Một cơ sở dữ liệu SQL 17 GB hiện đang được chia sẻ trên diễn đàn tội phạm mạng Altenen đã làm dấy lên nghi vấn về một trong những lời hứa được lặp đi lặp lại nhiều nhất của ngành VPN: chính sách không lưu nhật ký. Cơ sở dữ liệu này, được cho là đánh cắp từ SplitVPN (trước đây là NotVPN), một VPN của Nga được quảng bá đặc biệt để vượt qua kiểm duyệt internet, được báo cáo chứa khoảng 23,4 triệu bản ghi người dùng và khoảng 58 triệu nhật ký kết nối. Đó là một con số đáng kinh ngạc đối với một dịch vụ xây dựng chiến lược tiếp thị dựa trên ý tưởng rằng họ hoàn toàn không lưu giữ nhật ký.

Đây không chỉ là câu chuyện về một nhà cung cấp VPN bị hack. Đây là lời nhắc nhở rằng một chính sách quyền riêng tư chỉ có giá trị như những thực tiễn đằng sau nó, và sự cố vi phạm tuyên bố không lưu nhật ký tại SplitVPN minh họa chính xác lý do tại sao người dùng cần phải xem xét kỹ lưỡng vượt ra ngoài những lời quảng cáo trước khi giao phó lưu lượng truy cập của mình cho một nhà cung cấp.

Điều Gì Đã Xảy Ra Trong Sự Cố Rò Rỉ Dữ Liệu SplitVPN

Theo báo cáo từ Security Affairs, một tác nhân đe dọa đã bắt đầu phân phối cơ sở dữ liệu trên một diễn đàn tội phạm mạng đã biết, và các nhà nghiên cứu tại Mysterium đã thu được một bản sao và xác minh nó dựa trên bản dump thô. Phân tích của họ xác nhận quy mô: hàng triệu tài khoản người dùng, thông tin thiết bị, chi tiết thanh toán và siêu dữ liệu kết nối, tất cả được cho là lấy từ một dịch vụ mà toàn bộ giá trị cốt lõi của nó dựa trên cam kết không lưu giữ chính xác loại dữ liệu này.

Chúng tôi đã đề cập đến phân tích kỹ thuật chi tiết về tập dữ liệu bị lộ trong bài viết trước đó về sự cố rò rỉ SplitVPN làm lộ 58 triệu nhật ký, bao gồm những danh mục dữ liệu nào được báo cáo là đã bị lộ và cách thức rò rỉ được xác minh. Nếu bạn đang sử dụng hoặc đã từng sử dụng SplitVPN, bài viết đó đáng được đọc toàn bộ, vì nó chỉ ra những thông tin nào có thể đã bị lộ và những bước mà người dùng bị ảnh hưởng nên cân nhắc.

Vấn đề cốt lõi không chỉ là một sự cố rò rỉ đã xảy ra. Rò rỉ dữ liệu xảy ra với các công ty trong mọi ngành nghề. Vấn đề là khoảng cách giữa những gì SplitVPN đã nói với người dùng về các thực tiễn dữ liệu của mình và những gì cơ sở dữ liệu bị rò rỉ dường như cho thấy. Nếu một VPN quảng cáo bản thân là một công cụ vượt qua kiểm duyệt không lưu nhật ký, và một cơ sở dữ liệu bị đánh cắp cho thấy hàng chục triệu bản ghi kết nối, thì đó không phải là một sự khác biệt nhỏ. Đó là một sự mâu thuẫn trực tiếp với lời hứa cốt lõi của sản phẩm.

Tại Sao Nhật Ký Kết Nối Làm Suy Yếu Những Lời Hứa Không Lưu Nhật Ký

Nhật ký kết nối không giống như lịch sử duyệt web, nhưng chúng vẫn có thể tiết lộ rất nhiều thông tin. Một nhật ký kết nối thường ghi lại thời điểm người dùng kết nối với máy chủ VPN, máy chủ nào họ đã sử dụng, phiên kết nối kéo dài bao lâu, và đôi khi cả địa chỉ IP mà họ kết nối từ đó. Đối với một VPN được tiếp thị hướng tới những người cố gắng vượt qua kiểm duyệt internet, loại siêu dữ liệu đó tự nó đã có thể rất nhạy cảm, vì nó có khả năng bị sử dụng để thiết lập các mẫu hình về thời điểm và cách thức một người truy cập internet, ngay cả khi không biết chính xác họ đã làm gì sau khi kết nối.

Một chính sách không lưu nhật ký thực sự có nghĩa là nhà cung cấp thiết kế hệ thống của họ sao cho thông tin này đơn giản là không được lưu giữ, thông qua việc chỉ sử dụng máy chủ RAM, dữ liệu phiên bị hủy ngay lập tức, hoặc cơ sở hạ tầng không bao giờ ghi siêu dữ liệu kết nối vào ổ đĩa ngay từ đầu. Khi một sự cố rò rỉ tiết lộ hàng triệu nhật ký kết nối nằm trong cơ sở dữ liệu, điều đó cho thấy nhà cung cấp đã thu thập và lưu trữ chính xác loại thông tin mà hoạt động tiếp thị của họ nói rằng họ sẽ không làm. Đó là vấn đề trung tâm mà sự cố SplitVPN minh họa: lời hứa và thực tiễn dường như không khớp nhau.

Cách Xác Minh Tuyên Bố Không Lưu Nhật Ký Của Một VPN Trước Khi Tin Tưởng

Các trang tiếp thị rất dễ viết. Bằng chứng có thể xác minh thì khó làm giả hơn, và đó là điều phân biệt một tuyên bố không lưu nhật ký đáng tin cậy với một tuyên bố rỗng tuếch. Trước khi tin tưởng giao lưu lượng truy cập của bạn cho một VPN, hãy tìm kiếm một vài tín hiệu cụ thể:

Những cuộc kiểm toán độc lập quan trọng hơn các chính sách tự báo cáo. Việc một công ty bảo mật bên thứ ba có uy tín xem xét cấu hình máy chủ của nhà cung cấp và xác nhận rằng không có nhật ký nhận dạng nào được lưu trữ có trọng lượng hơn nhiều so với một đoạn văn trên trang chính sách quyền riêng tư.

Các vụ kiện tại tòa án và yêu cầu từ cơ quan thực thi pháp luật có thể đóng vai trò như những bài kiểm tra thực tế. Nếu một nhà cung cấp trước đây đã bị buộc phải giao nộp dữ liệu người dùng và đơn giản là không có gì để giao, đó là một tín hiệu mạnh mẽ hơn một tuyên bố chưa được xác minh.

Báo cáo minh bạch, khu vực pháp lý và lịch sử sở hữu cũng đều quan trọng. Một nhà cung cấp có trụ sở tại quốc gia có luật bảo vệ dữ liệu mạnh mẽ, công bố các báo cáo minh bạch thường xuyên và có cấu trúc sở hữu rõ ràng thường dễ bị quy trách nhiệm hơn so với một nhà cung cấp che giấu thông tin về người điều hành nó.

Danh Sách Kiểm Tra: Những Dấu Hiệu Cảnh Báo Khi Chọn VPN Tập Trung Vào Quyền Riêng Tư

Khi bạn đánh giá một nhà cung cấp VPN, hãy chú ý đến những dấu hiệu cảnh báo sau: chưa từng có cuộc kiểm toán độc lập nào được công bố hoặc cuộc kiểm toán đã lỗi thời nhiều năm; quyền sở hữu hoặc khu vực pháp lý của công ty không rõ ràng hoặc thay đổi thường xuyên; chính sách quyền riêng tư sử dụng ngôn ngữ mơ hồ về dữ liệu "ẩn danh" hoặc "tổng hợp" mà không giải thích dữ liệu nào thực sự được thu thập; không có báo cáo minh bạch hoặc lịch sử phản hồi các yêu cầu pháp lý; và dịch vụ đã từng được đổi tên thương hiệu trước đây (như cách SplitVPN đã làm từ NotVPN) mà không có lời giải thích rõ ràng về những gì đã thay đổi trong vận hành.

Điều Này Có Ý Nghĩa Gì Đối Với Bạn

Nếu bạn hiện đang sử dụng SplitVPN, hãy coi đây là một tín hiệu để xem lại bài viết về sự cố rò rỉ SplitVPN làm lộ 58 triệu nhật ký và cân nhắc liệu thông tin tài khoản, thiết bị hoặc thanh toán của bạn có thể đã nằm trong cơ sở dữ liệu bị lộ hay không. Rộng hơn, sự cố này là một lời nhắc hữu ích để xem xét lại bất kỳ VPN nào bạn đang tin cậy, không phải vì mọi nhà cung cấp đều nói dối về các thực tiễn ghi nhật ký của họ, mà bởi vì sự tin tưởng trong lĩnh vực này nên được xây dựng thông qua xác minh, không phải mặc định từ một trang tiếp thị.

Sự cố vi phạm tuyên bố không lưu nhật ký tại SplitVPN không có nghĩa là các VPN không lưu nhật ký là điều hoang đường. Nó có nghĩa là chỉ riêng cái nhãn đó không phải là bằng chứng. Các nhà cung cấp có thể chỉ ra các cuộc kiểm toán độc lập, báo cáo minh bạch nhất quán và thành tích bảo vệ dữ liệu người dùng dưới áp lực pháp lý đã đạt được một mức độ tin cậy khác so với những nhà cung cấp chỉ dựa vào ngôn ngữ tiếp thị.

Những Điểm Hành Động Cụ Thể

Hãy kiểm tra xem nhà cung cấp VPN của bạn đã trải qua một cuộc kiểm toán độc lập gần đây và công khai về các tuyên bố không lưu nhật ký hay chưa. Xem xét khu vực pháp lý và lịch sử sở hữu của nhà cung cấp, vì những điều này ảnh hưởng đến dữ liệu nào có thể bị cơ quan pháp luật buộc phải giao nộp. Đọc các báo cáo minh bạch nếu nhà cung cấp công bố chúng, và coi sự vắng mặt của chúng là một lỗ hổng đáng để chất vấn. Nếu bạn là người dùng SplitVPN, hãy xem xét chi tiết về tập dữ liệu bị lộ và cân nhắc thay đổi bất kỳ mật khẩu hoặc thông tin thanh toán nào đã sử dụng lại có liên quan đến tài khoản đó. Và trong tương lai, hãy chọn các công cụ quyền riêng tư dựa trên bằng chứng có thể xác minh thay vì chỉ dựa vào những lời hứa suông.