Маалыматтарды журналдоонун абалы: Коркунуч деңгээлдерин жана коопсуздук практикаларын баалоо
2018-15-05 - 9 мүнөттүк окуу
Жаңыртылган: 2021-26-09
Psiphon Inc. көп жылдар бою цензуралык режимдердин шартында жашаган адамдарга интернетти ачуу боюнча аракеттердин башында туруп келет. Онлайн режиминде эч кандай мазмундук чектөөлөргө дуушар болбогонуна карабастан, Батыш өлкөлөрүндөгү колдонуучулар өздөрүнүн жеке купуялуулугун коргоо үчүн Psiphon сыяктуу VPN кызматтарына кайрылышууда. Бирок 2017-жылдын мартында Pew изилдөө борбору таң калыштуу статистиканы жарыялаган: Америкадагы интернет колдонуучулардын болжол менен 70%ы VPN кандай максатка кызмат кыларын так билишпейт.1
Эгерде тынымсыз өсүп жаткан Psiphon аккаунттарынын саны дүйнө жүзү боюнча VPN колдонуучуларынын көбөйүп жаткандыгынын белгиси болсо, демек, өнүмдөрдү критикалык баалоо үчүн эч кандай чен-өлчөмү жок көз карандысыз колдонуучулардын чоң агымы бул рынокко кирүүдө. Бул топ эми киберкоопсуздуктун бейтааныш чөйрөсүндөгү тобокелдиктерди түшүнүү түйшүгүн тартууда. Ошондуктан, алар туура эмес маалыматка өтө алсыз келишет. Колдонуучуларды кооптондурган ушундай сөздөрдүн бири – VPN веб-сайттарында жана форумдарында кеңири таралган маалыматтарды журналга каттоонун (data logging) маанисинин бурмаланышы, ошондой эле жеке тобокелдиктер жана өзүн натыйжалуу коргоо ыкмалары тууралуу туура эмес түшүнүктөр болуп саналат.
Techopedia сайтынын маалыматы боюнча, «маалыматтарды журналга каттоо (data logging) – бул белгилүү бир тенденцияларды талдоо же системанын, тармактын же IT чөйрөнүн маалыматка негизделген окуяларын/аракеттерин жазып калуу максатында белгилүү бир убакыт аралыгында маалыматтарды чогултуу жана сактоо процесси. Бул маалыматтар, файлдар же колдонмолор сактоо түзмөгүндө же тиркемеде сакталган, кирүүгө уруксат берилген же өзгөртүлгөн бардык өз ара аракеттерди көзөмөлдөөгө мүмкүндүк берет».2 Көптөгөн VPN кызматтары эч кандай журнал катталбайт (zero-logging) деген саясатты өнүмдүн өзгөчө бир артыкчылыгы катары көрсөтүп, катардагы жарандардын интернет трафиги дайыма журналга жазылып, коммерциялык жана юридикалык максаттарда кыянаттык менен колдонулуу коркунучунда турат деген ойду кыйытышат.
Бул маселе 2017-жылдын апрелинде FCC тарабынан америкалык интернет кызматтарын көрсөтүүчүлөрдөн (ISP) колдонуучунун маалыматтарын бөлүшүүдөн мурун уруксат алууну талап кылган айрым коргоо чаралары жокко чыгарылгандан кийин өзгөчө актуалдуу болуп калды (эгер ал 2017-жылдын декабрында пландаштырылгандай күчүнө киргенде). Алардын өкмөтү ISP провайдерлерине биздин жеке интернет тарыхыбызды журналга жазып, андан кийин аларды макулдуксуз сатууну же ачыкка чыгарууну колдоп жатат деген ой көпчүлүк интернет колдонуучуларды тынчсыздандырууда.
Интернет эркиндигинин жигердүү колдоочусу катары Psiphon күн сайын биздин колдонуучулар цензураланбаган интернетке эч кандай кесепеттерсиз, адилет жана ачык кирүү мүмкүнчүлүгүнө ээ болушу үчүн күрөшөт. Колдонуучунун маалыматтарын жана серептөө тарыхын уруксатсыз колдонуунун мыйзамдуулугунун кеңейиши этикага караганда пайда көбүнчө жогору турарын көрсөткөн кооптуу көрүнүштү жаратууда. Бирок Psiphon трафикти жана маалыматтарды журналга каттоо тажрыйбасын тереңирээк изилдеп көрдү.
АКШ, ЕБ жана Канададагы маалыматтарды журналга каттоо саясаттарына кыскача салыштырма талдоо
Жалпысынан Батыш өлкөлөрү коргоо жана жөнгө салуу эрежелерин сакталган маалыматтардын коопсуздугу аркылуу аныкташкан. Бул мыйзамдар фирмалар колдонуучулардын маалыматтарын чогултуу жана сактоо учурунда карманышы керек болгон коопсуздук стандарттарына тиешелүү жоболорду белгилейт. Алар ошондой эле маалыматты ачыкка чыгаруунун мыйзамдуулук маселелерин камтыйт. Бирок, бул макалада келтирилген бардык мыйзамдар маалыматтын түрү жана ал чогултула турган жагдайлар, ошондой эле мындай маалыматтар канча убакытка чейин сактала тургандыгы боюнча чечимдерди маалымат чогулткан уюмдун өз кароосуна калтырат. Көпчүлүк учурларда бул уюмдар өз саясатынын логикасын борбордук жетектөөчү органга негиздеп бериши керек болсо да, мындай мыйзамдар көп жагдайларда маалыматтарды сактоону кыйыр түрдө колдоого алгандыктан, эки миздүү кылыч сыяктуу болуп калат.
Мисалы, учурда АКШда маалыматтарды журналга каттоого байланыштуу жалпы көзөмөлдөөчү эрежелер жок. Тейлөө шарттарында же колдонуучунун лицензиялык келишиминде мындай тажрыйба колдонула тургандыгы жөнүндө эскертилген шартта, ISP провайдерлери колдонуучунун маалыматтарын чогултууга жана сактоого эркин. Бирок компаниялар колдонуучулардын маалыматтарын, анын ичинде электрондук билдирүүлөрдү «дарек ээсинен же тиешелүү алуучудан башка эч бир адамга» ачыкка чыгарууга тыюу салган Сакталган байланыштар жөнүндөгү мыйзамга (Stored Communications Act) баш ийишет.3 Америка өкмөтү бардык фирмаларга колдонуучулардын маалыматтарын коргоо милдетин жүктөгөнү менен, журналга каттоону же маалыматтарды сактоонун акылга сыярлык мөөнөтүн так чектебейт.
ISP тарабынан журналга жазуу боюнча чоңураак суроо жаңы эмес жана ал өзүнчө обочолонгон маселе да эмес. Чынында, маалыматтарды журналга каттоо суроосу жакында АКШда кайрадан күчөгөн тармак бейтараптуулугу боюнча дебаттардагы юридикалык суроолор менен бирдей тамырга ээ.
Европа Биримдиги 2016-жылдын апрелинде 2012-жылдагы баштапкы Маалыматтарды коргоо директивасына негизделген жана маалымат коопсуздугу боюнча колдонмолорду, колдонуучунун укуктарын жана субъекттердин юридикалык классификацияларын камтыган бүтүндөй блок боюнча Маалыматтарды коргоонун жалпы регламентин (GDPR) кабыл алган. Бирок, айрым мүчө-мамлекеттер маалыматтарды сактоонун ылайыктуу мөөнөтүн аныктоого милдеттүү жана алар бүтүндөй блок үчүн милдеттүү болгон белгиленген мөөнөткө көз каранды эмес.
Чогултулган маалыматтарды сактоонун ылайыктуу мөөнөтүн аныктоого көз карандысыз фирмалар жооптуу, ал эми кошумча сактоо мөөнөттөрү «коомдук кызыкчылыкта илимий, статистикалык же тарыхый максаттарда архивдөө» үчүн белгилениши мүмкүн.4 Бирок, GDPR жоболоруна ылайык, жеке жаран «унутулууга укуктуу» жана өзүнүн жеке маалыматтарын серверден өчүрүүнү сурана алат.
Акырында, Канаданын федеративдик түзүлүшү маалыматтарды журналга каттоо эрежелерине карата көп баскычтуу юрисдикциялык системаны түзгөн. Ал коммерциялык ишмердүүлүк үчүн маалыматтарды чогултуу боюнча жалпы улуттук директиваларды жана эрежелерди аныктаган жана жеке маалыматтардын (personally identifiable information) улуттук стандарттык аныктамасын белгилеген Жеке маалыматтарды коргоо жана электрондук документтер актысын (PIPEDA) кабыл алган, ага төмөнкүлөр кирет:
• жашы, аты-жөнү, ID номерлери, кирешеси, этникалык келип чыгышы жана кан тобу;
• пикирлери, баалоолору, комментарийлери, коомдук абалы же тартиптик чаралары ж.б.
• кызматкерлердин өздүк делолору, кредиттик тарыхы, насыя жазуулары, медициналык карталары, керектөөчү менен сатуучунун ортосундагы талаш-тартыштардын болушу, ниеттери (мисалы, товарларды же кызматтарды сатып алуу же жумуш ордун алмаштыруу).5
ЕБ директивасына окшош эле, терроризмди каржылоо сыяктуу кылмыштуу иштерге шектелген адамдар жөнүндө маалыматтарды Канаданын финансылык транзакцияларды жана отчетторду талдоо борборуна (FINTRAC) берүүгө мүмкүндүк берген жоболор камтылган. Бирок, PIPEDA маалыматты коргоо жана маалыматты сактоонун мыйзамдуу мөөнөтүн чектөө процесстерин так көрсөтпөйт. 4.5.3-пунктта «аныкталган максаттарды аткаруу үчүн мындан ары талап кылынбаган маалымат жок кылынышы керек» деп айтылганы менен, айрым фирмалар өздөрүнүн процедураларын ишке ашырууда эркин болушат.
Андан ары, маалыматтарды коргоону камсыз кылуу үчүн өз мыйзамдарын түзүүгө жөндөмдүү провинциялар PIPEDA жоболорунан жогору тура алат.
Ошентип, кооптонууну жараткан VPN'дердики туурабы?
VPN кызматтары учурдагы каттоо режимдериндеги үч негизги кемчиликтен улам болочок кардарларды ийгиликтүү кооптондурушат:
1. Сиздин жеке маалыматыңыз жетиштүү деңгээлде коопсуз болбошу мүмкүн
2. ISP'лер жана онлайн компаниялар жеке маалыматыңызды коммерциялык пайда үчүн колдонушу мүмкүн
3. ISP'лер жана онлайн компаниялар сактаган жеке маалымат базалары укук коргоо жана өкмөттүк органдардын карамагында болот
Бааланган үч мамлекет тең жеке аныктоочу маалыматтарды мыйзамдуу чогултууга жана сактоого уруксат берген. ISP'лер жана онлайн компаниялар мындай маалыматтын коопсуздугун камсыз кылууга мыйзамдуу түрдө милдеттүү болсо да, түпкүлүгүндө бул дээрлик бардык юрисдикцияларда так көзөмөлгө ээ болбогон начар ишенимге негизделген системаны жаратты. Интернетти шектүү же мыйзамсыз аракеттер үчүн колдонбогондор тынчсызданбай эле койсо болот деп айтуу оңой, бирок Psiphon'до биз бардык интернет колдонуучулары өздөрүнүн онлайн жүрүм-турумуна карабастан, купуялуулукка толук укуктуу деп эсептейбиз.
Ошентип, ISP'лер колдонуучунун маалыматтарын журналга каттоого укуктуу деп эсептөөгө болот. Бул медициналык карталар же банктык маалыматтар сыяктуу жеке маалыматтардын уруксатсыз колдонулушунан же мындай маалымат базаларына зыяндуу кирүүлөрдөн корккон айрым интернет колдонуучуларды тынчсыздандырышы мүмкүн. Мындан тышкары, эгерде ISP колдонуучунун жазууларын талап кылган Улуттук коопсуздук катын же ордер алса, алар мыйзам боюнча мындай маалыматты укук коргоо органдарына берүүгө милдеттүү болот.
Учурдагы мыйзамдарга ылайык, онлайн компаниялар коммерциялык максаттар үчүн жеке аныктоочу маалыматтарды сатууга же мындай маалыматтарды ачыкка чыгарууга укуксуз. Бирок, алар бул маалыматты кардарлардын статистикасы сыяктуу ар кандай ички процесстер үчүн сактоого жана колдонууга толук укуктуу. Америка Кошмо Штаттарында тармак бейтараптуулугунун бузулушу ыктымалдыгы менен, жеке маалыматтардын кампалары макулдуксуз кыянаттык менен пайдаланылышы же таратылышы мүмкүн. Ошентсе да, кызмат көрсөтүүчүнүн жакшы ниетине карабастан, мындай маалыматтардын мыйзамсыз уурдалып кетүү (exfiltrated) коркунучу VPN колдонуучуларынын арасындагы тынчсыздануунун негизги себеби бойдон калууда.
Интернет колдонуучулар өздөрү байланышта болгон компаниялардын иш-тажрыйбалары жөнүндө өздөрүн маалымдоо түйшүгүн дайыма өздөрү тартышат. Негизги кооптонуулардын бири – айрым акыркы колдонуучулар колдонуу шарттарынын маанисин же кесепеттерин түшүнө албай калышы жана VPN ишенимдүү жана коопсуз экендиги жөнүндө бүдөмүк, көп учурда жаңылыштыруучу коомдук жана техникалык стандарттарга таянып калышы мүмкүн. VPN кызматтары болочок колдонуучуларга сунуш кылган купуялык саясаттарына чындап баш ийип жатканын текшерүү үчүн жүргүзүлүшү керек болгон рыноктук изилдөөлөр жөнүндө айтпасак да түшүнүктүү, өзгөчө, эгер VPN кызматы жеке аныктоочу маалыматтардын негизинде колдонуучу аккаунттарын түзүүнү талап кылса.
Анын үстүнө, маалыматтуу чечим кабыл алынгандан кийин, белгилүү бир географиялык жерлердеги жана белгилүү сайттардагы колдонуучулар шифрленбеген же стандарттуу https байланышын колдонуу аларга ыңгайлуу экенин байкашы мүмкүн. Бирок дагы эле түшүнбөстүктөр же тынчсыздануулар бар жерде, жеке аныктоочу маалыматтардын онлайн чогултулушунан коргоо үчүн Psiphon сыяктуу журнал каттабаган (no-log) VPN колдонулушу мүмкүн.
VPN мени маалыматтарды журналга каттоодон коргой алабы?
Көптөгөн интернет колдонуучулар онлайн режиминде өздөрүн анонимдүү кылуу жана коммерциялык кызматтардын маалыматтарды каттоо практикасынан качуу үчүн VPN'дерге кайрылышат. Бирок, бир дагы VPN интернетте толук анонимдүүлүктү камсыздай албастыгын белгилей кетүү керек. Ал эми Psiphon сыяктуу эркин интернетке умтулгандар өз колдонуучуларынын купуялуулугун коргогон күчтүү коопсуздук чараларын өз кызматтарына киргизишет. VPN проксисин колдонуу менен интернет трафигин белгилүү бир колдонуучуларга байланыштыруу мүмкүн эмес, бирок колдонуучулар дагы деле байланышта болуп, интернет кызматтарын колдонууга катыша беришет.
Колдонуучунун ишенимине ээ болуу жана жеке купуялуулукту жогорулатуу максатында коммерциялык жеткиликтүү VPN кызматтары көбүнчө эч нерсе журналга катталбайт деген саясаттарын баса белгилешет. Алар колдонуунун бардык жазууларын өчүрүп салууну убада кылып, муну мүмкүн эмес кылып көрсөтүшөт. Бирок, көптөгөн VPN кызмат көрсөтүү келишимдеринде мындай саясаттардын кеңири түшүндүрмөлөрү берилбейт. Аккаунт түзүү же шифрленген сессияны ачуу үчүн VPN колдонуучу жөнүндө кээ бир кеңири маалыматтарды талап кылышы мүмкүн. Дагы бир жолу, кызмат көрсөтүү шарттарын кунт коюп окуп чыгуу жана VPN'ге ишенүү же ишенбөө жөнүндө чечим кабыл алуу милдети колдонуучунун өзүнө жүктөлөт.
Интернеттин түзүлүшү онлайн байланыш ишке ашуусу үчүн белгилүү бир маалымат алмашууну талап кылат. Эч бир маалымат иштеп жаткан IP дарегисиз жөнөтүлүшү же кабыл алынышы мүмкүн эмес, буга VPN колдонуучусунун анык IP дареги да кирет. Бирок, бул макалада талданган мыйзамдардын бири да VPN'дерге колдонуучунун маалыматтарын белгилүү бир убакытка сактоону милдеттендирбегендиктен, Psiphon жана башка VPN кызматтарынын негизги баалуулуктары шифрленген сессия аяктагандан кийин алардын тармактарынан мындай маалыматтарды өчүрүүгө алып келиши мүмкүн.
Psiphon'ду салттуу VPN кызматтарынан эмнеси айырмалап турат? Жөнөкөй эле: биз интернет эркиндиги үчүн жаралганбыз жана негизинен ошол үчүн иштейбиз. Psiphon платформасы башынан эле акыркы колдонуучулардын серептөө сессиясына тиешелүү эч кандай жеке аныктоочу маалыматты сактабоо үчүн иштелип чыккан. Psiphon'ду колдонуу аккаунтту талап кылбагандыктан, программалык камсыздоо кандайдыр бир жеке колдонуучуга тиешелүү маалыматты түзүүгө же сактоого иш жүзүндө жөндөмсүз. Ошондуктан колдонуу жөнүндө эч кандай жазуу жок, бул байкоодон качкандарга же жеке маалыматтардын уруксаты жок тараптарга берилип кетишинен корккондорго Psiphon тармагын колдонуу конкреттүү бир колдонуучуга же геолокацияга тиешелүү кылып байланыштырылбай тургандыгына кепилдик берет.
Биздин тармактын натыйжалуу иштешин жана өзгөрүлмө суроо-талапка жараша кеңейүүсүн камсыз кылуу үчүн биз өлкө деңгээлинде топтолгон трафиктин көлөмүн жана колдонуучунун жайгашкан жери жөнүндө маалыматты камтыган ички маалыматтарды баалоону жүргүзөбүз.6 Бул кызмат тарабынан сакталуучу эң кеңири маалымат болуп саналат. Бирок, мисалы, зыяндуу сырткы күчтөр бул статистикалык маалыматты бузуп киришсе да, эч кандай жеке аныктоочу маалымат коркунучка кабылбайт.
--
Автору: Джейкоб Клейн
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ошол эле жерде. 26-пункт.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Бирок, шаар деңгээлиндеги маалыматтар бир өлкөнүн ичиндеги колдонуу шаардагы активдүү байланыштардын санын баалоо аркылуу жеке колдонуучуларды аныктоо статистикалык жактан мүмкүн болбой калган босогодон ашкандан кийин гана автоматтык түрдө бириктирилет.