Μια παραβίαση δεδομένων που συνδέεται με το SplitVPN, έναν πάροχο εικονικού ιδιωτικού δικτύου παλαιότερα γνωστό ως NotVPN, εξέθεσε 865.336 χρήστες και περίπου 58 εκατομμύρια αρχεία καταγραφής συνδέσεων. Το περιστατικό προκαλεί έλεγχο επειδή το SplitVPN, όπως πολλές υπηρεσίες VPN, προωθούσε τον εαυτό του με μια υπόσχεση ιδιωτικότητας: μια αυστηρή πολιτική μηδενικής καταγραφής που έλεγε στους χρήστες ότι η διαδικτυακή τους δραστηριότητα δεν θα καταγραφεί ούτε θα αποθηκευτεί ποτέ. Η παραβίαση δείχνει ότι αυτή η υπόσχεση δεν ίσχυσε στην πράξη.

Για έναν κλάδο που βασίζεται σχεδόν εξ ολοκλήρου στην εμπιστοσύνη, αυτού του είδους η ιστορία αλλάζει τον τρόπο με τον οποίο οι άνθρωποι αξιολογούν τους ισχυρισμούς ενός παρόχου VPN. Εκατομμύρια άνθρωποι χρησιμοποιούν VPN ακριβώς για να αποφύγουν την παρακολούθηση ή τη διατήρηση των συνηθειών περιήγησής τους οπουδήποτε. Όταν οι πρακτικές καταγραφής ενός παρόχου έρχονται σε αντίθεση με την προώθησή του, εγείρουν δύσκολα ερωτήματα όχι μόνο για τους πελάτες του SplitVPN, αλλά για οποιονδήποτε βασίζεται στην ετικέτα «μηδενικής καταγραφής» ως λόγο εμπιστοσύνης σε μια υπηρεσία με την κίνησή του.

Τι συνέβη στην παραβίαση του SplitVPN

Σύμφωνα με την αποκάλυψη, τα εκτεθειμένα δεδομένα περιλάμβαναν 865.336 εγγραφές χρηστών μαζί με περίπου 58 εκατομμύρια αρχεία καταγραφής συνδέσεων. Αυτός ο όγκος δεδομένων σύνδεσης είναι σημαντικός, επειδή ένα γνήσιο VPN μηδενικής καταγραφής δεν θα έπρεπε να δημιουργεί, πόσο μάλλον να αποθηκεύει, αρχεία καταγραφής συνδέσεων χρηστών σε τέτοια κλίμακα. Η ύπαρξη δεκάδων εκατομμυρίων αρχείων καταγραφής συνδέσεων υπονομεύει άμεσα τη βασική διασφάλιση ιδιωτικότητας που διαφήμιζε το SplitVPN στη βάση χρηστών του.

Το SplitVPN λειτουργούσε προηγουμένως με την ονομασία NotVPN πριν από την αλλαγή επωνυμίας. Η παραβίαση του SplitVPN που εκθέτει 865K εγγραφές και 58 εκατομμύρια αρχεία καταγραφής έχει ήδη προκαλέσει ευρύτερη συζήτηση σχετικά με το πώς οι εταιρείες VPN επαληθεύουν και επιβάλλουν τις δικές τους πολιτικές ιδιωτικότητας, ειδικά οι μικρότεροι ή λιγότερο γνωστοί πάροχοι που ενδέχεται να μην υποβάλλονται στο ίδιο επίπεδο ανεξάρτητου ελέγχου με τις μεγαλύτερες, καθιερωμένες υπηρεσίες.

Γιατί ο ισχυρισμός μηδενικής καταγραφής έχει τόση σημασία

Ολόκληρη η πρόταση αξίας ενός VPN βασίζεται στην εμπιστοσύνη. Οι χρήστες δρομολογούν την κίνησή τους μέσω διακομιστή τρίτου μέρους ακριβώς για να μην μπορούν να δουν τι κάνουν στο διαδίκτυο ο πάροχος υπηρεσιών διαδικτύου, οι διαχειριστές δικτύου ή άλλοι παρατηρητές. Σε αντάλλαγμα, τοποθετούν αυτήν ακριβώς την ορατότητα στα χέρια του παρόχου VPN. Μια πολιτική μηδενικής καταγραφής είναι ο μηχανισμός που υποτίθεται ότι εμποδίζει την ίδια την εταιρεία VPN να γίνει σημείο έκθεσης.

Όταν ένας πάροχος διαφημίζει μηδενική καταγραφή αλλά αργότερα ανακαλύπτεται ότι διατηρούσε μεταδεδομένα σύνδεσης και αυτά τα μεταδεδομένα στη συνέχεια εκτίθενται σε παραβίαση, ακυρώνει τον σκοπό χρήσης της υπηρεσίας εξαρχής. Οι χρήστες δεν είχαν μόνο τα δεδομένα τους εκτεθειμένα από εξωτερικό εισβολέα· είχαν τα δεδομένα τους να υπάρχουν σε μορφή που είχε υποσχεθεί ότι δεν θα δημιουργηθεί ποτέ. Αυτός είναι ο λόγος για τον οποίο οι ρυθμιστικές αρχές, οι ερευνητές ασφάλειας και οι υποστηρικτές της ιδιωτικότητας πιέζουν συνεχώς για ανεξάρτητους ελέγχους των ισχυρισμών μηδενικής καταγραφής αντί να αποδέχονται τη γλώσσα μάρκετινγκ στην ονομαστική της αξία.

Ποια δεδομένα εκτέθηκαν

Η παραβίαση του SplitVPN φέρεται να περιλάμβανε αρχεία λογαριασμών χρηστών και αρχεία καταγραφής συνδέσεων που αριθμούν δεκάδες εκατομμύρια. Τα αρχεία καταγραφής συνδέσεων αυτού του είδους μπορούν ενδεχομένως να αποκαλύψουν μοτίβα όπως το πότε συνδέθηκε ένας χρήστης, για πόσο χρονικό διάστημα και άλλα μεταδεδομένα που σχετίζονται με τις συνεδρίες VPN του. Ακόμη και χωρίς το πλήρες ιστορικό περιήγησης, αυτός ο τύπος μεταδεδομένων μπορεί να χρησιμοποιηθεί για να συναχθούν συμπεριφορά, χρονισμός και συνήθειες που οι χρήστες πίστευαν ότι διατηρούνταν ιδιωτικές.

Για τα επηρεαζόμενα άτομα, η έκθεση σημαίνει ότι πληροφορίες που υπέθεταν ότι δεν συλλέχθηκαν ποτέ έχουν πλέον συνδεθεί με τους λογαριασμούς τους και ενδεχομένως έχουν καταστεί προσβάσιμες σε μη εξουσιοδοτημένα μέρη. Αυτό είναι ένα διαφορετικό και αναμφισβήτητα πιο επιζήμιο σενάριο από μια τυπική παραβίαση δεδομένων, επειδή καταστρέφει επίσης τη βάση εμπιστοσύνης πάνω στην οποία πουλήθηκε η υπηρεσία.

Τι σημαίνει αυτό για εσάς

Αν χρησιμοποιήσατε ποτέ το SplitVPN ή το NotVPN, αξίζει να το αντιμετωπίσετε ως σήμα για να ελέγξετε τον λογαριασμό σας και να αλλάξετε τυχόν διαπιστευτήρια που σχετίζονται με την υπηρεσία, συμπεριλαμβανομένων των κωδικών πρόσβασης που επαναχρησιμοποιήθηκαν σε άλλες πλατφόρμες. Ευρύτερα, αυτή η παραβίαση είναι μια υπενθύμιση ότι το «μηδενική καταγραφή» είναι ένας ισχυρισμός, όχι εγγύηση, εκτός αν έχει επαληθευτεί ανεξάρτητα. Πριν εμπιστευτείτε οποιονδήποτε πάροχο VPN με την κίνησή σας, αναζητήστε αποδείξεις ελέγχων από τρίτους, αναφορές διαφάνειας ή τεκμηριωμένο ιστορικό υποστήριξης των ισχυρισμών ιδιωτικότητας υπό έλεγχο.

Είναι επίσης μια καλή στιγμή για να επανεκτιμήσετε τι περιμένετε από ένα VPN. Μια πολιτική μηδενικής καταγραφής θα πρέπει να σημαίνει ότι δεν υπάρχει τίποτα προς διαρροή εξαρχής. Αν μια παραβίαση παράγει εκατομμύρια αρχεία καταγραφής συνδέσεων από έναν πάροχο που ισχυριζόταν ότι δεν τα διατηρούσε, αυτό είναι μια σημαντική κόκκινη σημαία για το πώς λειτουργεί πραγματικά η εταιρεία στα παρασκήνια, ανεξάρτητα από όσα δηλώνει το μάρκετινγκ της.

Χρήσιμα συμπεράσματα

Εάν είστε τρέχων ή πρώην χρήστης του SplitVPN ή του NotVPN, αλλάξτε τον κωδικό πρόσβασης του λογαριασμού σας αμέσως και ενημερώστε τον οπουδήποτε αλλού μπορεί να τον έχετε επαναχρησιμοποιήσει. Παρακολουθήστε το email σας και τους λογαριασμούς πληρωμών για ύποπτη δραστηριότητα τις εβδομάδες μετά από αυτήν την αποκάλυψη. Στο μέλλον, επιλέξτε παρόχους VPN που δημοσιεύουν ανεξάρτητα ελεγμένες αναφορές μηδενικής καταγραφής αντί να βασίζεστε σε μη επαληθευμένους ισχυρισμούς. Και αντιμετωπίστε κάθε υπόσχεση ιδιωτικότητας, από οποιονδήποτε πάροχο, ως κάτι που πρέπει να επαληθεύεται αντί να θεωρείται δεδομένο, καθώς αυτό το περιστατικό δείχνει πόσο γρήγορα μπορεί να σπάσει ένας ισχυρισμός μηδενικής καταγραφής.