Što je curenje podataka SplitVPN-a razotkrilo

VPN usluga pod nazivom SplitVPN, reklamirana kao alat za zaobilaženje internetske cenzure, nalazi se u središtu curenja podataka koje potkopava upravo ono obećanje koje je prodavala korisnicima. Prema izvješću Security Affairsa, ukradena SQL baza podataka od 17 GB, navodno povezana sa SplitVPN-om, sadržavala je milijune zapisa o korisnicima, uređajima i plaćanjima, zajedno s 58 milijuna zapisnika povezivanja. Taj posljednji detalj je onaj koji je najvažniji, jer se SplitVPN oglašavao kao usluga koja ne vodi zapisnike, tvrdeći da ne bilježi vrstu podataka o aktivnostima koji bi mogli povezati identitet korisnika s njegovim ponašanjem na internetu.

Razmjeri curenja, deseci milijuna zapisa o povezivanju uz podatke o plaćanju i uređajima, sugeriraju da ovo nije bio manji tehnički previd. Ukazuje na sustavnu praksu zadržavanja upravo onih podataka koje bi pravilo o nevođenju zapisnika trebalo isključiti. Za uslugu izgrađenu kako bi pomogla ljudima u zaobilaženju cenzure, često u regijama gdje digitalni nadzor nosi stvaran osobni rizik, takvo curenje je više od sramote. To je izravno proturječje sigurnosnom obećanju na koje su se korisnici oslanjali.

Kako je VPN s politikom 'bez zapisnika' na kraju zabilježio sve

Jaz između onoga što VPN pružatelji navode u marketingu i onoga što se zapravo događa na njihovim poslužiteljima nije nov problem, ali slučaj SplitVPN oštar je podsjetnik koliko taj jaz može biti širok. Tvrdnja o "nevođenju zapisnika" u svojoj je srži izjava o politici. Opisuje ono što tvrtka kaže da neće činiti. Ništa u toj izjavi nije automatski provjereno tehničkim mehanizmom ili vanjskom stranom. Osim ako se pružatelj ne podvrgne neovisnoj provjeri, ta tvrdnja postoji samo na web stranici.

Ono što se ovdje vjerojatno dogodilo uobičajeni je obrazac u VPN industriji: metapodaci o povezivanju, vremenske oznake, IP adrese, detalji sesije i podaci o računu prikupljaju se iz operativnih razloga poput rješavanja problema, sprječavanja prijevara ili naplate, a ti se podaci nikada u potpunosti ne brišu. S vremenom se nakupljaju upravo u vrstu profila za koji pravilo o nevođenju zapisnika tvrdi da ne postoji. Kada takva baza podataka bude probijena ili ostavljena izložena, nesklad između politike i prakse postaje javan na najgori mogući način.

Zašto se nerevidiranim tvrdnjama o nevođenju zapisnika ne može vjerovati

Ovaj incident korisna je studija slučaja o tome zašto tvrdnju o nevođenju zapisnika, samu po sebi, nikada ne treba tretirati kao dokaz privatnosti. Bilo koji VPN pružatelj može napisati "ne bilježimo vašu aktivnost" na svoju početnu stranicu. Tvrdnja postaje vjerodostojna tek kada je poduprta nečim vanjskim: revizijom sigurnosti treće strane, sudskim slučajem u kojem su vlasti zatražile zapisnike koji doista nisu postojali ili transparentnom poviješću dosljednog javnog izvještavanja. Bez takve vrste provjere, politika nevođenja zapisnika marketinška je izjava, a ne jamstvo.

Šira lekcija proteže se i izvan VPN-ova. Mnogo sigurnosnih alata i alata za privatnost daje hrabra obećanja koja zvuče umirujuće, ali ih je prosječnom korisniku teško provjeriti. Isti skepticizam koji se ovdje primjenjuje vrijedi primijeniti i drugdje u sigurnosnom svijetu; primjerice, izvještavanje o plaćanjima otkupnina na sličan je način pokazalo da uobičajena pretpostavka, u tom slučaju da plaćanje otkupnine rješava problem, ne stoji nakon što se ispitaju neovisni podaci. Tvrdnje trebaju dokaze, a ne samo namjeru.

Kako provjeriti politiku privatnosti VPN-a prije nego što joj povjerujete

Prije pretplate na bilo koji VPN, posebno onaj namijenjen slučajevima visokog rizika poput zaobilaženja cenzure, vrijedi provesti nekoliko konkretnih provjera umjesto da oznaku o nevođenju zapisnika prihvatite zdravo za gotovo:

  • Potražite dovršenu, objavljenu reviziju sigurnosti treće strane, a ne samo nejasno spominjanje da ste "revidirani". Renomirani pružatelji imenuju revizorsku tvrtku i objavljuju nalaze.
  • Provjerite ima li pružatelj dokumentiranu povijest, idealno uključujući slučajeve u kojima su zahtjevi tijela za provođenje zakona potvrdili da nisu postojali korisni zapisnici.
  • Pročitajte stvarnu politiku privatnosti, a ne samo marketinške stranice, kako biste vidjeli koje se kategorije podataka prikupljaju za naplatu, rješavanje problema ili sprječavanje prijevara i koliko se dugo ti podaci zadržavaju.
  • Istražite vlasništvo i nadležnost tvrtke, budući da se obveze zadržavanja podataka značajno razlikuju od zemlje do zemlje.

Što ovo znači za vas

Ako koristite SplitVPN ili bilo koji VPN, curenje podataka o nevođenju zapisnika SplitVPN-a podsjetnik je da povremeno preispitate podupire li usluga koju plaćate svoje tvrdnje o privatnosti stvarnim dokazima. Ako vaš pružatelj nikada nije objavio neovisnu reviziju, to vrijedi tretirati kao crvenu zastavicu, a ne tehničku formalnost. Za korisnike u regijama sklonim cenzuri, gdje bi curenje zapisnika povezivanja moglo nositi stvarne osobne posljedice, ova provjera nije opcionalna; ona je neophodna.

Ključni zaključci

Incident SplitVPN-a naglašava jednostavnu istinu: obećanje o privatnosti snažno je onoliko koliko su snažni dokazi koji stoje iza njega. Prije nego što bilo kojem VPN-u povjerite svoje podatke o povezivanju, provjerite njegovu tvrdnju o nevođenju zapisnika putem neovisnih revizija i izvješća o transparentnosti, umjesto da se oslanjate samo na marketinški jezik. Pregledajte politiku svog trenutnog pružatelja, provjerite postoji li provjera treće strane i nemojte oklijevati promijeniti uslugu ako dokazi ne izdrže provjeru.