Τι αποκάλυψε η παραβίαση του SplitVPN
Μια πρόσφατα αποκαλυφθείσα παραβίαση δεδομένων έφερε το SplitVPN, έναν πάροχο εικονικού ιδιωτικού δικτύου, στο επίκεντρο ενός άβολου ερωτήματος που επανέρχεται συνεχώς στον κλάδο των VPN: τι συμβαίνει όταν μια εταιρεία που υπόσχεται ότι δεν καταγράφει τη δραστηριότητά σου, αποδεικνύεται ότι την κατέγραψε τελικά;
Σύμφωνα με το ρεπορτάζ του συμβάντος, η παραβίαση εξέθεσε περίπου 865.000 εγγραφές χρηστών μαζί με πλήρεις αριθμούς καρτών πληρωμών. Αυτό από μόνο του θα ήταν ένα σοβαρό περιστατικό για οποιαδήποτε διαδικτυακή υπηρεσία. Όμως το εύρος ξεπερνά κατά πολύ τα δεδομένα χρέωσης. Η εκτεθειμένη βάση δεδομένων φέρεται να περιλάμβανε λογαριασμούς διαχειριστών με κρυπτογραφημένους κωδικούς πρόσβασης (hashes), αρχεία καταγραφής που παρακολουθούσαν τις ενέργειες των ίδιων των διαχειριστών του SplitVPN και λεπτομέρειες υποδομής σχετικές με την προμήθεια λογαριασμών App Store. Οι ερευνητές ασφαλείας που εξέτασαν τη διαρροή παρατήρησαν ότι η παρουσία διαπιστευτηρίων επιπέδου διαχειριστή και εσωτερικών επιχειρησιακών δεδομένων υποδηλώνει ότι η παραβίαση μπορεί να εκτείνεται πέρα από τα αρχεία που αφορούν μόνο τους χρήστες.
Ίσως η πιο κρίσιμη λεπτομέρεια, ωστόσο, είναι η ανακάλυψη 58 εκατομμυρίων κρυφών αρχείων καταγραφής συνδέσεων μέσα στην ίδια βάση δεδομένων. Για έναν πάροχο VPN, αυτός ο αριθμός προκαλεί μεγαλύτερη ζημιά στην εμπιστοσύνη από ό,τι η έκθεση των καρτών πληρωμής ή η διαρροή των διαπιστευτηρίων διαχειριστή μαζί.
Γιατί 58 εκατομμύρια καταγεγραμμένες συνδέσεις αντιφάσκουν με τους ισχυρισμούς περί μη τήρησης αρχείων
Ολόκληρη η πρόταση αξίας ενός VPN βασίζεται σε μια απλή υπόσχεση: ο πάροχός σου δρομολογεί την κίνησή σου, την κρυπτογραφεί και δεν κρατά κανένα αρχείο για το τι έκανες ή πότε το έκανες. Οι πάροχοι προωθούν αυτό ως «πολιτική μη τήρησης αρχείων καταγραφής», συχνά την πιο πολυδιαφημισμένη φράση στη διαφήμιση των VPN. Είναι ο λόγος για τον οποίο οι χρήστες που ενδιαφέρονται για την ιδιωτικότητα πληρώνουν εξαρχής για την υπηρεσία.
Μια βάση δεδομένων που περιέχει 58 εκατομμύρια αρχεία καταγραφής συνδέσεων δεν είναι μια υποθετική τεχνική λεπτομέρεια. Είναι άμεση απόδειξη ότι όποια πολιτική διαφήμιζε το SplitVPN στους πελάτες του δεν αντιστοιχούσε σε αυτό που συνέβαινε πραγματικά στους διακομιστές του. Τα αρχεία καταγραφής συνδέσεων αυτού του είδους συνήθως καταγράφουν πληροφορίες όπως χρονικές σημάνσεις, διάρκεια συνεδρίας και διευθύνσεις IP προέλευσης ή προορισμού, ακριβώς τα μεταδεδομένα που μια γνήσια αρχιτεκτονική μη τήρησης αρχείων έχει σχεδιαστεί για να αποφεύγει να διατηρεί. Όταν αυτά τα δεδομένα καταλήγουν αποθηκευμένα σε μια ευάλωτη βάση δεδομένων SQL μαζί με πληροφορίες πληρωμών και διαπιστευτήρια διαχειριστή, επιβεβαιώνουν ότι τα αρχεία υπήρξαν για αρκετό διάστημα και σε μια αρκετά ανακτήσιμη μορφή ώστε να κλαπούν.
Αυτή δεν είναι η πρώτη φορά που το μάρκετινγκ ενός VPN περί μη τήρησης αρχείων έρχεται σε αντίθεση με μια διαρροή και δεν θα είναι η τελευταία. Αλλά η κλίμακα εδώ, δεκάδες εκατομμύρια μεμονωμένα αρχεία σύνδεσης συνδεδεμένα με εκατοντάδες χιλιάδες λογαριασμούς χρηστών, καθιστούν το SplitVPN ένα τρανταχτό παράδειγμα του χάσματος ανάμεσα σε όσα λένε οι πάροχοι και σε όσα αποθηκεύουν. Για μια πιο εμπεριστατωμένη ανάλυση του τι ακριβώς περιέχει η βάση δεδομένων που διέρρευσε και γιατί έχει σημασία η αντίφαση στην καταγραφή, η προηγούμενη κάλυψή μας για την παραβίαση του SplitVPN και τους ισχυρισμούς του περί μη τήρησης αρχείων αναλύει λεπτομερέστερα τις ιδιαιτερότητες.
Πώς να αξιολογήσετε την ασφάλεια και τις πρακτικές καταγραφής ενός παρόχου VPN
Το περιστατικό του SplitVPN είναι μια χρήσιμη υπενθύμιση ότι ένας ισχυρισμός περί μη τήρησης αρχείων τυπωμένος σε μια σελίδα μάρκετινγκ δεν αποτελεί επαλήθευση, είναι μια υπόσχεση. Οι αναγνώστες που αξιολογούν οποιονδήποτε πάροχο VPN, είτε χρησιμοποίησαν το SplitVPN είτε όχι, θα πρέπει να αναζητούν μερικά συγκεκριμένα σημάδια υπευθυνότητας αντί να παίρνουν τοις μετρητοίς τη διατύπωση της πολιτικής.
Οι ανεξάρτητοι έλεγχοι ασφαλείας από τρίτους είναι ό,τι πιο κοντινό σε πραγματική επαλήθευση είναι διαθέσιμο σήμερα. Ένας πάροχος που έχει αναθέσει σε μια εξωτερική εταιρεία να εξετάσει τις διαμορφώσεις των διακομιστών του και να επιβεβαιώσει ότι δεν διατηρούνται αρχεία καταγραφής δίνει στους χρήστες κάτι πιο ουσιαστικό από μια γραπτή πολιτική. Αξίζει επίσης να ελέγξετε αν ένας πάροχος έχει τεκμηριωμένο ιστορικό αναφορών διαφάνειας, γνωστοποιήσεων παραβιάσεων που αντιμετωπίστηκαν ανοιχτά και ένα σαφές χρονοδιάγραμμα διατήρησης δεδομένων για πληροφορίες χρέωσης και λογαριασμών, καθώς τα δεδομένα πληρωμών είναι συχνά το μέρος που παραβλέπουν οι χρήστες όταν εστιάζουν αποκλειστικά στα αρχεία καταγραφής περιήγησης. Η ανάλυση της αντίφασης του SplitVPN σχετικά με τη μη τήρηση αρχείων καλύπτει επιπλέον ερωτήματα που αξίζει να τεθούν πριν εμπιστευτεί κανείς τους ισχυρισμούς οποιουδήποτε παρόχου περί ιδιωτικότητας.
Τι σημαίνει αυτό για εσάς
Αν είστε τρέχων ή πρώην χρήστης του SplitVPN, αντιμετωπίστε το ως ένα ενεργό περιστατικό που απαιτεί δράση και όχι απλώς έναν τίτλο που θα προσπεράσετε. Η έκθεση αριθμών καρτών πληρωμών σημαίνει ότι τα οικονομικά σας στοιχεία θα μπορούσαν να κινδυνεύουν από απάτη. Η έκθεση των αρχείων καταγραφής συνδέσεων σημαίνει ότι δραστηριότητα που πιστεύατε ότι δεν καταγράφηκε ποτέ μπορεί τώρα να είναι συνδεδεμένη με τον λογαριασμό σας. Και η έκθεση διαπιστευτηρίων διαχειριστή σημαίνει ότι η ίδια η υποκείμενη πλατφόρμα μπορεί να μην είναι ασφαλής μέχρι το SplitVPN να επιβεβαιώσει την αποκατάσταση.
Βήματα που πρέπει να κάνετε αν ήσασταν χρήστης του SplitVPN
Ακυρώστε ή αντικαταστήστε τον τρόπο πληρωμής που είναι συνδεδεμένος με τον λογαριασμό σας στο SplitVPN και παρακολουθήστε τις κινήσεις στενά για μη εξουσιοδοτημένες χρεώσεις. Αλλάξτε αμέσως τον κωδικό πρόσβασής σας στο SplitVPN και αν χρησιμοποιούσατε τον ίδιο κωδικό κάπου αλλού, αλλάξτε τον και εκεί. Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων σε κάθε λογαριασμό όπου είναι διαθέσιμος. Προσέχετε για απόπειρες ηλεκτρονικού ψαρέματος (phishing) που αναφέρονται σε αυτήν την παραβίαση, καθώς οι επιτιθέμενοι συχνά χρησιμοποιούν δεδομένα που έχουν διαρρεύσει για να στήσουν πειστικές απάτες συνέχειας. Τέλος, αν ψάχνετε για νέο VPN, δώστε προτεραιότητα σε παρόχους με ανεξάρτητα ελεγμένους ισχυρισμούς περί μη τήρησης αρχείων και όχι μόνο σε πολιτικές που δηλώνονται από τους ίδιους.
Η αντίφαση της παραβίασης δεδομένων του SplitVPN με την πολιτική μη τήρησης αρχείων είναι ένα σαφές μήνυμα ότι οι υποσχέσεις περί ιδιωτικότητας χρειάζονται αποδείξεις, όχι απλώς διαφημιστικό κείμενο. Οι χρήστες αξίζουν παρόχους που μπορούν να αποδείξουν τους ισχυρισμούς τους, όχι απλώς να τους διατυπώνουν.
