สิ่งที่การรั่วไหลของ SplitVPN เปิดเผย
การรั่วไหลของข้อมูลที่เพิ่งถูกเปิดเผยทำให้ SplitVPN ผู้ให้บริการเครือข่ายส่วนตัวเสมือน ตกเป็นศูนย์กลางของคำถามที่ไม่สบายใจซึ่งวนกลับมาในอุตสาหกรรม VPN อยู่เสมอ: จะเกิดอะไรขึ้นเมื่อบริษัทที่สัญญาว่าจะไม่บันทึกกิจกรรมของคุณ กลับบันทึกมันอยู่ดี
ตามรายงานเหตุการณ์ การรั่วไหลครั้งนี้เปิดเผยระเบียนผู้ใช้ประมาณ 865,000 รายการ พร้อมด้วยหมายเลขบัตรชำระเงินเต็มรูปแบบ แค่นั้นก็เป็นเหตุการณ์ร้ายแรงสำหรับบริการออนไลน์ใด ๆ แล้ว แต่ขอบเขตนั้นไปไกลเกินกว่าข้อมูลการเรียกเก็บเงิน ฐานข้อมูลที่รั่วไหลรายงานว่ามีบัญชีผู้ดูแลระบบพร้อมแฮชรหัสผ่าน บันทึกการกระทำของผู้ปฏิบัติงานของ SplitVPN เอง และรายละเอียดโครงสร้างพื้นฐานที่เกี่ยวข้องกับการเตรียมบัญชี App Store นักวิจัยด้านความปลอดภัยที่ตรวจสอบการรั่วไหลระบุว่า การมีอยู่ของข้อมูลประจำตัวระดับผู้ดูแลระบบและข้อมูลการดำเนินงานภายในชี้ให้เห็นว่า การรั่วไหลอาจขยายไปไกลกว่าที่ระเบียนที่ผู้ใช้เห็นเพียงอย่างเดียวจะบ่งชี้
อย่างไรก็ตาม รายละเอียดที่อาจสำคัญที่สุดคือการค้นพบบันทึกการเชื่อมต่อที่ซ่อนอยู่ 58 ล้านรายการภายในฐานข้อมูลเดียวกัน สำหรับผู้ให้บริการ VPN ตัวเลขเพียงตัวเลขเดียวนี้ทำลายความไว้วางใจมากกว่าการเปิดเผยบัตรชำระเงินหรือข้อมูลประจำตัวผู้ดูแลระบบรวมกัน
ทำไมบันทึกการเชื่อมต่อ 58 ล้านรายการจึงขัดแย้งกับคำกล่าวอ้างว่าไม่เก็บบันทึก
คุณค่าหลักทั้งหมดของ VPN ตั้งอยู่บนคำมั่นสัญญาง่าย ๆ: ผู้ให้บริการของคุณรับส่งข้อมูลของคุณ เข้ารหัส และไม่เก็บบันทึกว่าคุณทำอะไรหรือทำเมื่อไหร่ ผู้ให้บริการทำตลาดนโยบายนี้ว่าเป็น "นโยบายไม่เก็บบันทึก" ซึ่งมักเป็นวลีที่ถูกพูดซ้ำมากที่สุดในโฆษณา VPN มันคือเหตุผลที่ผู้ใช้ที่ใส่ใจความเป็นส่วนตัวจ่ายเงินเพื่อใช้บริการตั้งแต่แรก
ฐานข้อมูลที่มีบันทึกการเชื่อมต่อ 58 ล้านรายการไม่ใช่เรื่องทางเทคนิคที่เป็นสมมติฐาน มันเป็นหลักฐานโดยตรงว่าไม่ว่านโยบายใดก็ตามที่ SplitVPN โฆษณาต่อลูกค้า ก็ไม่ตรงกับสิ่งที่เกิดขึ้นจริงบนเซิร์ฟเวอร์ของพวกเขา บันทึกการเชื่อมต่อประเภทนี้มักจะบันทึกข้อมูลเช่น เวลาที่เริ่มต้นและสิ้นสุด ระยะเวลาเซสชัน และที่อยู่ IP ต้นทางหรือปลายทาง ซึ่งเป็นเมตาดาต้าที่สถาปัตยกรรมไม่เก็บบันทึกอย่างแท้จริงถูกออกแบบมาเพื่อหลีกเลี่ยงการเก็บรักษา เมื่อข้อมูลนั้นมาอยู่ในฐานข้อมูล SQL ที่สามารถถูกละเมิดได้ พร้อมกับข้อมูลการชำระเงินและข้อมูลประจำตัวผู้ดูแลระบบ มันยืนยันว่าบันทึกนั้นมีอยู่นานพอ และอยู่ในรูปแบบที่สามารถเรียกค้นได้มากพอที่จะถูกขโมย
นี่ไม่ใช่ครั้งแรกที่การตลาดไม่เก็บบันทึกของ VPN ถูกขัดแย้งโดยการรั่วไหล และมันจะไม่ใช่ครั้งสุดท้าย แต่ขนาดในครั้งนี้ บันทึกการเชื่อมต่อนับสิบล้านรายการที่เชื่อมโยงกับบัญชีผู้ใช้หลายแสนบัญชี ทำให้ SplitVPN เป็นกรณีศึกษาที่ชัดเจนถึงช่องว่างระหว่างสิ่งที่ผู้ให้บริการพูดกับสิ่งที่พวกเขาจัดเก็บ สำหรับการแจกแจงรายละเอียดที่ลึกซึ้งยิ่งขึ้นว่าฐานข้อมูลที่รั่วไหลมีอะไรบ้างและเหตุใดความขัดแย้งในการเก็บบันทึกจึงสำคัญ การรายงานข่าวก่อนหน้านี้ของเราเกี่ยวกับการรั่วไหลของ SplitVPN และคำกล่าวอ้างไม่เก็บบันทึก อธิบายเจาะลึกมากขึ้น
วิธีตรวจสอบหลักปฏิบัติด้านความปลอดภัยและการเก็บบันทึกของผู้ให้บริการ VPN
เหตุการณ์ SplitVPN เป็นเครื่องเตือนใจที่มีประโยชน์ว่า คำกล่าวอ้างไม่เก็บบันทึกที่พิมพ์บนหน้าการตลาดไม่ใช่การตรวจสอบ แต่มันคือคำมั่นสัญญา ผู้อ่านที่กำลังประเมินผู้ให้บริการ VPN ใด ๆ ไม่ว่าพวกเขาเคยใช้ SplitVPN หรือไม่ ควรมองหาสัญญาณที่เป็นรูปธรรมของความรับผิดชอบ แทนที่จะยอมรับภาษาของนโยบายตามที่เห็น
การตรวจสอบความปลอดภัยอิสระจากบุคคลที่สามเป็นสิ่งที่ใกล้เคียงการตรวจสอบจริงที่สุดที่มีอยู่ในปัจจุบัน ผู้ให้บริการที่ว่าจ้างบริษัทภายนอกมาตรวจสอบการตั้งค่าเซิร์ฟเวอร์และยืนยันว่าไม่มีการเก็บบันทึก ย่อมให้สิ่งที่มากกว่านโยบายที่เป็นลายลักษณ์อักษรแก่ผู้ใช้ นอกจากนี้ ควรตรวจสอบด้วยว่าผู้ให้บริการมีประวัติที่เป็นเอกสารเกี่ยวกับรายงานความโปร่งใส การจัดการการละเมิดอย่างเปิดเผย และกำหนดการเก็บรักษาข้อมูลที่ชัดเจนสำหรับข้อมูลการเรียกเก็บเงินและบัญชี เนื่องจากข้อมูลการชำระเงินมักเป็นส่วนที่ผู้ใช้มองข้ามเมื่อให้ความสำคัญกับบันทึกการท่องเว็บเพียงอย่างเดียว การวิเคราะห์ความขัดแย้งในการไม่เก็บบันทึกของ SplitVPN ครอบคลุมคำถามเพิ่มเติมที่ควรถามก่อนไว้วางใจคำกล่าวอ้างด้านความเป็นส่วนตัวของผู้ให้บริการใด ๆ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณเป็นผู้ใช้ SplitVPN ในปัจจุบันหรืออดีต ให้ถือว่านี่เป็นเหตุการณ์ที่กำลังดำเนินอยู่ซึ่งต้องลงมือทำ ไม่ใช่แค่หัวข้อข่าวที่มองข้ามผ่าน การเปิดเผยหมายเลขบัตรชำระเงินหมายความว่าข้อมูลทางการเงินของคุณอาจเสี่ยงต่อการฉ้อโกง การเปิดเผยบันทึกการเชื่อมต่อหมายความว่ากิจกรรมที่คุณเชื่อว่าไม่เคยถูกบันทึก อาจถูกเชื่อมโยงกับบัญชีของคุณแล้ว และการเปิดเผยข้อมูลประจำตัวผู้ดูแลระบบหมายความว่าแพลตฟอร์มพื้นฐานอาจไม่ปลอดภัย จนกว่า SplitVPN จะยืนยันการแก้ไข
ขั้นตอนที่ควรทำหากคุณเป็นผู้ใช้ SplitVPN
ยกเลิกหรือเปลี่ยนวิธีการชำระเงินที่เชื่อมโยงกับบัญชี SplitVPN ของคุณ และตรวจสอบรายการเดินบัญชีอย่างใกล้ชิดเพื่อหาธุรกรรมที่ไม่ได้รับอนุญาต เปลี่ยนรหัสผ่าน SplitVPN ของคุณทันที และหากคุณใช้รหัสผ่านนั้นซ้ำที่อื่น เปลี่ยนที่นั่นด้วย เปิดใช้งานการยืนยันตัวตนสองขั้นตอนสำหรับบัญชีใดก็ตามที่มีให้บริการ ระวังความพยายามฟิชชิ่งที่อ้างอิงถึงการละเมิดนี้ เนื่องจากผู้โจมตีมักใช้ข้อมูลที่รั่วไหลเพื่อสร้างกลลวงติดตามที่น่าเชื่อถือ สุดท้าย หากคุณกำลังมองหา VPN ใหม่ ให้ให้ความสำคัญกับผู้ให้บริการที่มีคำกล่าวอ้างไม่เก็บบันทึกที่ผ่านการตรวจสอบโดยอิสระ มากกว่านโยบายที่รายงานด้วยตนเองเพียงอย่างเดียว
ความขัดแย้งเรื่องนโยบายไม่เก็บบันทึกจากการรั่วไหลของข้อมูล SplitVPN เป็นสัญญาณที่ชัดเจนว่า คำมั่นสัญญาด้านความเป็นส่วนตัวต้องการการพิสูจน์ ไม่ใช่แค่ข้อความทางการตลาด ผู้ใช้สมควรได้รับผู้ให้บริการที่สามารถแสดงให้เห็นคำกล่าวอ้างของตน ไม่ใช่แค่กล่าวอ้างเท่านั้น
