VPNet: la nueva VPN bajo examen

Una arquitectura diseñada para no vincular a los usuarios con su tráfico

VP.NET LLC presenta VP.NET como una VPN “zero trust” diseñada para impedir la vinculación entre identidades, direcciones IP asignadas y actividad en línea.

La empresa afirma que no puede asociar una dirección IP y una hora con un usuario actual o anterior. Por ello, sostiene que tampoco puede conservar ni entregar esa información.

El sistema utiliza Intel SGX, una tecnología que crea un enclave protegido dentro de los servidores. Según VP.NET, una vez desplegado el software, ni siquiera los operadores de la infraestructura, incluida la propia empresa, pueden modificar su funcionamiento ni introducir mecanismos de monitorización.

Estas son afirmaciones del proveedor. No se han indicado pruebas independientes que hayan verificado su aplicación efectiva en toda la infraestructura.

Qué ofrece el servicio

VP.NET LLC está controlada por sus fundadores Matt Kim, Mark Karpeles, Roger Ver y Andrew Lee. Los servidores VPN están alojados en centros de datos de terceros situados en Alemania, Francia, Estados Unidos, Reino Unido y Japón.

La empresa afirma utilizar sus propios servidores DNS e impedir, mediante su arquitectura y técnicas de ofuscación, la vinculación entre el tráfico entrante y el saliente. En cambio, no ofrece ubicaciones virtuales.

El servicio admite protocolos compatibles con los utilizados por WireGuard®, que VP.NET recomienda a sus usuarios. También incluye:

• interruptor de apagado (kill switch);
• protección contra fugas de DNS;
• protección contra fugas de IPv6;
• compatibilidad con IPv4, pero no una configuración dual stack IPv4/IPv6;
• ausencia, por el momento, de port forwarding.

No se han hecho públicas las versiones exactas del cliente, del software del servidor ni de los componentes SGX implicados.

Abusos, DMCA y solicitudes de las autoridades

VP.NET sostiene que no puede monitorizar la actividad de los usuarios. No obstante, cuando recibe una denuncia válida de abuso, los sistemas pueden intervenir en tiempo real para bloquear el flujo de datos denunciado.

El mismo procedimiento se aplica a las notificaciones de la DMCA: el equipo jurídico evalúa la solicitud y, si la considera válida, los sistemas bloquean automáticamente las transmisiones asociadas a ese flujo. Según la empresa, el bloqueo no permite averiguar la identidad del usuario.

VP.NET afirma además que una solicitud para vincular a un usuario, incluso si ya no está activo, con su tráfico sería incompatible con la arquitectura adoptada. Por tanto, según la compañía, para obtener esos datos sería necesario un cambio legislativo o un procedimiento parlamentario en Estados Unidos.

Pagos, soporte y aspectos aún por verificar

Los pagos con tarjeta se procesan a través de Stripe, mientras que las criptomonedas de cualquier tipo, incluidas las orientadas a la privacidad, se aceptan directamente. La empresa también prevé introducir tarjetas regalo de cientos de marcas.

VP.NET declara que no vincula los datos de pago con el uso de la cuenta ni con las direcciones IP asignadas. El soporte se gestiona mediante herramientas internas; para el correo electrónico convencional, los usuarios pueden elegir Gmail. El sitio también integra Google Analytics.

La empresa sostiene que trata todo el tráfico de la misma manera, sin port forwarding y sin asociar los flujos con identidades. Sin embargo, aún deben evaluarse mediante verificaciones independientes la configuración real de los enclaves SGX, la implementación de los kill switches y de las protecciones contra fugas, así como el comportamiento observable de los clientes.

Para quienes estén considerando utilizar el servicio, por el momento no constan versiones vulnerables ni actualizaciones correctivas que deban instalarse. Aun así, conviene verificar los clientes oficiales, activar el kill switch y comprobar periódicamente DNS, IPv4 e IPv6 desde una red de prueba.