การรั่วไหลของข้อมูล SplitVPN เปิดเผยอะไรบ้าง

บริการ VPN ที่ชื่อว่า SplitVPN ซึ่งถูกทำตลาดในฐานะเครื่องมือสำหรับหลีกเลี่ยงการเซ็นเซอร์อินเทอร์เน็ต กลายเป็นศูนย์กลางของการรั่วไหลของข้อมูลที่บั่นทอนคำมั่นสัญญาที่ขายให้กับผู้ใช้ รายงานจาก Security Affairs ระบุว่าฐานข้อมูล SQL ขนาด 17 GB ที่ถูกขโมยมา ซึ่งถูกกล่าวหาว่าเชื่อมโยงกับ SplitVPN นั้นมีบันทึกข้อมูลผู้ใช้ อุปกรณ์ และการชำระเงินหลายล้านรายการ พร้อมกับบันทึกการเชื่อมต่ออีก 58 ล้านรายละเอียด รายละเอียดสุดท้ายนี้คือสิ่งสำคัญที่สุด เพราะ SplitVPN โฆษณาตัวเองว่าเป็นบริการแบบไม่เก็บบันทึก (no-logs) ซึ่งหมายความว่าบริษัทอ้างว่าไม่ได้บันทึกข้อมูลกิจกรรมประเภทที่สามารถโยงตัวตนของผู้ใช้เข้ากับพฤติกรรมออนไลน์ของพวกเขาได้

ขนาดของการรั่วไหลที่มีบันทึกการเชื่อมต่อนับสิบล้านรายการพร้อมกับข้อมูลการชำระเงินและอุปกรณ์ แสดงให้เห็นว่านี่ไม่ใช่การมองข้ามทางเทคนิคเล็กน้อย แต่มันชี้ให้เห็นถึงแนวปฏิบัติที่เป็นระบบในการเก็บรักษาข้อมูลที่นโยบายไม่เก็บบันทึกควรจะป้องกันไว้อย่างชัดเจน สำหรับบริการที่สร้างขึ้นมาเพื่อช่วยให้ผู้คนหลีกเลี่ยงการเซ็นเซอร์ ซึ่งบ่อยครั้งอยู่ในภูมิภาคที่การเฝ้าระวังทางดิจิทัลมีความเสี่ยงส่วนบุคคลอย่างแท้จริง การเปิดเผยข้อมูลแบบนี้มากกว่าความน่าอับอาย มันคือการขัดแย้งโดยตรงต่อคำมั่นสัญญาด้านความปลอดภัยที่ผู้ใช้พึ่งพาอยู่

VPN ที่ "ไม่เก็บบันทึก" กลายเป็นบันทึกทุกอย่างได้อย่างไร

ช่องว่างระหว่างสิ่งที่ผู้ให้บริการ VPN พูดในเอกสารการตลาดกับสิ่งที่เกิดขึ้นจริงบนเซิร์ฟเวอร์ของพวกเขาไม่ใช่ปัญหาใหม่ แต่กรณีของ SplitVPN เป็นเครื่องเตือนใจที่ชัดเจนว่าช่องว่างนั้นกว้างได้แค่ไหน คำกล่าวอ้างว่า "ไม่เก็บบันทึก" นั้น โดยแก่นแท้แล้วคือคำแถลงนโยบาย มันอธิบายถึงสิ่งที่บริษัทบอกว่าจะไม่ทำ ไม่มีอะไรในคำแถลงนั้นที่ถูกตรวจสอบโดยอัตโนมัติผ่านกลไกทางเทคนิคหรือบุคคลภายนอก นอกจากผู้ให้บริการจะยอมให้มีการตรวจสอบที่เป็นอิสระ คำกล่าวอ้างนั้นก็ดำรงอยู่เพียงบนหน้าเว็บเท่านั้น

สิ่งที่น่าจะเกิดขึ้นที่นี่คือรูปแบบที่พบได้ทั่วไปในอุตสาหกรรม VPN: ข้อมูลเมตาของการเชื่อมต่อ การประทับเวลา ที่อยู่ IP รายละเอียดเซสชัน และข้อมูลบัญชีถูกเก็บรวบรวมด้วยเหตุผลด้านการดำเนินงาน เช่น การแก้ไขปัญหา การป้องกันการฉ้อโกง หรือการเรียกเก็บเงิน และข้อมูลนั้นไม่เคยถูกลบออกจนหมด เมื่อเวลาผ่านไป มันก็สะสมกลายเป็นโปรไฟล์แบบที่นโยบายไม่เก็บบันทึกอ้างว่าไม่มีอยู่จริง เมื่อฐานข้อมูลแบบนั้นถูกเจาะหรือถูกปล่อยทิ้งไว้โดยไม่มีการป้องกัน ความไม่ตรงกันระหว่างนโยบายกับแนวปฏิบัติก็กลายเป็นเรื่องสาธารณะในทางที่เลวร้ายที่สุด

ทำไมคำกล่าวอ้างเรื่องไม่เก็บบันทึกที่ไร้การตรวจสอบจึงเชื่อถือไม่ได้

เหตุการณ์นี้เป็นกรณีศึกษาที่มีประโยชน์ว่าเหตุใดคำกล่าวอ้างเรื่องไม่เก็บบันทึกเพียงอย่างเดียว จึงไม่ควรถูกมองว่าเป็นข้อพิสูจน์ถึงความเป็นส่วนตัว ผู้ให้บริการ VPN รายใดก็สามารถเขียนว่า "เราไม่บันทึกกิจกรรมของคุณ" บนหน้าแรกของตนได้ คำกล่าวอ้างนั้นจะน่าเชื่อถือก็ต่อเมื่อมีสิ่งภายนอกมารองรับ: การตรวจสอบความปลอดภัยจากบุคคลที่สาม คดีในศาลที่หน่วยงานขอข้อมูลบันทึกแล้วไม่มีอยู่จริง หรือประวัติที่โปร่งใสของการรายงานสาธารณะอย่างสม่ำเสมอ หากปราศจากการตรวจสอบแบบนั้น นโยบายไม่เก็บบันทึกก็คือข้อความทางการตลาด ไม่ใช่การรับประกัน

บทเรียนที่กว้างขึ้นขยายไปไกลกว่า VPN เครื่องมือด้านความปลอดภัยและความเป็นส่วนตัวจำนวนมากให้คำมั่นสัญญาที่กล้าหาญซึ่งฟังดูน่าสบายใจแต่ยากที่ผู้ใช้ทั่วไปจะตรวจสอบได้ ความสงสัยที่ใช้ที่นี่ควรค่าแก่การนำไปใช้กับที่อื่นในโลกของความปลอดภัย ตัวอย่างเช่น รายงานเกี่ยวกับการจ่ายค่าไถ่แรนซัมแวร์ ได้แสดงให้เห็นในทำนองเดียวกันว่าข้อสันนิษฐานทั่วไป ในกรณีนั้นคือการจ่ายค่าไถ่จะแก้ปัญหาได้นั้น ไม่เป็นจริงเมื่อมีการตรวจสอบข้อมูลที่เป็นอิสระ คำกล่าวอ้างต้องการหลักฐาน ไม่ใช่แค่เจตนา

วิธีตรวจสอบนโยบายความเป็นส่วนตัวของ VPN ก่อนไว้วางใจ

ก่อนสมัครใช้ VPN ใดๆ โดยเฉพาะอย่างยิ่งบริการที่ทำตลาดสำหรับกรณีการใช้งานที่มีเดิมพันสูงอย่างการหลีกเลี่ยงการเซ็นเซอร์ ควรทำการตรวจสอบที่เป็นรูปธรรมสองสามอย่างแทนที่จะเชื่อถือป้ายกำกับว่าไม่เก็บบันทึกตามที่เห็น:

  • มองหาการตรวจสอบความปลอดภัยจากบุคคลที่สามที่เสร็จสมบูรณ์และเผยแพร่แล้ว ไม่ใช่แค่การอ้างอิงอย่างคลุมเครือว่าผ่านการ "ตรวจสอบแล้ว" ผู้ให้บริการที่มีชื่อเสียงจะระบุชื่อบริษัทตรวจสอบและเผยแพร่ผลการค้นพบ
  • ตรวจสอบว่าผู้ให้บริการมีประวัติที่บันทึกไว้หรือไม่ โดยอุดมคติแล้วรวมถึงกรณีที่คำขอของหน่วยงานบังคับใช้กฎหมายยืนยันว่าไม่มีบันทึกที่เป็นประโยชน์อยู่จริง
  • อ่านนโยบายความเป็นส่วนตัวจริงๆ ไม่ใช่แค่หน้าการตลาด เพื่อดูว่ามีการเก็บรวบรวมข้อมูลประเภทใดบ้างสำหรับการเรียกเก็บเงิน การแก้ไขปัญหา หรือการป้องกันการฉ้อโกง และข้อมูลนั้นถูกเก็บรักษาไว้นานเท่าใด
  • ศึกษาความเป็นเจ้าของของบริษัทและเขตอำนาจศาล เนื่องจากภาระหน้าที่ในการเก็บรักษาข้อมูลแตกต่างกันอย่างมากในแต่ละประเทศ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณใช้ SplitVPN หรือ VPN ใดๆ ก็ตาม การรั่วไหลของข้อมูลของ SplitVPN ในกรณีไม่เก็บบันทึกนี้คือเครื่องเตือนใจให้ประเมินใหม่เป็นระยะๆ ว่าบริการที่คุณจ่ายเงินให้นั้นสนับสนุนคำกล่าวอ้างเรื่องความเป็นส่วนตัวด้วยหลักฐานจริงหรือไม่ หากผู้ให้บริการของคุณไม่เคยเผยแพร่การตรวจสอบอิสระ นั่นควรถือเป็นธงแดงมากกว่าจะเป็นแค่เรื่องทางเทคนิค สำหรับผู้ใช้ในภูมิภาคที่มีแนวโน้มถูกเซ็นเซอร์ ซึ่งการรั่วไหลของบันทึกการเชื่อมต่ออาจส่งผลกระทบส่วนบุคคลอย่างแท้จริง การตรวจสอบอย่างเข้มงวดนี้ไม่ใช่ทางเลือกแต่อย่างใด แต่มันคือสิ่งจำเป็น

ข้อสรุปสำคัญ

เหตุการณ์ของ SplitVPN ตอกย้ำความจริงที่เรียบง่าย: คำมั่นสัญญาเรื่องความเป็นส่วนตัวนั้นแข็งแกร่งเท่ากับหลักฐานที่อยู่เบื้องหลังมันเท่านั้น ก่อนไว้วางใจ VPN ใดๆ ด้วยข้อมูลการเชื่อมต่อของคุณ จงตรวจสอบคำกล่าวอ้างเรื่องไม่เก็บบันทึกผ่านการตรวจสอบอิสระและรายงานความโปร่งใส แทนที่จะพึ่งพาเพียงภาษาทางการตลาด ทบทวนนโยบายของผู้ให้บริการปัจจุบันของคุณ ตรวจสอบการตรวจสอบจากบุคคลที่สาม และอย่าลังเลที่จะเปลี่ยนหากหลักฐานนั้นไม่เพียงพอ