מצב תיעוד הנתונים: הערכת רמות איום ושיטות אבטחה
15.5.2018 - 9 דק' קריאה
עודכן: 26.9.2021
Psiphon Inc. מובילה במשך שנים את המאבק לפתיחת האינטרנט בפני אלו החיים תחת משטרי צנזורה. למרות שאינם מתמודדים עם הגבלות תוכן ברשת, משתמשים ממדינות מערביות פונים ל-VPNs כדוגמת Psiphon כדי להגן על פרטיותם האישית באינטרנט. עם זאת, במרץ 2017 פרסם מרכז המחקר Pew נתון סטטיסטי מדהים לפיו כ-70% ממשתמשי האינטרנט בארה"ב אינם בטוחים לאיזו מטרה משמש VPN.1
אם מספר החשבונות ההולך וגדל של Psiphon מהווה אינדיקציה כלשהי למספרם הגדל של משתמשי VPN ברחבי העולם, הרי שזרם משמעותי של משתמשים עצמאיים נכנס לשוק שבו אין להם מדד להערכה ביקורתית של המוצרים. קבוצה זו נושאת כעת בנטל של הבנת הסיכונים בתחום הלא מוכר של אבטחת סייבר. ככאלה, הם לפיכך פגיעים מאוד למידע מוטעה. מונח אחד כזה שמכניס משתמשים לכוננות גבוהה הוא הנפיצות של המונח רישום נתונים (data logging) ברחבי אתרי אינטרנט ופורומים של VPN, והצגה מוטעית של סיכונים אישיים ושיטות להגנה עצמית יעילה.
לפי Techopedia, "רישום נתונים הוא התהליך של איסוף ואחסון נתונים לאורך תקופת זמן במטרה לנתח מגמות ספציפיות או לתעד אירועים/פעולות מבוססי נתונים של מערכת, רשת או סביבת IT. הוא מאפשר מעקב אחר כל האינטראקציות שבאמצעותן נתונים, קבצים או יישומים מאוחסנים, נגישים או משתנים בהתקן אחסון או ביישום".2 שירותי VPN רבים משווקים מדיניות של אפס רישום (zero-logging) כתכונת מוצר ייחודית לכאורה, ובכך רומזים כי תעבורת האינטרנט של אזרחים מן השורה נמצאת אחרת בסיכון מתמיד להירשם ואולי אף להיות מנוצלת למטרות מסחריות ומשפטיות.
נושא זה הפך לסוגיה בוערת בעקבות ביטולן באפריל 2017 של הגנות מסוימות של ה-FCC, שהיו מחייבות ספקי שירותי אינטרנט אמריקאים (ISPs) לקבל אישור לפני שיתוף נתוני משתמשים (אילו נכנסו אי פעם לתוקף כמתוכנן בדצמבר 2017). המחשבה שהממשלה שלהם תומכת בכך ש-ISPs יתעדו את היסטוריית האינטרנט האישית שלנו ולאחר מכן ימכרו או יחשפו אותה ללא הסכמה מדאיגה את רוב משתמשי האינטרנט.
כתומכת נלהבת בחופש האינטרנט, Psiphon שואפת מדי יום להבטיח שהמשתמשים שלנו יקבלו גישה הוגנת ופתוחה לאינטרנט ללא צנזורה וללא השלכות. הלגליזציה המתרחבת של שימוש בלתי מורשה בנתוני משתמשים ובהיסטוריית גלישה יוצרת נרטיב מדאיג המראה שלעתים קרובות רווחים גוברים על אתיקה. אך Psiphon ביצעה צלילה עמוקה יותר כדי להבין את תמונת המצב של פרקטיקות רישום תעבורה ונתונים.
ניתוח השוואתי קצר של מדיניות רישום נתונים בארה"ב, באיחוד האירופי ובקנדה
באופן כללי, מדינות המערב הגדירו הגנות ותקנות דרך הפריזמה של אבטחת נתונים מאוחסנים. חוקים אלה קובעים הוראות הנוגעות לתקני האבטחה שבהם חברות מחויבות לעמוד בעת איסוף ואחסון נתוני משתמשים. הם גם מתווים את סוגיות החוקיות הנוגעות לחשיפת מידע. עם זאת, כל החוקים המוזכרים במסמך זה משאירים את ההחלטות לגבי סוג הנתונים והמצבים שבהם הם נאספים, כמו גם משך הזמן שבו נתונים אלה נשמרים, לשיקול דעתו של הארגון האוסף. בעוד שבמקרים רבים ארגונים אלה חייבים להצדיק את ההיגיון שמאחורי המדיניות שלהם בפני גוף שלטוני מרכזי, חקיקה כזו יוצרת חרב פיפיות, שכן היא תומכת בשתיקה בשמירת נתונים במקרים רבים.
לדוגמה, אין כיום בארה"ב תקנות כוללות הנוגעות לרישום נתונים. ISPs רשאים לאסוף ולאחסן נתוני משתמשים, בתנאי שהמשתמש מודע לכך שהוא כפוף לפרקטיקות כאלה בתנאי השירות או בהסכם הרישיון למשתמש. עם זאת, חברות כפופות לחוק התקשורת המאוחסנת (Stored Communications Act), האוסר על חשיפת נתוני משתמשים, כולל תקשורת אלקטרונית, "לכל אדם מלבד הנמען או הנמען המיועד".3 בעוד שהממשל האמריקאי מטיל על כל החברות את האחריות להגנה על נתוני משתמשים, הוא אינו מגביל במפורש את פרקטיקות הרישום או את משך הזמן הסביר של אחסון נתונים.
השאלה הרחבה יותר של רישום על ידי ISP אינה חדשה, והיא גם אינה סוגיה שעומדת בפני עצמה. למעשה, שאלת רישום הנתונים נעוצה באותן שאלות משפטיות של הדיון שהתעורר לאחרונה מחדש בנושא ניטרליות הרשת בארה"ב.
האיחוד האירופי העביר באפריל 2016 חקיקה כלל-גושית בשם תקנת הגנת המידע הכללית (GDPR) המבוססת על הדירקטיבה המקורית להגנת נתונים משנת 2012 ומתווה הנחיות לאבטחת נתונים, זכויות משתמשים וסיווגים משפטיים של נושאי מידע. עם זאת, כל אחת מהמדינות החברות מחויבת לקבוע את משך הזמן המתאים לשמירת נתונים ואינה כפופה למסגרת זמן מחייבת לכלל הגוש.
חברות עצמאיות אחראיות לקביעת משך השמירה המתאים עבור נתונים שנאספו, בעוד שתקופות שמירה נוספות עשויות להיקבע לצורך "ארכוב למען האינטרס הציבורי, שימוש מדעי, סטטיסטי או היסטורי".4 עם זאת, על פי הוראות ה-GDPR, לאזרח פרטי עומדת "הזכות להישכח" והוא רשאי לבקש שהנתונים האישיים שלו יוסרו מהשרת.
לבסוף, המבנה הפדרלי של קנדה יצר מערך שיפוטי רב-שכבתי בנוגע לתקנות רישום הנתונים שלה. היא חוקקה את חוק הגנת המידע האישי ומסמכים אלקטרוניים (PIPEDA), המתווה הנחיות ותקנות כלל-ארציות בנוגע לאיסוף מידע לפעילות מסחרית, וקובע הגדרת תקן לאומית למידע המאפשר זיהוי אישי, הכולל:
• גיל, שם, מספרי תעודת זהות, הכנסה, מוצא אתני וסוג דם;
• דעות, הערכות, הערות, מעמד חברתי או צעדים משמעתיים וכו'.
• תיקי עובדים, רשומות אשראי, רשומות הלוואות, רשומות רפואיות, קיומה של מחלוקת בין צרכן לבית עסק, כוונות (למשל, לרכוש סחורות או שירותים, או להחליף מקום עבודה).5
בדומה לדירקטיבה של האיחוד האירופי, נכללות הוראות המאפשרות חשיפת מידע למרכז לניתוח עסקאות ודיווחים פיננסיים של קנדה (FINTRAC) הנוגע לאנשים החשודים במעשים פליליים כגון מימון טרור. עם זאת, PIPEDA אינו מתווה במפורש תהליכים לאבטחת מידע ולהגבלת משך האחסון החוקי של מידע. בעוד שסעיף 4.5.3 קובע כי "יש להשמיד מידע שאינו נדרש עוד למילוי המטרות שזוהו", חברות בודדות חופשיות ליישם נהלים משלהן.
בהמשך השרשרת, פרובינציות בעלות יכולת לחוקק חוקים משלהן להבטחת הגנת נתונים עשויות לגבור על הוראות PIPEDA.
אם כן, האם שירותי ה-VPN המעוררים בהלה צודקים?
שירותי VPN מצליחים להבהיל לקוחות פוטנציאליים בשל שלושה כשלים יסודיים במשטר הרישום הנוכחי:
1. הנתונים המאפשרים זיהוי אישי שלך עשויים שלא להיות מאובטחים כראוי
2. ISPs וחברות מקוונות עשויים להשתמש בנתונים האישיים שלך למטרות רווח מסחרי
3. מאגרי מידע אישי המוחזקים על ידי ISPs וחברות מקוונות עומדים לרשות רשויות אכיפת החוק וסוכנויות ממשלתיות
כל שלוש הישויות שנבחנו התירו איסוף ושמירה כחוק של נתוני משתמשים המאפשרים זיהוי אישי. בעוד ש-ISPs וחברות מקוונות מחויבים על פי חוק לאבטח מידע זה, בבסיסה יצרה גישה זו מערכת חלשה מבוססת אמון שחסרה פיקוח ברור כמעט בכל תחום שיפוט. קל לומר שמי שאינו משתמש באינטרנט לפעילויות מפלילות או בלתי חוקיות אינו צריך לדאוג, אך ב-Psiphon אנו מאמינים שלכל משתמשי האינטרנט יש ציפייה סבירה לפרטיות, ללא קשר להתנהגותם ברשת.
ככזה, ניתן להניח של-ISPs יש את הזכות לתעד נתוני משתמשים. הדבר עלול להטריד משתמשי אינטרנט פרטיים החוששים משימוש בלתי מורשה במידע פרטי כגון רשומות רפואיות או מידע בנקאי, או מחדירה זדונית למאגרי מידע אלה. בנוסף, אם ISP יקבל מכתב ביטחון לאומי (National Security Letter) או צו המבקש רשומות משתמשים, הוא יהיה מחויב על פי חוק לספק מידע כזה לרשויות אכיפת החוק.
תחת החוקים הקיימים, חברות מקוונות אינן רשאיות למכור נתונים המאפשרים זיהוי אישי למטרות מסחריות או לחשוף מידע כזה. עם זאת, זכותן המלאה לשמור ולהשתמש בנתונים אלה למגוון תהליכים פנימיים כגון סטטיסטיקות לקוחות. עם השחיקה שעלולה להיות קרובה של ניטרליות הרשת בארצות הברית, מאגרי נתונים המאפשרים זיהוי אישי עלולים להיות מנוצלים או להיחשף ללא הסכמה. ובכל זאת, גורם מרכזי לדאגה בקרב משתמשי VPN הוא הסיכון שנתונים כאלה ייגנבו בזדון, למרות כוונותיו הטובות ביותר של ספק השירות.
משתמשי אינטרנט יישאו תמיד בנטל ללמוד בעצמם על הפרקטיקות של החברות שעמן הם באים במגע. דאגה מרכזית היא שמשתמשי קצה מסוימים עשויים שלא להבין את המשמעות או ההשלכות של תנאי השימוש, ועלולים לבסס את השימוש שלהם על סטנדרטים חברתיים וטכניים מעורפלים ולעתים קרובות מטעים לגבי השאלה האם ה-VPN מהימן ואמין. זאת שלא לדבר על סקר השוק שיש לבצע כדי להבטיח ששירותי VPN אכן עומדים במדיניות הפרטיות שהם מציגים למשתמשים פוטנציאליים, במיוחד אם שירות ה-VPN דורש יצירת חשבונות משתמש הבנויים סביב מידע המאפשר זיהוי אישי.
יתרה מכך, מרגע שהתקבלה החלטה מושכלת, משתמשים במיקומים גאוגרפיים ספציפיים ובאתרים ספציפיים עשויים לגלות שהם חשים בנוח להשתמש בחיבור בלתי מוצפן או בחיבור https סטנדרטי. אך במקומות שבהם עדיין קיים בלבול או חשש, ניתן להשתמש ב-VPN ללא רישום (no-log) כגון Psiphon כדי להגן על נתונים המאפשרים זיהוי אישי מפני איסוף מקוון.
האם VPN יכול להגן עליי מפני רישום נתונים?
משתמשי אינטרנט רבים פונים ל-VPNs כדי להישאר אנונימיים ברשת ולהימנע מפרקטיקות רישום נתונים של שירותים מסחריים מקוונים. עם זאת, יש לציין שאף VPN אינו יכול להציע אנונימיות מוחלטת ברשת. אך אלה המחויבים לאינטרנט נגיש וחופשי, כגון Psiphon, משלבים בשירותיהם אמצעי אבטחה חזקים המגנים על פרטיות המשתמשים שלהם. על ידי שימוש בפרוקסי של VPN, לא ניתן לייחס את תעבורת האינטרנט למשתמשים ספציפיים, אך המשתמשים עדיין מחוברים לשירותי אינטרנט ומשתמשים בהם.
במאמץ לזכות באמון המשתמשים ולהגביר את הפרטיות האישית, שירותי VPN הזמינים באופן מסחרי מדגישים לעתים קרובות מדיניות של אי-רישום (no-logging). הם טוענים כי הם משליכים את כל רשומות השימוש, ובכך הופכים זאת לבלתי אפשרי. עם זאת, הסכמי שירות רבים של VPN אינם מספקים הסברים מפורטים על מדיניות זו. כדי ליצור חשבון או לפתוח הפעלה מוצפנת, VPN עשוי לדרוש מידע מפורט כלשהו על המשתמש. שוב, הנטל נופל על המשתמש הבודד לקרוא בקפידה את תנאי השירות ולהחליט אם לתת אמון ב-VPN.
מבנה האינטרנט מחייב החלפת מידע מסוים כדי שתקשורת מקוונת תתרחש. לא ניתן לשלוח או לקבל נתונים ללא כתובת IP תקינה, הכוללת את כתובת ה-IP הלגיטימית של משתמש ה-VPN. עם זאת, מכיוון שאף אחת מהחקיקות שנבחנו במסמך זה אינה מחייבת שירותי VPN לאחסן נתוני משתמשים לפרק זמן מוגדר, ערכי הליבה של Psiphon ושירותי VPN אחרים עשויים לגרום להם למחוק מידע כזה מהרשתות שלהם עם סיום הפעלה מוצפנת.
מה מבדיל את Psiphon משירותי VPN מסורתיים? בפשטות, נולדנו למען חופש האינטרנט ואנו מתקיימים בעיקר עבורו. על פי תכנונה, פלטפורמת Psiphon אינה שומרת מידע המאפשר זיהוי אישי לגבי הפעלת הגלישה של משתמשי הקצה. מכיוון שהשימוש ב-Psiphon אינו מצריך חשבון, התוכנה למעשה אינה מסוגלת ליצור או לאחסן מידע הנוגע למשתמש בודד כלשהו. לפיכך, אין כל תיעוד של שימוש, מה שמרגיע את מי שמתחמקים ממעקב או חוששים מחשיפת מידע המאפשר זיהוי אישי לגורמים בלתי מורשים, שכן לא ניתן לייחס את השימוש ברשת Psiphon למשתמש ייחודי או למיקום גאוגרפי.
כדי להבטיח שהרשת שלנו תישאר יעילה ותתרחב בהתאם לרמות הביקוש המשתנות, אנו מבצעים הערכת נתונים פנימית, הכוללת נפח תעבורה ומידע על מיקום משתמשים המקובצים ברמת המדינה.6 זהו המידע המפורט ביותר שנשמר על ידי השירות. אך אם, למשל, גורם חיצוני זדוני יפרוץ למידע סטטיסטי זה, שום מידע המאפשר זיהוי אישי לא יהיה בסיכון.
--
מאת: ג'ייקוב קליין
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 שם. פסקה 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 עם זאת, נתונים ברמת העיר יקובצו באופן אוטומטי רק לאחר שהשימוש בתוך מדינה יעבור סף שבו יהיה בלתי אפשרי מבחינה סטטיסטית לזהות משתמשים בודדים באמצעות הערכה של מספר החיבורים הפעילים בתוך העיר.