Securitywatch: kako nevaren je vaš tuji vpn?

Zgodba se je tiho razbila konec maja, ki jo žvečim že od nekdaj. Ponovno je pripovedoval, kako so se člani ameriškega kongresa veliko spoprijemali z grožnjo tujih VPN-jev. Skrb zakonodajalcev je bila, da če uporabljate tuji VPN, bi lahko tuja vlada prisluhnila vaši dejavnosti. Trdila je, da so tuja podjetja bolj podvržena pritiskom tujih vlad in da bi ti tuji VPN lahko predali osebne podatke ali celo vsebino vaših spletnih dejavnosti.

To bi lahko bilo res, vendar to ni nič manj res tudi za domače VPN. VPN ustvari šifrirano povezavo med vašo napravo in strežnikom, ki ga nadzira podjetje VPN. Vaš promet potuje po tunelu in ga skriva pred ostrostrelci v lokalnem omrežju in od svojega ponudnika internetnih storitev - kar po ironiji pravi, da vam Kongres lahko prisluhne zaradi dobička. Ko vaš promet doseže strežnik VPN, nato izstopi na internet, preden se vrnete v povratno potovanje.

To dejansko postavlja VPN-je v vlogo vašega ponudnika internetnih storitev, saj lahko potencialno vidijo vse, kar počnete v spletu. To je ena največjih skrbi VPN-jev kot panoge in velja za vse VPN. VPN s sedežem v ZDA bi lahko prisluhnil vaši dejavnosti, svoje podatke predal ameriškim organom pregona ali podlegel pritiskom ameriških obveščevalnih agencij. To so tveganja uporabe katerega koli VPN-ja, ki pa se bistveno ne spremenijo s preprosto premestitvijo pisarn tega podjetja v drug časovni pas.

Lokacija, lokacija, lokacija

VPN-ji so v bistvu orodja za varovanje zasebnosti, in če opravljajo slabo delo, saj varujejo zasebnost strank, potem upajo, da bodo slabo opravili konkurenco na trgu. Pravzaprav je veliko (pogosto vprašljivega) diskurza o podjetjih VPN resnično zasebnost vaših podatkov. VPN-ji se na splošno trudijo, da bi se vsaj postavili kot zaupanja vredni skrbniki vaših podatkov, običajno tako, da opredelijo politiko podjetja, ki prepoveduje zbiranje uporabniških informacij, objavo pravilnika o zasebnosti, ki pojasnjuje podrobnosti, in vgradnjo zasebnosti v njihov dejanski izdelek. Zadnji trend je, da podjetja naročajo revizije svojih izdelkov s strani drugih proizvajalcev, da bi okrepili trditve o zanesljivosti.

Kot primer vrste korakov, ki jih storitve VPN zagotavljajo za vašo zasebnost, vam zasebni dostop do interneta pri ustvarjanju računa izda ID uporabnika. To je ločeno od podatkov, ki jih posredujete za obdelavo naročnine. Če deluje pravilno, to pomeni, da podjetje ne more identificirati posameznega uporabnika, tudi če bi ga zakon prisilil ali če so mu organi pregona zasegli strežnike.

VPN-ji pogosto obstajajo na več mestih hkrati. Podjetje AnchorFree, ki stoji za Hotspot Shield VPN, ima sedež v Kaliforniji s pisarno v Zürichu v Švici. V podjetju pravijo, da deluje pod ameriško in švicarsko pravno jurisdikcijo. Ali je tuji VPN? Izdelek AnchorFree so široko znani in prodajajo druga podjetja, nekatera imajo sedež v ZDA, nekatera pa ne. So to tuje VPN?

Podjetja VPN imajo pogosto pisarne v eni državi, medtem ko delujejo pod pravno jurisdikcijo druge države. Podjetja VPN vzdržujejo tudi strežniške flote po vsem svetu. Vsaka od teh lokacij se lahko razlikuje od kraja, kjer je podjetje VPN pod zakonsko pristojnostjo.

Kljub temu je pravna pristojnost pomembna, ker je to okvir, v katerem bodo vaši podatki zaščiteni. Če pogledamo Britanske Deviške otoke, so podjetja VPN igrala, kako lokalna kazenski organi ne bodo preprosto sprejeli nalog, izdanih od drugih vlad. Namesto tega morajo ti nalogi preskočiti dodatne obroče, preden jih lahko uporabijo za podjetje na Britanskih Deviških otokih. Podobno so VPN podjetja v krajih, kot sta Nemčija in Švica, poudarili močne zakone o zasebnosti teh držav.

Tu moram opozoriti, da je težko preveriti, ali bo uporaba storitve na določeni lokaciji dejansko pomagala varovati vaše podatke.

Eden od načinov VPN-jev je, da bi zaščitili stranke in se tržili prek lokacije podjetja. NordVPN, na primer, ima sedež v Panami, ki ga zaradi lokalnega prava oglašujejo kot zasebnost in varnost. ProtonVPN želi poudariti, da je švicarski. Ko pregledam VPN, ponavadi navedem njegovo lokacijo in pravno pristojnost poleg protokolov VPN in pravilnika o zasebnosti, ker je dejansko še ena od funkcij lokacija podjetja VPN.

Lokacija ima lahko tudi čustveno vrednost. Nekateri bralci so mi povedali, da ne morejo zaupati podjetjem s sedežem v vzhodni Evropi zaradi povezanosti z ruskimi hekerskimi skupinami. Drugi so mi povedali, da kakršen koli VPN s sedežem v ZDA ni sprejemljiv zaradi zgodovine množičnega nadzora v tej državi. VPN-ji s sedežem v Hong Kongu (ki se na pol razlikujejo od celinske Kitajske) pogosto napadajo z obtožbami, da jih mora nadzorna država tesno oprijeti. Mnogi trdijo podoben argument proti temu, da bi Huawei lahko ponudil opremo za internetno infrastrukturo.

Ta podjetja pogosto nasprotujejo trditvi, da posebna pravila mesta omogočajo odlično lokacijo za zasebne podatke.

Pravzaprav je treba resno poudariti, da imajo ZDA eno najbolj agresivnih operacij nadzora in zbiranja podatkov na svetu. Družbe za družbene medije včasih DHS dobijo dopise o nacionalni varnosti, ki od njih zahtevajo, da predložijo informacije in ne razkrijejo, da so to storile. NSA je izvajala največjo operacijo prestrezanja podatkov, ki jo je kdaj koli videl svet, ki je prizadela ameriške državljane, pa tudi čezmorske cilje.

Poleg tega je bil NSA obtožen, da je izkoristil kritični položaj ZDA v podatkovni infrastrukturi, prisluškoval črtam, po katerih teče globalni internetni promet in jih domnevno kopiral v realnem času - morda ironično, glede na to, da ZDA navajajo isti argument proti Huawei, kot je navedeno zgoraj. To ne omenjamo sporazumov o izmenjavi informacij, ki številnim zavezniškim državam, vključno z ZDA, omogočajo izmenjavo obveščevalnih podatkov ne glede na lokacijo. Glede na vse to je težko prepirati z ljudmi, ki v ZDA vidijo podjetja VPN kot potencialno tveganje.

Ima (in ne) pomembno

Če vse deluje pravilno, bi moralo biti malo razlike med tujim VPN in tistim, ki ima nekatere ali vse svoje pisarne v ZDA. Matematika, zaradi katere šifriranje deluje, ne spoštuje meja. Ukrepi za varovanje zasebnosti in varnosti uporabnikov so prav tako dobro razumljeni in se lahko izvajajo kjer koli. Mnoga podjetja VPN izberejo, kje bodo ustanovila svoja podjetja, da bi izkoristila lokalne zakone o zasebnosti ali se morda pritožila na čustveni odziv potrošnikov.

• Napake, dezinformacije in slabo novinarstvo: stanje industrije VPN Backstabbing, dezinformacije in slabo novinarstvo: stanje industrije VPN
• Spletna zasebnost je pravica, ni luksuzna Spletna zasebnost je pravica, ni luksuz
• Če želimo shraniti internet, ga moramo prekiniti, da shranimo internet, moramo ga prebiti

Pomembno je, če podjetja VPN ne šifrirajo stvari pravilno ali kadar zaradi nevednosti ali namernosti ne upoštevajo najboljših praks za zaščito zasebnosti svojih uporabnikov. Slabo zavarovan VPN je morda tuj , vendar bi bil lahko tudi sedež mene po ulici. Namesto da bi se spraševali o tem, kje imajo podjetja sedež ali kakšne "vrednosti" imajo, bi Kongres moral uporabnikom in raziskovalcem podpirati metode za preverjanje trditev VPN podjetij.

Varnostna panoga je polna trženja, ki temelji na strahu, negotovosti in dvomih - skupaj se imenujejo FUD. Dolga razprava o tujih VPN v kongresnih dvoranah sodi v to kategorijo, zlasti ko skupina ugotovi, da so vse nevarnosti minimalne. FUD ima vedno svoj namen, in namesto da bi se vprašali, kje je najbolje postaviti VPN, bi se morda morali osredotočiti na to, zakaj se je ta pogovor sploh zgodil.