وضعیت ثبت داده‌ها: ارزیابی سطوح تهدید و شیوه‌های امنیتی

2018/5/15 - 11 دقیقه مطالعه

به‌روزرسانی‌شده: 2021/9/26

Psiphon Inc. سال‌هاست که پیشتاز تلاش‌ها برای باز کردن اینترنت به روی کسانی است که تحت رژیم‌های سانسورگر زندگی می‌کنند. با وجود این‌که کاربران کشورهای غربی با هیچ محدودیتی در محتوای آنلاین مواجه نیستند، برای محافظت از حریم خصوصی آنلاین خود به VPNهایی مانند Psiphon روی می‌آورند. با این حال، در مارس ۲۰۱۷، مرکز پژوهشی پیو آمار شگفت‌انگیزی را منتشر کرد که نشان می‌داد حدود ۷۰٪ از کاربران آمریکایی اینترنت دقیقاً نمی‌دانند VPN چه کاربردی دارد.^۱

اگر تعداد پیوسته رو به رشد حساب‌های Psiphon نشانه‌ای از افزایش روزافزون کاربران VPN در سراسر جهان باشد، موج بزرگی از کاربران مستقل در حال ورود به بازاری هستند که هیچ معیاری برای ارزیابی نقادانه محصولات آن ندارند. این گروه اکنون بار درک خطرات موجود در حوزه ناآشنای امنیت سایبری را به دوش می‌کشد. به همین دلیل، آن‌ها به‌شدت در معرض اطلاعات نادرست قرار دارند. یکی از مواردی که کاربران را به‌شدت نگران می‌کند، فراگیر بودن اصطلاح ثبت داده‌ها (data logging) در سراسر وب‌سایت‌ها و انجمن‌های VPN، و ارائه تصویری نادرست از خطرات فردی و روش‌های محافظت مؤثر از خود است.

به تعریف تکوپدیا (Techopedia)، «ثبت داده‌ها فرآیند جمع‌آوری و ذخیره داده‌ها در طول یک دوره زمانی به‌منظور تجزیه و تحلیل روندهای خاص یا ثبت وقایع/اقدامات مبتنی بر داده در یک سیستم، شبکه یا محیط فناوری اطلاعات است. این فرآیند امکان ردیابی تمام تعاملاتی را فراهم می‌کند که از طریق آن‌ها، داده‌ها، فایل‌ها یا برنامه‌ها در یک دستگاه ذخیره‌سازی یا برنامه کاربردی ذخیره شده، مورد دسترسی قرار گرفته یا اصلاح می‌شوند.»^۲  بسیاری از VPNها سیاست عدم ثبت داده‌ها (zero-logging) را به‌عنوان یک ویژگی به‌ظاهر منحصربه‌فرد محصول تبلیغ می‌کنند، و با این کار این ذهنیت را القا می‌کنند که در غیر این صورت، ترافیک اینترنت شهروندان عادی پیوسته در خطر ثبت شدن و سوءاستفاده احتمالی برای اهداف تجاری و قانونی قرار دارد.

این موضوع پس از لغو برخی از تدابیر حفاظتی FCC در آوریل ۲۰۱۷ به مسئله‌ای داغ و جنجالی تبدیل شده است؛ قوانینی که اگر طبق برنامه در دسامبر ۲۰۱۷ اجرایی می‌شدند، ارائه‌دهندگان خدمات اینترنت (ISP) آمریکایی را ملزم می‌کردند پیش از به اشتراک‌گذاری داده‌های کاربران، رضایت آن‌ها را جلب کنند. این فکر که دولت آن‌ها حامی ثبت تاریخچه اینترنت شخصی شهروندان توسط ISPها و سپس فروش یا افشای آن‌ها بدون رضایت باشد، برای اکثر کاربران اینترنت نگران‌کننده است.

Psiphon به‌عنوان یکی از مدافعان سرسخت آزادی اینترنت، هر روز تلاش می‌کند تا اطمینان حاصل کند کاربران ما بدون هیچ‌گونه عواقبی، دسترسی منصفانه و بازی به یک اینترنت بدون سانسور داشته باشند. قانونی شدن روزافزون استفاده غیرمجاز از داده‌ها و تاریخچه مرور کاربران، روایتی نگران‌کننده ایجاد می‌کند که نشان می‌دهد منافع مالی اغلب بر اخلاق برتری دارند. اما Psiphon نگاهی عمیق‌تر به درک چشم‌انداز شیوه‌های ثبت ترافیک و داده‌ها انداخته است.

تحلیل مقایسه‌ای مختصر درباره سیاست‌های ثبت داده‌ها در ایالات متحده، اتحادیه اروپا و کانادا

به‌طور کلی، کشورهای غربی تدابیر حفاظتی و مقررات خود را در چارچوب امنیت داده‌های ذخیره‌شده تعریف کرده‌اند. این قوانین مقرراتی را در رابطه با استانداردهای امنیتی وضع می‌کنند که شرکت‌ها هنگام جمع‌آوری و ذخیره داده‌های کاربران ملزم به رعایت آن‌ها هستند. آن‌ها همچنین مسائل قانونی مربوط به افشای اطلاعات را مشخص می‌کنند. با این حال، تمام قوانین ذکرشده در این مقاله، تصمیم‌گیری درباره نوع داده‌ها، موقعیت‌های جمع‌آوری آن‌ها، و همچنین مدت زمان نگهداری چنین داده‌هایی را به صلاحدید سازمان جمع‌آوری‌کننده واگذار کرده‌اند.  گرچه در بسیاری از موارد این سازمان‌ها باید منطق پشت سیاست‌های خود را برای یک نهاد حاکمیتی مرکزی توجیه کنند، اما چنین قوانینی مانند شمشیری دو لبه عمل می‌کنند، چرا که در بسیاری از موارد تلویحاً از نگهداری داده‌ها حمایت می‌کنند.

به‌عنوان مثال، در حال حاضر در ایالات متحده هیچ مقررات فراگیری در رابطه با ثبت داده‌ها وجود ندارد. ISPها مجازند داده‌های کاربران را جمع‌آوری و ذخیره کنند، به شرط آن‌که در شرایط استفاده از خدمات یا توافق‌نامه مجوز کاربر، به کاربر اطلاع داده شده باشد که مشمول چنین اقداماتی قرار می‌گیرد. با این حال، شرکت‌ها تحت حاکمیت «قانون ارتباطات ذخیره‌شده» هستند که افشای داده‌های کاربران، از جمله ارتباطات الکترونیکی را «به هر شخصی غیر از گیرنده یا مخاطب مورد نظر» ممنوع می‌کند.^۳  گرچه دولت آمریکا همه شرکت‌ها را به حفاظت از داده‌های کاربران موظف کرده است، اما شیوه‌های ثبت یا مدت زمان معقول ذخیره‌سازی داده‌ها را صریحاً محدود نمی‌کند.

مسئله بزرگ‌تر ثبت داده‌ها توسط ISP موضوع جدیدی نیست و یک مسئله مجزا و مستقل نیز به شمار نمی‌آید. در واقع، مسئله ثبت داده‌ها ریشه در همان پرسش‌های قانونی دارد که اخیراً بحث بی‌طرفی شبکه (net neutrality) را در ایالات متحده دوباره زنده کرده است.

اتحادیه اروپا در آوریل ۲۰۱۶ قانونی را در سطح کل این اتحادیه تحت عنوان «مقررات عمومی حفاظت از داده‌ها» (GDPR) تصویب کرد که بر پایه «دستورالعمل حفاظت از داده‌ها» مصوب سال ۲۰۱۲ بنا شده و دستورالعمل‌های امنیت داده‌ها، حقوق کاربران و طبقه‌بندی‌های قانونی افراد را مشخص می‌کند. با این حال، کشورهای عضو موظفند مدت زمان مناسب برای نگهداری داده‌ها را خود تعیین کنند و ملزم به رعایت یک چارچوب زمانی اجباری در سطح اتحادیه نیستند.

مقررات نگهداری داده‌ها در اتحادیه اروپا به‌گونه‌ای طراحی شده‌اند که امنیت داده‌های کاربران و در دسترس بودن آن‌ها برای نهادهای مجری قانون را تضمین کنند، و بخش زیادی از لحن به‌کاررفته در دستورالعمل اصلی حفاظت از داده‌ها نشان می‌دهد که نگهداری داده‌ها برای سهولت و سرعت بخشیدن به تحقیقات قانونی ضروری است. این قانون تا جایی پیش می‌رود که در ماده ۶ تصریح می‌کند دسته‌بندی‌های حقوقی خاص مانند مظنونان به جرم، مجرمان محکوم‌شده و قربانیان در طول فرآیندهای ثبت و نگهداری داده‌ها، از سایر افراد متمایز شوند.

شرکت‌های مستقل مسئول تعیین مدت زمان مناسب برای نگهداری داده‌های جمع‌آوری‌شده هستند، در حالی که ممکن است دوره‌های نگهداری بیشتری برای «بایگانی در راستای منافع عمومی، کاربردهای علمی، آماری یا تاریخی» تعیین شود.^۴  با این حال، بر اساس مفاد GDPR، یک شهروند عادی دارای «حق فراموش شدن» است و می‌تواند درخواست کند که اطلاعات شخصی او از یک سرور حذف شود.

سرانجام، ساختار فدرال کانادا باعث ایجاد یک سازمان قضایی چندلایه در خصوص مقررات ثبت داده‌های آن شده است. این کشور «قانون حفاظت از اطلاعات شخصی و اسناد الکترونیکی» (PIPEDA) را به تصویب رسانده که دستورالعمل‌ها و مقررات سراسری را درباره جمع‌آوری اطلاعات برای فعالیت‌های تجاری مشخص می‌کند و تعریف استاندارد ملی را برای اطلاعات هویتی تعیین می‌نماید، که شامل موارد زیر است:

• سن، نام، شماره‌های شناسایی، درآمد، منشأ قومی و گروه خونی؛

• نظرات، ارزیابی‌ها، دیدگاه‌ها، وضعیت اجتماعی یا اقدامات انضباطی، و غیره.

• پرونده‌های پرسنلی، سوابق اعتباری، سوابق وام، پرونده‌های پزشکی، وجود اختلاف بین یک مصرف‌کننده و یک بازرگان، نیات و مقاصد (برای مثال، برای خرید کالا یا خدمات، یا تغییر شغل).^۵

مشابه با دستورالعمل اتحادیه اروپا، مقرراتی در نظر گرفته شده که اجازه می‌دهد اطلاعات افراد مظنون به اقدامات مجرمانه مانند تأمین مالی تروریسم، به مرکز تجزیه و تحلیل تراکنش‌ها و گزارش‌های مالی کانادا (FINTRAC) افشا شود. با این حال، PIPEDA فرآیندهای ایمن‌سازی اطلاعات و محدود کردن مدت زمان قانونی نگهداری اطلاعات را به‌صراحت مشخص نمی‌کند. گرچه بند ۴.۵.۳ بیان می‌کند که «اطلاعاتی که دیگر برای برآوردن اهداف مشخص‌شده لازم نیست باید از بین بروند»، اما شرکت‌ها مجازند رویه‌های اختصاصی خود را اجرا کنند.

در سطوح پایین‌تر این زنجیره، استان‌هایی که قادر به وضع قوانین اختصاصی خود برای تضمین حفاظت از داده‌ها هستند، می‌توانند بر مقررات PIPEDA اولویت داشته باشند.

بنابراین، آیا حق با سرویس‌های هشداردهنده VPN است؟

VPNها با تکیه بر سه نقص اساسی در رژیم‌های فعلی ثبت داده‌ها، مشتریان بالقوه را با موفقیت نگران می‌کنند:

۱. داده‌های هویتی شما ممکن است از امنیت کافی برخوردار نباشند

۲. ISPها و شرکت‌های آنلاین ممکن است از داده‌های شخصی شما برای کسب سود تجاری استفاده کنند

۳. پایگاه‌های اطلاعات شخصی که توسط ISPها و شرکت‌های آنلاین نگهداری می‌شوند، در اختیار نهادهای مجری قانون و سازمان‌های دولتی قرار دارند

هر سه کشور مورد بررسی، جمع‌آوری و نگهداری قانونی داده‌های هویتی کاربران را مجاز دانسته‌اند. گرچه ISPها و شرکت‌های آنلاین از نظر قانونی موظف به تأمین امنیت این اطلاعات هستند، اما اساساً این امر سیستمی ضعیف و مبتنی بر اعتماد ایجاد کرده که تقریباً در هر حوزه قضایی فاقد نظارت شفاف است.  به‌سادگی می‌توان گفت کسانی که از اینترنت برای فعالیت‌های مشکوک یا غیرقانونی استفاده نمی‌کنند نیازی به نگرانی ندارند، اما ما در Psiphon بر این باوریم که همه کاربران اینترنت حق دارند صرف‌نظر از رفتارهای آنلاین خود، انتظاری منطقی از حریم خصوصی داشته باشند.

به همین ترتیب، می‌توان فرض کرد که ISPها حق ثبت داده‌های کاربران را دارند. این موضوع ممکن است برای تک‌تک کاربران اینترنتی که از استفاده غیرمجاز از اطلاعات خصوصی مانند پرونده‌های پزشکی یا اطلاعات بانکی، یا نفوذ مخرب به چنین پایگاه‌های داده‌ای هراس دارند، نگران‌کننده باشد. علاوه بر این، اگر یک ISP «نامه امنیت ملی» (National Security Letter) یا حکمی برای درخواست سوابق کاربر دریافت کند، بر اساس قانون ملزم خواهد بود که این اطلاعات را در اختیار مراجع قانونی قرار دهد.

با قوانین فعلی، شرکت‌های آنلاین مجاز نیستند داده‌های هویتی را برای اهداف تجاری بفروشند یا چنین اطلاعاتی را فاش کنند. با این حال، آن‌ها کاملاً حق دارند این داده‌ها را برای انواع فرآیندهای داخلی مانند آمارهای مشتریان نگهداری کرده و مورد استفاده قرار دهند. با از بین رفتن بالقوه و قریب‌الوقوع اصل بی‌طرفی شبکه در ایالات متحده، منابع داده‌های هویتی ممکن است بدون رضایت مورد سوءاستفاده قرار گیرند یا منتشر شوند. با این وجود، یکی از دلایل اصلی نگرانی در میان کاربران VPN، خطر استخراج مخرب این داده‌ها علی‌رغم حسن نیت ارائه‌دهنده خدمات است.

کاربران اینترنت همیشه بار آگاهی از اقدامات شرکت‌هایی را که با آن‌ها در تعامل هستند به دوش خواهند کشید. یک نگرانی اولیه این است که برخی از کاربران نهایی ممکن است نتوانند معنا یا پیامدهای شرایط استفاده را درک کنند و تصمیمات خود را بر اساس معیارهای مبهم و اغلب گمراه‌کننده اجتماعی و فنی درباره قابل اعتماد بودن و کارایی VPN استوار سازند. ناگفته نماند که برای اطمینان از اینکه آیا VPNها واقعاً به سیاست‌های حفظ حریم خصوصی اعلام‌شده به کاربران وفادار هستند یا خیر، باید تحقیقات بازاری انجام شود، به‌ویژه اگر سرویس VPN مستلزم ایجاد حساب‌های کاربری باشد که بر پایه اطلاعات هویتی شکل گرفته‌اند.

فراتر از آن، پس از رسیدن به یک تصمیم آگاهانه، کاربران در موقعیت‌های جغرافیایی خاص و در سایت‌های مشخص ممکن است احساس کنند که استفاده از یک اتصال رمزگذاری‌نشده یا https استاندارد برای آن‌ها بلامانع است. اما در جایی که هنوز ابهام یا نگرانی وجود دارد، می‌توان از یک VPN بدون ثبت داده‌ها مانند Psiphon برای جلوگیری از جمع‌آوری آنلاین داده‌های هویتی استفاده کرد.

آیا یک VPN می‌تواند از من در برابر ثبت داده‌ها محافظت کند؟

بسیاری از کاربران اینترنت برای ناشناس ماندن در فضای مجازی و جلوگیری از شیوه‌های ثبت داده توسط سرویس‌های تجاری آنلاین، به VPNها روی می‌آورند. با این حال، باید تصریح کرد که هیچ VPNای نمی‌تواند ناشناس بودن کامل را در اینترنت تضمین کند. اما آن‌هایی که متعهد به اینترنت با دسترسی آزاد هستند، مانند Psiphon، تدابیر امنیتی قدرتمندی را در سرویس‌های خود لحاظ می‌کنند که از حریم خصوصی کاربرانشان محافظت می‌نماید. با استفاده از پروکسی VPN، ترافیک اینترنت را نمی‌توان به کاربران خاصی نسبت داد، اما کاربران همچنان به سرویس‌های اینترنتی متصل بوده و از آن‌ها استفاده می‌کنند.

VPNهای تجاری اغلب به‌منظور جلب اعتماد کاربران و افزایش حریم خصوصی افراد، بر سیاست‌های عدم ثبت اطلاعات تأکید می‌کنند. آن‌ها ادعا می‌کنند که تمام سوابق استفاده را دور می‌اندازند و در نتیجه ردیابی را غیرممکن می‌سازند. با این حال، بسیاری از توافق‌نامه‌های خدمات VPN توضیحات مفصلی درباره چنین سیاست‌هایی ارائه نمی‌دهند. برای ایجاد یک حساب کاربری یا باز کردن یک نشست رمزگذاری‌شده، ممکن است یک VPN به اطلاعات دقیق کاربر نیاز داشته باشد. بار دیگر، مسئولیت مطالعه دقیق شرایط استفاده و تصمیم‌گیری درباره اعتماد به VPN بر عهده خود کاربر است.

ساختار اینترنت ایجاب می‌کند که برای برقراری ارتباطات آنلاین، اطلاعات خاصی ردوبدل شود. هیچ داده‌ای بدون یک نشانی IP فعال، که شامل نشانی IP واقعی کاربر VPN نیز می‌شود، قابل ارسال یا دریافت نیست. با این حال، از آنجا که هیچ‌یک از قوانین بررسی‌شده در این مقاله، VPNها را ملزم به ذخیره داده‌های کاربران برای مدت زمان مشخصی نمی‌کنند، ارزش‌های بنیادین Psiphon و سایر سرویس‌های VPN ممکن است باعث شود که آن‌ها این اطلاعات را پس از پایان یک نشست رمزگذاری‌شده از شبکه‌های خود پاک کنند.

چه چیزی Psiphon را از سرویس‌های سنتی VPN متمایز می‌کند؟ خیلی ساده، ما از آزادی اینترنت سرچشمه گرفته‌ایم و اساساً برای آن وجود داریم. پلتفرم Psiphon به گونه‌ای طراحی شده است که هیچ‌یک از اطلاعات هویتی مربوط به نشست مرور وب کاربران نهایی را ذخیره نمی‌کند. از آنجا که استفاده از Psiphon نیازی به حساب کاربری ندارد، این نرم‌افزار اساساً قادر به ایجاد یا ذخیره اطلاعات مربوط به هر کاربر خاص نیست. بنابراین هیچ سابقه‌ای از استفاده وجود ندارد؛ این موضوع به کسانی که از نظارت فرار می‌کنند یا از افشای اطلاعات هویتی خود به افراد غیرمجاز بیم دارند، این اطمینان را می‌دهد که استفاده از شبکه Psiphon را نمی‌توان به یک کاربر یا موقعیت مکانی خاص نسبت داد.

برای اطمینان از این‌که شبکه ما کارآمد باقی می‌ماند و بر اساس سطح متغیر تقاضا مقیاس‌پذیر است، ما به ارزیابی داده‌های داخلی می‌پردازیم که شامل حجم ترافیک و اطلاعات موقعیت مکانی کاربر به‌صورت تجمیع‌شده در سطح کشوری است.^۶  این دقیق‌ترین اطلاعاتی است که توسط این سرویس نگهداری می‌شود. اما برای مثال، اگر یک عامل مخرب خارجی به این اطلاعات آماری نفوذ کند، هیچ اطلاعات هویتی در معرض خطر قرار نخواهد گرفت.

--
نویسنده: جیکوب کلاین (Jacob Klein)

۱ http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
۲ https://www.techopedia.com/definition/596/data-logging

3 S.Rep. No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.

۴ همان منبع. بند ۲۶. ۵ http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html
۶ با این حال، داده‌های سطح شهری تنها پس از آن به‌طور خودکار تجمیع خواهند شد که میزان استفاده در یک کشور از آستانه‌ای فراتر رود که در آن شناسایی کاربران منفرد از طریق بررسی تعداد اتصالات فعال در شهر، از نظر آماری غیرممکن باشد. 

"

اشتراک‌گذاریکپی پیوند