Podjetja morajo razumeti tveganje vpn storitev

Kot lahko razberete iz nedavnega pregledovanja pregledov storitev navideznega zasebnega omrežja (VPN), ti izdelki obstajajo iz številnih razlogov, ki niso vsi pomembni za poslovno uporabo. Na primer, malo je verjetno, da bo vaše osebje v IT imelo poslovnega razloga za ogled filmov, ki so aktivno blokirani v določeni geografski regiji, kot je na primer Kitajska.

Namesto tega bi morali tipični razlogi, da podjetje skoraj v celoti uporablja varnostni center VPN. Zaščita naprave z uporabo VPN, zaščita njenih podatkov med prevozom in zaščita poslovnega omrežja, na katero se povezuje VPN - to je veliko podlag. Za izpolnjevanje zahtev glede prenosa zdravstvenih ali finančnih podatkov boste morda potrebovali tudi VPN. Morda želite zagotoviti, da vaši konkurenti ne vidijo, kaj nameravate. Ali kar je bolj pogosto v zadnjem času, ne želite, da tuja vlada odpravi svojo intelektualno lastnino (IP).

Pravilno konfiguriran VPN bi moral upravljati vse te trike. Vaša povezava med dvema ločenima točkama na internetu je šifrirana z uporabo močnih algoritmov, ki bi morali preprečiti, da bi kdo preusmeril vašo konkurenčno podjetje čez cesto ali delajo za Kim Jong-Un - da ne prestreže vaše komunikacije. Ali pa bodo?

Kaj resnično počne vaš VPN?

To je vprašanje, ki ga je zastavilo ameriško ministrstvo za domovinsko varnost (DHS) po naročilu senatorjev Rona Wydena (D-OR) in Marca Rubia (R-FL). V pismu Christopherju C. Krebsu, direktorju novoustanovljene agencije za varnost kibernetske varnosti in infrastrukture, sta dva senatorja zapisala, da so številne storitve VPN v lasti korporacij zunaj ZDA in da bodo morda lahko pridobivale informacije (enake podatke, za katere so uporabniki menili, da so zaščiteni) in jih nato delijo z drugimi.

Prvič, ali je mogoče, da brezobziren ponudnik VPN komunikacije v dekriptirani obliki deli z drugimi? In drugič, ali se takšna skupna raba dejansko dogaja?

Odgovor na prvo vprašanje je nedvoumno "da". S čisto tehnične perspektive je ponudnik popolnoma možen, da deli vse zasebne podatke, ki jih pretakate skozi svoje VPN cevi. Odgovor na drugo vprašanje je seveda "morda", saj je odvisno od ponudnika, kdo upravlja to organizacijo, potencialno kje se nahaja, in na koncu, kakšna je njihova etika. To so vprašanja, ki jih postavlja DHS.

Razlog za to je, ker deluje večina ponudnikov VPN. Ko nastavite sejo VPN, ustvarite šifriran predor med računalnikom ali omrežjem in strežnikom na lokaciji ponudnika VPN. Od takrat se vaša povezava pošlje do končnega cilja. Medtem ko vaši podatki potekajo prek strežnikov ponudnika VPN, so morda v nešifriranem stanju in se lahko ponovno šifrirajo, ko so poslani na drugi konec vaše povezave.

Medtem ko nekateri ponudniki VPN hranijo vaše podatke šifrirane skozi celoten postopek, nekateri morda ne. In kateri koli od njih lahko vaše podatke dešifrira, če tako odloči. Tveganje je v času, ko vaši podatki preživijo na strežnikih ponudnika VPN. Brezvestni ponudnik lahko neskriptirano različico vaših podatkov pošlje nekomu drugemu, ko je ta v njihovi lasti. Kako se soočate s tem scenarijem, kako zaščitite podatke podjetja?

(Kreditna slika: Statista)

Kako se zaščititi pred izgubo podatkov

Najprej poznajte svojega ponudnika VPN. Če ste podjetje s sedežem v ZDA, morate vedeti, da za ponudnika VPN s sedežem v ZDA veljajo ameriški zakoni o varstvu podatkov; ponudnik, ki se nahaja drugje, morda ne. Če se nahajate v Evropi ali drugi državi, boste želeli vedeti, da se z vašimi podatki ravna tudi v skladu z lokalnimi zakoni.

Francis Dinha, ustanovitelj in izvršni direktor OpenVPN-a, je dejal, da bi morali imeti to rdečo zastavo, če se ponudnik VPN nahaja v tujini. "Ko imate podjetje, ki deluje zunaj države, se izpostavljate varnostnim tveganjem, " je dejal. "Kdo ve, ali se podatki v vaši napravi delijo nekomu drugemu?"

Dinha poudarja, da obstajajo tudi druge rdeče zastave, zlasti ne glede na to, ali je VPN na voljo brezplačno. Z brezplačno storitvijo VPN ste izdelek, pojasnjuje. To lahko pomeni, da vas lahko uporaba vaše VPN izpostavi oglaševanju ali pa boste svoje dejavnosti delili z drugimi za namene trženja ali pa boste morda ugotovili, da se vaši podatki delijo s subjekti, ki vam niso najbolj zanimivi.

"Ne bi smeli uporabljati VPN, ki omogoča hudourniške ali medsebojne povezave, " je dejala Dinha. "Lahko je tretja oseba, ki lahko namesti zlonamerno vsebino."

Te povezave drugih osebnih povezav lahko tudi pridobivajo podatke iz vašega omrežja. Svojim strankam lahko dovolijo, da namestijo zadnja vrata za kasnejšo uporabo, in jim lahko omogočijo dostop do omrežnih sredstev ves čas, ko je VPN aktiven. Medtem ko se lahko mnogi potrošniki in porabniki VPN tehnologije nasmehnejo tem nasvetom - pogosto uporabljajo določen VPN posebej, ker omogoča hudournike in medsebojno uporabo -, se ti uporabniki prav tako zavedajo teh možnih varnostnih tveganj. Pripravljeni so jih vzeti in verjetno bodo namestili veliko programske opreme za zaščito končnih točk. Na drugi strani je večina podjetij verjetno preprosto vključenih v prenos podatkov in varne oddaljene povezave, kar pomeni, da jim dodatna tveganja končnih točk preprosto niso vredna.

Dinha je dejal, da se lahko katero koli VPN, vključno s tistimi s sedežem v ZDA, zlorabi, zato je ključnega pomena, da preverite svojega ponudnika VPN, da bo zagotovil storitev, za katero menite, da jo dobivate. Dejal je, da je dober način, da se prepričate, da imate opravka z uglednim ponudnikom VPN, da potrdite, da je podjetje ugledno na druge načine. Na primer poiščite podjetja, ki imajo varnostno utemeljitev, na primer podjetja za požarni zid ali podjetja za varnostno programsko opremo.

Dinha je poudarila, da nikoli ne uporabljate VPN-ja, kjer ne morete upravljati strežnika. Predlaga tudi, da zagotovite popoln nadzor nad upravljanjem ključev. Tudi s poslovnega vidika je to dobra ideja. Vendar večina potrošnikov ne bo vzpostavljala svojih strežnikov VPN. V bistvu je celotna ideja potrošniških VPN-jev ta, da jim tega ni treba storiti. Uporabniki in porabniki energije morajo svoj čas in vire pretehtati glede na koristi, ki jih prinaša celovit nadzor nad njihovimi VPN. Podjetja si lahko privoščijo, da so bolj trda, zlasti podjetja s stalnim IT osebjem - in verjetno bi morala biti.

Kakšno rešitev VPN uporabiti

Verjetno že razmišljate, da uporaba potrošniške VPN storitve, pri kateri ste tunel v strežnik v drugi državi, ki vas nato poveže s spletnim mestom, ki se nahaja drugje, ni najboljša poslovna praksa. Dinha se strinja in poudarja, da te storitve res niso bile razvite kot poslovne rešitve.

• Najboljše storitve VPN za leto 2019 Najboljše storitve VPN za leto 2019
• Najboljši VPN-ji Linuxa za leto 2019 Najboljši VPN-ji Linuxa za leto 2019
• Ameriški senatorji zahtevajo sondo tujih VPN-jev zaradi špijunskega tveganja ZDA senatorji zahtevajo sondo tujih VPN-jev zaradi špijunskega tveganja

Večina podjetij bi morala namesto tega uporabiti rešitev VPN, ki povezuje uporabnike z lastnim strežnikom podjetja brez vmesnega koraka prek strežnika nekoga drugega. Na voljo je veliko takšnih rešitev, nekatere od podjetij, za katere še niste slišali, nekatere pa od podjetij, ki so znana kot Cisco. Vsaka od teh, vendar ne vsa, je združljiva z odprtokodno programsko opremo OpenVPN, ki jo tudi drugi prodajalci pogosto uporabljajo in tržijo na novo, saj se je v prostoru VPN razvila v nekaj dejanskega standarda.

To je zagotovo težje konfigurirati in implementirati kot preprosto prijava na storitev v oblaku VPN, vendar je razlika v tem, da se povezujete neposredno s strežnikom VPN, ki ga nadzirate, običajno na robu lastnega omrežja. Tako so vaši podatki zaščiteni in nikoli ne pridejo v roke tretje osebe.