Hva SplitVPN-bruddet avslørte
Et nylig avslørt databrudd har satt SplitVPN, en leverandør av virtuelt privat nettverk, i sentrum for et ubehagelig spørsmål som stadig dukker opp igjen i VPN-bransjen: hva skjer når et selskap som lover å ikke logge aktiviteten din, likevel viser seg å ha gjort det.
Ifølge rapporter om hendelsen avslørte bruddet omtrent 865 000 brukerposter sammen med fullstendige betalingskortnumre. Bare det ville vært en alvorlig hendelse for enhver nettjeneste. Men omfanget går langt utover faktureringsinformasjon. Den avslørte databasen inkluderte angivelig administratorkontoer med passordhasher, logger over handlingene til SplitVPNs egne operatører og infrastrukturdetaljer knyttet til klargjøring av App Store-kontoer. Sikkerhetsforskere som har gjennomgått lekkasjen har påpekt at tilstedeværelsen av administratorlegitimasjon og interne driftsdata tyder på at bruddet kan strekke seg lenger enn bare de brukerrettede postene alene skulle tilsi.
Den kanskje mest avgjørende detaljen er imidlertid oppdagelsen av 58 millioner skjulte tilkoblingslogger i den samme databasen. For en VPN-leverandør gjør dette ene tallet mer skade på tilliten enn eksponeringen av betalingskort og lekkasjen av administratorlegitimasjon til sammen.
Hvorfor 58 millioner loggede tilkoblinger motsier påstander om null-logging
Hele verdiforslaget til en VPN hviler på et enkelt løfte: leverandøren ruter trafikken din, krypterer den og holder ingen oversikt over hva du gjorde eller når du gjorde det. Leverandører markedsfører dette som en «null-logging-policy», ofte den mest gjentatte frasen i VPN-reklame. Det er grunnen til at personvernbevisste brukere betaler for tjenesten i utgangspunktet.
En database som inneholder 58 millioner tilkoblingslogger er ikke en hypotetisk teknikalitet. Det er direkte bevis på at uansett hvilken policy SplitVPN annonserte til kundene sine, samsvarte den ikke med det som faktisk skjedde på serverne deres. Tilkoblingslogger av denne typen fanger vanligvis opp informasjon som tidsstempler, øktvarighet og opprinnelses- eller destinasjons-IP-adresser – nettopp metadataene som en ekte null-logging-arkitektur er designet for å unngå å beholde. Når disse dataene ender opp i en SQL-database som kan rammes av brudd, sammen med betalingsinformasjon og administratorlegitimasjon, bekrefter det at loggene eksisterte lenge nok, og i et format som var hentbart nok, til å bli stjålet.
Dette er ikke første gang en VPNs null-logging-markedsføring har blitt motsagt av en lekkasje, og det vil ikke være den siste. Men omfanget her – titalls millioner individuelle tilkoblingsposter knyttet til hundretusenvis av brukerkontoer – gjør SplitVPN til en grell case-studie i gapet mellom hva leverandører sier og hva de lagrer. For en grundigere gjennomgang av nøyaktig hva den lekkede databasen inneholder og hvorfor loggingsmotsetningen er viktig, gir vår tidligere dekning av SplitVPN-bruddet og dets null-logging-påstander en mer detaljert spesifikasjon.
Hvordan vurdere en VPN-leverandørs sikkerhet og loggingspraksis
SplitVPN-hendelsen er en nyttig påminnelse om at en null-logging-påstand trykt på en markedsføringsside ikke er verifisering, det er et løfte. Lesere som vurderer en hvilken som helst VPN-leverandør, enten de brukte SplitVPN eller ikke, bør se etter noen konkrete tegn på ansvarlighet i stedet for å ta policy-språket for god fisk.
Uavhengige tredjeparts sikkerhetsrevisjoner er det nærmeste vi kommer reell verifisering for øyeblikket. En leverandør som har engasjert et eksternt firma for å undersøke serverkonfigurasjonene og bekrefte at logger ikke beholdes, gir brukerne noe mer håndfast enn en skriftlig policy. Det er også verdt å sjekke om en leverandør har en dokumentert historikk med åpenhetsrapporter, håndtering av avslørte brudd på en åpen måte og en klar tidsplan for databevaring for fakturerings- og kontoinformasjon, siden betalingsdata ofte er den delen brukere overser når de utelukkende fokuserer på nettlesingslogger. Analysen av SplitVPNs null-logging-motsetning dekker flere spørsmål det er verdt å stille før man stoler på en leverandørs personvernpåstander.
Hva dette betyr for deg
Hvis du er en nåværende eller tidligere SplitVPN-bruker, bør du behandle dette som en aktiv hendelse som krever handling, ikke bare en overskrift å skumme forbi. Eksponeringen av betalingskortnumre betyr at din økonomiske informasjon kan være i fare for svindel. Eksponeringen av tilkoblingslogger betyr at aktivitet du trodde aldri ble registrert, nå kan være knyttet til kontoen din. Og eksponeringen av administratorlegitimasjon betyr at selve den underliggende plattformen kanskje ikke er sikker før SplitVPN bekrefter utbedring.
Tiltak du bør gjøre hvis du var SplitVPN-bruker
Kanseller eller erstatt betalingsmetoden som er knyttet til SplitVPN-kontoen din, og overvåk kontoutskrifter nøye for uautoriserte belastninger. Endre SplitVPN-passordet ditt umiddelbart, og hvis du har gjenbrukt det passordet andre steder, endre det der også. Aktiver tofaktorautentisering på alle kontoer der det er tilgjengelig. Vær på vakt mot phishing-forsøk som refererer til dette bruddet, siden angripere ofte bruker lekkede data til å lage overbevisende oppfølgingssvindel. Til slutt, hvis du er på utkikk etter en ny VPN, prioriter leverandører med uavhengig reviderte null-logging-påstander i stedet for bare selvrapporterte retningslinjer.
SplitVPN-databruddets motsetning til null-logging er et tydelig signal om at personvernløfter trenger bevis, ikke bare markedsføringstekst. Brukere fortjener leverandører som kan demonstrere påstandene sine, ikke bare uttale dem.
