O bază de date SQL de 17 GB care circulă acum pe forumul de criminalitate cibernetică Altenen a scos în evidență una dintre cele mai repetate promisiuni din industria VPN: politica fără jurnale. Baza de date, despre care se spune că ar fi furată de la SplitVPN (cunoscut anterior ca NotVPN), un VPN rusesc comercializat special pentru ocolirea cenzurii internetului, ar conține aproximativ 23,4 milioane de înregistrări de utilizatori și circa 58 de milioane de jurnale de conexiune. Este un număr izbitor pentru un serviciu care și-a construit marketingul în jurul ideii că nu păstrează deloc jurnale.

Nu este doar o poveste despre un furnizor de VPN piratat. Este un memento că o politică de confidențialitate este la fel de bună ca și practicile din spatele ei și că breșa privind afirmațiile de tip no-logs de la SplitVPN ilustrează exact de ce utilizatorii trebuie să privească dincolo de textul de marketing înainte de a-și încrede traficul unui furnizor.

Ce s-a întâmplat în breșa SplitVPN

Potrivit relatărilor de la Security Affairs, un actor de amenințare a început să distribuie baza de date pe un forum cunoscut de criminalitate cibernetică, iar cercetătorii de la Mysterium au obținut o copie și au verificat-o față de descărcarea brută. Analiza lor a confirmat amploarea: milioane de conturi de utilizator, informații despre dispozitive, detalii de plată și metadate de conexiune, toate extrase, se presupune, de la un serviciu a cărui întreagă propunere de valoare se baza pe faptul de a nu păstra exact acest tip de date.

Am analizat în detaliu structura tehnică a setului de date expus într-un articol anterior despre breșa SplitVPN care expune 58 de milioane de jurnale, inclusiv ce categorii de date ar fi fost incluse și cum a fost verificată scurgerea. Dacă utilizați sau ați utilizat SplitVPN, merită să citiți în întregime acel material, deoarece prezintă ce informații ar putea fi expuse și ce pași ar trebui să ia în considerare utilizatorii afectați.

Problema de fond nu este doar că s-a produs o breșă. Breșe se întâmplă în orice industrie. Problema este decalajul dintre ceea ce le-a spus SplitVPN utilizatorilor despre practicile sale de date și ceea ce pare să arate baza de date scursă. Dacă un VPN se promovează ca un instrument de ocolire a cenzurii fără jurnalizare, iar o bază de date furată arată zeci de milioane de înregistrări de conexiune, nu este o discrepanță minoră. Este o contradicție directă a promisiunii de bază a produsului.

De ce jurnalele de conexiune subminează promisiunile no-logs

Jurnalele de conexiune nu sunt același lucru cu istoricul de navigare, dar pot fi totuși extrem de revelatoare. Un jurnal de conexiune înregistrează de obicei când s-a conectat un utilizator la un server VPN, ce server a folosit, cât a durat sesiunea și, uneori, adresa IP de la care s-a conectat. Pentru un VPN comercializat pentru persoanele care încearcă să ocolească cenzura internetului, acest tip de metadate poate fi în sine sensibil, deoarece poate fi utilizat pentru a stabili tipare legate de când și cum a accesat cineva internetul, chiar și fără a ști exact ce au făcut după conectare.

O politică autentică de tip no-logs înseamnă că un furnizor își proiectează sistemele astfel încât aceste informații pur și simplu să nu fie păstrate, fie prin servere care funcționează doar cu memorie RAM, fie prin date de sesiune eliminate imediat, fie printr-o infrastructură care nu scrie niciodată metadate de conexiune pe disc. Atunci când o breșă dezvăluie milioane de jurnale de conexiune stocate într-o bază de date, sugerează că furnizorul colecta și stoca exact tipul de informații pe care, conform marketingului, nu ar fi trebuit să le colecteze. Aceasta este problema centrală pe care o ilustrează incidentul SplitVPN: promisiunea și practica, aparent, nu s-au potrivit.

Cum să verifici afirmațiile no-logs ale unui VPN înainte de a avea încredere

Paginile de marketing sunt ușor de scris. Dovezile verificabile sunt mai greu de falsificat și acestea sunt cele care separă o afirmație credibilă de tip no-logs de una goală. Înainte de a avea încredere într-un VPN cu traficul tău, caută câteva semnale concrete:

  • Auditurile independente contează mai mult decât politicile auto-declarate. Faptul că o firmă de securitate reputată terță examinează configurația serverelor unui furnizor și confirmă că nu sunt stocate jurnale de identificare cântărește mult mai mult decât un paragraf de pe pagina de politici de confidențialitate.
  • Procesele judiciare și solicitările autorităților de aplicare a legii pot servi ca teste din lumea reală. Dacă un furnizor a fost anterior obligat să predea datele utilizatorilor și pur și simplu nu a avut ce să ofere, acesta este un semnal mai puternic decât o afirmație neverificată.
  • Rapoartele de transparență, jurisdicția și istoricul proprietății contează, de asemenea. Un furnizor cu sediul într-o țară cu legi solide privind protecția datelor, care publică rapoarte de transparență regulate și are o structură de proprietate clară este, în general, mai ușor de tras la răspundere decât unul care ascunde cine îl conduce.

Lista de verificare: semnale de alarmă atunci când alegi un VPN axat pe confidențialitate

Atunci când evaluezi un furnizor de VPN, urmărește aceste semnale de alarmă: nu a fost publicat niciodată un audit independent sau auditul este vechi de ani de zile; proprietatea sau jurisdicția companiei este neclară sau se schimbă frecvent; politica de confidențialitate folosește un limbaj vag despre date „anonimizate” sau „agregate” fără a explica ce anume se colectează; nu există un raport de transparență sau un istoric al răspunsurilor la cererile legale; iar serviciul și-a schimbat anterior numele (cum a făcut SplitVPN din NotVPN) fără o explicație clară a ceea ce s-a schimbat operațional.

Ce înseamnă acest lucru pentru tine

Dacă în prezent folosești SplitVPN, tratează acest lucru ca pe un semnal pentru a consulta articolul despre breșa SplitVPN care expune 58 de milioane de jurnale și a lua în considerare dacă informațiile tale de cont, dispozitiv sau plată ar fi putut fi incluse în baza de date expusă. Mai larg, acest incident este un impuls util pentru a reexamina orice VPN pe care te bazezi, nu pentru că fiecare furnizor minte în privința practicilor de jurnalizare, ci pentru că încrederea în acest domeniu ar trebui să fie câștigată prin verificare, nu presupusă de pe o pagină de marketing.

Breșa privind afirmațiile no-logs de la SplitVPN nu înseamnă că VPN-urile fără jurnale sunt un mit. Înseamnă că eticheta în sine nu este o dovadă. Furnizorii care pot indica audituri independente, raportare consecventă de transparență și un istoric de protejare a datelor utilizatorilor sub presiune legală au câștigat un alt nivel de încredere decât cei care se bazează doar pe limbajul de marketing.

Concluzii practice

  • Verifică dacă furnizorul tău de VPN a fost supus unui audit independent recent, disponibil public, al afirmațiilor sale no-logs.
  • Informează-te despre jurisdicția și istoricul proprietății furnizorului, deoarece acestea influențează ce date pot fi obținute legal de la acesta.
  • Citește rapoartele de transparență, dacă furnizorul le publică, și tratează absența lor ca pe un gol care merită pus sub semnul întrebării.
  • Dacă ai fost utilizator SplitVPN, analizează detaliile setului de date expus și ia în considerare schimbarea oricăror parole refolosite sau a informațiilor de plată asociate acelui cont.
  • Și, pe viitor, alege instrumente de confidențialitate pe baza unor dovezi verificabile, nu doar a promisiunilor.