Hvad SplitVPN-bruddet afslørede

En VPN-tjeneste ved navn SplitVPN, der markedsføres som et værktøj til at omgå internetcensur, er centrum for en datalækage, der underminerer selve det løfte, den solgte til brugerne. Ifølge en rapport fra Security Affairs indeholdt en stjålen SQL-database på 17 GB, der angiveligt er knyttet til SplitVPN, millioner af bruger-, enheds- og betalingsoplysninger samt 58 millioner forbindelseslogfiler. Det sidste er det mest afgørende, fordi SplitVPN markedsførte sig selv som en no-logs-tjeneste, hvilket betyder, at den hævdede ikke at registrere den form for aktivitetsdata, der kunne knytte en brugers identitet til deres onlineadfærd.

Omfanget af lækagen – titusinder af forbindelsesposter sammen med betalings- og enhedsoplysninger – tyder på, at dette ikke var en mindre teknisk forglemmelse. Det peger på en systematisk praksis med at gemme netop de data, en no-logs-politik burde udelukke. For en tjeneste, der er bygget til at hjælpe folk med at omgå censur, ofte i regioner hvor digital overvågning indebærer en reel personlig risiko, er den slags eksponering mere end en pinlig sag. Det er en direkte modsigelse af den sikkerhedsgaranti, brugerne stolede på.

Hvordan en 'no logs'-VPN endte med at logge alt

Kløften mellem hvad VPN-udbydere siger i deres markedsføring, og hvad der rent faktisk sker på deres servere, er ikke et nyt problem, men SplitVPN-sagen er en skarp påmindelse om, hvor bred denne kløft kan være. En påstand om 'no-logs' er i bund og grund en politikformulering. Den beskriver, hvad en virksomhed siger, den ikke vil gøre. Intet ved den erklæring verificeres automatisk af en teknisk mekanisme eller en ekstern part. Medmindre en udbyder underkaster sig uafhængig kontrol, eksisterer påstanden kun på en webside.

Hvad der sandsynligvis er sket her, er et almindeligt mønster i VPN-branchen: forbindelsesmetadata, tidsstempler, IP-adresser, sessionsoplysninger og kontodata indsamles af operationelle årsager såsom fejlfinding, svindelforebyggelse eller fakturering, og disse data bliver aldrig helt slettet. Over tid akkumuleres de til præcis den type profil, som en no-logs-politik hævder ikke findes. Når en sådan database bliver hacket eller efterladt eksponeret, bliver uoverensstemmelsen mellem politik og praksis offentligt kendt på den værst tænkelige måde.

Hvorfor ureviderede no-logs-påstande ikke kan stoles på

Denne hændelse er et nyttigt casestudie i, hvorfor en no-logs-påstand i sig selv aldrig bør betragtes som bevis for privatliv. Enhver VPN-udbyder kan skrive 'vi logger ikke din aktivitet' på sin hjemmeside. Påstanden bliver først troværdig, når den understøttes af noget eksternt: en tredjeparts sikkerhedsrevision, en retssag hvor myndigheder anmodede om logfiler, der reelt ikke fandtes, eller en gennemsigtig historik med konsekvent offentlig rapportering. Uden den slags verifikation er en no-logs-politik en markedsføringserklæring, ikke en garanti.

Den bredere lære rækker ud over VPN'er. Mange sikkerheds- og privatlivsværktøjer giver dristige løfter, der lyder betryggende, men som er svære for en almindelig bruger at verificere. Den samme skepsis, der gælder her, er værd at anvende andre steder i sikkerhedsverdenen; for eksempel har rapportering om ransomware-betalinger på tilsvarende vis vist, at en udbredt antagelse – i det tilfælde at en betaling af løsesum løser problemet – ikke holder, når uafhængige data undersøges. Påstande kræver beviser, ikke blot intentioner.

Sådan gennemgår du en VPNs privatlivspolitik, før du stoler på den

Før du abonnerer på en VPN, især en der markedsføres til højrisiko-anvendelser som at omgå censur, er det værd at foretage nogle konkrete kontroller frem for at tage no-logs-mærkaten for pålydende:

  • Se efter en gennemført og offentliggjort tredjeparts sikkerhedsrevision, ikke blot en vag henvisning til at være "revideret". Anerkendte udbydere nævner revisionsfirmaet og offentliggør resultaterne.
  • Tjek om udbyderen har en dokumenteret historik, helst med tilfælde hvor retshåndhævende anmodninger bekræftede, at der ikke fandtes brugbare logfiler.
  • Læs den faktiske privatlivspolitik, ikke kun markedføringssider, for at se hvilke datakategorier der indsamles til fakturering, fejlfinding eller svindelforebyggelse, og hvor længe disse data opbevares.
  • Undersøg virksomhedens ejerskab og jurisdiktion, da forpligtelser til dataopbevaring varierer betydeligt fra land til land.

Hvad dette betyder for dig

Hvis du bruger SplitVPN eller en hvilken som helst VPN, er SplitVPNs no-logs-datalækage en påmindelse om med jævne mellemrum at revurdere, om den tjeneste, du betaler for, understøtter sine privatlivspåstande med reel dokumentation. Hvis din udbyder aldrig har offentliggjort en uafhængig revision, bør det opfattes som et advarselssignal snarere end en teknikalitet. For brugere i regioner med udbredt censur, hvor et brud på forbindelseslogfiler kan have reelle personlige konsekvenser, er denne kontrol ikke valgfri; den er afgørende.

Opsummering

SplitVPN-hændelsen understreger en simpel sandhed: et privatlivsløfte er kun så stærkt som beviserne bag det. Før du overlader dine forbindelsesdata til en VPN, skal du kontrollere dens no-logs-påstand gennem uafhængige revisioner og rapporter om gennemsigtighed i stedet for alene at stole på markedsføringssprog. Gennemgå din nuværende udbyders politik, tjek for tredjepartsverifikation, og tøv ikke med at skifte, hvis beviserne ikke holder.