VPN vs trasferimento cifrato: servono entrambi?
VPN vs trasferimento cifrato confrontati. Comprendi cosa protegge ciascuno e se servono entrambi i livelli di sicurezza.
Una VPN instrada il tuo traffico di rete attraverso un intermediario, nascondendo le destinazioni al tuo ISP e alla rete locale. Il trasferimento cifrato mescola i contenuti del file in modo che solo il destinatario possa leggerli. Risolvono problemi diversi: la VPN difende i metadati della connessione (quali siti visiti, quali IP contatti), mentre il trasferimento cifrato difende il payload (cosa c'è dentro il .pdf che hai inviato). Raramente hai bisogno di entrambi per un singolo rischio, ma usarli insieme non costa nulla e colma le lacune che nessuno dei due copre da solo. Una VPN senza E2EE espone i file al provider VPN; l'E2EE senza VPN espone i metadati al server equivalente a WeTransfer.
Cosa nasconde davvero una VPN
Una VPN crea un tunnel TLS o WireGuard dal tuo dispositivo a un server gestito dal provider VPN. Il tuo ISP vede traffico cifrato verso l'IP svedese di Mullvad; non vede che stai visitando hexatransfer.com. Il sito di destinazione vede l'IP della VPN come tua origine. All'interno del tunnel, il tuo TLS verso la destinazione funziona normalmente — la VPN non lo legge a meno che il provider non tradisca la sua promessa di no-log. Cosa non fa una VPN: non cifra il file stesso. Se il server di destinazione archivia il tuo upload in chiaro, la VPN ha nascosto solo chi ha caricato, non cosa è stato caricato.
Cosa nasconde il trasferimento cifrato end-to-end
Il trasferimento end-to-end cifrato usa AES-256-GCM con una chiave derivata da una password o da un frammento URL casuale. L'operatore del servizio vede solo ciphertext — non può leggere il file, non può rispettare un'ingiunzione per i suoi contenuti, non può addestrare AI su di esso. Cosa non nasconde l'E2EE: il tuo indirizzo IP che si collega al servizio, la dimensione del file, i tempi, e (di solito) il fatto che un trasferimento sia avvenuto. Le perdite di metadati rimangono. Un osservatore sulla tua rete vede "Alice ha caricato 4,2 GB su hexatransfer.com alle 14:03 UTC" anche se non riesce a vedere il file.
I modelli di minaccia in cui ciascuno vince
Scegli la VPN quando la tua minaccia è la sorveglianza a livello di rete: un ISP ostile, un attaccante sulla Wi-Fi del bar, un paese che blocca siti specifici, un proxy aziendale che registra gli URL. Scegli il trasferimento cifrato quando la tua minaccia è l'operatore del servizio, un'ingiunzione al servizio, una violazione dello storage cloud, o le forze dell'ordine che intercettano un server. Scegli entrambi quando la tua minaccia è un avversario sofisticato che correla i metadati tra i livelli — un giornalista che invia documenti di fonte a una redazione, o un informatore che evita l'attribuzione.
Dove una VPN da sola non basta
Servizi come NordVPN, Mullvad e ProtonVPN non cifrano quello che carichi su destinazioni di terze parti oltre TLS. Se carichi un .docx da 200 MB su un servizio che lo archivia in chiaro (alcuni vecchi file share aziendali lo fanno ancora), la VPN ha nascosto il tuo IP ma il servizio detiene il documento leggibile. Inoltre, i provider VPN stessi possono essere compromessi — i log di PureVPN nel 2017 hanno aiutato l'FBI a identificare uno stalker nonostante il marketing "no log". Il tuo modello di minaccia deve fidarsi dell'operatore VPN, il che non è zero trust.
Dove il trasferimento cifrato da solo non basta
Se l'IP di HexaTransfer viene bloccato dal tuo paese (la Russia ha bloccato diversi servizi di trasferimento file nel 2024), la crittografia lato client non ti aiuta a raggiungere il servizio. Se il tuo ISP registra le tue visite al sito, quei metadati da soli possono destare sospetti in contesti autoritari. Un giornalista in un regime ostile che usa solo l'E2EE rivela che è avvenuto un evento di condivisione con una fonte, anche se il contenuto resta privato. Per questo profilo, Tor più E2EE o VPN-più-E2EE è lo stack corretto.
Combinarli: la combinazione pratica
Eseguire prima una VPN, poi caricare un file cifrato, offre proprietà forti: la VPN nasconde al tuo ISP che stai usando hexatransfer.com, l'E2EE nasconde i contenuti del file al servizio, e nessun singolo operatore vede sia la tua identità sia il tuo file. WireGuard aggiunge circa 3-5 ms di latenza e un overhead di banda trascurabile su hardware moderno. La crittografia AES-256-GCM aggiunge 500 ms di derivazione PBKDF2 più qualche percento di CPU durante l'upload. Per un file da 1 GB su una linea a 100 Mbps, l'overhead totale è inferiore a 2 secondi. Usali insieme.
VPN aziendali e il problema dello split-tunneling
Le VPN aziendali (Cisco AnyConnect, Palo Alto GlobalProtect) instradano il traffico dei dipendenti attraverso un gateway aziendale che fa ispezione TLS. Quel gateway termina il tuo HTTPS, legge il testo in chiaro e ri-cifra verso la destinazione. Se carichi un file non cifrato, il team di sicurezza aziendale (o un amministratore compromesso) lo vede. La crittografia lato client vanifica questo — il ciphertext all'interno del tunnel TLS rimane opaco al proxy di ispezione perché il proxy non ha la chiave AES. Questo conta quando devi inviare documenti personali attraverso un laptop aziendale.
Tor come terza opzione
Per una protezione estrema dei metadati, Tor batte sia le VPN che il trasferimento cifrato. Tre hop, onion routing, nessun singolo relay vede sorgente e destinazione insieme. Un servizio di trasferimento file con indirizzo .onion v3 (hostname base32 a 56 caratteri, chiavi ed25519) offre una privacy ancora migliore rispetto all'accesso IP-based più VPN. Il limite è la velocità: la larghezza di banda attuale di Tor è in media 50-200 Mbps per circuito, quindi un file da 10 GB richiede più tempo. SecureDrop usa questo stack per l'acquisizione di documenti da fonti nelle redazioni; per la condivisione file quotidiana, VPN-più-E2EE è il compromesso migliore.
Esposizione legale e l'effetto di intimidazione
In alcune giurisdizioni, usare una VPN è di per sé sospetto — Cina, Russia, UAE, Iran limitano l'uso delle VPN. Le leggi sulla crittografia nel Regno Unito (Online Safety Act 2023) e in Australia (TOLA 2018) creano regimi di assistenza coatta che potrebbero obbligare un provider VPN a registrare utenti mirati. L'E2EE dove il servizio non detiene chiavi protegge dall'assistenza coatta perché non c'è nulla da consegnare. Ecco perché organizzazioni giornalistiche come la Freedom of the Press Foundation raccomandano Tor + SecureDrop + PGP piuttosto che VPN commerciale + trasferimento standard.
La raccomandazione pratica
Per la maggior parte delle persone che inviano un .pdf al proprio commercialista, il trasferimento cifrato da solo è sufficiente — la minaccia è l'accesso da parte dell'operatore del servizio, non la sorveglianza di rete. Per chi è su reti non affidabili (Wi-Fi di hotel, aeroporto), aggiungi una VPN. Per chi ha modelli di minaccia avversariali (giornalisti, attivisti, avvocati che gestiscono casi sensibili), aggiungi Tor. Gli strumenti si compongono; scegliere uno non esclude gli altri. Investi il minimo che il tuo modello di minaccia richiede, salta il resto.
Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.
Invia file di grandi dimensioni in modo sicuro con crittografia end-to-end
Trasferisci file fino a 10 GB gratuitamente con crittografia end-to-end. Nessun account necessario. I tuoi file vengono crittografati nel browser prima del caricamento — nessun altro può leggerli.
Invia un file