacidad oposibles firewalls que haya habilitados en la red del país u organismo donde nos encontramos o al que queremos acceder (emular conexiones desde EEUU para disfrutar de features extra en servicios que habitualmente utilizamos, comunicarse con el extranjero desde conexiones monitorizadas por el gobierno, acceder a contenido prohibido en la oficina,…).

Esto, por tanto, tiene sus inconvenientes, y como vimos en aquel artículo sobre la arquitectura cliente servidor y el funcionamiento de Internet, hace que las conexiones por VPN sean más lentas que lo sería una conexión directa, ya que por un lado la información tiene que cifrarse y descifrarse, y por otro, tiene que llegar a un punto, que puede estar a miles de kilómetros, y desde ahí volver a enviarse a su destino final, que responderá siguiendo el mismo camino.

Es importante esto último, ya que una VPN no asegura el cifrado y la privacidad de los datos desde el emisor hasta el receptor final, sino desde el emisor hasta el servidor de VPN. Pasado este servidor, los paquetes son enviados tal cual hayan sido gestionados por el cliente inicialmente (puede que estén cifrados o no según el tipo de conexión que establecemos con el receptor final).

Ahora bien, y aquí llegamos al porqué de este tutorial. Se han dado casos de VPNs que en verdad eran tapadera de un negocio de tráfico de datos, e incluso algunas parece que estuvieron (y puede que estén) controladas por gobiernos y agencias de inteligencia. Al igual que pasa con los nodos que componen la red TOR, hay que comprender que el usuario que utiliza este tipo de servicios puede transformarse en un blanco interesante, por lo que es muy importante elegir qué servicios de VPN contratar.

¿Qué servicios de VPN son “seguros”?

Y aquí intentaré no ser “gallego“. Servicios de VPN hay muchísimos, y la mayoría tienen un modelo de negociofreemium (parte gratuita, parte de pago). Generalizando, y esto ya es opinión personal, intentaría huir de los servicios puramente gratuitos, ya que algún modelo de negocio tendrán que tener, y si no paga el usuario, pagará alguien…

También, y de nuevo, bajo mi humilde opinión, me da más seguridad un servicio VPN cuya empresa esté alojada en territorio Europeo. No únicamente porque yo sea Español, sino porque la legislación Europea en materia de privacidad y derechos del usuario mira más por nuestros intereses (normalmente) que la legislación Americana y Sudamericana, y ya ni hablemos de las asiáticas y africanas (si es que las hay :D).

Un buen baremo a la hora de elegir entre una u otra VPN es consultar la lista que periódicamente publica Torrenfreak sobre VPNs recomendables. De la de Septiembre del 2014 (EN), resaltaría:

• PRIVATE INTERNET ACCESS (EN): De pago, y bastante completito. Multiplataforma, y con cifrado AES-128, SHA1 y RSA2048, así que hay para gustos.
• TOR GUARD (EN): También de pago, y muy configurable. Cuenta con varios servidores distintos y varias configuraciones según el uso que le vayamos a dar.
• IP VANISH (EN): De pago también, y como curiosidad, aseguran que no mantienen logs de comunicaciones (parece una obviedad, pero tenga en cuenta que algunas normativas de países obligan a que las empresas mantengan un registro de sus clientes que podría ser utilizado en una investigación policial).

Además, me voy a permitir el lujo de incluir uno de cosecha propia, llevándome para colmo la contraria (este sí va a ser gratuito), y por una simple razón que detallaré justo debajo:

• FROOT VPN (EN): Es gratuito, multiplataforma, y lo ha recomendado recientemente The Pirate Bay, por lo que quiero pensar que es confiable. Y digo que me llevo la contraria porque según leo en el FAQ (EN), todo apunta a que el servicio será gratuito mientras tengan dinero para sustentarlo (nace de otra empresa que sí factura). Cuando el dinero escasee, seguirá el camino de la mayoría de servicios que no trafican con nuestros datos. Así que por ahora seguramente sea la mejor opción que tenemos :).