Las actualizaciones de la VPN no garantizan la seguridad: el problema de los protocolos OpenVPN obsoletos en las aplicaciones para Windows
¿Actualizas la aplicación de VPN y ya te sientes a salvo? Enhorabuena: formas parte del club de los optimistas ingenuos. En realidad, tras el reluciente escaparate de la última versión pueden esconderse agujeros de seguridad como un cubo agujereado. El principal culpable del desaguisado es el protocolo OpenVPN, responsable de cifrar el tráfico y conectar el dispositivo del usuario con el servidor VPN. Su código fuente es abierto y sirve de base para la mayoría de los servicios comerciales; suena fiable, pero en la práctica se convierte en una trampa.
En julio de este año, especialistas independientes analizaron 32 clientes VPN para Windows, desde gigantes con la cabeza en las nubes hasta marcas desconocidas y productos gratuitos de saldo. Los resultados eran para una película de terror: el 56 % de las aplicaciones usa una versión de OpenVPN que no se actualiza desde hace más de un año; el 41 % de las configuraciones no se ha modificado en dos años; el 22 % sigue aferrado a código de más de cuatro años y el 12,5 % funciona con una versión que ya ha celebrado su quinto aniversario. Más de la mitad del sector duerme al volante sin disimulo.
A la cabeza de esta penosa carrera hacia la obsolescencia están Turbo VPN y VyprVPN, que siguen conformándose con OpenVPN 2.4.7, de 2019. NordVPN, Windscribe y Proton VPN, en cambio, ya incorporaron las versiones más recientes del protocolo, de abril de 2026; al menos ellos dan una alegría. Se supone que las grandes empresas se toman más en serio las actualizaciones. Pero una versión antigua de OpenVPN puede provocar filtraciones y brechas de seguridad, sea cual sea la reputación del proveedor.
¿Por qué es peligroso? En primer lugar, porque OpenVPN publica periódicamente información sobre vulnerabilidades detectadas: seis «agujeros» en 2025, seis en 2024, uno en 2023 y otro en 2022. Los proveedores que se quedan anclados en versiones antiguas no arreglan nada; al atacante ni siquiera le hace falta estrujarse la cabeza: basta con leer el registro de cambios y aprovecharlo.
Directores técnicos como Marius Briedis, de NordVPN, y desarrolladores de Windscribe recuerdan que, a veces, una vulnerabilidad no afecta a una aplicación antigua concreta si esta carece de la función problemática. Pero dejarlo todo como está es una estrategia que conduce al desastre. Los proveedores pueden tapar agujeros a mano, publicar parches, ajustar configuraciones o eliminar partes peligrosas del código; pero si no hacen nada de eso y no hay forma de comprobarlo, la situación es explosiva.
Además, cuanto más antigua es una biblioteca, más difícil resulta «hacerla compatible» con los sistemas operativos y las herramientas de cifrado actuales. Según Peter Membrey, de ExpressVPN, cada año de retraso acumula una montaña de deuda técnica y brechas de seguridad. Actualizar OpenVPN es toda una odisea: compatibilidad, pruebas en todos los sistemas, despliegue por etapas y, si algo sale mal, ay, ay, ay.
Por eso a los proveedores les gusta justificar los retrasos diciendo que se preocupan por sus usuarios. Unos, como StrongVPN, están ocupados con su propio «súper desarrollo»; otros, como ClearVPN, prometen parchearlo todo discretamente a mano, y PureVPN se ha quedado en la versión 2.6.12 porque las nuevas compilaciones eliminaron los controladores que necesitaba.
¿Qué puede hacer el usuario corriente? No es momento de entrar en pánico. Muchos servicios están migrando a protocolos más modernos, como WireGuard y Stealth, más rápidos, sencillos y menos exigentes que el veterano OpenVPN. Pero si quieres conocer los detalles, entra en los ajustes del cliente, abre los registros de diagnóstico o consulta las notas oficiales de cada versión: si el protocolo lleva más de año y medio sin actualizarse, mala señal. O escribe al servicio de asistencia y que te expliquen, aunque sea leyendo de un papel, qué actualizan y cuándo.
En definitiva, la amenaza no es mortal, pero la pregunta sigue ahí: si a todo el mundo le preocupa tanto la seguridad, ¿por qué no mantener dentro de la aplicación el protocolo más reciente y seguro?
PEREC.RU
El mercado de las VPN para Windows funciona según el principio de «lo importante es que arranque». Una de cada dos aplicaciones va con una versión de OpenVPN que hasta sus propios desarrolladores han olvidado. La mitad actualiza la interfaz; la otra tapa los fallos con cinta adhesiva y susurra a los usuarios: «Es seguro, confía». Los protocolos nuevos, los errores y las vulnerabilidades aparecen con regularidad, pero a la mayoría eso no le impide «olvidarse de actualizar» durante años. Los vendedores se justifican: que si desarrollan protocolos propios, que si reparan la brecha a mano, que si no quieren romperlo todo de golpe. Prometen que «el problema es cosa de la competencia» y recomiendan a los usuarios que no se preocupen, que para eso están los modernos WireGuard y Stealth. ¿Quieres comprobarlo? Rebúsa en los ajustes o acosa al servicio técnico: si OpenVPN tiene más de año y medio, busca nuevas brechas. Y sí, se puede seguir viviendo. Pero en un mundo en el que la privacidad y la seguridad ya son un producto, quién actualiza el protocolo y cómo lo hace es la prueba del algodón. ¿Qué transparencia va a haber si la mayoría sigue en ruinas tecnológicas y las vende como si fueran una muralla inexpugnable?
