واقع تسجيل البيانات: تقييم لمستويات التهديد والممارسات الأمنية

15‏/5‏/2018 - 9 دقيقة قراءة

تم التحديث: 26‏/9‏/2021

تقود شركة Psiphon Inc. منذ سنوات مسيرة فتح الإنترنت لأولئك الذين يعيشون في ظل أنظمة الرقابة. وعلى الرغم من عدم مواجهة أي قيود على المحتوى عبر الإنترنت، يتجه المستخدمون من الدول الغربية إلى شبكات VPN مثل Psiphon، لحماية خصوصيتهم الشخصية على الإنترنت. ومع ذلك، في مارس 2017، أصدر مركز بيو للأبحاث إحصائية مذهلة تفيد بأن نحو 70% من مستخدمي الإنترنت الأمريكيين ليسوا متأكدين من الغرض الذي تخدمه شبكة VPN.¹

إذا كان التزايد المستمر في عدد حسابات Psiphon مؤشراً على تنامي عدد مستخدمي VPN حول العالم، فإن تدفقاً كبيراً من المستخدمين المستقلين يدخل سوقاً لا يملكون فيه مقياساً للتقييم النقدي للمنتجات. وتتحمل هذه الفئة الآن عبء فهم المخاطر في مجال الأمن السيبراني غير المألوف لديهم. وبناءً على ذلك، فهم معرضون بشدة للمعلومات المضللة. وأحد هذه المصطلحات التي تجعل المستخدمين في حالة تأهب قصوى هو الانتشار الواسع لمصطلح تسجيل البيانات عبر مواقع ومنتديات VPN، وتشويه صورة المخاطر الفردية وطرق حماية النفس بكفاءة.

وفقاً لموقع Techopedia، فإن "تسجيل البيانات هو عملية جمع البيانات وتخزينها على مدار فترة زمنية من أجل تحليل اتجاهات معينة أو تسجيل الأحداث/الإجراءات القائمة على البيانات لنظام أو شبكة أو بيئة IT. وهي تتيح تتبع جميع التفاعلات التي يتم من خلالها تخزين البيانات أو الملفات أو التطبيقات أو الوصول إليها أو تعديلها على جهاز تخزين أو تطبيق".²  تسوّق العديد من شبكات VPN سياسة عدم الاحتفاظ بالسجلات كميزة فريدة ظاهرياً للمنتج، مما يلمح إلى أن حركة مرور الإنترنت للمواطنين العاديين معرضة دائماً لخطر التسجيل واحتمال استغلالها لأغراض تجارية وقانونية.

لقد أصبحت هذه مسألة شائكة ومثيرة للجدل عقب إلغاء بعض تدابير الحماية الصادرة عن FCC في أبريل 2017، والتي كانت ستلزم مزودي خدمات الإنترنت (ISPs) الأمريكيين بالحصول على إذن قبل مشاركة بيانات المستخدمين (لو دخلت حيز التنفيذ كما كان مقرراً في ديسمبر 2017). إن فكرة أن حكومتهم تؤيد قيام ISPs بإنشاء سجلات لتاريخ استخدامنا الشخصي للإنترنت ثم بيعها أو الكشف عنها دون موافقة أمر يثير قلق معظم مستخدمي الإنترنت.

وبصفتها داعماً قوياً لحرية الإنترنت، تسعى Psiphon جاهدة يومياً لضمان حصول مستخدمينا على وصول عادل ومفتوح إلى إنترنت غير خاضع للرقابة ودون عواقب. إن اتساع نطاق شرعية الاستخدام غير المصرح به لبيانات المستخدم وتاريخ التصفح يخلق واقعاً مقلقاً يوضح أن الأرباح غالباً ما تفوق الأخلاقيات. لكن Psiphon تعمقت أكثر في فهم مشهد حركة المرور وممارسات تسجيل البيانات.

تحليل مقارن موجز لسياسات تسجيل البيانات في الولايات المتحدة والاتحاد الأوروبي وكندا

بشكل عام، حددت الدول الغربية تدابير الحماية واللوائح من خلال نطاق أمن البيانات المخزنة. وتضع هذه القوانين أحكاماً تتعلق بمعايير الأمان التي تلتزم بها الشركات أثناء جمع بيانات المستخدمين وتخزينها. كما أنها تحدد المسائل القانونية المتعلقة بالكشف عن المعلومات. ومع ذلك، فإن جميع القوانين المشار إليها في هذه الورقة تترك القرارات المتعلقة بنوع البيانات والحالات التي يتم فيها جمعها، بالإضافة إلى مدة الاحتفاظ بمثل هذه البيانات، لتقدير الجهة التي تقوم بالجمع.  ورغم أنه يتعين على هذه المؤسسات في كثير من الحالات تبرير المنطق الكامن وراء سياساتها أمام هيئة إدارية مركزية، إلا أن مثل هذا التشريع يُعد سلاحاً ذا حدين، لأنه يدعم الاحتفاظ بالبيانات ضمنياً في كثير من الحالات.

على سبيل المثال، لا توجد لوائح شاملة في الولايات المتحدة تتعلق بتسجيل البيانات في الوقت الحاضر. إذ يتمتع ISPs بحرية جمع بيانات المستخدمين وتخزينها، بشرط إخطار المستخدم بأنه يخضع لمثل هذه الممارسات في شروط الخدمة أو اتفاقية ترخيص المستخدم. ومع ذلك، تخضع الشركات لقانون الاتصالات المخزنة، الذي يحظر الكشف عن بيانات المستخدمين، بما في ذلك الاتصالات الإلكترونية، "لأي شخص بخلاف المرسل إليه أو المستلم المقصود".³  ورغم أن الحكومة الأمريكية تلزم جميع الشركات بحماية بيانات المستخدمين، إلا أنها لا تقيد صراحة ممارسات التسجيل أو المدة المعقولة لتخزين البيانات.

إن المسألة الأكبر المتعلقة بتسجيل ISP للبيانات ليست جديدة، كما أنها ليست قضية قائمة بذاتها. في الواقع، تتجذر مسألة تسجيل البيانات في نفس المسائل القانونية التي عاودت الظهور مؤخراً في نقاش حيادية الإنترنت في الولايات المتحدة.

أقر الاتحاد الأوروبي تشريعاً على مستوى الكتلة بعنوان اللائحة العامة لحماية البيانات (GDPR) في أبريل 2016، والذي يستند إلى التوجيه الأصلي لحماية البيانات لعام 2012، ويحدد إرشادات أمان البيانات، وحقوق المستخدم، والتصنيفات القانونية للأفراد. ومع ذلك، فإن الدول الأعضاء ملزمة بتحديد المدة المناسبة للاحتفاظ بالبيانات ولا تخضع لإطار زمني إلزامي على مستوى الكتلة ككل.

صُممت لوائح الاحتفاظ بالبيانات في الاتحاد الأوروبي لضمان أمان بيانات المستخدمين وتوافرها لوكالات إنفاذ القانون، وتشير الكثير من الصياغات المستخدمة في التوجيه الأصلي لحماية البيانات إلى أن الاحتفاظ بالبيانات ضروري لتسهيل التحقيقات القانونية وإجرائها في الوقت المناسب. بل ويصل الأمر إلى تقنين المادة 6، التي تتيح تصنيفات قانونية محددة مثل المشتبه بهم والمجرمين المدانين والضحايا للتمييز بينهم قانوناً وبين الأشخاص الآخرين أثناء عمليات التسجيل والاحتفاظ بالبيانات.

تتحمل الشركات المستقلة مسؤولية تحديد المدة المناسبة للاحتفاظ بالبيانات المجمعة، بينما قد تُحدد فترات احتفاظ إضافية من أجل "الأرشفة للمصلحة العامة أو للاستخدام العلمي أو الإحصائي أو التاريخي".⁴  ومع ذلك، بموجب أحكام GDPR، يحق للمواطن العادي التمتع بـ "الحق في النسيان" ويجوز له طلب إزالة بياناته الشخصية من الخادم.

وأخيراً، أوجد الهيكل الفيدرالي لكندا تنظيماً قضائياً متعدد المستويات فيما يتعلق بلوائح تسجيل البيانات لديها. فقد سنّت قانون حماية المعلومات الشخصية والوثائق الإلكترونية (PIPEDA)، الذي يحدد توجيهات ولوائح على مستوى البلاد بشأن جمع المعلومات للأنشطة التجارية، ويضع تعريفاً معيارياً وطنياً لمعلومات تحديد الهوية الشخصية، والتي تشمل:

• العمر، والاسم، وأرقام الهوية، والدخل، والأصل العرقي، وفصيلة الدم؛

• الآراء، أو التقييمات، أو التعليقات، أو الوضع الاجتماعي، أو الإجراءات التأديبية، وما إلى ذلك.

• ملفات الموظفين، وسجلات الائتمان، وسجلات القروض، والسجلات الطبية، ووجود نزاع بين مستهلك وتاجر، والنوايا (على سبيل المثال، الحصول على سلع أو خدمات، أو تغيير الوظائف).⁵

وعلى غرار توجيه الاتحاد الأوروبي، تم تضمين أحكام تسمح بالكشف عن المعلومات لمركز تحليل المعاملات والتقارير المالية في كندا (FINTRAC) فيما يتعلق بالأفراد المشتبه في ارتكابهم أعمالاً إجرامية مثل تمويل الإرهاب. ومع ذلك، لا يحدد PIPEDA صراحة إجراءات تأمين المعلومات وتحديد المدة القانونية لتخزينها. وفي حين تنص الفقرة 4.5.3 على أنه "يجب إتلاف المعلومات التي لم تعد مطلوبة لتحقيق الأغراض المحددة"، فإن الشركات الفردية لها مطلق الحرية في تطبيق إجراءاتها الخاصة.

وفي مستوى أدنى من السلسلة، يجوز للمقاطعات القادرة على وضع قوانينها الخاصة لضمان حماية البيانات أن تحل قوانينها محل أحكام PIPEDA.

إذن، هل شبكات VPN المثيرة للقلق على حق؟

تنجح شبكات VPN في إثارة قلق العملاء المحتملين استناداً إلى ثلاثة عيوب أساسية في أنظمة التسجيل الحالية:

1. قد لا تكون بيانات تحديد هويتك الشخصية آمنة بما فيه الكفاية

2. قد يستخدم ISPs والشركات عبر الإنترنت بياناتك الشخصية لتحقيق مكاسب تجارية

3. قواعد بيانات المعلومات الشخصية التي يحتفظ بها ISPs والشركات عبر الإنترنت هي تحت تصرف أجهزة إنفاذ القانون والوكالات الحكومية

سمحت جميع الدول الثلاث التي جرى تقييمها بالجمع القانوني لبيانات المستخدم المحددة للهوية الشخصية والاحتفاظ بها. وفي حين يلتزم ISPs والشركات عبر الإنترنت قانوناً بتأمين هذه المعلومات، إلا أن هذا قد خلق في جوهره نظاماً ضعيفاً قائماً على الثقة يفتقر إلى الرقابة الواضحة في جميع الولايات القضائية تقريباً.  ومن السهل القول إن أولئك الذين لا يستخدمون الإنترنت في أنشطة مريبة أو غير قانونية لا داعي للقلق لديهم، ولكننا في Psiphon نؤمن بأن لجميع مستخدمي الإنترنت الحق في توقع معقول للخصوصية، بغض النظر عن سلوكياتهم عبر الإنترنت.

وبناءً على ذلك، يمكن افتراض أن لـ ISPs الحق في تسجيل بيانات المستخدمين. وقد يكون هذا مقلقاً للمستخدمين الأفراد الذين يخشون الاستخدام غير المصرح به للمعلومات الخاصة مثل السجلات الطبية أو المعلومات المصرفية، أو الاختراق الخبيث لمثل هذه القواعد من البيانات. بالإضافة إلى ذلك، إذا تلقى ISP خطاب أمن قومي أو مذكرة تطلب سجلات المستخدم، فإنه سيكون ملزماً بموجب القانون بتقديم هذه المعلومات إلى جهات إنفاذ القانون.

في ظل القوانين الحالية المعمول بها، لا تملك الشركات عبر الإنترنت الحرية في بيع البيانات المحددة للهوية الشخصية لأغراض تجارية أو الكشف عن هذه المعلومات. ومع ذلك، يحق لها تماماً الاحتفاظ بهذه البيانات واستخدامها في مجموعة متنوعة من العمليات الداخلية مثل إحصاءات العملاء. ومع التآكل المحتمل والوشيك لحيادية الإنترنت في الولايات المتحدة، قد يتم استغلال مخازن البيانات المحددة للهوية الشخصية أو نشرها دون موافقة. ومع ذلك، يظل السبب الرئيسي للقلق بين مستخدمي VPN هو خطر تسريب هذه البيانات واستخراجها بشكل خبيث، على الرغم من حسن نوايا مزود الخدمة.

سيتحمل مستخدمو الإنترنت دائماً عبء تثقيف أنفسهم بشأن ممارسات الشركات التي يتعاملون معها. ويتمثل أحد الشواغل الرئيسية في أن بعض المستخدمين النهائيين قد يعجزون عن فهم معنى شروط الاستخدام أو عواقبها، وقد يبنون استخدامهم على معايير اجتماعية وتقنية غامضة وغالباً ما تكون مضللة حول ما إذا كانت شبكة VPN جديرة بالثقة وموثوقة. ناهيك عن أبحاث السوق التي يجب إجراؤها للتأكد من أن شبكات VPN تلتزم حقاً بسياسات الخصوصية التي تقدمها للمستخدمين المحتملين، خاصة إذا كانت خدمة VPN تتطلب إنشاء حسابات مستخدمين مبنية على معلومات تحديد الهوية الشخصية.

علاوة على ذلك، بمجرد التوصل إلى قرار مستنير، قد يجد المستخدمون في مواقع جغرافية معينة وعلى مواقع محددة أنهم يشعرون بالراحة في استخدام اتصال غير مشفر أو اتصال https قياسي. ولكن عندما يظل هناك ارتباك أو قلق، يمكن استخدام شبكة VPN لا تحتفظ بالسجلات مثل Psiphon لحماية البيانات المحددة للهوية الشخصية من الجمع عبر الإنترنت.

هل يمكن لشبكة VPN حمايتي من تسجيل البيانات؟

يلجأ العديد من مستخدمي الإنترنت إلى شبكات VPN لإخفاء هويتهم عبر الإنترنت وتجنب ممارسات تسجيل البيانات التي تتبعها الخدمات التجارية عبر الإنترنت. ومع ذلك، يجب التأكيد على أنه لا يمكن لأي شبكة VPN أن توفر إخفاءً تاماً للهوية على الإنترنت. ولكن تلك الملتزمة بإنترنت متاح بحرية، مثل Psiphon، تدمج تدابير أمنية قوية في خدماتها تحمي خصوصية مستخدميها. ومن خلال استخدام وكيل VPN، لا يمكن ربط حركة مرور الإنترنت بمستخدمين محددين، ومع ذلك يظل المستخدمون متصلين بخدمات الإنترنت ويشاركون في استخدامها.

في محاولة لكسب ثقة المستخدم وزيادة الخصوصية الفردية، غالباً ما تسلط شبكات VPN المتاحة تجارياً الضوء على سياسات عدم الاحتفاظ بالسجلات. وتزعم أنها تتخلص من جميع سجلات الاستخدام، مما يجعل الأمر مستحيلاً. ومع ذلك، فإن العديد من اتفاقيات خدمة VPN لا تقدم تفسيرات مفصلة لمثل هذه السياسات. ولكي تنشئ حساباً أو تفتح جلسة مشفرة، قد تطلب شبكة VPN بعض المعلومات التفصيلية للمستخدم. ومرة أخرى، يقع العبء على المستخدم الفردي لقراءة شروط الخدمة بعناية وتحديد ما إذا كان يثق في شبكة VPN.

تتطلب بنية الإنترنت تبادل معلومات معينة حتى يتم الاتصال عبر الإنترنت. فلا يمكن إرسال أي بيانات أو استقبالها بدون عنوان IP فعال، والذي يشمل عنوان IP الحقيقي لمستخدم VPN. ومع ذلك، ونظراً لأن أياً من التشريعات التي تم تقييمها في هذه الورقة لا يلزم شبكات VPN بتخزين بيانات المستخدمين لفترة زمنية محددة، فإن القيم الجوهرية لـ Psiphon وخدمات VPN الأخرى قد تدفعها إلى مسح هذه المعلومات من شبكاتها بمجرد إنهاء الجلسة المشفرة.

ما الذي يجعل Psiphon مختلفة عن خدمات VPN التقليدية؟ ببساطة، لقد انطلقنا ووُجدنا في المقام الأول من أجل حرية الإنترنت. بحكم التصميم، لا تخزن منصة Psiphon أي معلومات لتحديد الهوية الشخصية تتعلق بجلسة تصفح المستخدمين النهائيين. ولأن استخدام Psiphon لا يتطلب حساباً، فإن البرنامج غير قادر فعلياً على إنشاء أو تخزين معلومات تتعلق بأي مستخدم فردي. وبالتالي، لا يوجد أي سجل للاستخدام، مما يطمئن أولئك الذين يتفادون المراقبة أو يخشون الكشف عن المعلومات المحددة للهوية الشخصية لأطراف غير مصرح لها بأن استخدام شبكة Psiphon لا يمكن ربطه بمستخدم محدد أو موقع جغرافي بعينه.

لضمان بقاء شبكتنا فعالة وقابلة للتوسع مع تغير مستوى الطلب، فإننا نقوم بتقييم داخلي للبيانات، والذي يتضمن حجم حركة المرور ومعلومات موقع المستخدم المجمعة على مستوى الدولة.⁶  هذه هي أكثر المعلومات تفصيلاً التي تحتفظ بها الخدمة. ولكن إذا قام، على سبيل المثال، طرف خارجي خبيث باختراق هذه المعلومات الإحصائية، فلن تكون أي معلومات لتحديد الهوية الشخصية معرضة للخطر.

--
بقلم: جيكوب كلاين

1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging

3 S.Rep. No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.

4 المرجع نفسه. الفقرة 26. 5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html
6 ومع ذلك، لن يتم تجميع البيانات على مستوى المدينة تلقائياً إلا بعد أن يتجاوز الاستخدام داخل الدولة حداً يكون عنده من المستحيل إحصائياً تحديد المستخدمين الأفراد من خلال تقييم عدد الاتصالات النشطة داخل المدينة. 

مشاركةنسخ الرابط