Деректерді журналдау жағдайы: қауіп деңгейлері мен қауіпсіздік тәжірибелерін бағалау
15.05.2018 - 9 мин оқу
Жаңартылған: 26.09.2021
Psiphon Inc. көптеген жылдар бойы цензура орнатылған режимдерде өмір сүретін адамдар үшін интернетті ашу күресінде жетекші орында келеді. Желіде ешқандай контенттік шектеулерге тап болмаса да, Батыс елдерінің пайдаланушылары желідегі жеке құпиялылығын қорғау үшін Psiphon сияқты VPN қызметтеріне жүгінуде. Дегенмен, 2017 жылдың наурызында Pew Research Center таңқаларлық статистика жариялады: америкалық интернет пайдаланушылардың шамамен 70%-ы VPN-нің қандай мақсатқа қызмет ететінін нақты білмейді.1
Егер Psiphon тіркелгілерінің тұрақты өсіп келе жатқан саны бүкіл әлем бойынша VPN пайдаланушылары санының өсу көрсеткіші болса, өнімдерді сыни тұрғыдан бағалауға арналған өлшемдері жоқ нарыққа тәуелсіз пайдаланушылардың айтарлықтай легі келіп жатыр. Бұл топ енді киберқауіпсіздіктің бейтаныс саласындағы тәуекелдерді түсіну ауыртпалығын мойнына алады. Сондықтан олар жалған ақпаратқа өте осал болып келеді. Пайдаланушыларды қатты алаңдататын осындай терминдердің бірі – VPN веб-сайттары мен форумдарында деректерді тіркеу терминінің кеңінен таралуы, сондай-ақ жеке тәуекелдер мен өзін тиімді қорғау әдістерінің бұрмаланып ұсынылуы.
Techopedia мәліметінше, «деректерді тіркеу – белгілі бір үрдістерді талдау немесе жүйенің, желінің немесе IT ортасының деректерге негізделген оқиғаларын/әрекеттерін жазып алу мақсатында белгілі бір уақыт кезеңінде деректерді жинау және сақтау процесі. Ол сақтау құрылғысында немесе қолданбада деректер, файлдар немесе қолданбалар сақталатын, оларға қол жеткізілетін немесе өзгертілетін барлық өзара әрекеттесулерді бақылауға мүмкіндік береді».2 Көптеген VPN қызметтері журналдарды мүлдем жүргізбеу саясатын бірегей өнім мүмкіндігі ретінде жарнамалайды, осылайша қатардағы азаматтардың интернет-трафигі әйтпесе үнемі тіркеліп, коммерциялық және заңды мақсаттарда пайдаланылу қаупіне ұшырайды дегенді меңзейді.
Бұл мәселе 2017 жылдың сәуірінде америкалық интернет-провайдерлерден (ISP) пайдаланушы деректерін бөлісуден бұрын рұқсат алуды талап ететін белгілі бір FCC қорғаныс нормалары күшін жойғаннан кейін (егер олар 2017 жылдың желтоқсанында жоспарланғандай күшіне енген болса) қызу талқыланатын тақырыпқа айналды. Үкіметтің ISP провайдерлеріне жеке интернет тарихымыздың журналдарын жүргізуге, содан кейін оларды келісімсіз сатуға немесе ашуға рұқсат беруі туралы ойдың өзі көптеген интернет пайдаланушыларын алаңдатады.
Интернет еркіндігінің табанды жақтаушысы ретінде Psiphon күн сайын пайдаланушыларымыздың ешқандай салдарсыз цензурасыз интернетке әділ және ашық қол жеткізуін қамтамасыз етуге ұмтылады. Пайдаланушы деректері мен шолу тарихын рұқсатсыз пайдаланудың заңдастырылу аясының кеңеюі этикадан гөрі пайда көбірек бағаланатынын көрсететін алаңдатарлық жағдайды қалыптастырады. Алайда Psiphon трафик пен деректерді тіркеу тәжірибесінің ахуалын тереңірек түсінуге кірісті.
АҚШ, ЕО және Канададағы деректерді тіркеу саясаттарына қысқаша салыстырмалы талдау
Жалпы алғанда, Батыс елдері қорғау және реттеу шараларын сақталатын деректердің қауіпсіздігі аясында анықтады. Бұл заңдар пайдаланушы деректерін жинау және сақтау кезінде фирмалар ұстануға тиіс қауіпсіздік стандарттарына қатысты ережелерді белгілейді. Олар сондай-ақ ақпаратты ашуға қатысты заңдылық мәселелерін сипаттайды. Дегенмен, осы мақалада аталған барлық заңдар деректердің түрі, олар жиналатын жағдайлар, сондай-ақ мұндай деректердің сақталу мерзімі туралы шешімдерді жинаушы ұйымның өз қалауына қалдырады. Көптеген жағдайларда бұл ұйымдар өз саясатының негіздемесін орталық басқару органына дәлелдеуі керек болса да, мұндай заңнама қос жүзді қылыш іспетті, өйткені ол көп жағдайда деректерді сақтауды үнсіз қолдайды.
Мысалы, қазіргі уақытта АҚШ-та деректерді тіркеуге қатысты бірыңғай жалпыға ортақ ережелер жоқ. Егер пайдаланушы қызмет көрсету шарттарында немесе пайдаланушының лицензиялық келісімінде мұндай тәжірибелерге ұшырайтыны туралы хабардар етілсе, ISP провайдерлері пайдаланушы деректерін еркін жинап, сақтай алады. Дегенмен, компаниялар пайдаланушы деректерін, соның ішінде электрондық хабарламаларды «адресаттан немесе белгіленген алушыдан басқа кез келген тұлғаға» ашуға тыйым салатын Stored Communications Act актісімен реттеледі.3 Америка үкіметі барлық фирмаларға пайдаланушы деректерін қорғау міндетін жүктегенімен, олар тіркеу тәжірибесін немесе деректерді сақтаудың ақылға қонымды мерзімін нақты шектемейді.
ISP провайдерлерінің тіркеу жүргізуіне қатысты ауқымдырақ сұрақ жаңа мәселе емес және ол өз алдына оқшау мәселе де болып табылмайды. Шын мәнінде, деректерді тіркеу мәселесі жақында АҚШ-та қайта жанданған желілік бейтараптық туралы пікірталаста көтерілген құқықтық сұрақтармен тікелей байланысты.
Еуропалық Одақ 2016 жылдың сәуірінде 2012 жылғы бастапқы Деректерді қорғау жөніндегі директиваға негізделген және деректер қауіпсіздігі жөніндегі нұсқаулықтарды, пайдаланушы құқықтарын және субъектілердің заңды классификациясын белгілейтін Жалпы деректерді қорғау регламенті (GDPR) атты одақ бойынша заңнама қабылдады. Дегенмен, жекелеген мүше мемлекеттер деректерді сақтаудың сәйкес мерзімін өздері анықтауға міндетті және оларға одақ көлемінде белгіленген міндетті мерзім қолданылмайды.
Жинақталған деректерді сақтаудың тиісті мерзімін анықтауға тәуелсіз фирмалар жауапты, сонымен бірге «қоғамдық мүдде үшін ғылыми, статистикалық немесе тарихи пайдалану мақсатында мұрағаттау» үшін қосымша сақтау мерзімдері белгіленуі мүмкін.4 Дегенмен, GDPR ережелеріне сәйкес, жеке тұлғаның «ұмытылу құқығы» бар және ол өзінің дербес деректерін серверден жоюды талап ете алады.
Сонымен қатар, Канаданың федералистік құрылымы оның деректерді тіркеу ережелеріне қатысты көпдеңгейлі юрисдикциялық құрылым қалыптастырды. Ол коммерциялық қызмет үшін ақпарат жинауға қатысты жалпыұлттық директивалар мен ережелерді белгілейтін және жеке басты сәйкестендіретін ақпараттың ұлттық стандартты анықтамасын бекітетін Дербес ақпаратты қорғау және электрондық құжаттар туралы заңын (PIPEDA) қабылдады, оған мыналар кіреді:
• жасы, аты-жөні, сәйкестендіру нөмірлері, кірісі, этникалық шығу тегі және қан тобы;
• пікірлер, бағалаулар, түсініктемелер, әлеуметтік жағдайы немесе тәртіптік жазалар және т.б.
• қызметкерлердің жеке істері, несиелік жазбалар, қарыз жазбалары, медициналық жазбалар, тұтынушы мен сатушы арасындағы даудың болуы, ниеттер (мысалы, тауарларды немесе қызметтерді сатып алу немесе жұмысты ауыстыру).5
ЕО директивасы сияқты, терроризмді қаржыландыру сияқты қылмыстық әрекеттерге күдікті тұлғаларға қатысты ақпаратты Канаданың Қаржылық транзакциялар мен есептерді талдау орталығына (FINTRAC) ашуға мүмкіндік беретін ережелер қарастырылған. Алайда, PIPEDA ақпаратты қорғау және ақпаратты сақтаудың заңды мерзімін шектеу процестерін нақты сипаттамайды. 4.5.3-тармақта «көрсетілген мақсаттарды орындау үшін енді қажет емес ақпарат жойылуы керек» делінгенімен, жекелеген фирмалар өздерінің процедураларын өз бетінше енгізуге ерікті.
Тізбектің келесі буынында деректерді қорғауды қамтамасыз ету үшін өз заңдарын қабылдауға құқылы провинциялар PIPEDA ережелерін ауыстыра алады.
Сонымен, дабыл қаққан VPN қызметтерінің айтқаны дұрыс па?
VPN қызметтері қазіргі деректерді тіркеу жүйелеріндегі үш негізгі кемшілікке байланысты болашақ клиенттерді сәтті түрде алаңдатады:
1. Жеке басты сәйкестендіретін деректеріңіз жеткілікті деңгейде қауіпсіз болмауы мүмкін
2. ISP провайдерлері мен онлайн компаниялар сіздің дербес деректеріңізді коммерциялық пайда үшін пайдалануы мүмкін
3. ISP провайдерлері мен онлайн компанияларда сақталатын дербес ақпарат дерекқорлары құқық қорғау органдары мен үкіметтік мекемелердің иелігінде болады
Бағаланған үш елдің барлығы пайдаланушының жеке басын сәйкестендіретін деректерін заңды түрде жинауға және сақтауға рұқсат берген. ISP провайдерлері мен онлайн компаниялар заң бойынша мұндай ақпаратты қорғауға міндетті болғанымен, түптеп келгенде, бұл іс жүзінде барлық юрисдикцияда нақты қадағалауы жоқ әлсіз, тек сенімге негізделген жүйені қалыптастырды. Интернетті заңсыз немесе күмәнді әрекеттер үшін пайдаланбайтындар алаңдамаса да болады деп айту оңай, алайда Psiphon-да біз барлық интернет пайдаланушылары желідегі әрекеттеріне қарамастан, құпиялылықты орынды түрде күтуге құқылы деп есептейміз.
Осылайша, ISP провайдерлері пайдаланушы деректерін тіркеуге құқылы деп есептеуге болады. Бұл медициналық жазбалар немесе банк деректері сияқты құпия ақпараттың рұқсатсыз пайдаланылуынан немесе мұндай дерекқорларға қаскүнемдердің бұзып кіруінен қауіптенетін жекелеген интернет пайдаланушыларын алаңдатуы мүмкін. Сонымен қатар, егер ISP провайдері пайдаланушы жазбаларын талап ететін Ұлттық қауіпсіздік хатын немесе сот ордерін алса, олар заң бойынша мұндай ақпаратты құқық қорғау органдарына беруге міндетті болады.
Қолданыстағы заңдарға сәйкес, онлайн компаниялар коммерциялық мақсатта жеке басты сәйкестендіретін деректерді сатуға немесе мұндай ақпаратты жария етуге ерікті емес. Дегенмен, олар бұл деректерді тұтынушылар статистикасы сияқты әртүрлі ішкі процестер үшін сақтауға және пайдалануға толық құқылы. Америка Құрама Штаттарында желілік бейтараптықтың ықтимал жойылуымен жеке басты сәйкестендіретін деректер қоры келісімсіз пайдаланылуы немесе таралып кетуі мүмкін. Соған қарамастан, VPN пайдаланушылары арасындағы басты алаңдаушылықтың бірі – қызмет жеткізушісінің барлық ізгі ниетіне қарамастан, мұндай деректердің қаскүнемдік жолмен ұрлану қаупі.
Интернет пайдаланушылары өздері өзара әрекеттесетін компаниялардың тәжірибелері туралы өз бетінше білім алу жүгін әрқашан мойнына алады. Негізгі алаңдаушылық – кейбір түпкі пайдаланушылар пайдалану шарттарының мәнін немесе салдарын түсінбеуі мүмкін және өз таңдауын VPN-нің сенімді және дұрыс екендігі туралы түсініксіз әрі көбінесе жаңылыстыратын әлеуметтік және техникалық стандарттарға негіздеуі мүмкін. Сонымен қатар, әсіресе VPN қызметі жеке басты сәйкестендіретін ақпарат негізінде құрылған пайдаланушы тіркелгілерін жасауды талап етсе, VPN қызметтерінің әлеуетті пайдаланушыларға ұсынатын құпиялылық саясатын шын мәнінде сақтайтынына көз жеткізу үшін нарықтық зерттеу жүргізу қажеттілігін айтпаса да болады.
Оның үстіне, жан-жақты сараланған шешім қабылданғаннан кейін, белгілі бір географиялық орындардағы және белгілі бір сайттардағы пайдаланушылар шифрланбаған немесе стандартты https байланысын еш алаңсыз пайдалана алатынын түсінуі мүмкін. Бірақ әлі де түсінбеушілік немесе алаңдаушылық туындаған жағдайда, жеке басты сәйкестендіретін деректердің желіде жиналуынан қорғау үшін Psiphon сияқты журнал жүргізбейтін VPN қызметін пайдалануға болады.
VPN мені деректерді тіркеуден қорғай ала ма?
Көптеген интернет пайдаланушылары желіде жасырын қалу және коммерциялық онлайн қызметтердің деректерді тіркеу тәжірибелерінен жалтару үшін VPN қызметтеріне жүгінеді. Дегенмен, ешбір VPN желіде толық анонимділікке кепілдік бере алмайтынын атап өткен жөн. Бірақ Psiphon сияқты еркін қолжетімді интернетке ұмтылатындар өз пайдаланушыларының құпиялылығын қорғайтын мықты қауіпсіздік шараларын өз қызметтеріне енгізеді. VPN проксиін пайдалану арқылы интернет-трафикті нақты пайдаланушылармен байланыстыру мүмкін болмайды, сонымен бірге пайдаланушылар интернет қызметтеріне қосылып, оларды еркін пайдалана береді.
Пайдаланушының сеніміне ие болу және жеке құпиялылықты арттыру мақсатында коммерциялық VPN қызметтері жиі журнал жүргізбеу саясатын баса көрсетеді. Олар пайдалану туралы барлық жазбаларды жоятынын айтып, оны мүмкін емес етеді. Алайда көптеген VPN қызмет көрсету келісімдерінде мұндай саясаттарға толық түсініктеме берілмейді. Тіркелгіні жасау немесе шифрланған сеансты ашу үшін VPN пайдаланушы туралы кейбір егжей-тегжейлі ақпаратты талап етуі мүмкін. Тағы да қызмет көрсету шарттарын мұқият оқып шығып, VPN-ге сенуге бола ма, жоқ па – соны шешу жеке пайдаланушының өз міндеті болып қала береді.
Интернеттің құрылымы желілік байланыс орнату үшін белгілі бір ақпаратпен алмасуды талап етеді. Дұрыс жұмыс істейтін IP мекенжайынсыз ешқандай деректер жіберілмейді немесе қабылданбайды, бұл VPN пайдаланушысының нақты IP мекенжайын да қамтиды. Дегенмен, осы мақалада бағаланған заңдардың ешқайсысы VPN қызметтеріне пайдаланушы деректерін белгілі бір уақыт бойы сақтауды міндеттемейтіндіктен, Psiphon мен басқа да VPN қызметтерінің негізгі құндылықтары оларды шифрланған сеанс аяқталғаннан кейін өз желілерінен мұндай ақпаратты бірден өшіріп тастауға жетелейді.
Psiphon дәстүрлі VPN қызметтерінен несімен ерекшеленеді? Қарапайым ғана түсіндірсек, біз интернет еркіндігі үшін дүниеге келдік және негізінен осы мақсатта өмір сүреміз. Архитектуралық құрылымы бойынша Psiphon платформасы түпкі пайдаланушылардың шолу сеансына қатысты жеке басты сәйкестендіретін ешқандай ақпаратты сақтамайды. Psiphon қолдану үшін тіркелгі жасау талап етілмейтіндіктен, бағдарламалық құрал қандай да бір жеке пайдаланушыға қатысты ақпаратты жасауға немесе сақтауға мүлдем қабілетсіз. Сондықтан пайдалану туралы ешқандай жазба болмайды, бұл аңдудан жалтаратын немесе жеке басты сәйкестендіретін ақпараттың рұқсатсыз тұлғаларға жария болуынан қорқатын адамдарға Psiphon желісін пайдалануды нақты бір пайдаланушымен немесе геопозициямен байланыстыру мүмкін еместігіне сенімділік береді.
Желіміздің тиімді болып қалуын және сұраныс деңгейінің өзгеруіне қарай кеңеюін қамтамасыз ету үшін біз деректерді ішкі бағалауды жүргіземіз, оған трафик көлемі және ел деңгейінде біріктірілген пайдаланушының орналасқан жері туралы ақпарат кіреді.6 Бұл қызмет сақтайтын ең егжей-тегжейлі ақпарат болып табылады. Бірақ, мысалы, қаскүнем сыртқы тұлға осы статистикалық ақпаратты бұзып алған күннің өзінде, жеке басты сәйкестендіретін ешқандай ақпарат қауіпке ұшырамайды.
--
Авторы: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Сонда. 26-тармақ.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Дегенмен, қала деңгейіндегі деректер тек ел ішіндегі пайдалану көрсеткіші қаладағы белсенді байланыстар санын бағалау арқылы жекелеген пайдаланушыларды сәйкестендіру статистикалық тұрғыдан мүмкін болмайтын белгілі бір шектен асқаннан кейін ғана автоматты түрде біріктіріледі.