A The Bell jelentését a Meduza október 28-án továbbította, és szokatlan kérdés elé állítja az orosz internetezőket. Marija Kolomcsenko újságíró szerint a Roszkomnadzor egykori munkatársa, aki az oroszországi weboldalak blokkolásáért felelt, most az AIVPN vezető fejlesztője – egy olyan szolgáltatásé, amely segít az embereknek megkerülni éppen ezeket a blokkokat. Az AIVPN Roszkomnadzor egykori munkatárs fejlesztőjéről szóló történet egyelőre kevés nyilvános részletet tartalmaz, de gyakorlati kérdéseket vet fel a bizalomról, a szakértelemről és arról, hogyan választanak az emberek megkerülő eszközöket.
Mit jelentett a The Bell az AIVPN vezető fejlesztőjéről
A fő állítás egyszerű. A The Bell beszámolója szerint egy olyan személy, aki egykor a Roszkomnadzornál, Oroszország internetcenzúra-ügynökségénél dolgozott, és weboldalak blokkolásával foglalkozott, írta az AIVPN kódjának nagy részét. A címsor úgy írja le a szolgáltatást, mint amelyet a kormányzati weboldal-blokkok megkerülésére terveztek.
A rendelkezésünkre álló anyag a jelentés összefoglalója, nem a teljes vizsgálat. Nincsenek részleteink a fejlesztő kilétéről, arról, mikor hagyta el az ügynökséget, hogyan finanszírozzák az AIVPN-t, vagy hogyan működik a szolgáltatás belsőleg. Arról sincs információnk, hogy az AIVPN vagy a Roszkomnadzor bármilyen választ adott volna. Ez a cikk ezért ahhoz tartja magát, amiről beszámoltak, és elkerüli a találgatást a motivációkról vagy a technikai kialakításról.
Hogyan blokkolja a Roszkomnadzor a weboldalakat, és mit terveztek megkerülni az AIVPN-nel
A Roszkomnadzor az az orosz ügynökség, amely az internetcenzúrával foglalkozik, beleértve a weboldalak blokkolását. Az olyan megkerülő szolgáltatások, mint az AIVPN, azért léteznek, hogy segítsenek a felhasználóknak elérni azokat a tartalmakat, amelyeket ezek a blokkok elérhetetlenné tesznek. Nagyvonalakban egy ilyen eszköz a felhasználó és a nyílt internet közé ékelődik, hogy a felhasználó forgalmát ne állítsa meg egy blokk.
A forrásanyag nem írja le az AIVPN által használt konkrét módszereket, és mi nem fogunk ezekre következtetni. Az olvasók szempontjából a két oldal közötti kapcsolat a fontos: a blokkoló rendszerek fejlődnek, és a megkerülő eszközöknek alkalmazkodniuk kell hozzájuk. Nyilvánvalóan releváns tudni, hogyan működik a blokkoló oldal, ha olyan eszközt építünk, amely megkerüli azt.
Hatékonyabbá vagy kevésbé megbízhatóvá tesz egy VPN-t a bennfentes tudás?
Két ésszerű módon lehet olvasni ezt a hírt, és a beszámoló nem dönti el, melyik áll közelebb az igazsághoz.
Az érvek a hatékonyság mellett. Aki az ügynökségnél a blokkoláson dolgozott, értheti, hogyan tervezik, telepítik és tartják fenn a korlátozásokat. Elvileg ez a tapasztalat segíthet olyan eszközök építésében, amelyeket nehezebb blokkolni. Ez következtetés, nem valami olyasmi, amit a The Bell állítólag megállapított volna.
Az érvek az óvatosság mellett. Egy fejlesztő korábbi munkáltatója jogos szempont a felhasználók számára, különösen akkor, ha az eszközt e munkáltató munkájának megkerülésére használják. A felhasználók a forgalmukat bízzák egy szolgáltatásra. Az, hogy honnan jött egy fejlesztő, nem bizonyít semmi helytelent, de jogos ok arra, hogy több átláthatóságot kérjünk, ne kevesebbet.
Egyik olvasat sem jelent bizonyítékot a helytelen magatartásra. A kormányzati ügynökségtől egy adatvédelmi eszközhöz való karrierváltás önmagában nem biztonsági hiba. Az ésszerű válasz az, hogy ezt ösztönzésként kezeljük arra, hogy alaposabban vizsgáljuk meg azokat a dolgokat, amelyek valójában meghatározzák, hogy egy szolgáltatás biztonságos-e.
Hogyan értékelhetik az orosz felhasználók a megkerülő eszközöket
A tanulság túlmutat az AIVPN-en. Bármely eszköz, amely a forgalmadat irányítja, ugyanilyen vizsgálatot érdemel. Hasznos kérdések:
- Ki építi? Keress megnevezett fejlesztőket vagy egyértelmű szervezetet, és olvasd el, mi ismert nyilvánosan a hátterükről.
- Függetlenül auditálták-e? Egy közzétett harmadik fél általi biztonsági audit erősebb bizonyíték, mint egy marketingállítás.
- Mit naplóz? Olvasd el az adatvédelmi irányelveket arról, mit gyűjtenek, meddig tárolják, és ki férhet hozzá.
- Nyitott-e a kód felülvizsgálatra? A nyílt forráskódú szoftver lehetővé teszi külső kutatók számára, hogy megvizsgálják a viselkedését, bár önmagában ez nem garancia a biztonságra.
- Hogyan finanszírozzák? Egy látható üzleti modell nélküli szolgáltatást olyan módokon fizethetnek, amelyeket a felhasználók nem látnak.
- Mi a múltja? Nézd meg, hogyan kezelte a szolgáltatás a korábbi problémákat, és hogy nyíltan kommunikál-e.
A bizalom bármely közvetítő iránt a ellenőrzés kérdése. Ugyanez a szokás vonatkozik más biztonsági hírekre is: az olyan jelentések, mint a Coupang adatvédelmi incidens és geopolitikai következményei, megmutatják, milyen gyorsan válhatnak az adataidról szóló kérdések nagyobbá, mint az eredeti incidens.
Mit jelent ez számodra
Ha Oroszországban élsz, és megkerülő eszközökre támaszkodsz, ez a jelentés nem ok a pánikra, és nem bizonyíték arra, hogy bármely konkrét szolgáltatás nem biztonságos. Emlékeztető arra, hogy az eszköz mögötti emberek számítanak. Ellenőrizd, mi ismert nyilvánosan egy szolgáltatás fejlesztőiről, keress auditokat és egyértelmű naplózási irányelveket, és légy óvatos minden olyan szolgáltatóval, amely mindháromról homályos.
Ha az AIVPN-t használod, figyeld a további beszámolókat és a szolgáltatás saját nyilatkozatait. Mivel az eddigi részletek korlátozottak, kerüld a határozott következtetések levonását bármely irányban. Fontold meg, hogy az érzékeny tevékenységet korlátozod, amíg nem ellenőrizted az eszköz gyakorlatait, és kerüld az egyetlen hozzáférési módszerre való támaszkodást.
Oroszországon kívül ugyanaz a tanulság: a szervezetek – legyenek kormányok vagy vállalatok – által kezelt adatok végül kiszivároghatnak. Az olyan incidensek, mint a Pentagon személyzeti adatvédelmi incidens, hasznos szemléltetés arra, miért érdemel figyelmet a bennfentes hozzáférés és a felügyelet.
Tanulságok
Az a jelentés, hogy az AIVPN Roszkomnadzor egykori munkatárs fejlesztője írta a szolgáltatás kódjának nagy részét, érdemes követni, de nem ítélet. Mielőtt bármely megkerülő eszközben megbízol:
- Kutasd fel, ki fejleszti, és mi a háttere.
- Keress független auditokat és nyílt kódot, ahol lehetséges.
- Olvasd el figyelmesen a naplózási és adatvédelmi irányelveket.
- Maradj éber az új beszámolókra és a fejlesztők frissítéseire.
- Ne támaszkodj egyetlen eszközre sem semmi nagy kockázatú dologhoz.
Ez a cikk nem támogatja az AIVPN-t vagy bármely más szolgáltatást. Vizsgáld meg minden eszköz fejlesztőit, auditjait és naplózási irányelveit, amelyre támaszkodsz, és vizsgáld felül ezt az értékelést, ahogy új tények merülnek fel.
