Questo post é stato letto 140 volte!
Per capire quali dati un programma invia su internet, anche quando non è attivamente utilizzato, è necessario combinare diversi strumenti. Le applicazioni possono infatti comunicare con server remoti per vari motivi, come la ricerca di aggiornamenti, la sincronizzazione di informazioni o l'invio di dati diagnostici e statistiche di utilizzo. L'obiettivo è non solo identificare quali programmi si connettono, ma anche ricostruire il contenuto delle richieste per valutare potenziali rischi per la privacy.
Individuare quali dati un programma invia su internet
Il primo passo consiste nell'identificare i programmi che utilizzano la rete. In Windows 11, è possibile farlo tramite il "Monitoraggio risorse". Premendo Windows+R e digitando "resmon", si accede alla scheda "Rete", dove il riquadro "Processi con attività rete" mostra i programmi che scambiano dati, con indicazioni sul traffico in byte al secondo. Il riquadro "Attività rete" e "Connessioni TCP" forniscono gli indirizzi contattati, le porte e lo stato delle connessioni.
Tuttavia, questo strumento non permette di visualizzare il contenuto delle richieste HTTP o delle comunicazioni crittografate.
Associare ogni connessione al processo responsabile
Per un'analisi più dettagliata, si può utilizzare TCPView di Microsoft Sysinternals. Questa applicazione mostra il nome del processo, il suo identificativo PID, gli indirizzi locali e remoti, e le porte utilizzate. TCPView aggiorna l'elenco delle connessioni, evidenziando quelle nuove e quelle terminate. Disattivando temporaneamente la risoluzione dei nomi, è possibile visualizzare gli indirizzi IP originali.
TCPView risponde alla domanda "chi comunica con chi?", ma non rivela il contenuto specifico dei dati trasmessi, come identificativi o dati personali.
Osservare i pacchetti e capire cosa nasconde HTTPS
Per approfondire l'analisi dei dati che un programma invia, Wireshark è uno strumento efficace. Dopo averlo scaricato e installato, inclusa Npcap, si seleziona l'interfaccia di rete e si avvia la cattura. È possibile applicare filtri specifici, come "dns" per le interrogazioni DNS tradizionali, o filtri per le comunicazioni TLS e per destinazioni specifiche individuate con TCPView. Wireshark, tuttavia, non associa i pacchetti al processo Windows che li ha generati e, in caso di protocollo HTTPS, il contenuto applicativo rimane cifrato.
È possibile osservare metadati e caratteristiche del traffico, ma non leggere URL completi o il corpo delle richieste.
Leggere i dati trasmessi con mitmproxy
Per ispezionare il contenuto delle comunicazioni, mitmproxy è uno strumento utile, disponibile anche per Windows. Funziona come intermediario tra l'applicazione e il server: configurando il client per usarlo come proxy e riconoscendo la sua autorità di certificazione locale, mitmproxy può decifrare le comunicazioni HTTPS e mostrare richieste e risposte, inclusi metodi HTTP, URL, header e dati nel corpo delle richieste. L'intercettazione non è sempre garantita, poiché alcuni programmi utilizzano meccanismi come il certificate pinning. È consigliabile effettuare queste prove in un ambiente controllato, come una macchina virtuale, per evitare rischi per la sicurezza.
Questo post é stato letto 140 volte!