Lo stato della registrazione dei dati: una valutazione dei livelli di minaccia e delle pratiche di sicurezza
15/05/2018 - 11 min di lettura
Aggiornato: 26/09/2021
Psiphon Inc. è da anni in prima linea per aprire Internet a coloro che vivono sotto regimi di censura. Nonostante non affrontino restrizioni sui contenuti online, gli utenti dei paesi occidentali si rivolgono a VPN come Psiphon per proteggere la propria privacy online. Tuttavia, nel marzo 2017, il Pew Research Center ha pubblicato una statistica sorprendente secondo cui circa il 70% degli utenti Internet americani non è sicuro di quale sia lo scopo di una VPN.1
Se il numero sempre crescente di account Psiphon è indicativo della crescita degli utenti VPN in tutto il mondo, un afflusso considerevole di utenti indipendenti sta entrando in un mercato in cui non possiede parametri per valutare criticamente i prodotti. Questo gruppo si fa ora carico dell'onere di comprendere i rischi nel dominio a loro poco familiare della sicurezza informatica. Per tale motivo, sono estremamente vulnerabili alla disinformazione. Un fattore che mette gli utenti in massimo allarme è la pervasività del termine data logging nei siti web e nei forum dedicati alle VPN, oltre a una rappresentazione distorta dei rischi individuali e dei metodi per proteggersi efficacemente.
Secondo Techopedia, "il data logging è il processo di raccolta e archiviazione dei dati in un periodo di tempo al fine di analizzare tendenze specifiche o registrare eventi/azioni basati sui dati di un sistema, di una rete o di un ambiente IT. Consente di tracciare tutte le interazioni attraverso le quali dati, file o applicazioni vengono memorizzati, consultati o modificati su un dispositivo di archiviazione o un'applicazione".2 Molte VPN promuovono una politica di assenza di registri come una caratteristica apparentemente unica del prodotto, insinuando così che il traffico Internet dei normali cittadini sia altrimenti costantemente a rischio di essere registrato e possibilmente sfruttato per scopi commerciali e legali.
La questione è diventata particolarmente accesa in seguito all'abrogazione, nell'aprile 2017, di alcune tutele della FCC che avrebbero imposto agli Internet Services Providers (ISP) statunitensi di ottenere l'autorizzazione prima di condividere i dati degli utenti (qualora fossero entrate in vigore come previsto nel dicembre 2017). L'idea che il proprio governo sostenga la possibilità per gli ISP di registrare le cronologie Internet personali per poi venderle o divulgarle senza consenso è allarmante per la maggior parte degli utenti di Internet.
In qualità di convinto sostenitore della libertà su Internet, Psiphon si impegna ogni giorno per garantire ai propri utenti un accesso equo e aperto a un'Internet senza censura e senza ripercussioni. La crescente legittimità dell'uso non autorizzato dei dati e della cronologia di navigazione degli utenti crea uno scenario preoccupante che dimostra come i profitti prevalgano spesso sull'etica. Ma Psiphon ha approfondito la questione per comprendere il panorama delle pratiche relative al traffico e al data logging.
Una breve analisi comparativa delle politiche di data logging negli US, nell'EU e in Canada
In generale, le nazioni occidentali hanno definito tutele e normative nell'ambito della sicurezza dei dati archiviati. Queste leggi stabiliscono disposizioni relative agli standard di sicurezza a cui le aziende sono tenute ad attenersi durante la raccolta e l'archiviazione dei dati degli utenti. Esse delineano inoltre le questioni di legalità relative alla divulgazione delle informazioni. Tuttavia, tutte le leggi citate in questo articolo lasciano le decisioni relative al tipo di dati e alle situazioni in cui vengono raccolti, nonché alla durata di conservazione di tali dati, alla discrezione dell'organizzazione che li raccoglie. Sebbene in molti casi queste organizzazioni debbano giustificare la logica alla base delle loro politiche dinanzi a un organo direttivo centrale, tale legislazione si rivela un'arma a doppio taglio, poiché in molti casi supporta tacitamente la conservazione dei dati.
Ad esempio, al momento negli US non esistono normative generali relative al data logging. Gli ISP sono liberi di raccogliere e archiviare i dati degli utenti, purché l'utente venga informato di essere soggetto a tali pratiche nei termini di servizio o nel contratto di licenza d'uso. Tuttavia, le aziende sono disciplinate dallo Stored Communications Act, che vieta la divulgazione dei dati degli utenti, comprese le comunicazioni elettroniche, "a qualsiasi persona diversa dal destinatario o dal ricevente designato".3 Sebbene il governo americano imponga a tutte le aziende l'obbligo di proteggere i dati degli utenti, non pone limiti espliciti alle pratiche di logging o a una durata ragionevole di archiviazione dei dati.
La questione più ampia del logging da parte degli ISP non è nuova e non è nemmeno una problematica a sé stante. Di fatto, la questione del data logging affonda le sue radici nelle stesse questioni giuridiche riemerse di recente nel dibattito sulla neutralità della rete negli US.
Nell'aprile 2016, l'Unione Europea ha approvato una legislazione a livello di blocco denominata General Data Protection Regulation (GDPR), che si basa sulla direttiva originale sulla protezione dei dati del 2012 e delinea linee guida per la sicurezza dei dati, diritti degli utenti e classificazioni legali dei soggetti. Tuttavia, i singoli Stati membri sono tenuti a stabilire la durata appropriata della conservazione dei dati e non sono soggetti a un arco temporale obbligatorio a livello di blocco.
Le aziende indipendenti hanno la responsabilità di stabilire la durata appropriata di conservazione dei dati raccolti, mentre ulteriori periodi di conservazione possono essere fissati per "fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici".4 Tuttavia, secondo le disposizioni del GDPR, un privato cittadino gode del "diritto all'oblio" e può richiedere la rimozione dei propri dati personali da un server.
Infine, la struttura federalista del Canada ha creato un'organizzazione giurisdizionale a più livelli per quanto riguarda le normative sul data logging. Ha promulgato il Personal Information Protection and Electronic Documents Act (PIPEDA), che delinea direttive e normative a livello nazionale sulla raccolta di informazioni per attività commerciali, stabilendo una definizione standard nazionale per le informazioni di identificazione personale, che includono:
• età, nome, numeri identificativi, reddito, origine etnica e gruppo sanguigno;
• opinioni, valutazioni, commenti, status sociale o provvedimenti disciplinari, ecc.
• fascicoli dei dipendenti, referenze creditizie, registri di prestiti, cartelle cliniche, esistenza di una controversia tra consumatore e commerciante, intenzioni (ad esempio, di acquistare beni o servizi o di cambiare lavoro).5
In modo analogo alla Direttiva dell'EU, sono incluse disposizioni che consentono la divulgazione di informazioni al Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) riguardanti persone sospettate di atti criminali come il finanziamento del terrorismo. Tuttavia, il PIPEDA non delinea esplicitamente procedure per proteggere le informazioni e limitare la durata legale della loro archiviazione. Sebbene il paragrafo 4.5.3 stabilisca che "le informazioni non più necessarie per raggiungere gli scopi identificati devono essere distrutte", le singole aziende sono libere di attuare le proprie procedure.
Più a valle nella catena, le province che hanno la facoltà di creare leggi proprie per garantire la protezione dei dati possono prevalere sulle disposizioni del PIPEDA.
Quindi, le VPN allarmiste hanno ragione?
Le VPN riescono ad allarmare i potenziali clienti per via di tre difetti fondamentali negli attuali regimi di logging:
1. I tuoi dati personali identificabili potrebbero non essere adeguatamente protetti
2. Gli ISP e le aziende online potrebbero utilizzare i tuoi dati personali per trarne un vantaggio commerciale
3. I database di informazioni personali conservati da ISP e aziende online sono a disposizione delle forze dell'ordine e delle agenzie governative
Tutti e tre gli Stati esaminati hanno consentito la raccolta e la conservazione legale dei dati personali identificabili degli utenti. Sebbene gli ISP e le società online siano legalmente obbligati a proteggere tali informazioni, nella sostanza ciò ha creato un sistema debole basato sulla fiducia che manca di una supervisione chiara praticamente in ogni giurisdizione. È facile dire che chi non utilizza Internet per attività compromettenti o illegali non debba preoccuparsi, ma in Psiphon crediamo che tutti gli utenti di Internet abbiano una ragionevole aspettativa di privacy, a prescindere dal loro comportamento online.
Di conseguenza, si può presumere che gli ISP abbiano il diritto di registrare i dati degli utenti. Ciò può risultare preoccupante per i singoli utenti di Internet che temono l'uso non autorizzato di informazioni private come cartelle cliniche o dati bancari, o l'intrusione dannosa in tali banche dati. Inoltre, se un ISP ricevesse una National Security Letter o un mandato con cui si richiedono i registri degli utenti, sarebbe obbligato per legge a fornire tali informazioni alle forze dell'ordine.
Con le leggi attualmente in vigore, le aziende online non sono libere di vendere dati personali identificabili per scopi commerciali né di divulgare tali informazioni. Tuttavia, rientra pienamente nei loro diritti conservare e utilizzare questi dati per svariati processi interni, come le statistiche sui clienti. Con l'erosione potenzialmente imminente della neutralità della rete negli Stati Uniti, archivi di dati personali identificabili potrebbero essere sfruttati o divulgati senza consenso. Eppure, una delle principali fonti di preoccupazione tra gli utenti di VPN è il rischio che tali dati vengano esfiltrati illecitamente, nonostante le migliori intenzioni del fornitore di servizi.
Gli utenti di Internet avranno sempre l'onere di informarsi sulle pratiche delle aziende a cui si affidano. Una delle preoccupazioni principali è che alcuni utenti finali potrebbero non essere in grado di comprendere il significato o le conseguenze dei termini d'uso e basare il proprio utilizzo su standard sociali e tecnici vaghi e spesso fuorvianti circa l'affidabilità e la sicurezza della VPN. Per non parlare delle ricerche di mercato necessarie per verificare che le VPN rispettino effettivamente le informative sulla privacy presentate ai potenziali utenti, soprattutto se il servizio VPN richiede la creazione di account utente basati su informazioni di identificazione personale.
Inoltre, una volta presa una decisione consapevole, gli utenti in specifiche aree geografiche e su siti particolari potrebbero sentirsi a proprio agio nell'utilizzare una connessione non crittografata o standard https. Ma laddove permangano dubbi o timori, una VPN no-log come Psiphon può essere utilizzata per impedire che i dati personali identificabili vengano raccolti online.
Una VPN può proteggermi dal data logging?
Molti utenti di Internet si rivolgono alle VPN per rendersi anonimi online ed evitare le pratiche di data logging dei servizi commerciali sul web. Tuttavia, va precisato che nessuna VPN può offrire un anonimato completo online. Ma quelle che si impegnano per un'Internet liberamente accessibile, come Psiphon, integrano nei propri servizi rigorose misure di sicurezza che tutelano la privacy dei loro utenti. Utilizzando un proxy VPN, il traffico Internet non può essere ricondotto a utenti specifici, ma gli utenti restano comunque connessi e continuano a utilizzare i servizi Internet.
Nel tentativo di conquistare la fiducia degli utenti e incrementare la privacy individuale, le VPN disponibili in commercio mettono spesso in evidenza politiche di no-log. Affermano di eliminare ogni traccia di utilizzo, rendendola così impossibile da rintracciare. Tuttavia, molti contratti di servizio VPN non forniscono spiegazioni dettagliate su tali politiche. Per creare un account o avviare una sessione crittografata, una VPN potrebbe richiedere alcune informazioni dettagliate sull'utente. Ancora una volta, spetta al singolo utente leggere attentamente i termini di servizio e stabilire se fidarsi della VPN.
La struttura di Internet impone lo scambio di determinate informazioni affinché la comunicazione online possa avere luogo. Nessun dato può essere inviato o ricevuto senza un indirizzo IP funzionante, il che include il legittimo indirizzo IP dell'utente della VPN. Tuttavia, poiché nessuna delle normative esaminate in questo documento impone alle VPN di conservare i dati degli utenti per un determinato periodo di tempo, i valori fondamentali di Psiphon e di altri servizi VPN possono indurli a cancellare tali informazioni dalle proprie reti al termine di una sessione crittografata.
Cosa rende Psiphon diversa dai tradizionali servizi VPN? Molto semplicemente, siamo nati ed esistiamo principalmente per la libertà su Internet. Per sua stessa progettazione, la piattaforma Psiphon non memorizza alcuna informazione personale identificabile relativa alla sessione di navigazione degli utenti finali. Poiché l'utilizzo di Psiphon non richiede un account, il software è virtualmente incapace di creare o memorizzare informazioni relative a un singolo utente. Non esiste pertanto alcun registro di utilizzo, rassicurando coloro che sfuggono alla sorveglianza o temono la divulgazione di informazioni di identificazione personale a soggetti non autorizzati sul fatto che l'uso della rete Psiphon non può essere attribuito a un utente o a una geolocalizzazione specifica.
Per garantire che la nostra rete rimanga efficiente e si adatti alle variazioni della domanda, effettuiamo valutazioni interne dei dati, che includono il volume del traffico e le informazioni sulla posizione degli utenti aggregate a livello di Paese.6 Queste sono le informazioni più dettagliate conservate dal servizio. Ma se, ad esempio, un malintenzionato esterno dovesse violare queste informazioni statistiche, nessuna informazione personale identificabile sarebbe a rischio.
--
Di: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, ristampato in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Paragrafo 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Tuttavia, i dati a livello di città saranno aggregati automaticamente solo dopo che l'utilizzo all'interno di un Paese supera una soglia per cui risulterebbe statisticamente impossibile identificare i singoli utenti attraverso una valutazione del numero di connessioni attive all'interno della città.