En 17 GB SQL-database, der nu cirkulerer på cyberkriminalitetsforummet Altenen, har sat fokus på et af VPN-branchens mest gentagne løfter: politikken om ingen logning. Databasen, der hævdes at være stjålet fra SplitVPN (tidligere kendt som NotVPN), en russisk VPN, der markedsføres specifikt til at omgå internetcensur, indeholder angiveligt omkring 23,4 millioner brugerregistreringer og cirka 58 millioner forbindelseslogfiler. Det er et opsigtsvækkende tal for en tjeneste, der byggede sin markedsføring på idéen om, at den slet ikke fører logfiler.

Dette er ikke blot en historie om, at en enkelt VPN-udbyder bliver hacket. Det er en påmindelse om, at en privatlivspolitik kun er så god som praksissen bag den, og at bruddet på påstandene om ingen logning hos SplitVPN illustrerer præcis, hvorfor brugere skal se ud over markedsføringstekster, før de betror en udbyder deres trafik.

Hvad skete der i SplitVPN-lækket?

Ifølge rapportering fra Security Affairs begyndte en trusselsaktør at distribuere databasen på et kendt cyberkriminalitetsforum, og forskere hos Mysterium fik fat i en kopi og verificerede den i forhold til det rå dump. Deres analyse bekræftede omfanget: millioner af brugerkonti, enhedsoplysninger, betalingsdetaljer og forbindelsesmetadata, alt sammen angiveligt hentet fra en tjeneste, hvis hele værditilbud hvilede på netop ikke at opbevare denne type data.

Vi dækkede den tekniske gennemgang af det eksponerede datasæt detaljeret i vores tidligere artikel om SplitVPN-lækket, der afslører 58 millioner logfiler, herunder hvilke kategorier af data der angiveligt var inkluderet, og hvordan lækket blev verificeret. Hvis du bruger eller har brugt SplitVPN, er den dækning værd at læse i sin helhed, da den beskriver, hvilke oplysninger der kan være blevet eksponeret, og hvilke skridt berørte brugere bør overveje.

Kerneproblemet er ikke blot, at et læk fandt sted. Læk sker for virksomheder i alle brancher. Problemet er kløften mellem, hvad SplitVPN fortalte brugerne om deres datapraksis, og hvad den lækkede database tilsyneladende viser. Hvis en VPN reklamerer sig selv som et censuromgåelsesværktøj uden logning, og en stjålet database viser titusindvis af millioner forbindelsesregistreringer, er det ikke en mindre uoverensstemmelse. Det er en direkte modsigelse af produktets kerneløfte.

Hvorfor forbindelseslogfiler undergraver løfter om ingen logning

Forbindelseslogfiler er ikke det samme som browserhistorik, men de kan stadig være dybt afslørende. En forbindelseslog registrerer typisk, hvornår en bruger oprettede forbindelse til en VPN-server, hvilken server de brugte, hvor længe sessionen varede, og nogle gange den IP-adresse, de oprettede forbindelse fra. For en VPN, der markedsføres til folk, der forsøger at omgå internetcensur, kan den slags metadata i sig selv være følsomme, da de potentielt kan bruges til at etablere mønstre for, hvornår og hvordan nogen fik adgang til internettet, selv uden at vide præcis, hvad de gjorde, når de var forbundet.

En ægte politik om ingen logning betyder, at en udbyder konstruerer sine systemer, så disse oplysninger simpelthen ikke opbevares, hvad enten det sker gennem servere, der kun kører i RAM, sessionsdata, der straks kasseres, eller infrastruktur, der slet ikke skriver forbindelsesmetadata til disk. Når et læk afslører millioner af forbindelseslogfiler, der ligger i en database, tyder det på, at udbyderen indsamlede og opbevarede præcis den slags oplysninger, som deres markedsføring sagde, de ikke ville. Det er det centrale problem, som SplitVPN-hændelsen illustrerer: løftet og praksissen stemte tilsyneladende ikke overens.

Sådan verificerer du en VPN's påstande om ingen logning, før du stoler på den

Markedsføringssider er lette at skrive. Verificerbare beviser er sværere at forfalske, og det er det, der adskiller en troværdig påstand om ingen logning fra en tom en. Før du stoler på en VPN med din trafik, skal du se efter nogle få konkrete signaler:

Uafhængige revisioner betyder mere end selvrapporterede politikker. Et anerkendt tredjeparts-sikkerhedsfirma, der gennemgår en udbyders serverkonfiguration og bekræfter, at der ikke opbevares identificerende logfiler, vejer langt tungere end et afsnit på en privatlivspolitik-side.

Retssager og retshåndhævelsesanmodninger kan fungere som tests i den virkelige verden. Hvis en udbyder tidligere er blevet tvunget til at udlevere brugerdata og simpelthen ikke havde nogen at give, er det et stærkere signal end en ubekræftet påstand.

Gennemsigtighedsrapporter, jurisdiktion og ejerskabshistorik har også stor betydning. En udbyder, der er baseret i et land med stærke databeskyttelseslove, offentliggør regelmæssige gennemsigtighedsrapporter og har en klar ejerskabsstruktur, er generelt lettere at holde ansvarlig end en, der slører, hvem der driver den.

Tjekliste: Advarselsflag, når du vælger en privatlivsfokuseret VPN

Når du evaluerer en VPN-udbyder, skal du holde øje med disse advarselstegn: Der er aldrig offentliggjort en uafhængig revision, eller revisionen er flere år forældet; virksomhedens ejerskab eller jurisdiktion er uklar eller ændres hyppigt; privatlivspolitikken bruger vage formuleringer om "anonymiserede" eller "aggregerede" data uden at forklare, hvad der rent faktisk indsamles; der er ingen gennemsigtighedsrapport eller historik med at svare på juridiske anmodninger; og tjenesten har tidligere foretaget en rebranding (som SplitVPN gjorde fra NotVPN) uden en klar forklaring på, hvad der ændrede sig operationelt.

Hvad dette betyder for dig

Hvis du i øjeblikket bruger SplitVPN, så betragt dette som et signal til at gennemgå dækningen af SplitVPN-lækket, der afslører 58 millioner logfiler og overveje, om dine konto-, enheds- eller betalingsoplysninger kan have været inkluderet i den eksponerede database. Mere bredt er denne hændelse en nyttig anledning til at genoverveje enhver VPN, du stoler på, ikke fordi alle udbydere lyver om deres logningspraksis, men fordi tillid på dette område bør opnås gennem verifikation, ikke antages ud fra en markedsføringsside.

Bruddet på påstandene om ingen logning hos SplitVPN betyder ikke, at VPN'er uden logning er en myte. Det betyder, at etiketten alene ikke er bevis. Udbydere, der kan henvise til uafhængige revisioner, konsekvent gennemsigtighedsrapportering og en historik med at beskytte brugerdata under juridisk pres, har opnået en anden grad af tillid end dem, der kun stoler på markedsføringssprog.

Handlingsorienterede vejledninger

Undersøg, om din VPN-udbyder har gennemgået en nylig, offentligt tilgængelig uafhængig revision af deres påstande om ingen logning. Se på udbyderens jurisdiktion og ejerskabshistorik, da disse påvirker, hvilke data der lovligt kan kræves fra dem. Læs gennemsigtighedsrapporter, hvis udbyderen offentliggør dem, og betragt deres fravær som en mangel, der er værd at stille spørgsmålstegn ved. Hvis du var SplitVPN-bruger, så gennemgå detaljerne i det eksponerede datasæt og overvej at ændre eventuelle genbrugte adgangskoder eller betalingsoplysninger, der er knyttet til den pågældende konto. Og fremover skal du vælge privatlivsværktøjer baseret på verificerbare beviser frem for løfter alene.