Mitä SplitVPN-tietomurto paljasti

SplitVPN-niminen VPN-palvelu, jota markkinoidaan internet-sensuurin kiertämisen työkaluna, on tietovuodon keskiössä, ja vuoto romuttaa juuri sen lupauksen, jonka palvelu myi käyttäjilleen. Security Affairsin raportin mukaan varastettu 17 Gt:n SQL-tietokanta, jonka väitetään liittyvän SplitVPN:ään, sisälsi miljoonia käyttäjä-, laite- ja maksutietueita sekä 58 miljoonaa yhteyslokitapahtumaa. Tämä viimeinen yksityiskohta on ratkaisevin, sillä SplitVPN mainosti itseään palveluna, joka ei tallenna lokeja, ja väitti siis, ettei se tallenna sellaista toimintadataa, joka voisi yhdistää käyttäjän henkilöllisyyden tämän verkkokäyttäytymiseen.

Vuodon mittakaava – kymmenet miljoonat yhteystietueet yhdistettynä maksu- ja laitetietoihin – viittaa siihen, ettei kyse ollut pienestä teknisestä laiminlyönnistä. Se viittaa järjestelmälliseen käytäntöön säilyttää juuri sitä dataa, jonka lokittomuutta korostavan tietosuojakäytännön pitäisi sulkea pois. Palvelulle, joka on rakennettu auttamaan ihmisiä sensuurin kiertämisessä – usein alueilla, joilla digitaalinen valvonta aiheuttaa todellisia henkilökohtaisia riskejä – tällainen tietovuoto on enemmän kuin noloa. Se on suora ristiriita sen turvallisuuslupauksen kanssa, johon käyttäjät luottivat.

Miten "ei lokeja" -VPN päätyi tallentamaan kaiken

Ero siinä, mitä VPN-palveluntarjoajat sanovat markkinoinnissaan ja mitä niiden palvelimilla todella tapahtuu, ei ole uusi ongelma, mutta SplitVPN-tapaus on karu muistutus siitä, kuinka suuri tämä ero voi olla. "Ei lokeja" -väite on pohjimmiltaan käytäntöilmoitus. Se kuvaa sitä, mitä yritys sanoo, ettei tee. Mikään tekninen mekanismi tai ulkopuolinen taho ei automaattisesti varmista tätä väitettä. Ellei palveluntarjoaja alistu riippumattomaan tarkasteluun, tuo väite on olemassa ainoastaan verkkosivulla.

Tässä tapauksessa tapahtui todennäköisesti VPN-alalla yleinen kaava: yhteysmetatietoja, aikaleimoja, IP-osoitteita, istuntotietoja ja tilitietoja kerätään operatiivisista syistä, kuten vianmääritystä, petosten estoa tai laskutusta varten, eikä näitä tietoja koskaan kokonaan poisteta. Ajan mittaan niistä kertyy juuri sellainen profiili, jonka olemassaolon "ei lokeja" -käytäntö kiistää. Kun tällainen tietokanta sitten murretaan tai jätetään suojaamatta, käytännön ja todellisuuden välinen ristiriita tulee julki pahimmalla mahdollisella tavalla.

Miksi tarkastamattomiin "ei lokeja" -väitteisiin ei voi luottaa

Tämä tapaus on hyödyllinen tapaustutkimus siitä, miksi pelkkää "ei lokeja" -väitettä ei pitäisi koskaan pitää todisteena yksityisyydestä. Kuka tahansa VPN-palveluntarjoaja voi kirjoittaa etusivulleen "emme tallenna toimintaasi". Väite muuttuu uskottavaksi vasta, kun sen takana on jotain ulkopuolista: kolmannen osapuolen tietoturvatarkastus, oikeustapaus, jossa viranomaiset pyysivät lokeja, joita ei todellakaan ollut olemassa, tai avoin historia johdonmukaisesta julkisesta raportoinnista. Ilman tällaista todentamista "ei lokeja" -käytäntö on markkinointiväite, ei takuu.

Laajempi opetus ulottuu VPN-palveluja pidemmälle. Monet tietoturva- ja yksityisyystyökalut antavat rohkeita lupauksia, jotka kuulostavat rauhoittavilta, mutta joita tavallisen käyttäjän on vaikea todentaa. Samaa skeptisyyttä kannattaa soveltaa muuallakin tietoturvamaailmassa; esimerkiksi kiristyshaittaohjelmien maksuja käsittelevä raportointi on vastaavasti osoittanut, ettei yleinen oletus – tässä tapauksessa siitä, että lunnaiden maksaminen ratkaisee ongelman – pidä paikkaansa, kun riippumatonta dataa tutkitaan. Väitteet tarvitsevat todisteita, eivät pelkkiä aikomuksia.

Näin arvioit VPN-palvelun tietosuojakäytännön ennen kuin luotat siihen

Ennen kuin tilaat minkään VPN:n, erityisesti sellaisen, jota markkinoidaan korkean panoksen käyttötapauksiin, kuten sensuurin kiertämiseen, kannattaa tehdä muutama konkreettinen tarkistus sen sijaan, että ottaisit "ei lokeja" -leiman annettuna:

  • Etsi valmis, julkaistu kolmannen osapuolen tietoturvatarkastus, ei pelkkää epämääräistä mainintaa "tarkastetusta". Hyvämaineiset palveluntarjoajat nimeävät tarkastusyrityksen ja julkaisevat havainnot.
  • Tarkista, onko palveluntarjoajalla dokumentoitua historiaa, mieluiten tapauksia, joissa viranomaisten tietopyynnöt ovat vahvistaneet, ettei hyödyllisiä lokeja ollut olemassa.
  • Lue varsinainen tietosuojakäytäntö, ei pelkkiä markkinointisivuja, nähdäksesi, mitä tietoluokkia kerätään laskutusta, vianmääritystä tai petosten estoa varten ja kuinka kauan näitä tietoja säilytetään.
  • Tutki yrityksen omistusta ja lainkäyttöaluetta, sillä tietojen säilyttämisvelvoitteet vaihtelevat merkittävästi maittain.

Mitä tämä tarkoittaa sinulle

Jos käytät SplitVPN:ää tai mitä tahansa VPN:ää, SplitVPN:n "ei lokeja" -tietovuoto on muistutus arvioida säännöllisesti uudelleen, tukeeko maksamasi palvelu yksityisyysväitteitään todellisilla todisteilla. Jos palveluntarjoajasi ei ole koskaan julkaissut riippumatonta tarkastusta, sitä kannattaa pitää varoitusmerkkinä eikä teknisenä yksityiskohtana. Sensuurille alttiilla alueilla oleville käyttäjille, joilla yhteyslokien vuotaminen voi aiheuttaa todellisia henkilökohtaisia seurauksia, tämä tarkastelu ei ole valinnaista, vaan välttämätöntä.

Keskeiset huomiot

SplitVPN-tapaus korostaa yksinkertaista totuutta: yksityisyyslupaus on vain niin vahva kuin sen takana oleva näyttö. Ennen kuin luotat mihinkään VPN:ään yhteystiedoillasi, varmista sen "ei lokeja" -väite riippumattomien tarkastusten ja läpinäkyvyysraporttien avulla sen sijaan, että luottaisit pelkkään markkinointikieleen. Käy läpi nykyisen palveluntarjoajasi käytäntö, tarkista kolmannen osapuolen todentaminen äläkä epäröi vaihtaa, jos todisteet eivät pidä paikkaansa.