وضعیت ثبت معلومات: ارزیابی سطوح تهدید و شیوه‌های امنیتی
5/15/2018 - 12 دقیقه مطالعه
به‌روزشده: 9/26/2021
شرکت Psiphon سال‌هاست که در زمینه باز کردن انترنت برای افرادی که تحت رژیم‌های سانسور زندگی می‌کنند، پیشگام بوده است. کاربران کشورهای غربی، با وجود این‌که با هیچ محدودیت محتوایی در انترنت روبرو نیستند، برای حفاظت از حریم خصوصی آنلاین خود به VPNهایی مانند Psiphon روی می‌آورند. با این حال، در مارچ ۲۰۱۷، مرکز تحقیقاتی پیو (Pew Research Center) آمار شگفت‌انگیزی را منتشر کرد که نشان می‌داد حدود ۷۰٪ از کاربران انترنت در امریکا مطمئن نیستند که یک VPN چه کاربردی دارد.1
اگر تعداد فزاینده حساب‌های Psiphon نشانه‌ای از رشد شمار کاربران VPN در سراسر جهان باشد، هجوم قابل توجهی از کاربران مستقل در حال ورود به بازاری هستند که هیچ معیاری برای ارزیابی انتقادی محصولات در آن ندارند. این گروه اکنون بار درک خطرات در حوزه ناآشنای امنیت سایبری را بر دوش می‌کشند. از این رو، آن‌ها در برابر معلومات نادرست بسیار آسیب‌پذیر هستند. یکی از این اصطلاحات که کاربران را به شدت به حالت آماده‌باش درمی‌آورد، رواج اصطلاح ثبت اطلاعات (data logging) در سراسر وب‌سایت‌ها و تالارهای گفتگوی VPN و تحریف خطرات فردی و روش‌های حفاظت مؤثر از خود است.
به گفته Techopedia، «ثبت اطلاعات، پروسه جمع‌آوری و ذخیره‌سازی معلومات در طول یک دوره زمانی به منظور تحلیل روندهای مشخص یا ثبت رویدادها/اقدامات مبتنی بر داده‌های یک سیستم، شبکه یا محیط IT است. این پروسه امکان ردیابی تمام تعاملاتی را فراهم می‌کند که از طریق آن‌ها معلومات، فایل‌ها یا برنامه‌ها روی یک دستگاه ذخیره‌سازی یا اپلیکیشن ذخیره، بازبینی یا تغییر داده می‌شوند.»2 بسیاری از VPNها پالیسی عدم ثبت اطلاعات (zero-logging) را به عنوان یک ویژگی به ظاهر منحصر‌به‌فرد محصول تبلیغ می‌کنند و بدین ترتیب چنین القا می‌نمایند که ترافیک انترنتی شهروندان عادی در غیر این صورت دائماً در معرض خطر ثبت شدن و احتمالاً سوءاستفاده برای مقاصد تجارتی و حقوقی قرار دارد.
این موضوع پس از لغو برخی از تدابیر حفاظتی FCC در اپریل ۲۰۱۷ به یک موضوع بسیار داغ و حساس تبدیل شده است؛ تدابیری که در صورت اجرایی شدن در دسمبر ۲۰۱۷ (چنانچه طبق برنامه پیش‌بینی شده بود)، ارائه‌دهندگان خدمات انترنت امریکایی (ISPs) را ملزم می‌کرد تا قبل از اشتراک‌گذاری داده‌های کاربران، اجازه بگیرند. فکر این‌که دولت آن‌ها از ثبت تاریخچه انترنت شخصی کاربران توسط ISPs و سپس فروش یا افشای آن بدون رضایت حمایت کند، برای اکثر کاربران انترنت نگران‌کننده است.
به عنوان یک حامی سرسخت آزادی انترنت، Psiphon روزانه تلاش می‌کند تا اطمینان حاصل کند که کاربران ما به یک انترنت بدون سانسور، دسترسی عادلانه و آزاد و بدون پیامدهای ناگوار داشته باشند. گسترش مشروعیت استفاده بدون اجازه از داده‌های کاربران و تاریخچه مرور، روایت نگران‌کننده‌ای را به وجود می‌آورد که نشان می‌دهد سود مالی اغلب بر اخلاق برتری دارد. اما Psiphon نگاهی عمیق‌تر به درک وضعیت شیوه‌های ثبت ترافیک و اطلاعات انداخته است.
تحلیل مقایسه‌ای مختصر درباره پالیسی‌های ثبت اطلاعات در ایالات متحده، اتحادیه اروپا و کانادا
به طور کلی، کشورهای غربی حفاظت‌ها و مقررات را در چارچوب امنیت معلومات ذخیره‌شده تعریف کرده‌اند. این قوانین مواردی را در رابطه با استانداردهای امنیتی که شرکت‌ها هنگام جمع‌آوری و ذخیره معلومات کاربران ملزم به رعایت آن‌ها هستند، تعیین می‌کنند. آن‌ها همچنین مسائل حقوقی مربوط به افشای معلومات را مشخص می‌سازند. با این حال، تمام قوانین ذکر شده در این مقاله، تصمیم‌گیری در مورد نوع معلومات و شرایطی که در آن جمع‌آوری می‌شود و همچنین مدت زمان نگهداری چنین معلوماتی را به عهده نهاد جمع‌آوری‌کننده واگذار می‌کنند. در حالی که در بسیاری از موارد این سازمان‌ها باید منطق پشت پالیسی‌های خود را برای یک نهاد حاکم مرکزی توجیه کنند، چنین قوانینی یک شمشیر دو لبه ایجاد می‌کند، زیرا در بسیاری از موارد به طور ضمنی از نگهداری معلومات پشتیبانی می‌نماید.
به عنوان مثال، در حال حاضر هیچ مقررات فراگیری در ایالات متحده در رابطه با ثبت اطلاعات وجود ندارد. ISPs در جمع‌آوری و ذخیره معلومات کاربران آزاد هستند، به شرطی که در شرایط خدمات یا توافق‌نامه لایسنس کاربر به او اطلاع داده شود که مشمول چنین اقداماتی قرار دارد. با این حال، شرکت‌ها تحت حاکمیت «قانون ارتباطات ذخیره‌شده» (Stored Communications Act) قرار دارند که افشای معلومات کاربران، از جمله ارتباطات الکترونیکی، را «به هر فردی غیر از مخاطب یا گیرنده مورد نظر» ممنوع می‌کند.3 در حالی که دولت امریکا وظیفه حفاظت از معلومات کاربران را بر دوش همه شرکت‌ها می‌گذارد، اما شیوه‌های ثبت یا مدت زمان معقول ذخیره‌سازی داده‌ها را به طور صریح محدود نمی‌کند.
مسئله بزرگ‌تر ثبت معلومات توسط ISP موضوع جدیدی نیست و همچنین یک مسئله جداگانه محسوب نمی‌شود. در حقیقت، مسئله ثبت اطلاعات ریشه در همان پرسش‌های حقوقی دارد که اخیراً در بحث بی‌طرفی شبکه (net neutrality) در امریکا دوباره مطرح شده است.
اتحادیه اروپا در اپریل ۲۰۱۶ قانونی را در سراسر این اتحادیه تحت عنوان مقررات عمومی حفاظت از داده‌ها (GDPR) تصویب کرد که مبتنی بر دستورالعمل اولیه حفاظت از داده‌های سال ۲۰۱۲ بوده و رهنمودهای امنیت معلومات، حقوق کاربران و طبقه‌بندی‌های حقوقی افراد را مشخص می‌کند. با این حال، کشورهای عضو ملزم هستند مدت زمان مناسب نگهداری داده‌ها را خودشان تعیین کنند و مشمول یک چارچوب زمانی اجباری در سراسر اتحادیه نیستند.
شرکت‌های مستقل مسئول تعیین مدت زمان مناسب برای نگهداری معلومات جمع‌آوری‌شده هستند، در حالی که دوره‌های اضافی نگهداری ممکن است برای «آرشیوسازی در جهت منافع عمومی، استفاده‌های علمی، آماری یا تاریخی» تعیین شود.4 با این حال، بر اساس مفاد GDPR، یک شهروند عادی دارای «حق فراموش شدن» است و می‌تواند درخواست کند که معلومات شخصی‌اش از سرور حذف شود.
در نهایت، ساختار فدرالی کانادا یک تشکیلات قضایی چندسطحی را در رابطه با مقررات ثبت اطلاعات خود ایجاد کرده است. کانادا «قانون حفاظت از معلومات شخصی و اسناد الکترونیکی» (PIPEDA) را به تصویب رسانده که رهنمودها و مقررات سراسری را در مورد جمع‌آوری معلومات برای فعالیت‌های تجارتی مشخص می‌کند و تعریف استاندارد ملی را برای معلومات قابل شناسایی فردی تعیین می‌نماید، که شامل موارد زیر است:
• سن، نام، شماره‌های شناسایی، عواید، منشأ قومی و گروه خون؛
• نظریات، ارزیابی‌ها، تبصره‌ها، موقعیت اجتماعی یا اقدامات انضباطی و غیره.
• دوسیه‌های کارمندان، سوابق اعتباری، سوابق قرضه، سوابق صحی، وجود منازعه بین مصرف‌کننده و تاجر، قصدها (به عنوان مثال، برای خرید کالا یا خدمات، یا تغییر وظیفه).5
مشابه دستورالعمل اتحادیه اروپا، احکامی در نظر گرفته شده است تا افشای معلومات به «مرکز تحلیل معاملات و گزارش‌های مالی کانادا» (FINTRAC) در رابطه با افرادی که مظنون به اعمال جرمی مانند تمویل تروریزم هستند، مجاز باشد. با این وجود، PIPEDA صراحتاً پروسه‌های ایمن‌سازی معلومات و محدود کردن مدت زمان قانونی ذخیره‌سازی معلومات را مشخص نمی‌کند. در حالی که بند ۴.۵.۳ بیان می‌کند که «معلوماتی که دیگر برای برآورده کردن اهداف مشخص‌شده لازم نیستند باید از بین برده شوند»، شرکت‌های مستقل در اجرای روش‌های خود مختار هستند.
در سطوح بعدی، ولایت‌هایی که قادر به وضع قوانین خود برای تضمین حفاظت از معلومات هستند، می‌توانند قوانین خود را جایگزین مفاد PIPEDA نمایند.
بنابراین، آیا VPNهای هشداردهنده درست می‌گویند؟
VPNها به دلیل سه نقص اساسی در رژیم‌های فعلی ثبت اطلاعات، با موفقیت مشتریان احتمالی را نگران و هشیار می‌کنند:
1. ممکن است معلومات قابل شناسایی فردی شما به اندازه کافی امن نباشد
2. ممکن است ISPs و شرکت‌های آنلاین از معلومات شخصی شما برای مقاصد تجارتی استفاده کنند
3. پایگاه‌های معلومات شخصی نگهداری‌شده توسط ISPs و شرکت‌های آنلاین در اختیار نهادهای تنفیذ قانون و ادارات دولتی قرار دارند
هر سه منطقه بررسی‌شده، جمع‌آوری و نگهداری قانونی معلومات قابل شناسایی فردی کاربران را مجاز دانسته‌اند. در حالی که ISPs و شرکت‌های آنلاین از نظر قانونی ملزم به تأمین امنیت این معلومات هستند، اما در اصل، این امر یک سیستم ضعیف مبتنی بر اعتماد ایجاد کرده است که تقریباً در هر حوزه قضایی فاقد نظارت شفاف است. گفتن این‌که افرادی که از انترنت برای فعالیت‌های مشکوک یا غیرقانونی استفاده نمی‌کنند نیازی به نگرانی ندارند آسان است، اما ما در Psiphon معتقدیم که همه کاربران انترنت صرف‌نظر از رفتار آنلاین خود، حق دارند انتظار معقولی از حریم خصوصی داشته باشند.
بدین ترتیب، می‌توان فرض کرد که ISPs حق ثبت معلومات کاربران را دارند. این ممکن است برای کاربران انترنت که از استفاده غیرمجاز از معلومات خصوصی مانند سوابق صحی یا معلومات بانکی، یا نفوذ مخرب به این پایگاه‌های معلومات می‌ترسند، نگران‌کننده باشد. علاوه بر این، اگر یک ISP «نامه امنیت ملی» (National Security Letter) یا حکم قضایی دریافت کند که در آن سوابق کاربر درخواست شده باشد، قانوناً ملزم است چنین معلوماتی را در اختیار نهادهای تنفیذ قانون قرار دهد.
با قوانین فعلی، شرکت‌های آنلاین مجاز نیستند معلومات قابل شناسایی فردی را برای اهداف تجارتی بفروشند یا چنین معلوماتی را افشا کنند. با این حال، آن‌ها کاملاً این حق را دارند که این معلومات را برای انواع پروسه‌های داخلی مانند احصائیه مشتریان نگهداری و استفاده کنند. با تضعیف بالقوه و قریب‌الوقوع بی‌طرفی شبکه در ایالات متحده، منابع معلومات قابل شناسایی فردی ممکن است بدون رضایت مورد سوءاستفاده قرار گیرند یا منتشر شوند. با این حال، یکی از دلایل اصلی نگرانی کاربران VPN، خطر سرقت مخرب چنین معلوماتی است، حتی با وجود حسن نیت ارائه‌دهنده خدمات.
کاربران انترنت همواره بار آموزش خود را در مورد عملکردهای شرکت‌هایی که با آن‌ها سر و کار دارند، به دوش خواهند کشید. نگرانی عمده این است که برخی از کاربران نهایی ممکن است نتوانند معنا یا عواقب شرایط استفاده را درک کنند و استفاده خود را بر استانداردهای اجتماعی و تخنیکی مبهم و غالباً گمراه‌کننده درباره قابل اعتماد بودن یا نبودن VPN استوار سازند. ناگفته نماند که باید تحقیقات بازاری انجام شود تا اطمینان حاصل گردد که آیا VPNها واقعاً به پالیسی‌های حفظ حریم خصوصی که به کاربران احتمالی ارائه می‌دهند پایبند هستند یا خیر، به ویژه اگر سرویس VPN مستلزم ایجاد حساب‌های کاربری باشد که بر پایه معلومات قابل شناسایی فردی ساخته می‌شوند.
افزون بر این، پس از اتخاذ یک تصمیم آگاهانه، کاربران در موقعیت‌های جغرافیایی مشخص و در سایت‌های خاص ممکن است احساس کنند که با استفاده از یک اتصال رمزگذاری‌نشده یا استاندارد https مشکلی ندارند. اما در جایی که هنوز ابهام یا نگرانی وجود دارد، می‌توان از یک VPN بدون ثبت گزارش (no-log) مانند Psiphon برای جلوگیری از جمع‌آوری معلومات قابل شناسایی فردی در انترنت استفاده کرد.
آیا یک VPN می‌تواند از من در برابر ثبت اطلاعات محافظت کند؟
بسیاری از کاربران انترنت برای ناشناس ماندن در انترنت و اجتناب از اقدامات مربوط به ثبت اطلاعات توسط خدمات تجارتی آنلاین، به VPNها روی می‌آورند. با این حال، باید یادآوری کرد که هیچ VPN نمی‌تواند گمنامی کامل در انترنت ارائه دهد. اما سرویس‌هایی که به انترنت آزاد و در دسترس متعهد هستند، مانند Psiphon، تدابیر امنیتی قدرتمندی را در خدمات خود به کار می‌گیرند که از حریم خصوصی کاربران‌شان محافظت می‌کند. با استفاده از یک پروکسی VPN، ترافیک انترنت را نمی‌توان به کاربران خاصی نسبت داد، اما کاربران همچنان به خدمات انترنتی متصل بوده و از آن‌ها استفاده می‌کنند.
VPNهای موجود در بازار در تلاشی برای جلب اعتماد کاربران و افزایش حریم خصوصی افراد، اغلب پالیسی‌های عدم ثبت اطلاعات را برجسته می‌کنند. آن‌ها ادعا می‌کنند که تمام سوابق استفاده را دور می‌اندازند و در نتیجه ردیابی را غیرممکن می‌سازند. با این حال، بسیاری از توافق‌نامه‌های خدمات VPN توضیحات مفصلی در مورد این پالیسی‌ها ارائه نمی‌دهند. به منظور ایجاد یک حساب کاربری یا باز کردن یک جلسه رمزگذاری‌شده، ممکن است یک VPN به برخی معلومات تفصیلی کاربر نیاز داشته باشد. بار دیگر، مسئولیت بر عهده شخص کاربر است که شرایط خدمات را به دقت مطالعه کند و تصمیم بگیرد که آیا به VPN اعتماد کند یا خیر.
ساختار انترنت ایجاب می‌کند که برای برقراری ارتباط آنلاین، معلومات مشخصی تبادله شود. هیچ معلوماتی بدون یک آدرس IP فعال قابل ارسال یا دریافت نیست که این شامل آدرس IP واقعی کاربر VPN نیز می‌شود. با این حال، چون هیچ‌یک از قوانین بررسی‌شده در این مقاله VPNها را ملزم به ذخیره معلومات کاربران برای یک مدت زمان مشخص نمی‌کند، ارزش‌های بنیادین Psiphon و سایر خدمات VPN ممکن است باعث شود که آن‌ها چنین معلوماتی را پس از پایان یک جلسه رمزگذاری‌شده از شبکه‌های خود پاک کنند.
چه چیزی Psiphon را از خدمات سنتی VPN متمایز می‌کند؟ خیلی ساده است: ما از دل آزادی انترنت متولد شده‌ایم و عمدتاً برای آزادی انترنت فعالیت می‌کنیم. بر اساس طراحی پلتفرم، Psiphon هیچ معلومات قابل شناسایی فردی را در رابطه با جلسه مرور کاربران نهایی ذخیره نمی‌کند. از آن‌جایی که استفاده از Psiphon نیازی به حساب کاربری ندارد، این نرم‌افزار عملاً قادر به ایجاد یا ذخیره معلومات مربوط به هیچ کاربر خاصی نیست. بنابراین، هیچ ریکاردی از استفاده وجود ندارد، که به افرادی که از نظارت فرار می‌کنند یا از افشای معلومات قابل شناسایی فردی به اشخاص غیرمجاز می‌ترسند، اطمینان می‌دهد که استفاده از شبکه Psiphon را نمی‌توان به یک کاربر یا موقعیت جغرافیایی منحصر‌به‌فرد نسبت داد.
برای اطمینان از این‌که شبکه ما کارآمد باقی می‌ماند و متناسب با تغییر سطح تقاضا مقیاس‌پذیر است، ما به ارزیابی داخلی معلومات می‌پردازیم که شامل حجم ترافیک و معلومات موقعیت مکانی کاربر به صورت تجمیع‌شده در سطح کشور است.6 این دقیق‌ترین معلوماتی است که توسط این سرویس نگهداری می‌شود. اما برای مثال، اگر یک عامل مخرب خارجی به این معلومات آماری نفوذ کند، هیچ معلومات قابل شناسایی فردی به خطر نخواهد افتاد.
--
توسط: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 همان. بند ۲۶.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 با این حال، داده‌های سطح شهر فقط زمانی به طور خودکار تجمیع خواهند شد که میزان استفاده در داخل یک کشور از آستانه‌ای فراتر رود که از نظر احصائیوی شناسایی کاربران انفرادی از طریق ارزیابی تعداد اتصالات فعال در آن شهر غیرممکن باشد.