Η κατάσταση της καταγραφής δεδομένων: Μια αξιολόγηση των επιπέδων απειλής και των πρακτικών ασφαλείας
15/5/2018 - 11 λεπτά ανάγνωσης
Ενημερώθηκε: 26/9/2021
Η Psiphon Inc. πρωτοστατεί εδώ και χρόνια στην προσπάθεια για ένα ανοιχτό διαδίκτυο για όσους ζουν υπό καθεστώτα λογοκρισίας. Παρόλο που δεν αντιμετωπίζουν περιορισμούς περιεχομένου στο διαδίκτυο, χρήστες από δυτικές χώρες στρέφονται σε VPN, όπως το Psiphon, για να προστατεύσουν το προσωπικό τους απόρρητο στο διαδίκτυο. Ωστόσο, τον Μάρτιο του 2017, το Pew Research Center δημοσίευσε ένα εκπληκτικό στατιστικό στοιχείο, σύμφωνα με το οποίο περίπου το 70% των Αμερικανών χρηστών του διαδικτύου δεν είναι σίγουροι ποιο σκοπό εξυπηρετεί ένα VPN.1
Εάν ο ολοένα αυξανόμενος αριθμός λογαριασμών Psiphon αποτελεί ένδειξη του αυξανόμενου αριθμού χρηστών VPN παγκοσμίως, μια σημαντική εισροή ανεξάρτητων χρηστών εισέρχεται σε μια αγορά στην οποία δεν διαθέτουν κανένα μέτρο κριτικής αξιολόγησης των προϊόντων. Αυτή η ομάδα επωμίζεται πλέον το βάρος της κατανόησης των κινδύνων στον άγνωστο τομέα της κυβερνοασφάλειας. Ως εκ τούτου, είναι εξαιρετικά ευάλωτοι στην παραπληροφόρηση. Ένας τέτοιος όρος που θέτει τους χρήστες σε κατάσταση συναγερμού είναι η ευρεία διάδοση του όρου καταγραφή δεδομένων σε ιστότοπους και φόρουμ σχετικά με VPN, καθώς και η διαστρεβλωμένη παρουσίαση των ατομικών κινδύνων και των μεθόδων αποτελεσματικής αυτοπροστασίας.
Σύμφωνα με την Techopedia, «η καταγραφή δεδομένων είναι η διαδικασία συλλογής και αποθήκευσης δεδομένων για μια χρονική περίοδο με σκοπό την ανάλυση συγκεκριμένων τάσεων ή την καταγραφή συμβάντων/ενεργειών βάσει δεδομένων ενός συστήματος, δικτύου ή περιβάλλοντος IT. Επιτρέπει την παρακολούθηση όλων των αλληλεπιδράσεων μέσω των οποίων δεδομένα, αρχεία ή εφαρμογές αποθηκεύονται, προσπελαύνονται ή τροποποιούνται σε μια συσκευή αποθήκευσης ή εφαρμογή.»2 Πολλά VPN προωθούν μια πολιτική μηδενικής καταγραφής ως ένα φαινομενικά μοναδικό χαρακτηριστικό του προϊόντος, υπονοώντας έτσι ότι η διαδικτυακή κίνηση των απλών πολιτών διατρέχει διαφορετικά συνεχή κίνδυνο καταγραφής και πιθανής εκμετάλλευσης για εμπορικούς και νομικούς σκοπούς.
Αυτό έχει καταστεί ένα εξαιρετικά επίκαιρο και ευαίσθητο ζήτημα μετά την ανάκληση, τον Απρίλιο του 2017, ορισμένων μέτρων προστασίας της FCC που θα απαιτούσαν από τους Αμερικανούς παρόχους υπηρεσιών διαδικτύου (ISP) να λαμβάνουν άδεια πριν κοινοποιήσουν δεδομένα χρηστών (αν είχε ποτέ τεθεί σε ισχύ όπως προβλεπόταν τον Δεκέμβριο του 2017). Η σκέψη ότι η κυβέρνησή τους υποστηρίζει την καταγραφή του προσωπικού ιστορικού περιήγησης στο διαδίκτυο από τους ISP και στη συνέχεια την πώληση ή κοινοποίησή του χωρίς συγκατάθεση είναι ανησυχητική για τους περισσότερους χρήστες του διαδικτύου.
Ως ένθερμος υποστηρικτής της ελευθερίας του διαδικτύου, το Psiphon αγωνίζεται καθημερινά για να διασφαλίσει ότι οι χρήστες μας έχουν δίκαιη και ανοιχτή πρόσβαση σε ένα διαδίκτυο χωρίς λογοκρισία και χωρίς επιπτώσεις. Η διευρυνόμενη νομιμότητα της μη εξουσιοδοτημένης χρήσης των δεδομένων και του ιστορικού περιήγησης των χρηστών δημιουργεί ένα ανησυχητικό αφήγημα που δείχνει ότι τα κέρδη συχνά υπερτερούν της ηθικής. Ωστόσο, το Psiphon εμβάθυνε περισσότερο στην κατανόηση του τοπίου των πρακτικών καταγραφής κίνησης και δεδομένων.
Μια σύντομη συγκριτική ανάλυση των πολιτικών καταγραφής δεδομένων στις ΗΠΑ, την ΕΕ και τον Καναδά
Σε γενικές γραμμές, τα δυτικά έθνη έχουν καθορίσει προστασίες και κανονισμούς μέσα από το πρίσμα της ασφάλειας των αποθηκευμένων δεδομένων. Αυτοί οι νόμοι θεσπίζουν διατάξεις σχετικά με τα πρότυπα ασφαλείας που οφείλουν να τηρούν οι εταιρείες κατά τη συλλογή και αποθήκευση δεδομένων χρηστών. Περιγράφουν επίσης τα ζητήματα νομιμότητας που αφορούν την αποκάλυψη πληροφοριών. Ωστόσο, όλοι οι νόμοι που αναφέρονται σε αυτό το άρθρο αφήνουν τις αποφάσεις σχετικά με τον τύπο των δεδομένων και τις περιπτώσεις στις οποίες συλλέγονται, καθώς και τη διάρκεια διατήρησης αυτών των δεδομένων, στη διακριτική ευχέρεια του οργανισμού που τα συλλέγει. Ενώ σε πολλές περιπτώσεις αυτοί οι οργανισμοί πρέπει να δικαιολογήσουν το σκεπτικό των πολιτικών τους σε ένα κεντρικό διοικητικό όργανο, μια τέτοια νομοθεσία αποτελεί δίκοπο μαχαίρι, καθώς υποστηρίζει σιωπηρά τη διατήρηση δεδομένων σε πολλές περιπτώσεις.
Για παράδειγμα, δεν υπάρχουν επί του παρόντος γενικοί κανονισμοί στις ΗΠΑ σχετικά με την καταγραφή δεδομένων. Οι ISP είναι ελεύθεροι να συλλέγουν και να αποθηκεύουν δεδομένα χρηστών, υπό την προϋπόθεση ότι ο χρήστης ενημερώνεται στους όρους παροχής υπηρεσιών ή στη συμφωνία άδειας χρήσης ότι υπόκειται σε τέτοιες πρακτικές. Ωστόσο, οι εταιρείες διέπονται από τον νόμο Stored Communications Act, ο οποίος απαγορεύει την κοινοποίηση δεδομένων χρηστών, συμπεριλαμβανομένων των ηλεκτρονικών επικοινωνιών, «σε οποιοδήποτε πρόσωπο εκτός από τον παραλήπτη ή τον προβλεπόμενο αποδέκτη».3 Παρόλο που η αμερικανική κυβέρνηση επιβάλλει σε όλες τις επιχειρήσεις την προστασία των δεδομένων των χρηστών, δεν περιορίζει ρητά τις πρακτικές καταγραφής ή την εύλογη διάρκεια αποθήκευσης δεδομένων.
Το ευρύτερο ερώτημα της καταγραφής από τους ISP δεν είναι νέο, ούτε αποτελεί μεμονωμένο ζήτημα. Στην πραγματικότητα, το ζήτημα της καταγραφής δεδομένων έχει τις ρίζες του στα ίδια νομικά ερωτήματα που αναζωπυρώθηκαν πρόσφατα στη συζήτηση για την ουδετερότητα του διαδικτύου στις ΗΠΑ.
Η Ευρωπαϊκή Ένωση θέσπισε μια νομοθεσία σε επίπεδο ένωσης με τίτλο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) τον Απρίλιο του 2016, η οποία βασίζεται στην αρχική Οδηγία για την Προστασία των Δεδομένων του 2012 και σκιαγραφεί κατευθυντήριες γραμμές για την ασφάλεια των δεδομένων, τα δικαιώματα των χρηστών και τις νομικές κατηγοριοποιήσεις των υποκειμένων. Ωστόσο, τα επιμέρους κράτη μέλη υποχρεούνται να καθορίσουν την κατάλληλη διάρκεια διατήρησης δεδομένων και δεν υπόκεινται σε ένα υποχρεωτικό χρονικό πλαίσιο σε επίπεδο ένωσης.
Οι ανεξάρτητες εταιρείες είναι υπεύθυνες για τον καθορισμό της κατάλληλης διάρκειας διατήρησης των δεδομένων που συλλέγονται, ενώ πρόσθετες περίοδοι διατήρησης μπορούν να οριστούν για «σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς».4 Ωστόσο, σύμφωνα με τις διατάξεις του GDPR, ένας ιδιώτης έχει το «δικαίωμα στη λήθη» και μπορεί να ζητήσει τη διαγραφή των προσωπικών του δεδομένων από έναν διακομιστή.
Τέλος, η ομοσπονδιακή δομή του Καναδά έχει δημιουργήσει μια πολυεπίπεδη δικαιοδοτική οργάνωση όσον αφορά τους κανονισμούς καταγραφής δεδομένων. Έχει θεσπίσει τον νόμο Personal Information Protection and Electronic Documents Act (PIPEDA), ο οποίος περιγράφει οδηγίες και κανονισμούς σε εθνικό επίπεδο σχετικά με τη συλλογή πληροφοριών για εμπορική δραστηριότητα και καθορίζει έναν τυποποιημένο εθνικό ορισμό για τις προσωπικά ταυτοποιήσιμες πληροφορίες, οι οποίες περιλαμβάνουν:
• ηλικία, όνομα, αριθμούς ταυτότητας, εισόδημα, εθνοτική καταγωγή και ομάδα αίματος·
• απόψεις, αξιολογήσεις, σχόλια, κοινωνική κατάσταση ή πειθαρχικές ενέργειες κ.λπ.·
• φακέλους εργαζομένων, πιστωτικό ιστορικό, αρχεία δανείων, ιατρικά αρχεία, ύπαρξη διαφοράς μεταξύ καταναλωτή και εμπόρου, προθέσεις (για παράδειγμα, απόκτηση αγαθών ή υπηρεσιών ή αλλαγή εργασίας).5
Παρόμοια με την οδηγία της ΕΕ, περιλαμβάνονται διατάξεις που επιτρέπουν την κοινοποίηση πληροφοριών στο Κέντρο Ανάλυσης Οικονομικών Συναλλαγών και Αναφορών του Καναδά (FINTRAC) σχετικά με άτομα που είναι ύποπτα για εγκληματικές πράξεις, όπως η χρηματοδότηση της τρομοκρατίας. Ωστόσο, ο PIPEDA δεν περιγράφει ρητά διαδικασίες για την ασφάλεια των πληροφοριών και τον περιορισμό της νόμιμης διάρκειας αποθήκευσης των πληροφοριών. Παρόλο που η παράγραφος 4.5.3 ορίζει ότι «οι πληροφορίες που δεν απαιτούνται πλέον για την εκπλήρωση των καθορισμένων σκοπών θα πρέπει να καταστρέφονται», οι μεμονωμένες εταιρείες είναι ελεύθερες να εφαρμόσουν τις δικές τους διαδικασίες.
Πιο κάτω στην ιεραρχία, οι επαρχίες που έχουν τη δυνατότητα να θεσπίζουν τους δικούς τους νόμους για τη διασφάλιση της προστασίας των δεδομένων μπορούν να υπερισχύουν των διατάξεων του PIPEDA.
Έχουν, λοιπόν, δίκιο τα κινδυνολογικά VPN;
Τα VPN ανησυχούν επιτυχώς τους υποψήφιους πελάτες για τρία θεμελιώδη ελαττώματα στα ισχύοντα καθεστώτα καταγραφής:
1. Τα προσωπικά ταυτοποιήσιμα δεδομένα σας ενδέχεται να μην είναι επαρκώς ασφαλή
2. Οι ISP και οι διαδικτυακές εταιρείες ενδέχεται να χρησιμοποιούν τα προσωπικά σας δεδομένα για εμπορικό όφελος
3. Οι βάσεις δεδομένων προσωπικών πληροφοριών που διατηρούνται από ISP και διαδικτυακές εταιρείες βρίσκονται στη διάθεση των διωκτικών αρχών και των κυβερνητικών υπηρεσιών
Και τα τρία κράτη που αξιολογήθηκαν έχουν επιτρέψει τη νόμιμη συλλογή και διατήρηση προσωπικά ταυτοποιήσιμων δεδομένων χρηστών. Ενώ οι ISP και οι διαδικτυακές εταιρείες υποχρεούνται νομικά να ασφαλίζουν τέτοιες πληροφορίες, στον πυρήνα του αυτό έχει δημιουργήσει ένα αδύναμο σύστημα βασισμένο στην εμπιστοσύνη, το οποίο στερείται σαφούς εποπτείας σχεδόν σε κάθε δικαιοδοσία. Είναι εύκολο να πει κανείς ότι όσοι δεν χρησιμοποιούν το διαδίκτυο για επιλήψιμες ή παράνομες δραστηριότητες δεν χρειάζεται να ανησυχούν, αλλά στο Psiphon πιστεύουμε ότι όλοι οι χρήστες του διαδικτύου έχουν μια εύλογη προσδοκία απορρήτου, ανεξάρτητα από τη συμπεριφορά τους στο διαδίκτυο.
Ως εκ τούτου, μπορεί να θεωρηθεί δεδομένο ότι οι ISP έχουν το δικαίωμα να καταγράφουν δεδομένα χρηστών. Αυτό μπορεί να είναι ανησυχητικό για μεμονωμένους χρήστες του διαδικτύου που φοβούνται τη μη εξουσιοδοτημένη χρήση ιδιωτικών πληροφοριών, όπως ιατρικά αρχεία ή τραπεζικά δεδομένα, ή την κακόβουλη παραβίαση τέτοιων βάσεων δεδομένων. Επιπλέον, εάν ένας ISP λάμβανε μια Επιστολή Εθνικής Ασφάλειας (National Security Letter) ή ένταλμα με αίτημα αρχεία χρηστών, θα δεσμευόταν από τον νόμο να παράσχει αυτές τις πληροφορίες στις διωκτικές αρχές.
Με την ισχύουσα νομοθεσία, οι διαδικτυακές εταιρείες δεν έχουν την ελευθερία να πωλούν προσωπικά ταυτοποιήσιμα δεδομένα για εμπορικούς σκοπούς ή να αποκαλύπτουν τέτοιες πληροφορίες. Ωστόσο, έχουν κάθε δικαίωμα να διατηρούν και να χρησιμοποιούν αυτά τα δεδομένα για διάφορες εσωτερικές διαδικασίες, όπως στατιστικά στοιχεία πελατών. Με τη δυνητικά επικείμενη διάβρωση της διαδικτυακής ουδετερότητας στις Ηνωμένες Πολιτείες, τα αποθέματα προσωπικά ταυτοποιήσιμων δεδομένων ενδέχεται να αποτελέσουν αντικείμενο εκμετάλλευσης ή να διαρρεύσουν χωρίς συγκατάθεση. Ωστόσο, μια κύρια αιτία ανησυχίας μεταξύ των χρηστών VPN είναι ο κίνδυνος κακόβουλης υποκλοπής τέτοιων δεδομένων, παρά τις καλύτερες προθέσεις του παρόχου υπηρεσιών.
Οι χρήστες του διαδικτύου θα φέρουν πάντα το βάρος της ενημέρωσής τους σχετικά με τις πρακτικές των εταιρειών με τις οποίες αλληλεπιδρούν. Μια βασική ανησυχία είναι ότι ορισμένοι τελικοί χρήστες ενδέχεται να μην είναι σε θέση να κατανοήσουν τη σημασία ή τις συνέπειες των όρων χρήσης και να βασίζουν τη χρήση τους σε ασαφή και συχνά παραπλανητικά κοινωνικά και τεχνικά πρότυπα σχετικά με το αν το VPN είναι αξιόπιστο και ασφαλές. Για να μην αναφέρουμε την έρευνα αγοράς που πρέπει να γίνει για να διασφαλιστεί ότι τα VPN τηρούν πραγματικά τις πολιτικές απορρήτου που παρουσιάζουν στους δυνητικούς χρήστες, ειδικά εάν η υπηρεσία VPN απαιτεί τη δημιουργία λογαριασμών χρηστών που βασίζονται σε προσωπικά ταυτοποιήσιμες πληροφορίες.
Επιπλέον, μόλις ληφθεί μια τεκμηριωμένη απόφαση, οι χρήστες σε συγκεκριμένες γεωγραφικές τοποθεσίες και σε συγκεκριμένους ιστότοπους μπορεί να διαπιστώσουν ότι νιώθουν άνετα χρησιμοποιώντας μια μη κρυπτογραφημένη ή τυπική σύνδεση https. Όπου όμως εξακολουθεί να υπάρχει σύγχυση ή ανησυχία, ένα VPN χωρίς καταγραφή δεδομένων, όπως το Psiphon, μπορεί να χρησιμοποιηθεί για την προστασία των προσωπικά ταυτοποιήσιμων δεδομένων από τη συλλογή τους στο διαδίκτυο.
Μπορεί ένα VPN να με προστατεύσει από την καταγραφή δεδομένων;
Πολλοί χρήστες του διαδικτύου στρέφονται στα VPN για να εξασφαλίσουν ανωνυμία στο διαδίκτυο και να αποφύγουν τις πρακτικές καταγραφής δεδομένων από εμπορικές υπηρεσίες. Ωστόσο, πρέπει να επισημανθεί ότι κανένα VPN δεν μπορεί να προσφέρει πλήρη ανωνυμία στο διαδίκτυο. Όμως, όσα είναι αφοσιωμένα σε ένα ελεύθερα προσβάσιμο διαδίκτυο, όπως το Psiphon, ενσωματώνουν ισχυρά μέτρα ασφαλείας στις υπηρεσίες τους που προστατεύουν το απόρρητο των χρηστών τους. Χρησιμοποιώντας έναν διαμεσολαβητή VPN, η διαδικτυακή κίνηση δεν μπορεί να αποδοθεί σε συγκεκριμένους χρήστες, ωστόσο οι χρήστες παραμένουν συνδεδεμένοι και συμμετέχουν στη χρήση διαδικτυακών υπηρεσιών.
Σε μια προσπάθεια να κερδίσουν την εμπιστοσύνη των χρηστών και να ενισχύσουν το ατομικό απόρρητο, τα εμπορικά διαθέσιμα VPN συχνά προβάλλουν πολιτικές μηδενικής καταγραφής. Ισχυρίζονται ότι απορρίπτουν όλα τα αρχεία χρήσης, καθιστώντας το έτσι αδύνατο. Ωστόσο, πολλές συμφωνίες παροχής υπηρεσιών VPN δεν παρέχουν λεπτομερείς εξηγήσεις για τέτοιες πολιτικές. Προκειμένου να δημιουργηθεί ένας λογαριασμός ή να ανοίξει μια κρυπτογραφημένη συνεδρία, ένα VPN μπορεί να απαιτεί ορισμένες λεπτομερείς πληροφορίες χρήστη. Για άλλη μια φορά, το βάρος πέφτει στον μεμονωμένο χρήστη να διαβάσει προσεκτικά τους όρους παροχής υπηρεσιών και να αποφασίσει αν θα εμπιστευτεί το VPN.
Η δομή του διαδικτύου απαιτεί την ανταλλαγή ορισμένων πληροφοριών προκειμένου να πραγματοποιηθεί η διαδικτυακή επικοινωνία. Κανένα δεδομένο δεν μπορεί να σταλεί ή να ληφθεί χωρίς μια λειτουργική διεύθυνση IP, η οποία περιλαμβάνει τη νόμιμη διεύθυνση IP του χρήστη του VPN. Ωστόσο, επειδή καμία από τις νομοθεσίες που αξιολογήθηκαν σε αυτό το άρθρο δεν υποχρεώνει τα VPN να αποθηκεύουν δεδομένα χρηστών για καθορισμένο χρονικό διάστημα, οι βασικές αξίες του Psiphon και άλλων υπηρεσιών VPN μπορεί να τα οδηγήσουν στη διαγραφή τέτοιων πληροφοριών από τα δίκτυά τους με τον τερματισμό μιας κρυπτογραφημένης συνεδρίας.
Τι κάνει το Psiphon να διαφέρει από τις παραδοσιακές υπηρεσίες VPN; Πολύ απλά, γεννηθήκαμε από την ελευθερία του διαδικτύου και υπάρχουμε κυρίως για αυτήν. Από σχεδιασμό, η πλατφόρμα του Psiphon δεν αποθηκεύει καμία προσωπικά ταυτοποιήσιμη πληροφορία σχετικά με τη συνεδρία περιήγησης των τελικών χρηστών. Επειδή η χρήση του Psiphon δεν απαιτεί λογαριασμό, το λογισμικό είναι ουσιαστικά ανίκανο να δημιουργήσει ή να αποθηκεύσει πληροφορίες που αφορούν οποιονδήποτε μεμονωμένο χρήστη. Επομένως, δεν υπάρχει ιστορικό χρήσης, καθησυχάζοντας όσους διαφεύγουν την παρακολούθηση ή φοβούνται την αποκάλυψη προσωπικά ταυτοποιήσιμων πληροφοριών σε μη εξουσιοδοτημένα μέρη ότι η χρήση του δικτύου Psiphon δεν μπορεί να αποδοθεί σε έναν μοναδικό χρήστη ή γεωγραφική θέση.
Για να διασφαλίσουμε ότι το δίκτυό μας παραμένει αποδοτικό και κλιμακώνεται ανάλογα με τα μεταβαλλόμενα επίπεδα ζήτησης, προβαίνουμε σε εσωτερική αξιολόγηση δεδομένων, η οποία περιλαμβάνει τον όγκο κίνησης και πληροφορίες τοποθεσίας χρηστών συγκεντρωμένες σε επίπεδο χώρας.6 Αυτές είναι οι πιο λεπτομερείς πληροφορίες που διατηρούνται από την υπηρεσία. Αλλά εάν, για παράδειγμα, ένας κακόβουλος εξωτερικός παράγοντας παραβίαζε αυτές τις στατιστικές πληροφορίες, καμία προσωπικά ταυτοποιήσιμη πληροφορία δεν θα διέτρεχε κίνδυνο.
--
Από: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, ανατυπωμένο στο 1986 U.S.C.C.A.N. 3555, 3591.
4 Ό.π. Παράγραφος 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Ωστόσο, τα δεδομένα σε επίπεδο πόλης συγκεντρώνονται αυτόματα μόνο αφού η χρήση εντός μιας χώρας υπερβεί ένα όριο στο οποίο θα ήταν στατιστικά αδύνατον να ταυτοποιηθούν μεμονωμένοι χρήστες μέσω της αξιολόγησης του αριθμού των ενεργών συνδέσεων εντός της πόλης.