Məlumatların qeydiyyatının vəziyyəti: Təhlükə səviyyələrinin və təhlükəsizlik təcrübələrinin qiymətləndirilməsi
15.05.2018 - 9 dəqiqəlik oxu
Yenilənib: 26.09.2021
Psiphon Inc. illərdir interneti senzura rejimləri altında yaşayan insanlar üçün açıq etmək yolunda liderlik edir. İnternetdə heç bir məzmun məhdudiyyəti ilə qarşılaşmasalar da, Qərb ölkələrindəki istifadəçilər şəxsi məxfiliyini onlayn qorumaq üçün Psiphon kimi VPN-lərə üz tuturlar. Lakin 2017-ci ilin martında Pew Tədqiqat Mərkəzi təəccüblü bir statistika açıqladı: amerikalı internet istifadəçilərinin təxminən 70%-i VPN-in hansı məqsədə xidmət etdiyindən əmin deyil.1
Daim artan Psiphon hesablarının sayı bütün dünyada artan VPN istifadəçilərinin göstəricisidirsə, əhəmiyyətli dərəcədə müstəqil istifadəçi axını məhsulları tənqidi şəkildə qiymətləndirmək üçün heç bir meyara malik olmadıqları bir bazara daxil olur. Bu qrup artıq kibertəhlükəsizliyin tanış olmayan sahəsində riskləri başa düşmək yükünü daşıyır. Buna görə də onlar yanlış məlumatlara qarşı son dərəcə həssasdırlar. İstifadəçiləri ciddi şəkildə təşvişə salan bu cür terminlərdən biri VPN veb-saytlarında və forumlarında geniş yayılan məlumatların qeydiyyatı termini və fərdi risklərin, eləcə də özünü səmərəli şəkildə qorumaq üsullarının yanlış təqdimatıdır.
Techopedia-ya görə, “məlumatların qeydiyyatı müəyyən tendensiyaları təhlil etmək və ya bir sistemin, şəbəkənin yaxud IT mühitinin məlumatlara əsaslanan hadisələrini/əməliyyatlarını qeyd etmək üçün müəyyən müddət ərzində məlumatların toplanması və saxlanması prosesidir. Bu, saxlama cihazında və ya tətbiqdə məlumatların, faylların və ya tətbiqlərin saxlandığı, əldə edildiyi və ya dəyişdirildiyi bütün qarşılıqlı əlaqələrin izlənməsinə imkan verir.”2 Bir çox VPN sıfır qeydiyyat siyasətini zahirən unikal məhsul xüsusiyyəti kimi təqdim edir, bununla da sıravi vətəndaşların internet trafikinin əks təqdirdə daim qeydə alınma və kommersiya və ya hüquqi məqsədlər üçün istifadə olunma riski altında olduğunu ima edir.
Bu, 2017-ci ilin aprelində Amerika İnternet Xidməti Provayderlərindən (ISP-lər) istifadəçi məlumatlarını paylaşmazdan əvvəl icazə almağı tələb edəcək müəyyən FCC mühafizələrinin ləğvindən sonra aktual bir mövzuya çevrildi (əgər nəzərdə tutulduğu kimi 2017-ci ilin dekabrında qüvvəyə minsəydi). Hökumətlərinin ISP-lərə şəxsi internet tarixlərimizin qeydlərini aparmağı və sonra razılıq olmadan onları satmağı və ya açıqlamağı müdafiə etməsi fikri əksər internet istifadəçiləri üçün narahatlıq doğurur.
İnternet azadlığının qətiyyətli tərəfdarı kimi, Psiphon istifadəçilərimizin heç bir mənfi nəticə ilə qarşılaşmadan senzurasız internetə ədalətli və açıq çıxış əldə etməsini təmin etmək üçün hər gün çalışır. İstifadəçi məlumatlarının və baxış tarixçəsinin icazəsiz istifadəsinin genişlənən qanuniliyi mənfəətin çox vaxt etikadan üstün olduğunu göstərən narahatedici bir mənzərə yaradır. Lakin Psiphon trafik və məlumatların qeydiyyatı təcrübələrinin mahiyyətini daha dərindən araşdırdı.
ABŞ, Aİ və Kanadada Məlumatların Qeydiyyatı Siyasətlərinin Qısa Müqayisəli Təhlili
Ümumilikdə, Qərb dövlətləri mühafizə və tənzimləmələri saxlanılan məlumatların təhlükəsizliyi çərçivəsində müəyyən etmişlər. Bu qanunlar şirkətlərin istifadəçi məlumatlarını toplayarkən və saxlayarkən riayət etməli olduğu təhlükəsizlik standartlarına dair müddəaları müəyyən edir. Onlar həmçinin məlumatların açıqlanması ilə bağlı qanunilik məsələlərini təsvir edir. Bununla belə, bu məqalədə istinad edilən bütün qanunlar məlumatın növü və toplandığı hallar, eləcə də bu məlumatların saxlanma müddəti ilə bağlı qərarları məlumatı toplayan təşkilatın ixtiyarına buraxır. Bir çox hallarda bu təşkilatlar öz siyasətlərinin arxasındakı məntiqi mərkəzi idarəetmə orqanına əsaslandırmalı olsalar da, bu cür qanunvericilik iki tərəfi kəsərli qılınc yaradır, çünki bir çox hallarda məlumatların saxlanmasını üstüörtülü şəkildə dəstəkləyir.
Məsələn, hazırda ABŞ-da məlumatların qeydiyyatı ilə bağlı ümumi qaydalar mövcud deyil. Xidmət şərtlərində və ya istifadəçi lisenziyası müqaviləsində istifadəçiyə bu cür təcrübələrə məruz qaldığı barədə məlumat verilməsi şərtilə, ISP-lər istifadəçi məlumatlarını toplamaqda və saxlamaqda sərbəstdirlər. Lakin şirkətlər elektron rabitə də daxil olmaqla, istifadəçi məlumatlarının “ünvan sahibi və ya nəzərdə tutulan alıcıdan başqa hər hansı bir şəxsə” açıqlanmasını qadağan edən Saxlanılan Rabitə Qanunu ilə idarə olunur.3 Amerika hökuməti bütün şirkətlərə istifadəçi məlumatlarının qorunması öhdəliyini qoysa da, qeydiyyat təcrübələrini və ya məlumatların ağlabatan saxlanma müddətini açıq şəkildə məhdudlaşdırmır.
ISP-lərin qeydiyyat aparması ilə bağlı daha böyük sual yeni deyil və təkbaşına bir məsələ də deyil. Əslində, məlumatların qeydiyyatı məsələsi son vaxtlar ABŞ-da yenidən canlanan şəbəkə bitərəfliyi müzakirəsindəki eyni hüquqi suallara əsaslanır.
Avropa İttifaqı 2016-cı ilin aprelində 2012-ci ilin ilkin Məlumatların Qorunması Direktivi əsasında qurulan və məlumat təhlükəsizliyi təlimatlarını, istifadəçi hüquqlarını və subyektlərin hüquqi təsnifatlarını təsvir edən Ümumi Məlumatların Qorunması Qaydası (GDPR) adlı blok miqyaslı qanunvericilik aktı qəbul etdi. Lakin ayrı-ayrı üzv dövlətlər məlumatların saxlanmasının müvafiq müddətini müəyyən etməyə borcludurlar və blok miqyasında məcburi bir zaman çərçivəsinə tabe deyillər.
Toplanmış məlumatların saxlanması üçün müvafiq müddəti müəyyən etmək müstəqil şirkətlərin məsuliyyətidir, əlavə saxlama müddətləri isə “ictimai maraqlar naminə elmi, statistik və ya tarixi istifadə üçün arxivləşdirmə” məqsədilə təyin edilə bilər.4 Lakin GDPR müddəalarına əsasən, fərdi vətəndaş “unudulmaq hüququ”na malikdir və şəxsi məlumatlarının serverdən silinməsini tələb edə bilər.
Nəhayət, Kanadanın federalist strukturu məlumatların qeydiyyatı qaydaları ilə bağlı çoxsəviyyəli yurisdiksiya təşkilatı yaratmışdır. O, kommersiya fəaliyyəti üçün məlumatların toplanması ilə bağlı ümummilli təlimatları və qaydaları təsvir edən və fərdi müəyyənləşdirilə bilən məlumatlar üçün milli standart tərif təyin edən Fərdi Məlumatların Qorunması və Elektron Sənədlər Qanununu (PIPEDA) qəbul etmişdir ki, bunlara aşağıdakılar daxildir:
• yaş, ad, şəxsiyyət vəsiqəsi nömrələri, gəlir, etnik mənsubiyyət və qan qrupu;
• rəylər, qiymətləndirmələr, şərhlər, sosial status və ya intizam tədbirləri və s.
• işçi faylları, kredit qeydləri, borc qeydləri, tibbi qeydlər, istehlakçı ilə tacir arasında mübahisənin mövcudluğu, niyyətlər (məsələn, mal və ya xidmət almaq yaxud işi dəyişdirmək).5
Aİ Direktivinə bənzər şəkildə, terrorizmin maliyyələşdirilməsi kimi cinayət əməllərində şübhəli bilinən şəxslərə aid məlumatların Kanadanın Maliyyə Əməliyyatları və Hesabatlarının Təhlili Mərkəzinə (FINTRAC) açıqlanmasına icazə verən müddəalar daxil edilmişdir. Lakin PIPEDA məlumatların qorunması və məlumatların qanuni saxlanma müddətinin məhdudlaşdırılması proseslərini açıq şəkildə təsvir etmir. 4.5.3-cü bənddə “müəyyən edilmiş məqsədləri yerinə yetirmək üçün artıq tələb olunmayan məlumatlar məhv edilməlidir” göstərilsə də, ayrı-ayrı firmalar öz prosedurlarını tətbiq etməkdə sərbəstdirlər.
Zəncirin daha aşağı pilləsində məlumatların qorunmasını təmin etmək üçün öz qanunlarını yarada bilən əyalətlər PIPEDA müddəalarını üstələyə bilər.
Bəs təşviş yaradan VPN-lər haqlıdırmı?
VPN-lər cari qeydiyyat rejimlərindəki üç əsas qüsura görə potensial müştəriləri uğurla təşvişə salır:
1. Şəxsiyyətinizi müəyyənləşdirən məlumatlarınız kifayət qədər təhlükəsiz olmaya bilər
2. ISP-lər və onlayn şirkətlər şəxsi məlumatlarınızı kommersiya qazancı üçün istifadə edə bilər
3. ISP-lər və onlayn şirkətlər tərəfindən saxlanılan şəxsi məlumat bazaları hüquq-mühafizə və dövlət orqanlarının ixtiyarındadır
Qiymətləndirilən hər üç dövlət şəxsiyyəti müəyyənləşdirən istifadəçi məlumatlarının qanuni şəkildə toplanmasına və saxlanmasına icazə vermişdir. ISP-lər və onlayn şirkətlər bu cür məlumatları qorumağa qanuni olaraq borclu olsalar da, əsas etibarilə bu, faktiki olaraq hər bir yurisdiksiyada aydın nəzarətdən məhrum olan zəif, etimada əsaslanan bir sistem yaratmışdır. İnternetdən şübhəli və ya qeyri-qanuni fəaliyyətlər üçün istifadə etməyənlərin narahat olmasına ehtiyac yoxdur demək asandır, lakin Psiphon olaraq biz inanırıq ki, onlayn davranışlarından asılı olmayaraq bütün internet istifadəçilərinin ağlabatan məxfilik gözləntisi var.
Beləliklə, ISP-lərin istifadəçi məlumatlarını qeydə almaq hüququna malik olduğunu güman etmək olar. Bu, tibbi qeydlər və ya bank məlumatları kimi şəxsi məlumatların icazəsiz istifadəsindən və ya bu cür məlumat bazalarına zərərli müdaxilədən qorxan fərdi internet istifadəçiləri üçün narahatedici ola bilər. Bundan əlavə, bir ISP istifadəçi qeydlərini tələb edən Milli Təhlükəsizlik Məktubu və ya order alarsa, qanunla bu cür məlumatları hüquq-mühafizə orqanlarına təqdim etməyə borclu olacaqdır.
Mövcud qanunlar çərçivəsində onlayn şirkətlər kommersiya məqsədləri üçün şəxsiyyəti müəyyənləşdirən məlumatları satmaqda və ya bu cür məlumatları açıqlamaqda sərbəst deyillər. Bununla belə, onlar bu məlumatları saxlamaq və müştəri statistikası kimi müxtəlif daxili proseslər üçün istifadə etmək hüququna tam malikdirlər. Birləşmiş Ştatlarda şəbəkə bitərəfliyi prinsipinin potensial olaraq yaxınlaşan zəifləməsi ilə şəxsiyyəti müəyyənləşdirən məlumat ehtiyatları razılıq olmadan istismar edilə və ya yayıla bilər. Lakin VPN istifadəçiləri arasında əsas narahatlıq səbəbi, xidmət təminatçısının ən yaxşı niyyətlərinə baxmayaraq, bu cür məlumatların zərərli şəkildə kənara sızdırılması riskidir.
İnternet istifadəçiləri hər zaman əlaqədə olduqları şirkətlərin təcrübələri barədə özlərini məlumatlandırmaq yükünü daşıyacaqlar. Əsas narahatlıq ondan ibarətdir ki, bəzi son istifadəçilər istifadə şərtlərinin mənasını və ya nəticələrini başa düşməyə bilər və öz istifadələrini VPN-in etibarlı və inamlı olub-olmaması ilə bağlı qeyri-müəyyən və çox vaxt yanıltıcı sosial və texniki standartlara əsaslandıra bilərlər. Xüsusən də VPN xidməti şəxsiyyəti müəyyənləşdirən məlumatlar ətrafında qurulmuş istifadəçi hesablarının yaradılmasını tələb edirsə, VPN-lərin potensial istifadəçilərə təqdim etdikləri məxfilik siyasətlərinə həqiqətən əməl etdiyindən əmin olmaq üçün aparılmalı olan bazar araşdırmasını demirik.
Bundan əlavə, məlumatlı bir qərar qəbul edildikdən sonra müəyyən coğrafi məkanlarda və xüsusi saytlarda olan istifadəçilər şifrələnməmiş və ya standart https bağlantısından istifadə etməkdə özlərini rahat hiss edə bilərlər. Lakin hələ də çaşqınlıq və ya narahatlıq olduğu yerlərdə şəxsiyyəti müəyyənləşdirən məlumatların onlayn toplanmasının qarşısını almaq üçün Psiphon kimi qeydiyyat aparmayan VPN-dən istifadə edilə bilər.
VPN məni məlumatların qeydiyyatından qoruya bilərmi?
Bir çox internet istifadəçisi onlayn anonim qalmaq və kommersiya xidmətlərinin onlayn məlumat qeydiyyatı təcrübələrindən yayınmaq üçün VPN-lərə müraciət edir. Lakin qeyd edilməlidir ki, heç bir VPN internetdə tam anonimlik təmin edə bilməz. Lakin azad şəkildə əlçatan internetə sadiq olanlar, məsələn, Psiphon, istifadəçilərinin məxfiliyini qoruyan güclü təhlükəsizlik tədbirlərini öz xidmətlərinə daxil edirlər. VPN proksi-serverindən istifadə etməklə internet trafiki konkret istifadəçilərə aid edilə bilməz, lakin istifadəçilər hələ də internet xidmətlərinə qoşulu qalır və onlardan istifadə edirlər.
İstifadəçi etimadını qazanmaq və fərdi məxfiliyi artırmaq məqsədilə kommersiya baxımından əlçatan olan VPN-lər çox vaxt qeydiyyatsızlıq siyasətini ön plana çəkirlər. Onlar istifadəyə dair bütün qeydləri sildiklərini, beləliklə də bunu qeyri-mümkün etdiklərini iddia edirlər. Lakin bir çox VPN xidmət müqavilələri bu cür siyasətlərin ətraflı izahatını təqdim etmir. Hesab yaratmaq və ya şifrələnmiş sessiya açmaq üçün VPN bəzi ətraflı istifadəçi məlumatlarını tələb edə bilər. Bir daha qeyd edək ki, xidmət şərtlərini diqqətlə oxumaq və VPN-ə etibar edib-etməmək barədə qərar vermək yükü fərdi istifadəçinin üzərinə düşür.
İnternetin strukturu onlayn ünsiyyətin baş verməsi üçün müəyyən məlumatların mübadiləsini tələb edir. VPN istifadəçisinin qanuni IP ünvanı da daxil olmaqla, işlək IP ünvanı olmadan heç bir məlumat göndərilə və ya qəbul edilə bilməz. Lakin bu məqalədə qiymətləndirilən qanunvericiliyin heç biri VPN-lərin istifadəçi məlumatlarını müəyyən müddət ərzində saxlamasını tələb etmədiyinə görə, Psiphon və digər VPN xidmətlərinin əsas dəyərləri şifrələnmiş sessiya başa çatdıqdan sonra bu cür məlumatları öz şəbəkələrindən silməyə sövq edə bilər.
Psiphon-u ənənəvi VPN xidmətlərindən fərqləndirən nədir? Sadəcə olaraq, biz internet azadlığından doğulmuşuq və əsasən onun üçün mövcuduq. Dizayn etibarilə Psiphon platforması son istifadəçilərin baxış sessiyası ilə bağlı şəxsiyyəti müəyyənləşdirən heç bir məlumatı saxlamır. Psiphon-dan istifadə hesab tələb etmədiyi üçün proqram təminatı praktiki olaraq hər hansı bir fərdi istifadəçiyə aid məlumat yaratmaq və ya saxlamaq iqtidarında deyil. Buna görə də istifadəyə dair heç bir qeyd yoxdur və bu, nəzarətdən yayınanları və ya şəxsiyyəti müəyyənləşdirən məlumatların icazəsiz tərəflərə açıqlanmasından qorxanları əmin edir ki, Psiphon şəbəkəsindən istifadə unikal istifadəçiyə və ya coğrafi məkana aid edilə bilməz.
Şəbəkəmizin səmərəli qalmasını və dəyişən tələbat səviyyəsinə uyğunlaşmasını təmin etmək üçün biz daxili məlumat qiymətləndirməsi aparırıq ki, bura ölkə səviyyəsində ümumiləşdirilmiş trafik həcmi və istifadəçi məkanı məlumatları daxildir.6 Bu, xidmət tərəfindən saxlanılan ən ətraflı məlumatdır. Lakin məsələn, zərərli kənar bir iştirakçı bu statistik məlumatları ələ keçirsə belə, şəxsiyyəti müəyyənləşdirən heç bir məlumat risk altında olmayacaqdır.
--
Müəllif: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Həmin mənbə. Bənd 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Lakin şəhər səviyyəsindəki məlumatlar yalnız ölkə daxilindəki istifadə həddi aşdıqdan sonra avtomatik olaraq ümumiləşdiriləcək ki, bu həddə şəhər daxilindəki aktiv bağlantıların sayının qiymətləndirilməsi yolu ilə fərdi istifadəçilərin müəyyən edilməsi statistik baxımdan qeyri-mümkün olacaqdır.