17-gigabajtowa baza SQL krążąca obecnie na forum cyberprzestępczym Altenen rzuciła światło na jedną z najczęściej powtarzanych obietnic branży VPN: politykę braku logów. Baza, która rzekomo została skradziona z SplitVPN (wcześniej znanego jako NotVPN), rosyjskiej sieci VPN reklamowanej specjalnie do omijania cenzury internetowej, podobno zawiera około 23,4 miliona rekordów użytkowników i mniej więcej 58 milionów logów połączeń. To uderzająca liczba jak na usługę, która opierała swój marketing na założeniu, że w ogóle nie przechowuje logów.

To nie tylko historia o włamaniu do jednego dostawcy VPN. To przypomnienie, że polityka prywatności jest tak dobra, jak stojące za nią praktyki, i że naruszenie deklaracji braku logów w SplitVPN doskonale pokazuje, dlaczego użytkownicy muszą patrzeć poza marketingowe slogany, zanim powierzą swojemu dostawcy swój ruch internetowy.

Co się stało w przypadku wycieku SplitVPN

Według doniesień Security Affairs, podmiot rozprzestrzeniający złośliwe oprogramowanie zaczął udostępniać bazę danych na znanym forum cyberprzestępczym, a badacze z Mysterium zdobyli jej kopię i zweryfikowali ją na podstawie surowego zrzutu. Ich analiza potwierdziła skalę: miliony kont użytkowników, informacje o urządzeniach, dane o płatnościach i metadane połączeń – wszystko to rzekomo pochodziło z usługi, której cała propozycja wartości opierała się na nieprzechowywaniu właśnie tego rodzaju danych.

Szczegółowo omówiliśmy techniczną strukturę ujawnionego zbioru danych w naszym wcześniejszym artykule na temat wycieku SplitVPN ujawniającego 58 milionów logów, w tym jakie kategorie danych rzekomo zostały uwzględnione i jak zweryfikowano wyciek. Jeśli korzystasz lub korzystałeś z SplitVPN, warto przeczytać ten tekst w całości, ponieważ przedstawia on, jakie informacje mogły zostać ujawnione i jakie kroki powinni rozważyć poszkodowani użytkownicy.

Głównym problemem nie jest sam fakt wycieku. Do naruszeń dochodzi w firmach z każdej branży. Problemem jest rozbieżność między tym, co SplitVPN mówił użytkownikom o swoich praktykach dotyczących danych, a tym, co zdaje się ujawniać skradziona baza danych. Jeśli VPN reklamuje się jako narzędzie do omijania cenzury bez logowania, a skradziona baza zawiera dziesiątki milionów rekordów połączeń, nie jest to drobna nieścisłość. To bezpośrednie zaprzeczenie podstawowej obietnicy produktu.

Dlaczego logi połączeń podważają obietnice braku logów

Logi połączeń to nie to samo co historia przeglądania, ale mogą być równie odkrywcze. Log połączenia zazwyczaj odnotowuje, kiedy użytkownik połączył się z serwerem VPN, którego serwera użył, jak długo trwała sesja, a czasem adres IP, z którego się połączył. W przypadku VPN przeznaczonego dla osób próbujących ominąć cenzurę internetową, takie metadane same w sobie mogą być wrażliwe, ponieważ potencjalnie mogą posłużyć do ustalenia wzorców, kiedy i w jaki sposób ktoś uzyskiwał dostęp do internetu, nawet bez wiedzy, co dokładnie robił po połączeniu.

Prawdziwa polityka braku logów oznacza, że dostawca projektuje swoje systemy tak, aby te informacje po prostu nie były przechowywane – czy to poprzez serwery oparte wyłącznie na pamięci RAM, dane sesji natychmiast odrzucane, czy infrastrukturę, która w ogóle nie zapisuje metadanych połączeń na dysku. Kiedy wyciek ujawnia miliony logów połączeń siedzących w bazie danych, sugeruje to, że dostawca zbierał i przechowywał dokładnie ten rodzaj informacji, którego – według marketingu – miał nie gromadzić. To jest sedno problemu, który ilustruje incydent ze SplitVPN: obietnica i praktyka najwyraźniej się nie pokrywały.

Jak zweryfikować deklaracje VPN o braku logów, zanim mu zaufasz

Strony marketingowe łatwo napisać. Weryfikowalny dowód jest trudniejszy do sfałszowania i to on odróżnia wiarygodną deklarację braku logów od pustej. Zanim powierzysz swojemu VPN swój ruch, poszukaj kilku konkretnych sygnałów:

Niezależne audyty mają większe znaczenie niż samodzielnie deklarowane polityki. Wiarygodna zewnętrzna firma ochroniarska, która dokonuje przeglądu konfiguracji serwerów dostawcy i potwierdza, że nie są przechowywane żadne logi identyfikujące, ma o wiele większą wagę niż akapit na stronie z polityką prywatności.

Sprawy sądowe i wnioski organów ścigania mogą służyć jako testy w realnym świecie. Jeśli dostawca został wcześniej zobowiązany do przekazania danych użytkowników i po prostu nie miał nic do przekazania, jest to silniejszy sygnał niż niezweryfikowana deklaracja.

Raporty przejrzystości, jurysdykcja i historia własności również mają znaczenie. Dostawca mający siedzibę w kraju z silnymi przepisami o ochronie danych, publikujący regularne raporty przejrzystości i z jasną strukturą własnościową jest zazwyczaj łatwiejszy do pociągnięcia do odpowiedzialności niż taki, który ukrywa, kto nim zarządza.

Lista kontrolna: Sygnały ostrzegawcze przy wyborze VPN dbającego o prywatność

Oceniając dostawcę VPN, zwróć uwagę na te znaki ostrzegawcze: nigdy nie opublikowano niezależnego audytu lub audyt jest od lat nieaktualny; własność lub jurysdykcja firmy są niejasne lub często się zmieniają; polityka prywatności używa nieprecyzyjnego języka o danych "zanonimizowanych" lub "zagregowanych", nie wyjaśniając, co faktycznie jest zbierane; brak raportu przejrzystości lub historii odpowiadania na żądania prawne; a usługa wcześniej zmieniła markę (tak jak SplitVPN z NotVPN) bez jasnego wyjaśnienia, co zmieniło się operacyjnie.

Co to oznacza dla Ciebie

Jeśli obecnie korzystasz z SplitVPN, potraktuj to jako sygnał, aby zapoznać się z relacją na temat wycieku SplitVPN ujawniającego 58 milionów logów i zastanowić się, czy Twoje konto, urządzenie lub informacje o płatnościach mogły znaleźć się w ujawnionej bazie danych. W szerszym ujęciu incydent ten jest użyteczną zachętą do ponownego przeanalizowania dowolnego VPN, na którym polegasz, nie dlatego, że każdy dostawca kłamie na temat swoich praktyk logowania, ale dlatego, że zaufanie w tej przestrzeni powinno być zdobywane poprzez weryfikację, a nie zakładane na podstawie strony marketingowej.

Naruszenie deklaracji braku logów w SplitVPN nie oznacza, że VPN-y bez logów to mit. Oznacza to, że sama etykieta nie jest dowodem. Dostawcy, którzy mogą wskazać niezależne audyty, konsekwentne raportowanie przejrzystości i historię ochrony danych użytkowników pod presją prawną, zdobyli inny poziom zaufania niż ci, którzy opierają się jedynie na języku marketingowym.

Praktyczne wnioski

Sprawdź, czy Twój dostawca VPN przeszedł niedawny, publicznie dostępny niezależny audyt swoich deklaracji braku logów. Sprawdź jurysdykcję i historię własności dostawcy, ponieważ wpływają one na to, jakich danych można od niego legalnie żądać. Czytaj raporty przejrzystości, jeśli dostawca je publikuje, a ich brak traktuj jako lukę wartą zakwestionowania. Jeśli byłeś użytkownikiem SplitVPN, przejrzyj szczegóły ujawnionego zbioru danych i rozważ zmianę wszelkich ponownie użytych haseł lub informacji o płatnościach powiązanych z tym kontem. A na przyszłość wybieraj narzędzia prywatności na podstawie weryfikowalnych dowodów, a nie samych obietnic.