SplitVPN ihlali neleri açığa çıkardı

İnternet sansürünü aşmak için bir araç olarak pazarlanan SplitVPN adlı bir VPN hizmeti, kullanıcılarına sattığı vaadi temelden sarsan bir veri sızıntısının merkezinde yer alıyor. Security Affairs'ın bir raporuna göre, SplitVPN ile bağlantılı olduğu iddia edilen çalıntı 17 GB'lık bir SQL veritabanı, 58 milyon bağlantı kaydının yanı sıra milyonlarca kullanıcı, cihaz ve ödeme kaydını içeriyordu. En çok önem taşıyan ayrıntı da bu sonuncusu, çünkü SplitVPN kendisini kayıt tutmayan (no-logs) bir hizmet olarak tanıtıyor, yani bir kullanıcının kimliğini çevrimiçi davranışlarıyla ilişkilendirebilecek türde etkinlik verilerini kaydetmediğini iddia ediyordu.

Sızıntının ölçeği —ödeme ve cihaz bilgileriyle birlikte on milyonlarca bağlantı kaydı— bunun küçük bir teknik ihmal olmadığını gösteriyor. Kayıt tutmama politikasının tam olarak engellemesi gereken verileri sistematik biçimde saklama pratiğine işaret ediyor. İnsanların sansürü aşmasına yardımcı olmak üzere kurgulanmış, genellikle dijital gözetimin gerçek kişisel riskler taşıdığı bölgelerde kullanılan bir hizmet için bu tür bir sızıntı, utanç verici olmanın ötesine geçiyor. Kullanıcıların güvendiği güvenlik vaadinin doğrudan bir çelişkisi anlamına geliyor.

'Kayıt tutmayan' bir VPN nasıl her şeyi kaydeder hale geldi

VPN sağlayıcılarının pazarlamada söyledikleriyle sunucularında gerçekte olanlar arasındaki uçurum yeni bir sorun değil, ancak SplitVPN vakası bu uçurumun ne kadar geniş olabileceğinin çarpıcı bir hatırlatıcısı. "Kayıt tutmama" iddiası, özünde bir politika beyanıdır. Bir şirketin yapmayacağını söylediği şeyi tarif eder. Bu beyanı otomatik olarak doğrulayan teknik bir mekanizma ya da harici bir taraf yoktur. Sağlayıcı bağımsız bir denetime tabi olmadığı sürece, bu iddia yalnızca bir web sayfasında var olur.

Burada büyük olasılıkla VPN sektöründe yaygın bir örüntü yaşandı: sorun giderme, dolandırıcılık önleme veya faturalandırma gibi operasyonel nedenlerle bağlantı metaverileri, zaman damgaları, IP adresleri, oturum ayrıntıları ve hesap bilgileri toplanıyor ve bu veriler hiçbir zaman tamamen silinmiyor. Zamanla, kayıt tutmama politikasının var olmadığını iddia ettiği profilin ta kendisi birikiyor. Böyle bir veritabanı ihlal edildiğinde veya açıkta bırakıldığında, politika ile uygulama arasındaki uyumsuzluk en kötü şekilde kamuya açık hale geliyor.

Denetlenmemiş kayıt tutmama iddialarına neden güvenilemez

Bu olay, kayıt tutmama iddiasının tek başına neden asla bir gizlilik kanıtı olarak görülmemesi gerektiğine dair faydalı bir vaka çalışmasıdır. Herhangi bir VPN sağlayıcısı ana sayfasına "etkinliğinizi kaydetmiyoruz" yazabilir. Bu iddia, yalnızca harici bir şey tarafından desteklendiğinde inandırıcı hale gelir: üçüncü taraf bir güvenlik denetimi, yetkililerin gerçekten var olmayan kayıtları talep ettiği bir mahkeme davası veya tutarlı kamu raporlamasından oluşan şeffaf bir geçmiş. Bu tür bir doğrulama olmadan, kayıt tutmama politikası bir garantiden ziyade bir pazarlama ifadesidir.

Buradan çıkarılacak daha geniş ders VPN'lerin ötesine uzanıyor. Pek çok güvenlik ve gizlilik aracı, kulağa rahatlatıcı gelen ancak ortalama bir kullanıcının doğrulaması zor olan cesur vaatlerde bulunur. Burada geçerli olan şüphecilik, güvenlik dünyasının başka alanlarına da uygulanmaya değer; örneğin, fidye yazılımı ödemelerine dair raporlama, benzer şekilde, yaygın bir varsayımın —bu durumda fidye ödemenin sorunu çözdüğü varsayımının— bağımsız veriler incelendiğinde geçerliliğini yitirdiğini göstermiştir. İddiaların niyetten fazlasına, kanıta ihtiyacı vardır.

Bir VPN'e güvenmeden önce gizlilik politikasını nasıl değerlendirirsiniz

Herhangi bir VPN'e, özellikle de sansürü aşmak gibi yüksek riskli kullanım durumları için pazarlanan bir VPN'e abone olmadan önce, kayıt tutmama etiketini olduğu gibi kabul etmek yerine birkaç somut kontrol yapmaya değer:

  • Yalnızca "denetlendiğine" dair muğlak bir atıf değil, tamamlanmış ve yayınlanmış bir üçüncü taraf güvenlik denetimi arayın. Saygın sağlayıcılar denetim firmasının adını verir ve bulguları yayınlar.
  • Sağlayıcının belgelenmiş bir geçmişi olup olmadığını, ideal olarak kolluk kuvveti taleplerinin yararlı hiçbir kaydın var olmadığını doğruladığı örnekleri kontrol edin.
  • Faturalandırma, sorun giderme veya dolandırıcılık önleme amacıyla hangi veri kategorilerinin toplandığını ve bu verilerin ne kadar süreyle saklandığını görmek için yalnızca pazarlama sayfalarını değil, asıl gizlilik politikasını okuyun.
  • Veri saklama yükümlülükleri ülkeye göre önemli ölçüde değiştiğinden, şirketin sahipliğini ve yargı yetkisini araştırın.

Bu Sizin İçin Ne Anlama Geliyor

SplitVPN veya herhangi bir VPN kullanıyorsanız, SplitVPN'in kayıt tutmama veri sızıntısı, ödeme yaptığınız hizmetin gizlilik iddialarını gerçek kanıtlarla destekleyip desteklemediğini periyodik olarak yeniden değerlendirmeniz için bir hatırlatmadır. Sağlayıcınız hiçbir zaman bağımsız bir denetim yayınlamadıysa, bunu bir formaliteden ziyade bir kırmızı bayrak olarak değerlendirmeye değer. Sansürün yoğun olduğu bölgelerdeki, bağlantı kayıtlarının ihlalinin gerçek kişisel sonuçlar doğurabileceği kullanıcılar için bu inceleme isteğe bağlı değil; zorunludur.

Önemli Noktalar

SplitVPN olayı basit bir gerçeğin altını çiziyor: bir gizlilik vaadi, ancak arkasındaki kanıt kadar güçlüdür. Bağlantı verilerinizi herhangi bir VPN'e emanet etmeden önce, yalnızca pazarlama diline güvenmek yerine bağımsız denetimler ve şeffaflık raporları aracılığıyla kayıt tutmama iddiasını doğrulayın. Mevcut sağlayıcınızın politikasını gözden geçirin, üçüncü taraf doğrulaması olup olmadığını kontrol edin ve kanıtlar yetersiz kalıyorsa değiştirmekten çekinmeyin.