Những gì vụ rò rỉ SplitVPN đã phơi bày

Một dịch vụ VPN có tên SplitVPN, được tiếp thị như một công cụ vượt qua kiểm duyệt Internet, đang là tâm điểm của một vụ rò rỉ dữ liệu làm suy yếu chính lời hứa mà nó đã bán cho người dùng. Theo báo cáo từ Security Affairs, một cơ sở dữ liệu SQL bị đánh cắp dung lượng 17 GB, bị cáo buộc có liên quan đến SplitVPN, chứa hàng triệu bản ghi về người dùng, thiết bị và thanh toán, cùng với 58 triệu bản ghi nhật ký kết nối. Chi tiết cuối cùng này mới là điều quan trọng nhất, bởi vì SplitVPN tự quảng cáo là dịch vụ không ghi nhật ký (no-logs), tức là nó tuyên bố không ghi lại loại dữ liệu hoạt động có thể liên kết danh tính người dùng với hành vi trực tuyến của họ.

Quy mô của vụ rò rỉ, với hàng chục triệu bản ghi kết nối cùng với thông tin thanh toán và thiết bị, cho thấy đây không phải là một sơ suất kỹ thuật nhỏ. Nó chỉ ra một hoạt động mang tính hệ thống là lưu giữ chính xác loại dữ liệu mà chính sách không ghi nhật ký được cho là sẽ loại trừ. Đối với một dịch vụ được xây dựng để giúp mọi người lách qua kiểm duyệt, thường là ở những khu vực mà hoạt động giám sát kỹ thuật số mang lại rủi ro cá nhân thực sự, kiểu rò rỉ này không chỉ là một sự bối rối. Nó là sự mâu thuẫn trực tiếp với lời hứa an toàn mà người dùng đã tin tưởng.

Làm thế nào một VPN 'không ghi nhật ký' lại ghi lại mọi thứ

Khoảng cách giữa những gì nhà cung cấp VPN nói trong quảng cáo và những gì thực sự diễn ra trên máy chủ của họ không phải là vấn đề mới, nhưng vụ SplitVPN là một lời nhắc nhở rõ ràng về mức độ rộng lớn của khoảng cách đó. Một tuyên bố “không ghi nhật ký”, về cốt lõi, là một tuyên bố chính sách. Nó mô tả những gì công ty nói họ sẽ không làm. Không có điều gì trong tuyên bố đó được tự động xác minh bởi cơ chế kỹ thuật hay một bên ngoài. Trừ khi nhà cung cấp chịu sự giám sát độc lập, tuyên bố đó chỉ tồn tại trên một trang web.

Điều có thể đã xảy ra ở đây là một mô hình phổ biến trong ngành VPN: siêu dữ liệu kết nối, dấu thời gian, địa chỉ IP, chi tiết phiên và thông tin tài khoản được thu thập vì các lý do vận hành như khắc phục sự cố, chống gian lận hoặc thanh toán, và dữ liệu đó không bao giờ được xóa sạch hoàn toàn. Theo thời gian, nó tích tụ thành chính xác loại hồ sơ mà chính sách không ghi nhật ký tuyên bố là không tồn tại. Khi một cơ sở dữ liệu như vậy bị xâm phạm hoặc để lộ ra ngoài, sự không khớp giữa chính sách và thực tiễn sẽ trở nên công khai theo cách tồi tệ nhất có thể.

Tại sao các tuyên bố không ghi nhật ký chưa được kiểm toán không thể tin cậy

Sự cố này là một nghiên cứu tình huống hữu ích về lý do tại sao tuyên bố không ghi nhật ký, tự nó, không bao giờ nên được coi là bằng chứng về quyền riêng tư. Bất kỳ nhà cung cấp VPN nào cũng có thể viết “chúng tôi không ghi lại hoạt động của bạn” trên trang chủ của họ. Tuyên bố chỉ trở nên đáng tin cậy khi nó được hậu thuẫn bởi điều gì đó bên ngoài: một cuộc kiểm toán bảo mật của bên thứ ba, một vụ kiện tại tòa án nơi chính quyền yêu cầu nhật ký nhưng thực sự không có, hoặc một lịch sử minh bạch về báo cáo công khai nhất quán. Nếu không có loại xác minh đó, chính sách không ghi nhật ký chỉ là một tuyên bố tiếp thị, không phải sự đảm bảo.

Bài học rộng hơn vượt ra ngoài VPN. Rất nhiều công cụ bảo mật và quyền riêng tư đưa ra những lời hứa táo bạo nghe có vẻ yên tâm nhưng lại khó để người dùng thông thường xác minh. Sự hoài nghi tương tự áp dụng ở đây cũng đáng được áp dụng ở những nơi khác trong thế giới bảo mật; chẳng hạn, báo cáo về các khoản thanh toán ransomware cũng đã chỉ ra rằng một giả định phổ biến – trong trường hợp đó là việc trả tiền chuộc sẽ giải quyết vấn đề – không đứng vững một khi dữ liệu độc lập được xem xét. Các tuyên bố cần bằng chứng, không chỉ là ý định.

Cách thẩm định chính sách quyền riêng tư của VPN trước khi bạn tin tưởng

Trước khi đăng ký bất kỳ VPN nào, đặc biệt là những dịch vụ được tiếp thị cho các trường hợp sử dụng có rủi ro cao như vượt qua kiểm duyệt, bạn nên thực hiện một số kiểm tra cụ thể thay vì chỉ nhìn vào nhãn không ghi nhật ký theo nghĩa đen:

  • Hãy tìm một cuộc kiểm toán bảo mật của bên thứ ba đã hoàn thành và được công bố, không chỉ là một tham chiếu mơ hồ về việc đã được “kiểm toán”. Các nhà cung cấp uy tín sẽ nêu tên công ty kiểm toán và công bố các phát hiện.
  • Kiểm tra xem nhà cung cấp có lịch sử được ghi chép lại hay không, lý tưởng nhất là bao gồm các trường hợp yêu cầu của cơ quan thực thi pháp luật xác nhận không tồn tại nhật ký hữu ích nào.
  • Đọc chính sách quyền riêng tư thực tế, không chỉ các trang tiếp thị, để xem những loại dữ liệu nào được thu thập cho mục đích thanh toán, khắc phục sự cố hoặc chống gian lận, và dữ liệu đó được lưu giữ trong bao lâu.
  • Nghiên cứu quyền sở hữu và khu vực pháp lý của công ty, vì nghĩa vụ lưu giữ dữ liệu khác biệt đáng kể theo từng quốc gia.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn sử dụng SplitVPN, hay bất kỳ VPN nào, vụ rò rỉ dữ liệu không ghi nhật ký của SplitVPN là một lời nhắc nhở để định kỳ đánh giá lại liệu dịch vụ bạn đang trả tiền có chứng minh được các tuyên bố về quyền riêng tư bằng bằng chứng thực sự hay không. Nếu nhà cung cấp của bạn chưa bao giờ công bố một cuộc kiểm toán độc lập, điều đó đáng được coi là một dấu hiệu cảnh báo hơn là một tiểu tiết kỹ thuật. Đối với người dùng ở những khu vực dễ bị kiểm duyệt, nơi mà một vụ rò rỉ nhật ký kết nối có thể mang lại các hậu quả cá nhân thực sự, sự xem xét kỹ lưỡng này không phải là tùy chọn; nó là điều thiết yếu.

Những điểm chính

Vụ việc SplitVPN nhấn mạnh một sự thật đơn giản: lời hứa về quyền riêng tư chỉ mạnh mẽ như bằng chứng đằng sau nó. Trước khi tin tưởng bất kỳ VPN nào với dữ liệu kết nối của bạn, hãy xác minh tuyên bố không ghi nhật ký của nó thông qua các cuộc kiểm toán độc lập và báo cáo minh bạch, thay vì chỉ dựa vào ngôn từ tiếp thị. Xem xét lại chính sách của nhà cung cấp hiện tại của bạn, kiểm tra xác minh của bên thứ ba và đừng ngần ngại chuyển đổi nếu bằng chứng không thuyết phục.