Sicurezza e trasparenza

Ambito per piattaforma

Le applicazioni per Windows e Android creano un tunnel VPN a livello di sistema. Le estensioni sono disponibili per Chrome, Edge, Firefox e Brave, ma proteggono solo il browser interessato. L'implementazione documentata di Chrome utilizza un proxy HTTPS autenticato; le pagine interne, l'API FuzeVPN e i siti deliberatamente esclusi rimangono al di fuori del proxy. Le impostazioni delle altre tre estensioni non vengono dedotte da Chrome.

Questo protegge il trasporto. Non ripara un dispositivo compromesso, non recupera una password divulgata, non neutralizza un sito web dannoso e non protegge i dati forniti volontariamente a terzi.

Protocolli e cifratura

Su Chrome, la connessione proxy è cifrata con TLS su TCP. I siti HTTPS utilizzano un tunnel CONNECT e mantengono la cifratura fino al sito web; un sito HTTP non fornisce una cifratura end-to-end. La versione TLS e la suite di cifratura vengono negoziate, quindi FuzeVPN non promette TLS 1.3 o AES-256 per ogni connessione.

Su Android, WireGuard utilizza UDP/51820, Curve25519 e ChaCha20-Poly1305. OpenVPN utilizza UDP/1194, certificati, verifica del server e tls-crypt-v2; la cifratura negoziata è AES-256-GCM, AES-128-GCM o ChaCha20-Poly1305.

Su Windows, WireGuardNT 1.1 utilizza UDP, Curve25519, ChaCha20-Poly1305, BLAKE2s e HKDF; le chiavi private sono protette localmente da DPAPI. OpenVPN 3 Core con DCO utilizza UDP/IPv4 sulla porta 1194 senza fallback TCP, con certificati e tls-crypt-v2. La sua cifratura viene negoziata dall'elenco fornito dal server e non può essere descritta come sempre AES-256.

Account e autenticazione

Le password vengono memorizzate in forma sottoposta ad hashing. La verifica dell'email, il ripristino della password e i meccanismi di sessione utilizzano token limitati e revocabili.

Il cookie di sessione è HttpOnly, Secure e SameSite=Lax. Le operazioni sensibili sono protette dalle richieste provenienti da un'altra origine.

Dispositivi e credenziali tecniche

FuzeVPN conserva il nome del dispositivo, una chiave pubblica o un certificato, l'indirizzo VPN interno e il server assegnato per configurare e revocare l'accesso.

Le chiavi private rimangono sul dispositivo. L'eliminazione o la revoca di un dispositivo rende inutilizzabili le sue credenziali e libera il relativo posto entro il limite di 5 dispositivi.

DNS

Su Chrome, i nomi dei siti web sottoposti a proxy vengono risolti dal proxy. Il nome host del proxy, l'API, i siti esclusi e alcune risoluzioni speculative utilizzano il normale percorso DNS di Chrome o del sistema. L'estensione non impone alcun resolver, DNS-over-HTTPS o DNS-over-TLS e pertanto non può garantire l'assenza di ogni risoluzione DNS locale.

Su Android, i server DNS provengono dalla configurazione VPN e le relative richieste viaggiano attraverso il tunnel. L'applicazione non aggiunge DoH o DoT; un browser che utilizza il proprio DNS sicuro può selezionare un altro resolver pur rimanendo soggetto all'instradamento VPN.

Su Windows, il DNS fornito dalla configurazione viaggia attraverso il tunnel. OpenVPN abilita block-outside-dns e WFP blocca il DNS IPv4 al di fuori del tunnel sulle porte 53 e 853; IPv6 è coperto dal relativo blocco separato. Esiste un'eccezione DNS limitata prima della connessione per raggiungere l'API, che viene poi rimossa. Senza il kill switch, un'applicazione che utilizza DoH sulla porta 443 può eludere il blocco specifico del DNS.

IPv6

Su Chrome, le destinazioni web pubbliche IPv6 passano attraverso il proxy, salvo le esclusioni. IPv6 non è disabilitato sul computer; gli indirizzi IPv6 locali, di loopback e link-local vengono bloccati mentre la protezione è attiva.

Su Android e Windows, una configurazione dual-stack convalidata instrada IPv4 e IPv6 attraverso il tunnel. Quando non è disponibile una configurazione IPv6 VPN, IPv6 viene bloccato mentre il tunnel è attivo, senza fallback silenzioso all'interfaccia fisica. Il trasporto verso il server VPN rimane attualmente IPv4.

WebRTC

Su Chrome, l'opzione attiva per impostazione predefinita applica disable_non_proxied_udp per impedire che l'UDP WebRTC eluda il proxy. Questa impostazione globale può ridurre la qualità di alcune chiamate, si applica anche ai siti esclusi e non copre le pagine Chrome con privilegi o altre estensioni.

Su Android, WebRTC segue l'instradamento VPN, ma non è disabilitato nel browser e non viene aggiunto alcun filtro WebRTC dedicato. Su Windows, l'opzione blocca l'UDP non di loopback al di fuori dell'interfaccia VPN; con il kill switch disabilitato, TURN su TCP o TLS/443 può comunque funzionare al di fuori del tunnel. I candidati ICE locali mostrati da un browser non dimostrano da soli una fuga di dati su Internet.

Kill switch

Su Chrome, il kill switch è attivo per impostazione predefinita e blocca le nuove richieste web finché la connessione non viene verificata. I siti esclusi e le richieste interne all'API rimangono consentiti; la disconnessione volontaria rimuove il blocco.

Su Android, il kill switch si basa sulle impostazioni di sistema “VPN sempre attiva” e “Blocca le connessioni senza VPN”, che l'utente deve attivare.

Su Windows, il kill switch WFP nativo copre IPv4 e IPv6. Installa il blocco prima della chiamata di connessione, quindi consente solo il servizio VPN e l'interfaccia del tunnel. Dopo un errore, il traffico rimane bloccato fino alla disconnessione esplicita. I filtri rimangono se l'interfaccia grafica viene chiusa, ma scompaiono se un amministratore arresta il servizio con privilegi elevati.

Nessun registro dell'attività VPN

FuzeVPN non conserva i siti visitati, il contenuto, le query DNS, gli indirizzi IP di origine associati alle sessioni, gli orari e le durate delle connessioni né la cronologia dei server VPN utilizzati.

I server trattano il traffico in memoria solo per il tempo necessario a instradarlo. FuzeVPN non crea né centralizza alcun registro delle connessioni dell'applicazione.

Registri tecnici e monitoraggio

L'infrastruttura VPS è autogestita e distribuita da una configurazione condivisa che l'editore verifica a ogni distribuzione; ad oggi non è stato effettuato alcun audit indipendente. Queste verifiche confermano l'assenza di registri di sistema persistenti; gli eventuali eventi temporanei in memoria non contengono né il contenuto del traffico né la cronologia di navigazione né un'associazione duratura tra una persona e una sessione VPN.

I fornitori conservano separatamente alcuni registri della piattaforma descritti nell'Informativa sulla privacy. Il monitoraggio di FuzeVPN utilizza solo metriche aggregate dell'infrastruttura e non una cronologia di navigazione individuale.

Infrastruttura e backup

Gli account sono ospitati da OVH SAS in Francia. I backup sono cifrati e la copia remota è limitata alla giurisdizione dell'Unione europea di Cloudflare R2.

IONOS SARL, OVH SAS forniscono server privati virtuali ospitati in centri dati fisici associati a una regione. L'elenco delle posizioni è pubblicato nella home page; il Paese indicato per ciascuna è quello del suo indirizzo IP di uscita.

Disponibilità e risposta

Il servizio può essere interrotto per manutenzione, incidenti, aggiornamenti di sicurezza o guasti dei fornitori. Nessuna posizione, velocità o accesso a un servizio di terzi è garantito in modo permanente.

Durante un incidente, l'accesso può essere revocato, i servizi isolati e i backup ripristinati. Le violazioni dei dati personali vengono valutate secondo la procedura GDPR applicabile.

Utilizza una password unica, mantieni aggiornati i dispositivi, revoca quelli smarriti e verifica che la connessione VPN sia attiva prima di un utilizzo sensibile.

Segnala tempestivamente attività insolite a contact@fuzevpn.com. Una VPN non sostituisce gli aggiornamenti, l'autenticazione forte disponibile su altri servizi o la vigilanza contro le frodi.

Come FuzeVPN protegge la tua connessione.