Kuinka venäläiset sovellukset vakoilevat VPN-käyttäjiä
Uusi tutkimus on paljastanut Venäjän hallituksen koordinoidun pyrkimyksen muuttaa suositut kuluttajasovellukset valvontatyökaluiksi, jotka kohdistavat toimenpiteensä ihmisiin, jotka käyttävät VPN:ää valtion sensuurin kiertämiseen. Puolestapuhujaryhmä RKS Globalin julkaisemat löydökset herättävät vakavia kysymyksiä paitsi yksityisyydestä Venäjällä, myös siitä, kuinka paljon käyttäjien tulisi luottaa laitteilleen asennettuihin sovelluksiin.
Analysoiduista 30 suositusta venäläissovelluksesta 22 havaittiin aktiivisesti tunnistavan VPN-käytön ja tallentavan tämän tiedon palvelimille, joihin Venäjän turvallisuuspalveluilla on pääsy. Sovellukset kattavat pankkialustoja ja suuria verkkopalveluita, joita miljoonat venäläiset käyttävät päivittäin. Näille käyttäjille pelkkä pankkisovelluksen avaaminen VPN-yhteyden ollessa aktiivisena voi synnyttää merkinnän, joka päätyy valtion viranomaisten käsiin.
Kuinka sovellukset havaitsevat VPN-käytön
Sen tunnistaminen, onko käyttäjä yhteydessä VPN:ään, ei ole teknisesti monimutkaista. Sovellukset voivat tarkistaa useita signaaleja: vastaako laitteen aktiivinen verkkoyhteys tunnettuja VPN-protokollia, johtaako IP-osoite konesaliin asuin- tai mobiilioperaattorin sijaan, tai esiintyykö järjestelmätasolla tiettyjä tunneloitumisohjelmistoihin liittyviä merkkejä.
RKS Globalin löydösten erityinen merkittävyys ei johdu siitä, että havaitseminen on mahdollista, vaan siitä, että nämä sovellukset tiettävästi kirjaavat ja tallentavat tietoa tavalla, joka tekee siitä ulkopuolisten osapuolten saatavilla. Tämä muuttaa rutiinitarkistuksen — sellaisen, jonka monet sovellukset suorittavat petosten ehkäisyn tai verkon optimoinnin vuoksi — poliittisen valvonnan välineeksi.
Tallennettua dataa voidaan sitten käyttää profiilien rakentamiseen käyttäjistä, jotka säännöllisesti kiertävät Venäjän internetrajoituksia, joista käytetään nimitystä RuNet-valvonta. Viranomaiset ovat yhä enenevässä määrin luokitelleet VPN:n käytön rikolliseksi tai kumoukselliseksi toiminnaksi, ja dokumentoitu VPN-toiminta tarjoaa paperijäljen, jota voidaan käyttää syytteeseenpanon tukena.
Laajemmat vaikutukset VPN-käyttäjille
Venäjän ulkopuolisille ihmisille välitön uhka saattaa tuntua kaukaiselta. Tutkimus kuitenkin korostaa yksityisyysriskiä, joka ei ole ominainen vain yhdelle maalle: sovellukset, joihin luotat jokapäiväisissä tehtävissä — pankkitilin tarkistamisessa, uutisten lukemisessa, verkko-ostoksissa — voivat kerätä tietoa verkkoaktiviteetistasi tavoilla, joihin et ole koskaan antanut suostumustasi ja joista et välttämättä ole tietoinen.
Venäjän tapauksessa tietojen väitetään virtaavan valtion turvallisuuspalveluille. Muissa yhteyksissä sama tieto voitaisiin myydä mainostajille, jakaa lainvalvonnalle oikeudellisen pakon nojalla tai paljastaa tietomurrossa. Mekanismi on sama; ainoastaan kohde ja tarkoitus eroavat.
Tämä on myös muistutus siitä, että VPN suojaa liikenteesi lukemiselta siirron aikana, mutta se ei estä laitteellasi toimivaa sovellusta havainnoimasta verkkoympäristöäsi ja raportoimasta löytämästään. Sovellustasoinen valvonta toimii VPN:n suojaaman kerroksen alapuolella.
Mitä tämä tarkoittaa sinulle
Jos olet venäläinen kansalainen, joka luottaa VPN:ään estetyn sisällön saatavuuteen, riski on tässä suora ja vakava. VPN:n käyttäminen samalla kun käytät suurten venäläisten pankkien tai alustojen sovelluksia voi synnyttää merkintöjä, jotka tunnistavat sinut henkilönä, joka kiertää sensuuria. Turvallisin lähestymistapa on kohdella näitä sovelluksia mahdollisesti yksityisyyttäsi uhkaavina ja rajoittaa niiden käyttöä VPN-yhteyden ollessa aktiivisena — tai käyttää erillistä laitetta, jossa ei ole tällaisia sovelluksia, arkaluonteiseen selaamiseen.
Muualla sijaitseville käyttäjille opetus koskee sovellusoikeuksia ja luottamusta. Useimmat älypuhelimen käyttäjät myöntävät sovelluksille laajat käyttöoikeudet tarkistamatta, mitä tietoja nämä sovellukset keräävät tai mihin ne päätyvät. Verkon tilatiedot — mukaan lukien tieto siitä, onko VPN aktiivisena — ovat usein sovellusten saatavilla ilman erityisiä käyttöoikeuksia sekä Androidilla että iOS:llä. Et voi aina estää sovellusta tarkistamasta verkkoympäristöäsi, mutta voit harkita tarkasti, mitkä sovellukset asennat ja mihin palveluihin luotat.
Sovellusten tietosuojakäytäntöjen läpikäyminen — erityisesti osiot, jotka koskevat tietojen jakamista kolmansien osapuolten ja viranomaisten kanssa — on ajan arvoista. Jos sovelluksella ei ole selkeää käytäntöä, tai jos sen käytäntö pidättää oikeuden jakaa tietoja laajasti kumppaneille tai viranomaisille, se on merkki, joka kannattaa ottaa vakavasti.
Tietojen hankkiminen ja toimenpiteisiin ryhtyminen
RKS Globalin tutkimus on konkreettinen esimerkki siitä, kuinka digitaaliset oikeudet ja henkilökohtainen yksityisyys liittyvät toisiinsa. Kun hallitukset ottavat yksityiset yritykset valvontaohjelmiin, ihmiset käyttävät sovelluksia, joilla he hallitsevat talouttaan ja jokapäiväistä elämäänsä, ja niistä tulee valtion tarkkailun mahdollisia vektoreita.
Käytännön johtopäätökset ovat suoraviivaisia. Ole valikoiva sen suhteen, mitkä sovellukset asennat ja pidät päivitettyinä — erityisesti ne, jotka tulevat yrityksiltä, joihin hallitukset saattavat kohdistaa paineita. Ymmärrä, että VPN on yksi yksityisyyden suojakerros, ei täydellinen suoja. Ja kiinnitä huomiota siihen, mihin sovellustietosi tallennetaan ja kenellä on niihin pääsy — sillä tämä kysymys on tärkeä riippumatta siitä, missä maassa asut.
Kun tämänkaltainen valtiojohtoinen sovellusvalvonta tulee paremmin dokumentoiduksi, kannattaa seurata digitaalisten oikeuksien organisaatioiden työtä, jotka tutkivat ja paljastavat näitä käytäntöjä. Tietoiset käyttäjät ovat paremmin valmistautuneita suojelemaan itseään.
