ฐานข้อมูล SQL ขนาด 17 GB ที่กำลังแพร่สะพัดในฟอรั่มอาชญากรรมไซเบอร์ Altenen ได้ทำให้หนึ่งในคำมั่นสัญญาที่ถูกพูดซ้ำบ่อยที่สุดของอุตสาหกรรม VPN ถูกจับตามอง: นโยบายไม่เก็บบันทึกข้อมูล ฐานข้อมูลดังกล่าวซึ่งอ้างว่าถูกขโมยจาก SplitVPN (เดิมชื่อ NotVPN) ซึ่งเป็น VPN สัญชาติรัสเซียที่ทำตลาดเฉพาะเจาะจงเพื่อการหลบเลี่ยงการเซ็นเซอร์อินเทอร์เน็ต มีรายงานว่าประกอบด้วยข้อมูลผู้ใช้ประมาณ 23.4 ล้านระเบียน และบันทึกการเชื่อมต่อประมาณ 58 ล้านรายการ นั่นคือตัวเลขที่น่าตกใจสำหรับบริการที่สร้างการตลาดโดยรอบแนวคิดที่ว่ามันไม่เก็บบันทึกใด ๆ เลย

นี่ไม่ใช่แค่เรื่องราวเกี่ยวกับผู้ให้บริการ VPN รายหนึ่งที่ถูกแฮก แต่มันเป็นเครื่องเตือนใจว่านโยบายความเป็นส่วนตัวนั้นดีพอ ๆ กับแนวปฏิบัติที่อยู่เบื้องหลังเท่านั้น และการรั่วไหลของคำกล่าวอ้างไม่เก็บบันทึกของ VPN ที่ SplitVPN แสดงให้เห็นอย่างชัดเจนว่าเหตุใดผู้ใช้จึงจำเป็นต้องมองให้ไกลกว่าข้อความทางการตลาดก่อนที่จะไว้วางใจผู้ให้บริการด้วยทราฟฟิกของตน

เกิดอะไรขึ้นในการรั่วไหลของ SplitVPN

ตามรายงานจาก Security Affairs ผู้ก่อภัยคุกคามเริ่มแจกจ่ายฐานข้อมูลบนฟอรั่มอาชญากรรมไซเบอร์ที่เป็นที่รู้จัก และนักวิจัยจาก Mysterium ได้รับสำเนาและตรวจสอบเทียบกับข้อมูลดิบที่รั่วไหล การวิเคราะห์ของพวกเขายืนยันขนาด: บัญชีผู้ใช้หลายล้านบัญชี ข้อมูลอุปกรณ์ รายละเอียดการชำระเงิน และข้อมูลเมตาของการเชื่อมต่อ ทั้งหมดถูกกล่าวหาว่าดึงมาจากบริการที่คุณค่าทั้งหมดของข้อเสนอขึ้นอยู่กับการไม่เก็บบันทึกข้อมูลประเภทนี้อย่างชัดเจน

เราได้อธิบายรายละเอียดทางเทคนิคของชุดข้อมูลที่ถูกเปิดเผยอย่างเจาะลึกในบทความก่อนหน้าของเราเกี่ยวกับ การรั่วไหลของ SplitVPN ที่เปิดเผยบันทึก 58 ล้านรายการ รวมถึงหมวดหมู่ของข้อมูลที่ถูกรายงานว่ารวมอยู่ด้วยและกระบวนการตรวจสอบการรั่วไหล หากคุณใช้หรือเคยใช้ SplitVPN บทความนั้นควรค่าแก่การอ่านอย่างละเอียด เพราะมันระบุว่าข้อมูลใดที่อาจถูกเปิดเผยและขั้นตอนใดที่ผู้ใช้ที่ได้รับผลกระทบควรพิจารณา

ปัญหาหลักไม่ใช่แค่ว่าการรั่วไหลเกิดขึ้น การรั่วไหลเกิดกับบริษัทในทุกอุตสาหกรรม ปัญหาคือช่องว่างระหว่างสิ่งที่ SplitVPN บอกผู้ใช้เกี่ยวกับแนวปฏิบัติด้านข้อมูลของมันกับสิ่งที่ฐานข้อมูลที่รั่วไหลดูเหมือนจะแสดงออกมา หาก VPN โฆษณาตัวเองว่าเป็นเครื่องมือหลบเลี่ยงการเซ็นเซอร์ที่ไม่มีบันทึกข้อมูล และฐานข้อมูลที่ถูกขโมยแสดงบันทึกการเชื่อมต่อนับสิบล้านรายการ นั่นไม่ใช่ความคลาดเคลื่อนเล็กน้อย แต่เป็นการขัดแย้งโดยตรงกับคำมั่นสัญญาหลักของผลิตภัณฑ์

เหตุใดบันทึกการเชื่อมต่อจึงสั่นคลอนคำมั่นสัญญาไม่เก็บบันทึก

บันทึกการเชื่อมต่อไม่ใช่สิ่งเดียวกับประวัติการท่องเว็บ แต่พวกมันก็ยังสามารถเปิดเผยข้อมูลได้อย่างลึกซึ้ง โดยทั่วไปบันทึกการเชื่อมต่อจะบันทึกว่าผู้ใช้เชื่อมต่อกับเซิร์ฟเวอร์ VPN เมื่อใด ใช้เซิร์ฟเวอร์ใด เซสชันนั้นยาวนานเท่าใด และบางครั้งรวมถึงที่อยู่ IP ที่ใช้เชื่อมต่อ สำหรับ VPN ที่ทำการตลาดกับผู้ที่พยายามหลีกเลี่ยงการเซ็นเซอร์อินเทอร์เน็ต ข้อมูลเมตาประเภทนี้สามารถอ่อนไหวได้ในตัวมันเอง เพราะมันอาจถูกใช้เพื่อสร้างรูปแบบว่าเมื่อใดและอย่างไรที่ใครบางคนเข้าถึงอินเทอร์เน็ต โดยไม่จำเป็นต้องรู้ว่าพวกเขาทำอะไรเมื่อเชื่อมต่อแล้ว

นโยบายไม่เก็บบันทึกที่แท้จริงหมายความว่าผู้ให้บริการออกแบบระบบของตนเพื่อไม่ให้เก็บรักษาข้อมูลนี้เลย ไม่ว่าจะผ่านเซิร์ฟเวอร์ที่ใช้แรมเท่านั้น ข้อมูลเซสชันที่ถูกทิ้งทันที หรือโครงสร้างพื้นฐานที่ไม่เคยเขียนข้อมูลเมตาการเชื่อมต่อลงดิสก์ตั้งแต่แรก เมื่อการรั่วไหลเผยให้เห็นบันทึกการเชื่อมต่อหลายล้านรายการที่อยู่ในฐานข้อมูล มันบ่งชี้ว่าผู้ให้บริการกำลังรวบรวมและจัดเก็บข้อมูลประเภทที่เป็นข้อความการตลาดบอกว่าจะไม่เก็บ นั่นคือปัญหาหลักที่เหตุการณ์ SplitVPN แสดงให้เห็น: คำมั่นสัญญากับแนวปฏิบัติดูเหมือนจะไม่ตรงกัน

วิธีตรวจสอบคำกล่าวอ้างไม่เก็บบันทึกของ VPN ก่อนไว้วางใจ

หน้าเพจการตลาดเขียนได้ง่าย หลักฐานที่ตรวจสอบได้นั้นปลอมแปลงได้ยากกว่า และคือสิ่งที่แยกคำกล่าวอ้างไม่เก็บบันทึกที่น่าเชื่อถือออกจากคำกล่าวอ้างที่ว่างเปล่า ก่อนที่จะไว้วางใจ VPN ด้วยทราฟฟิกของคุณ ให้มองหาสัญญาณที่เป็นรูปธรรมเหล่านี้:

การตรวจสอบอิสระสำคัญกว่านโยบายที่รายงานด้วยตนเอง การที่บริษัทความปลอดภัยบุคคลที่สามที่มีชื่อเสียงทบทวนการกำหนดค่าเซิร์ฟเวอร์ของผู้ให้บริการและยืนยันว่าไม่มีบันทึกระบุตัวตนเก็บอยู่มีน้ำหนักมากกว่าย่อหน้าบนหน้านโยบายความเป็นส่วนตัว

คดีในศาลและคำร้องขอจากหน่วยงานบังคับใช้กฎหมายสามารถเป็นบททดสอบในโลกจริงได้ หากผู้ให้บริการเคยถูกบังคับให้ส่งมอบข้อมูลผู้ใช้และไม่มีอะไรจะให้เลย นั่นเป็นสัญญาณที่แข็งแกร่งกว่าคำกล่าวอ้างที่ไม่ได้ตรวจสอบ

รายงานความโปร่งใส เขตอำนาจศาล และประวัติการเป็นเจ้าของก็มีความสำคัญเช่นกัน ผู้ให้บริการที่ตั้งอยู่ในประเทศที่มีกฎหมายคุ้มครองข้อมูลที่แข็งแกร่ง เผยแพร่รายงานความโปร่งใสเป็นประจำ และมีโครงสร้างความเป็นเจ้าของที่ชัดเจน โดยทั่วไปแล้วจะรับผิดชอบได้ง่ายกว่าผู้ให้บริการที่ปิดบังว่าใครเป็นผู้ดำเนินการ

รายการตรวจสอบ: สัญญาณเตือนเมื่อเลือก VPN ที่เน้นความเป็นส่วนตัว

ขณะที่คุณประเมินผู้ให้บริการ VPN ให้ระวังสัญญาณเตือนเหล่านี้: ไม่เคยมีการเผยแพร่การตรวจสอบอิสระหรือการตรวจสอบนั้นล้าสมัยเป็นปี ๆ; ความเป็นเจ้าของหรือเขตอำนาจศาลของบริษัทไม่ชัดเจนหรือเปลี่ยนแปลงบ่อย; นโยบายความเป็นส่วนตัวใช้ภาษาคลุมเครือเกี่ยวกับข้อมูลที่ "ไม่ระบุชื่อ" หรือ "แบบรวม" โดยไม่อธิบายว่ามีการเก็บข้อมูลอะไรจริง ๆ; ไม่มีรายงานความโปร่งใสหรือประวัติการตอบสนองต่อคำขอทางกฎหมาย; และบริการเคยเปลี่ยนชื่อ (เหมือนที่ SplitVPN เปลี่ยนมาจาก NotVPN) โดยไม่มีคำอธิบายที่ชัดเจนว่ามีอะไรเปลี่ยนแปลงในการดำเนินงาน

สิ่งนี้หมายความอย่างไรสำหรับคุณ

หากคุณกำลังใช้ SplitVPN อยู่ ให้ถือว่านี่เป็นสัญญาณให้อ่านบทความเกี่ยวกับ การรั่วไหลของ SplitVPN ที่เปิดเผยบันทึก 58 ล้านรายการ และพิจารณาว่าบัญชี อุปกรณ์ หรือข้อมูลการชำระเงินของคุณอาจรวมอยู่ในฐานข้อมูลที่ถูกเปิดเผยหรือไม่ ในวงกว้าง เหตุการณ์นี้เป็นตัวกระตุ้นที่มีประโยชน์ให้ตรวจสอบ VPN ใด ๆ ที่คุณพึ่งพาอีกครั้ง ไม่ใช่เพราะผู้ให้บริการทุกรายโกหกเกี่ยวกับแนวปฏิบัติบันทึกข้อมูลของตน แต่เป็นเพราะความไว้วางใจในพื้นที่นี้ควรได้รับผ่านการตรวจสอบ ไม่ใช่คาดเดาจากหน้าการตลาด

การรั่วไหลของคำกล่าวอ้างไม่เก็บบันทึกของ VPN ที่ SplitVPN ไม่ได้หมายความว่า VPN แบบไม่เก็บบันทึกเป็นเรื่องลวง แต่มันหมายความว่าฉลากเพียงอย่างเดียวไม่ใช่ข้อพิสูจน์ ผู้ให้บริการที่สามารถชี้ไปยังการตรวจสอบอิสระ รายงานความโปร่งใสที่สม่ำเสมอ และประวัติการปกป้องข้อมูลผู้ใช้ภายใต้แรงกดดันทางกฎหมาย ได้รับความไว้วางใจในระดับที่แตกต่างจากผู้ที่พึ่งพาภาษาการตลาดเพียงอย่างเดียว

ข้อปฏิบัติที่นำไปใช้ได้

ตรวจสอบว่าผู้ให้บริการ VPN ของคุณผ่านการตรวจสอบอิสระเกี่ยวกับคำกล่าวอ้างไม่เก็บบันทึกที่เผยแพร่ต่อสาธารณะเมื่อเร็ว ๆ นี้หรือไม่ ตรวจสอบเขตอำนาจศาลและประวัติการเป็นเจ้าของของผู้ให้บริการ เพราะสิ่งเหล่านี้ส่งผลต่อข้อมูลที่สามารถถูกบังคับตามกฎหมายให้ส่งมอบได้ อ่านรายงานความโปร่งใสหากผู้ให้บริการเผยแพร่ และถือว่าการไม่มีรายงานนั้นเป็นช่องว่างที่ควรตั้งคำถาม หากคุณเป็นผู้ใช้ SplitVPN ให้ตรวจสอบรายละเอียดของชุดข้อมูลที่ถูกเปิดเผย และพิจารณาเปลี่ยนรหัสผ่านที่ใช้ซ้ำหรือข้อมูลการชำระเงินที่เชื่อมโยงกับบัญชีนั้น และต่อจากนี้ไป เลือกเครื่องมือความเป็นส่วนตัวโดยอิงจากหลักฐานที่ตรวจสอบได้ มากกว่าคำมั่นสัญญาเพียงอย่างเดียว