Παραβίαση Δεδομένων του SplitVPN Εκθέτει 58 Εκατ. Αρχεία Παρά την Υπόσχεση Μη Καταγραφής

Τι αποκάλυψε η παραβίαση του SplitVPN

Μια υπηρεσία VPN με την ονομασία SplitVPN, που διαφημίζεται ως εργαλείο παράκαμψης της λογοκρισίας του διαδικτύου, βρίσκεται στο επίκεντρο μιας διαρροής δεδομένων που υπονομεύει την ίδια την υπόσχεση που έδωσε στους χρήστες. Σύμφωνα με μια αναφορά από το Security Affairs, μια κλεμμένη βάση δεδομένων SQL μεγέθους 17 GB που φέρεται να συνδέεται με το SplitVPN περιείχε εκατομμύρια εγγραφές χρηστών, συσκευών και πληρωμών, μαζί με 58 εκατομμύρια αρχεία καταγραφής συνδέσεων. Αυτή η τελευταία λεπτομέρεια είναι που έχει τη μεγαλύτερη σημασία, διότι το SplitVPN διαφημιζόταν ως υπηρεσία χωρίς καταγραφή δεδομένων (no-logs), που σημαίνει ότι ισχυριζόταν πως δεν κατέγραφε το είδος των δεδομένων δραστηριότητας που θα μπορούσαν να συνδέσουν την ταυτότητα ενός χρήστη με την online συμπεριφορά του.

Η κλίμακα της διαρροής, δεκάδες εκατομμύρια εγγραφές συνδέσεων μαζί με πληροφορίες πληρωμών και συσκευών, υποδηλώνει ότι δεν επρόκειτο για μια μικρή τεχνική παράβλεψη. Υποδεικνύει μια συστημική πρακτική διατήρησης ακριβώς των δεδομένων που μια πολιτική μη καταγραφής υποτίθεται ότι αποκλείει. Για μια υπηρεσία που έχει δημιουργηθεί για να βοηθά τους ανθρώπους να παρακάμπτουν τη λογοκρισία, συχνά σε περιοχές όπου η ψηφιακή παρακολούθηση ενέχει πραγματικό προσωπικό κίνδυνο, αυτού του είδους η έκθεση είναι κάτι περισσότερο από ντροπιαστική. Είναι μια άμεση αντίφαση της υπόσχεσης ασφάλειας στην οποία βασίζονταν οι χρήστες.

Πώς ένα VPN «χωρίς καταγραφή» κατέληξε να καταγράφει τα πάντα

Το χάσμα ανάμεσα σε όσα λένε οι πάροχοι VPN στο μάρκετινγκ τους και σε όσα πραγματικά συμβαίνουν στους διακομιστές τους δεν είναι νέο πρόβλημα, αλλά η περίπτωση του SplitVPN είναι μια ηχηρή υπενθύμιση του πόσο μεγάλο μπορεί να είναι αυτό το χάσμα. Ένας ισχυρισμός περί «μη καταγραφής» είναι, στον πυρήνα του, μια δήλωση πολιτικής. Περιγράφει τι λέει μια εταιρεία ότι δεν θα κάνει. Τίποτα σε αυτή τη δήλωση δεν επαληθεύεται αυτόματα από κάποιον τεχνικό μηχανισμό ή εξωτερικό φορέα. Εκτός αν ένας πάροχος υποβληθεί σε ανεξάρτητο έλεγχο, ο ισχυρισμός αυτός υπάρχει μόνο σε μια ιστοσελίδα.

Αυτό που πιθανότατα συνέβη εδώ είναι ένα συνηθισμένο μοτίβο στον κλάδο των VPN: μεταδεδομένα σύνδεσης, χρονοσφραγίδες, διευθύνσεις IP, λεπτομέρειες συνεδρίας και πληροφορίες λογαριασμού συλλέγονται για λειτουργικούς λόγους, όπως η αντιμετώπιση προβλημάτων, η αποτροπή απάτης ή η χρέωση, και αυτά τα δεδομένα δεν διαγράφονται ποτέ πλήρως. Με την πάροδο του χρόνου, συσσωρεύονται στο είδος ακριβώς του προφίλ που μια πολιτική μη καταγραφής ισχυρίζεται ότι δεν υπάρχει. Όταν μια τέτοια βάση δεδομένων παραβιάζεται ή μένει εκτεθειμένη, η αναντιστοιχία μεταξύ πολιτικής και πρακτικής δημοσιοποιείται με τον χειρότερο δυνατό τρόπο.

Γιατί δεν μπορείτε να εμπιστεύεστε μη ελεγμένους ισχυρισμούς περί μη καταγραφής

Αυτό το περιστατικό αποτελεί μια χρήσιμη μελέτη περίπτωσης για το γιατί ένας ισχυρισμός περί μη καταγραφής, από μόνος του, δεν θα πρέπει ποτέ να αντιμετωπίζεται ως απόδειξη ιδιωτικότητας. Οποιοσδήποτε πάροχος VPN μπορεί να γράψει «δεν καταγράφουμε τη δραστηριότητά σας» στην αρχική του σελίδα. Ο ισχυρισμός γίνεται αξιόπιστος μόνο όταν υποστηρίζεται από κάτι εξωτερικό: έναν έλεγχο ασφαλείας από ανεξάρτητο φορέα, μια δικαστική υπόθεση όπου οι αρχές ζήτησαν αρχεία καταγραφής που πραγματικά δεν υπήρχαν ή ένα διαφανές ιστορικό συνεπούς δημόσιας αναφοράς. Χωρίς αυτού του είδους την επαλήθευση, μια πολιτική μη καταγραφής είναι μια δήλωση μάρκετινγκ, όχι μια εγγύηση.

Το ευρύτερο δίδαγμα εκτείνεται πέρα από τα VPN. Πολλά εργαλεία ασφάλειας και ιδιωτικότητας δίνουν τολμηρές υποσχέσεις που ακούγονται καθησυχαστικές, αλλά είναι δύσκολο για τον μέσο χρήστη να τις επαληθεύσει. Ο ίδιος σκεπτικισμός που εφαρμόζεται εδώ αξίζει να εφαρμόζεται και αλλού στον κόσμο της ασφάλειας· για παράδειγμα, το ρεπορτάζ για τις πληρωμές λύτρων έχει δείξει παρομοίως ότι μια κοινή υπόθεση, στην περίπτωση εκείνη ότι η πληρωμή λύτρων επιλύει το πρόβλημα, δεν ευσταθεί μόλις εξεταστούν ανεξάρτητα δεδομένα. Οι ισχυρισμοί χρειάζονται αποδείξεις, όχι απλώς προθέσεις.

Πώς να αξιολογήσετε την πολιτική απορρήτου ενός VPN πριν την εμπιστευτείτε

Πριν εγγραφείτε σε οποιοδήποτε VPN, ειδικά σε αυτά που διαφημίζονται για χρήσεις υψηλού ρίσκου, όπως η παράκαμψη της λογοκρισίας, αξίζει να κάνετε μερικούς συγκεκριμένους ελέγχους αντί να δεχτείτε την ετικέτα περί μη καταγραφής ως έχει:

• Αναζητήστε έναν ολοκληρωμένο, δημοσιευμένο έλεγχο ασφαλείας από ανεξάρτητο φορέα, όχι απλώς μια αόριστη αναφορά ότι έχει «ελεγχθεί». Οι αξιόπιστοι πάροχοι κατονομάζουν την ελεγκτική εταιρεία και δημοσιεύουν τα ευρήματα.
• Ελέγξτε αν ο πάροχος έχει τεκμηριωμένο ιστορικό, ιδανικά που να περιλαμβάνει περιπτώσεις όπου αιτήματα των αρχών επιβολής του νόμου επιβεβαίωσαν ότι δεν υπήρχαν χρήσιμα αρχεία καταγραφής.
• Διαβάστε την πραγματική πολιτική απορρήτου, όχι μόνο τις σελίδες μάρκετινγκ, για να δείτε ποιες κατηγορίες δεδομένων συλλέγονται για χρέωση, αντιμετώπιση προβλημάτων ή αποτροπή απάτης και για πόσο καιρό διατηρούνται αυτά τα δεδομένα.
• Ερευνήστε την ιδιοκτησία και τη δικαιοδοσία της εταιρείας, δεδομένου ότι οι υποχρεώσεις διατήρησης δεδομένων διαφέρουν σημαντικά ανά χώρα.

Τι Σημαίνει Αυτό Για Εσάς

Αν χρησιμοποιείτε το SplitVPN ή οποιοδήποτε VPN, η διαρροή δεδομένων μη καταγραφής του SplitVPN είναι μια υπενθύμιση για να επανεκτιμάτε περιοδικά αν η υπηρεσία για την οποία πληρώνετε υποστηρίζει τους ισχυρισμούς απορρήτου της με πραγματικά στοιχεία. Αν ο πάροχός σας δεν έχει δημοσιεύσει ποτέ ανεξάρτητο έλεγχο, αυτό αξίζει να το αντιμετωπίζετε ως προειδοποιητική ένδειξη και όχι ως τυπική λεπτομέρεια. Για χρήστες σε περιοχές επιρρεπείς στη λογοκρισία, όπου μια παραβίαση των αρχείων καταγραφής συνδέσεων θα μπορούσε να έχει πραγματικές προσωπικές συνέπειες, αυτός ο έλεγχος δεν είναι προαιρετικός· είναι απαραίτητος.

Βασικά Συμπεράσματα

Το περιστατικό του SplitVPN υπογραμμίζει μια απλή αλήθεια: μια υπόσχεση απορρήτου είναι τόσο ισχυρή όσο και τα στοιχεία που την υποστηρίζουν. Πριν εμπιστευτείτε οποιοδήποτε VPN με τα δεδομένα σύνδεσής σας, επαληθεύστε τον ισχυρισμό του περί μη καταγραφής μέσω ανεξάρτητων ελέγχων και αναφορών διαφάνειας, αντί να βασίζεστε αποκλειστικά στη γλώσσα του μάρκετινγκ. Επανεξετάστε την πολιτική του τρέχοντος παρόχου σας, ελέγξτε για επαλήθευση από ανεξάρτητο φορέα και μη διστάσετε να αλλάξετε πάροχο αν τα στοιχεία δεν είναι επαρκή.