En 17 GB SQL-database som nå sirkulerer på Altenen cybercrime-forum har satt søkelyset på et av VPN-bransjens mest gjentatte løfter: null-logg-policyen. Databasen, som hevdes å være stjålet fra SplitVPN (tidligere kjent som NotVPN), en russisk VPN markedsført spesielt for å omgå internettsensur, inneholder angivelig rundt 23,4 millioner brukerposter og omtrent 58 millioner tilkoblingslogger. Det er et slående antall for en tjeneste som bygget markedsføringen sin rundt ideen om at den overhodet ikke fører logger.

Dette er ikke bare en historie om én VPN-leverandør som blir hacket. Det er en påminnelse om at en personvernpolicy bare er så god som praksisen bak den, og at bruddet på null-logg-påstandene hos SplitVPN illustrerer nøyaktig hvorfor brukere må se forbi markedsføringsteksten før de stoler på en leverandør med trafikken sin.

Hva skjedde i SplitVPN-bruddet

Ifølge rapportering fra Security Affairs begynte en trusselaktør å distribuere databasen på et kjent cybercrime-forum, og forskere ved Mysterium skaffet en kopi og verifiserte den mot rådumpen. Analysen deres bekreftet omfanget: millioner av brukerkontoer, enhetsinformasjon, betalingsdetaljer og tilkoblingsmetadata, alt angivelig hentet fra en tjeneste hvis hele verdiforslag hvilte på å ikke beholde akkurat denne typen data.

Vi dekket den tekniske gjennomgangen av det eksponerte datasettet i detalj i vår tidligere artikkel om SplitVPN-brudd som eksponerer 58 millioner logger, inkludert hvilke datakategorier som angivelig var inkludert og hvordan lekkasjen ble verifisert. Hvis du bruker eller har brukt SplitVPN, er den dekningen verdt å lese i sin helhet, siden den legger frem hvilken informasjon som kan ha blitt eksponert og hvilke skritt berørte brukere bør vurdere.

Kjerneproblemet er ikke bare at et brudd skjedde. Brudd skjer i selskaper på tvers av alle bransjer. Problemet er gapet mellom hva SplitVPN fortalte brukerne om sin datapraksis og hva den lekkede databasen ser ut til å vise. Hvis en VPN markedsfører seg som et sensuromgåelsesverktøy uten logging, og en stjålet database viser titalls millioner tilkoblingsposter, er det ikke et lite avvik. Det er en direkte motsigelse av produktets kjerneløfte.

Hvorfor tilkoblingslogger undergraver null-logg-løfter

Tilkoblingslogger er ikke det samme som nettleserhistorikk, men de kan likevel være dypt avslørende. En tilkoblingslogg registrerer vanligvis når en bruker koblet til en VPN-server, hvilken server de brukte, hvor lenge økten varte, og noen ganger IP-adressen de koblet fra. For en VPN markedsført mot personer som prøver å omgå internettsensur, kan den typen metadata være sensitiv i seg selv, siden den potensielt kan brukes til å etablere mønstre for når og hvordan noen fikk tilgang til internett, selv uten å vite nøyaktig hva de gjorde når de var tilkoblet.

En ekte null-logg-policy betyr at en leverandør arkitekterer systemene sine slik at denne informasjonen rett og slett ikke beholdes, enten gjennom servere som kun bruker RAM, øktdata som kastes umiddelbart, eller infrastruktur som aldri skriver tilkoblingsmetadata til disk i utgangspunktet. Når et brudd avslører millioner av tilkoblingslogger som ligger i en database, antyder det at leverandøren samlet inn og lagret akkurat den typen informasjon markedsføringen sa den ikke ville. Det er det sentrale problemet SplitVPN-hendelsen illustrerer: løftet og praksisen stemte tilsynelatende ikke overens.

Hvordan verifisere en VPNs null-logg-påstander før du stoler på den

Markedsføringssider er enkle å skrive. Verifiserbare bevis er vanskeligere å forfalske, og det er det som skiller en troverdig null-logg-påstand fra en tom en. Før du stoler på en VPN med trafikken din, se etter noen konkrete signaler:

Uavhengige revisjoner betyr mer enn selvrapporterte retningslinjer. Et anerkjent tredjeparts sikkerhetsfirma som gjennomgår en leverandørs serverkonfigurasjon og bekrefter at ingen identifiserende logger lagres, veier langt tyngre enn et avsnitt på en personvernside.

Rettssaker og forespørsler fra politimyndigheter kan fungere som virkelige tester. Hvis en leverandør tidligere har blitt tvunget til å utlevere brukerdata og rett og slett ikke hadde noen å gi, er det et sterkere signal enn en ubekreftet påstand.

Åpenhetsrapporter, jurisdiksjon og eierskapshistorikk betyr også noe. En leverandør basert i et land med sterke databeskyttelseslover, som publiserer regelmessige åpenhetsrapporter, og med en tydelig eierskapsstruktur er generelt lettere å holde ansvarlig enn en som skjuler hvem som driver den.

Sjekkliste: Røde flagg når du velger en personvernfokusert VPN

Når du vurderer en VPN-leverandør, se opp for disse varseltegnene: ingen uavhengig revisjon har noen gang blitt publisert eller revisjonen er flere år utdatert; selskapets eierskap eller jurisdiksjon er uklar eller endres ofte; personvernpolicyen bruker vagt språk om "anonymiserte" eller "aggregerte" data uten å forklare hva som faktisk samles inn; det finnes ingen åpenhetsrapport eller historikk med å svare på juridiske forespørsler; og tjenesten har tidligere byttet merkevare (slik SplitVPN gjorde fra NotVPN) uten en klar forklaring på hva som endret seg operasjonelt.

Hva dette betyr for deg

Hvis du for øyeblikket bruker SplitVPN, bør du behandle dette som et signal om å gjennomgå dekningen av SplitVPN-brudd som eksponerer 58 millioner logger og vurdere om din konto, enhet eller betalingsinformasjon kan ha vært inkludert i den eksponerte databasen. Mer generelt er denne hendelsen en nyttig påminnelse om å undersøke enhver VPN du stoler på, ikke fordi hver leverandør lyver om sin loggepraksis, men fordi tillit på dette området bør opptjenes gjennom verifisering, ikke antas fra en markedsføringsside.

Bruddet på null-logg-påstandene hos SplitVPN betyr ikke at null-logg-VPN-er er en myte. Det betyr at merkelappen alene ikke er bevis. Leverandører som kan vise til uavhengige revisjoner, konsekvent åpenhetsrapportering og en merittliste med å beskytte brukerdata under juridisk press, har opparbeidet et annet nivå av tillit enn de som utelukkende stoler på markedsføringsspråk.

Praktiske råd

Sjekk om VPN-leverandøren din har gjennomgått en nylig, offentlig tilgjengelig uavhengig revisjon av sine null-logg-påstander. Se nærmere på leverandørens jurisdiksjon og eierskapshistorikk, siden disse påvirker hvilke data som juridisk kan kreves utlevert fra dem. Les åpenhetsrapporter hvis leverandøren publiserer dem, og betrakt fraværet av slike som et hull verdt å stille spørsmål ved. Hvis du var en SplitVPN-bruker, gjennomgå detaljene i det eksponerte datasettet og vurder å endre eventuelle gjenbrukte passord eller betalingsinformasjon knyttet til den kontoen. Og fremover, velg personvernverktøy basert på verifiserbare bevis snarere enn løfter alene.