Stanje bilježenja podataka: Procjena razina prijetnji i sigurnosnih praksi
15. 05. 2018. - 10 min čitanja
Ažurirano: 26. 09. 2021.
Psiphon Inc. već godinama predvodi borbu za otvaranje interneta onima koji žive pod režimima cenzure. Unatoč tome što se ne suočavaju s ograničenjima sadržaja na mreži, korisnici iz zapadnih zemalja okreću se VPN-ovima kao što je Psiphon kako bi zaštitili svoju osobnu privatnost na internetu. Ipak, u ožujku 2017. istraživački centar Pew Research Center objavio je zapanjujuću statistiku da oko 70 % američkih korisnika interneta nije sigurno čemu VPN služi.1
Ako je sve veći broj Psiphon računa ikakav pokazatelj rastućeg broja korisnika VPN-a diljem svijeta, znatan priljev neovisnih korisnika ulazi na tržište na kojem nemaju mjerila za kritičku procjenu proizvoda. Ta skupina sada snosi teret razumijevanja rizika u nepoznatom području kibernetičke sigurnosti. Kao takvi, iznimno su podložni dezinformacijama. Jedan od takvih pojmova koji korisnike stavlja u stanje visoke pripravnosti jest sveprisutnost pojma bilježenje podataka na web-stranicama i forumima o VPN-ovima, kao i pogrešno prikazivanje individualnih rizika i načina za učinkovitu samozaštitu.
Prema Techopediji, „bilježenje podataka postupak je prikupljanja i pohranjivanja podataka tijekom određenog vremenskog razdoblja radi analize specifičnih trendova ili bilježenja događaja/radnji temeljenih na podacima u sustavu, mreži ili IT okruženju. Ono omogućuje praćenje svih interakcija putem kojih se podaci, datoteke ili aplikacije pohranjuju, kojima se pristupa ili koji se mijenjaju na uređaju za pohranu ili u aplikaciji.”2 Mnogi VPN-ovi oglašavaju pravilo o nebilježenju podataka kao naizgled jedinstvenu značajku proizvoda, insinuirajući time da je internetski promet prosječnih građana inače pod stalnim rizikom od bilježenja i mogućeg iskorištavanja u komercijalne i pravne svrhe.
Ovo je postalo goruće pitanje nakon što su u travnju 2017. ukinute određene zaštitne mjere FCC-a koje bi od američkih pružatelja internetskih usluga (ISP-ova) zahtijevale traženje dopuštenja prije dijeljenja korisničkih podataka (da su ikada stupile na snagu kako je bilo planirano u prosincu 2017.). Pomisao na to da njihova vlada zagovara da ISP-ovi bilježe zapise naše osobne internetske povijesti te ih zatim prodaju ili otkrivaju bez pristanka alarmantna je za većinu korisnika interneta.
Kao snažan zagovornik internetske slobode, Psiphon svakodnevno nastoji osigurati da naši korisnici dobiju pošten i otvoren pristup necenzuriranom internetu bez posljedica. Sve šira zakonitost neovlaštenog korištenja korisničkih podataka i povijesti pregledavanja stvara zabrinjavajući narativ koji pokazuje da profit često nadmašuje etiku. No Psiphon je dublje istražio kako bi razumio cjelokupnu situaciju s praksama bilježenja prometa i podataka.
Kratka usporedna analiza politika bilježenja podataka u SAD-u, EU-u i Kanadi
Općenito, zapadne su nacije definirale zaštite i propise kroz opseg sigurnosti pohranjenih podataka. Ovi zakoni utvrđuju odredbe koje se odnose na sigurnosne standarde kojih se tvrtke moraju pridržavati prilikom prikupljanja i pohranjivanja korisničkih podataka. Oni također ocrtavaju pitanja zakonitosti koja se odnose na otkrivanje informacija. Međutim, svi zakoni navedeni u ovom članku ostavljaju odluke o vrsti podataka i situacijama u kojima se prikupljaju, kao i trajanju zadržavanja takvih podataka, na diskreciju organizacije koja ih prikuplja. Iako u mnogim slučajevima te organizacije moraju opravdati logiku koja stoji iza njihovih pravila središnjem upravnom tijelu, takvo zakonodavstvo stvara mač s dvije oštrice jer u mnogim slučajevima prešutno podržava zadržavanje podataka.
Na primjer, u SAD-u trenutačno ne postoje krovni propisi koji se odnose na bilježenje podataka. ISP-ovi mogu slobodno prikupljati i pohranjivati korisničke podatke, pod uvjetom da je korisnik u uvjetima pružanja usluge ili ugovoru o licenciranju korisnika upoznat s činjenicom da podliježe takvim praksama. Međutim, tvrtke su regulirane Zakonom o pohranjenim komunikacijama (Stored Communications Act), koji zabranjuje otkrivanje korisničkih podataka, uključujući elektroničke komunikacije, „bilo kojoj osobi osim adresata ili namjeravanog primatelja.”3 Iako američka vlada sve tvrtke obvezuje na zaštitu korisničkih podataka, ona izričito ne ograničava prakse bilježenja niti razumno trajanje pohrane podataka.
Veće pitanje bilježenja podataka od strane ISP-ova nije novo, a ujedno nije ni zaseban problem. Zapravo, pitanje bilježenja podataka ukorijenjeno je u istim pravnim pitanjima nedavno ponovno pokrenute rasprave o mrežnoj neutralnosti u SAD-u.
Europska unija donijela je u travnju 2016. zakonodavni akt na razini cijelog bloka pod nazivom Opća uredba o zaštiti podataka (GDPR) koji se temelji na izvornoj Direktivi o zaštiti podataka iz 2012. te ocrtava smjernice za sigurnost podataka, prava korisnika i pravne klasifikacije subjekata. Međutim, pojedine države članice dužne su odrediti odgovarajuće trajanje zadržavanja podataka i ne podliježu obveznom vremenskom okviru na razini cijelog bloka.
Neovisne tvrtke odgovorne su za utvrđivanje odgovarajućeg trajanja zadržavanja prikupljenih podataka, dok se dodatna razdoblja zadržavanja mogu odrediti za „arhiviranje u javnom interesu, u znanstvene, statističke ili povijesne svrhe.”4 Međutim, prema odredbama GDPR-a, privatni građanin ima „pravo na zaborav” i može zatražiti uklanjanje svojih osobnih podataka s poslužitelja.
Konačno, kanadska federalna struktura stvorila je višerazinsku jurisdikcijsku organizaciju u pogledu propisa o bilježenju podataka. Donijela je Zakon o zaštiti osobnih podataka i elektroničkim dokumentima (PIPEDA), koji ocrtava nacionalne direktive i propise koji se odnose na prikupljanje informacija za komercijalne aktivnosti te postavlja nacionalnu standardnu definiciju podataka koji omogućuju osobnu identifikaciju, što uključuje:
• dob, ime, identifikacijske brojeve, prihod, etničko podrijetlo i krvnu grupu;
• mišljenja, procjene, komentare, društveni status ili disciplinske mjere itd.
• dosjee zaposlenika, evidenciju o kreditima, evidenciju o zajmovima, medicinsku dokumentaciju, postojanje spora između potrošača i trgovca, namjere (na primjer, za kupnju robe ili usluga ili promjenu posla).5
Slično Direktivi EU-a, uključene su odredbe koje omogućuju otkrivanje informacija Centru za analizu financijskih transakcija i izvješća Kanade (FINTRAC) koje se odnose na pojedince osumnjičene za kaznena djela poput financiranja terorizma. Međutim, PIPEDA izričito ne ocrtava postupke za osiguravanje informacija i ograničavanje zakonskog trajanja pohrane informacija. Iako stavak 4.5.3 navodi da „informacije koje više nisu potrebne za ispunjavanje utvrđenih svrha treba uništiti”, pojedine tvrtke slobodne su implementirati vlastite postupke.
Dalje niz lanac, pokrajine koje mogu donositi vlastite zakone kako bi osigurale zaštitu podataka mogu nadjačati odredbe PIPEDA-e.
Dakle, jesu li alarmistički VPN-ovi u pravu?
VPN-ovi uspješno uzbunjuju potencijalne korisnike zbog triju temeljnih nedostataka u trenutačnim režimima bilježenja:
1. Vaši osobni identifikacijski podaci možda nisu adekvatno zaštićeni
2. ISP-ovi i internetske tvrtke mogu koristiti vaše osobne podatke za komercijalnu korist
3. Baze osobnih podataka koje drže ISP-ovi i internetske tvrtke na raspolaganju su agencijama za provođenje zakona i vladinim agencijama
Sve tri analizirane države omogućile su zakonito prikupljanje i zadržavanje korisničkih podataka koji omogućuju osobnu identifikaciju. Iako su ISP-ovi i internetske tvrtke zakonski obvezni osigurati takve informacije, u svojoj je srži to stvorilo slab sustav utemeljen na povjerenju kojem nedostaje jasan nadzor u gotovo svakoj jurisdikciji. Lako je reći da oni koji ne koriste internet za kompromitirajuće ili nezakonite aktivnosti ne trebaju brinuti, no u Psiphonu vjerujemo da svi korisnici interneta imaju razumno očekivanje privatnosti, bez obzira na ponašanje na mreži.
Kao takvo, može se pretpostaviti da ISP-ovi imaju pravo bilježiti korisničke podatke. To može biti zabrinjavajuće za pojedinačne korisnike interneta koji se boje neovlaštene upotrebe privatnih podataka poput medicinske dokumentacije ili bankovnih podataka, ili zlonamjernog upada u takve baze podataka. Osim toga, ako ISP primi Pismo o nacionalnoj sigurnosti (National Security Letter) ili nalog kojim se traže korisnički zapisi, po zakonu bi bio dužan pružiti takve informacije tijelima za provođenje zakona.
Prema trenutačnim zakonima, internetske tvrtke ne mogu slobodno prodavati osobne identifikacijske podatke u komercijalne svrhe niti otkrivati takve informacije. Međutim, potpuno su u okviru svojih prava da zadrže i koriste te podatke za razne interne procese kao što je statistika o korisnicima. Uz potencijalno neizbježno narušavanje mrežne neutralnosti u Sjedinjenim Američkim Državama, spremišta osobnih identifikacijskih podataka mogla bi se iskorištavati ili objaviti bez pristanka. Ipak, vodeći razlog za zabrinutost među korisnicima VPN-a jest rizik od zlonamjernog izvlačenja takvih podataka, unatoč najboljim namjerama pružatelja usluga.
Korisnici interneta uvijek će snositi teret educiranja o praksama tvrtki s kojima stupaju u interakciju. Glavna je zabrinutost to što neki krajnji korisnici možda ne razumiju značenje ili posljedice uvjeta korištenja te mogu temeljiti svoju upotrebu na nejasnim i često obmanjujućim društvenim i tehničkim standardima o tome je li VPN pouzdan i vjerodostojan. Da ne spominjemo istraživanje tržišta koje je potrebno provesti kako bi se osiguralo da se VPN-ovi doista pridržavaju pravila o privatnosti koja predstavljaju potencijalnim korisnicima, osobito ako VPN usluga zahtijeva stvaranje korisničkih računa izgrađenih oko osobnih identifikacijskih podataka.
Štoviše, nakon što se donese informirana odluka, korisnici na određenim geografskim lokacijama i na određenim web-mjestima mogu zaključiti da im odgovara upotreba nešifrirane ili standardne https veze. No tamo gdje još uvijek postoji zbunjenost ili zabrinutost, VPN bez bilježenja podataka kao što je Psiphon može se koristiti za zaštitu osobnih identifikacijskih podataka od prikupljanja na internetu.
Može li me VPN zaštititi od bilježenja podataka?
Mnogi se korisnici interneta okreću VPN-ovima kako bi se anonimizirali na mreži i izbjegli prakse bilježenja podataka komercijalnih usluga na internetu. Međutim, mora se napomenuti da nijedan VPN ne može ponuditi potpunu anonimnost na mreži. No oni koji su predani slobodno dostupnom internetu, kao što je Psiphon, u svoje usluge ugrađuju snažne sigurnosne mjere koje štite privatnost njihovih korisnika. Korištenjem VPN proxyja internetski promet ne može se pripisati određenim korisnicima, no korisnici su i dalje povezani i sudjeluju u korištenju internetskih usluga.
U nastojanju da steknu povjerenje korisnika i povećaju individualnu privatnost, komercijalno dostupni VPN-ovi često ističu pravila o nebilježenju podataka. Tvrde da odbacuju sve zapise o korištenju, čineći to nemogućim. Međutim, mnogi ugovori o pružanju VPN usluga ne daju detaljna objašnjenja takvih pravila. Kako bi stvorio račun ili otvorio šifriranu sesiju, VPN bi mogao zahtijevati neke detaljne korisničke podatke. Još jednom, teret pada na pojedinačnog korisnika koji mora pažljivo pročitati uvjete pružanja usluge i donijeti odluku o tome hoće li vjerovati VPN-u.
Struktura interneta zahtijeva razmjenu određenih informacija kako bi došlo do internetske komunikacije. Nijedan se podatak ne može poslati ili primiti bez funkcionalne IP adrese, što uključuje i legitimnu IP adresu korisnika VPN-a. Međutim, budući da nijedno zakonodavstvo ocijenjeno u ovom radu ne nalaže da VPN-ovi pohranjuju korisničke podatke tijekom određenog vremenskog razdoblja, temeljne vrijednosti Psiphona i drugih VPN usluga mogle bi ih navesti da izbrišu takve podatke iz svojih mreža nakon završetka šifrirane sesije.
Što Psiphon čini drukčijim od tradicionalnih VPN usluga? Vrlo jednostavno, proizišli smo iz slobode interneta i postojimo prvenstveno radi nje. Po svojem dizajnu, platforma Psiphon ne pohranjuje nikakve osobne identifikacijske podatke o sesiji pregledavanja krajnjih korisnika. Budući da korištenje Psiphona ne zahtijeva račun, softver je praktički nesposoban stvoriti ili pohraniti podatke koji se odnose na bilo kojeg pojedinačnog korisnika. Stoga ne postoji zapis o korištenju, što pruža sigurnost onima koji izbjegavaju nadzor ili strahuju od otkrivanja osobnih identifikacijskih podataka neovlaštenim stranama da se korištenje mreže Psiphon ne može pripisati jedinstvenom korisniku ili geolokaciji.
Kako bismo osigurali da naša mreža ostane učinkovita i da se prilagođava promjenjivoj razini potražnje, provodimo internu procjenu podataka, koja uključuje opseg prometa i informacije o lokaciji korisnika agregirane na razini države.6 To su najdetaljnije informacije koje usluga zadržava. No ako bi, na primjer, zlonamjerni vanjski akter probio te statističke podatke, nijedan osobni identifikacijski podatak ne bi bio ugrožen.
--
Autor: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Isto, stavak 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Međutim, podaci na razini grada automatski će se agregirati tek nakon što upotreba unutar zemlje premaši prag pri kojem bi bilo statistički nemoguće identificirati pojedinačne korisnike putem procjene broja aktivnih veza unutar grada.