Status for datalogging: En evaluering av trusselnivåer og sikkerhetspraksis
15.5.2018 - 10 min lesetid
Oppdatert: 26.9.2021
Psiphon Inc. har i årevis ledet an i kampen for å åpne internett for dem som lever under sensurerende regimer. Til tross for at de ikke møter noen innholdsbegrensninger på nettet, vender brukere fra vestlige land seg til VPN-er som Psiphon for å beskytte sitt personvern på nettet. Likevel publiserte Pew Research Center i mars 2017 oppsiktsvekkende statistikk som viser at rundt 70 % av amerikanske internettbrukere ikke er sikre på hvilket formål en VPN tjener.1
Hvis det stadig økende antallet Psiphon-kontoer er en indikasjon på det voksende antallet VPN-brukere verden over, trer en betydelig tilstrømning av uavhengige brukere inn i et marked der de ikke har noe grunnlag for å vurdere produktene kritisk. Denne gruppen bærer nå byrden med å forstå risikoer i det ukjente domenet cybersikkerhet. Som sådan er de derfor svært utsatt for feilinformasjon. Et slikt begrep som gjør brukere ekstra på vakt, er utbredelsen av begrepet data logging (datalagring/logging) på tvers av VPN-nettsteder og fora, samt en misvisende fremstilling av individuelle risikoer og metoder for å beskytte seg selv på en effektiv måte.
Ifølge Techopedia er «datalogging prosessen med å samle inn og lagre data over en tidsperiode for å analysere spesifikke trender eller registrere de databaserte hendelsene/handlingene til et system, nettverk eller IT-miljø. Det gjør det mulig å spore alle interaksjoner der data, filer eller applikasjoner lagres, åpnes eller endres på en lagringsenhet eller applikasjon.»2 Mange VPN-er markedsfører retningslinjer for null-logging som en tilsynelatende unik produktfunksjon, og antyder dermed at internetttrafikken til vanlige borgere ellers er i konstant fare for å bli logget og eventuelt utnyttet til kommersielle og juridiske formål.
Dette har blitt et hett tema etter opphevelsen av visse FCC-beskyttelser i april 2017, som ville ha krevd at amerikanske internettleverandører (ISP-er) innhentet tillatelse før de delte brukerdata (hvis de noen gang hadde trådt i kraft som tiltenkt i desember 2017). Tanken på at myndighetene deres tar til orde for at ISP-er skal loggføre vår personlige internetthistorikk og deretter selge eller utlevere den uten samtykke, er alarmerende for de fleste internettbrukere.
Som en sterk forkjemper for internettfrihet, streber Psiphon daglig etter å sikre at brukerne våre får rettferdig og åpen tilgang til et usensurert internett uten konsekvenser. Den voksende lovligheten av uautorisert bruk av brukerdata og nettleserhistorikk skaper et urovekkende narrativ som viser at profitt ofte trumfer etikk. Men Psiphon har dykket dypere for å forstå landskapet rundt trafikk- og dataloggingspraksiser.
En kort sammenlignende analyse av retningslinjer for datalogging i USA, EU og Canada
Generelt sett har vestlige nasjoner definert beskyttelse og reguleringer gjennom rammeverket for sikkerhet rundt lagrede data. Disse lovene fastsetter bestemmelser knyttet til sikkerhetsstandardene selskaper holdes til mens de samler inn og lagrer brukerdata. De skisserer også juridiske spørsmål knyttet til utlevering av informasjon. Likevel overlater alle lovene som refereres til i denne artikkelen beslutningene om typen data og situasjonene der de samles inn, samt hvor lenge slike data oppbevares, til den innsamlende organisasjonens eget skjønn. Selv om disse organisasjonene i mange tilfeller må begrunne logikken bak retningslinjene sine overfor et sentralt styringsorgan, skaper slik lovgivning et tveegget sverd, ettersom den i mange tilfeller stilltiende støtter lagring av data.
For eksempel finnes det i dag ingen overordnede reguleringer i USA knyttet til datalogging. ISP-er står fritt til å samle inn og lagre brukerdata, forutsatt at brukeren gjøres oppmerksom på at de er underlagt slike praksiser i tjenestevilkårene eller lisensavtalen. Selskaper er imidlertid underlagt Stored Communications Act, som forbyr utlevering av brukerdata, inkludert elektronisk kommunikasjon, «til enhver annen person enn adressaten eller den tiltenkte mottakeren».3 Selv om amerikanske myndigheter pålegger alle selskaper å beskytte brukerdata, begrenser de ikke uttrykkelig loggingspraksis eller rimelig varighet av datalagring.
Det større spørsmålet om ISP-logging er ikke nytt, og det er heller ikke et isolert problem. Faktisk er spørsmålet om datalogging forankret i de samme juridiske spørsmålene som den nylig gjenopplivede debatten om nettnøytralitet i USA.
Den europeiske union vedtok et felleseuropeisk lovverk kalt personvernforordningen (GDPR) i april 2016 som bygger på det opprinnelige personverndirektivet fra 2012, og som skisserer retningslinjer for datasikkerhet, brukerrettigheter og juridiske klassifiseringer av registrerte. Individuelle medlemsland er imidlertid forpliktet til å bestemme passende varighet for datalagring, og er ikke underlagt en felles lovpålagt tidsramme for hele unionen.
Uavhengige selskaper er ansvarlige for å fastsette passende lagringstid for innsamlede data, mens ytterligere lagringsperioder kan fastsettes for «arkivering i allmennhetens interesse, til vitenskapelige, statistiske eller historiske formål».4 I henhold til bestemmelsene i GDPR har imidlertid privatpersoner «rett til å bli glemt» og kan be om at personopplysningene deres slettes fra en tjener.
Til slutt har Canadas føderale struktur skapt en organisering i flere jurisdiksjonsnivåer når det gjelder reguleringer av datalogging. Landet har vedtatt Personal Information Protection and Electronic Documents Act (PIPEDA), som skisserer landsdekkende direktiver og forskrifter angående innsamling av informasjon til kommersiell virksomhet, og etablerer en nasjonal standarddefinisjon for personlig identifiserbar informasjon, som inkluderer:
• alder, navn, ID-numre, inntekt, etnisk opprinnelse og blodtype;
• meninger, evalueringer, kommentarer, sosial status eller disiplinære tiltak osv.
• ansattmapper, kreditthistorikk, lånedokumenter, journaler, eksistensen av en tvist mellom en forbruker og en forhandler, intensjoner (for eksempel å anskaffe varer eller tjenester, eller bytte jobb).5
I likhet med EU-direktivet er det inkludert bestemmelser for å tillate utlevering av informasjon til Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) vedrørende personer som er mistenkt for kriminelle handlinger som finansiering av terrorisme. PIPEDA beskriver imidlertid ikke eksplisitt prosesser for å sikre informasjon og begrense den lovlige lagringstiden for informasjon. Selv om avsnitt 4.5.3 slår fast at «informasjon som ikke lenger er nødvendig for å oppfylle de identifiserte formålene bør slettes», står individuelle selskaper fritt til å implementere sine egne prosedyrer.
Lenger ned i hierarkiet kan provinser som har mulighet til å opprette egne lover for å sikre databeskyttelse, overstyre bestemmelsene i PIPEDA.
Så, har de alarmistiske VPN-ene rett?
VPN-er lykkes i å skremme potensielle kunder på grunn av tre grunnleggende svakheter i gjeldende loggingsregimer:
1. Dine personlig identifiserbare data er kanskje ikke tilstrekkelig sikret
2. ISP-er og nettbaserte selskaper kan bruke dine personopplysninger til kommersiell vinning
3. Databaser med personopplysninger som oppbevares av ISP-er og nettbaserte selskaper, står til disposisjon for rettshåndhevelse og statlige etater
Alle de tre evaluerte statene har åpnet for lovlig innsamling og lagring av personlig identifiserbare brukerdata. Selv om ISP-er og nettselskaper er juridisk forpliktet til å sikre slik informasjon, har dette i bunn og grunn skapt et svakt tillitsbasert system som mangler klart tilsyn i praktisk talt enhver jurisdiksjon. Det er lett å si at de som ikke bruker internett til kompromitterende eller ulovlige aktiviteter, ikke trenger å bekymre seg, men hos Psiphon mener vi at alle internettbrukere har en rimelig forventning om privatliv, uavhengig av atferd på nettet.
Som sådan kan det antas at ISP-er har rett til å logge brukerdata. Dette kan være urovekkende for individuelle internettbrukere som frykter uautorisert bruk av privat informasjon som journaler eller bankopplysninger, eller skadelig inntrenging i slike databaser. I tillegg, hvis en ISP mottar et National Security Letter eller en rettsordre om utlevering av brukerlogger, vil de være lovpålagt å oppgi slik informasjon til politimyndigheter.
Med dagens lover har ikke nettselskaper anledning til å selge personlig identifiserbare data for kommersielle formål eller å utlevere slik informasjon. De er imidlertid i sin fulle rett til å oppbevare og bruke disse dataene til en rekke interne prosesser, for eksempel kundestatistikk. Med den potensielt nært forestående svekkelsen av nettnøytraliteten i USA, kan lagre av personlig identifiserbare data bli utnyttet eller delt uten samtykke. Likevel er en ledende årsak til bekymring blant VPN-brukere risikoen for at slike data blir stjålet på ondsinnet vis, til tross for tjenesteleverandørens beste intensjoner.
Internettbrukere vil alltid bære byrden med å sette seg inn i praksisene til selskapene de benytter seg av. En primær bekymring er at noen sluttbrukere kanskje ikke er i stand til å forstå betydningen eller konsekvensene av brukervilkår, og kan basere sin bruk på vage og ofte misvisende sosiale og tekniske standarder for hvorvidt en VPN er pålitelig og til å stole på. For ikke å snakke om markedsundersøkelsene som må gjøres for å sikre at VPN-er virkelig overholder personvernerklæringene de presenterer for potensielle brukere, spesielt hvis VPN-tjenesten krever opprettelse av brukerkontoer bygget rundt personlig identifiserbar informasjon.
Dessuten, når en veloverveid beslutning er tatt, kan brukere på bestemte geografiske steder og på spesifikke nettsteder finne ut at de føler seg trygge med å bruke en ukryptert eller standard https-tilkobling. Men der det fortsatt hersker forvirring eller bekymring, kan en VPN uten logging som Psiphon brukes til å beskytte personlig identifiserbare data mot å bli samlet inn på nettet.
Kan en VPN beskytte meg mot datalogging?
Mange internettbrukere tyr til VPN-er for å anonymisere seg på nettet og unngå dataloggingspraksis fra kommersielle nettjenester. Det må imidlertid understrekes at ingen VPN kan tilby fullstendig anonymitet på nettet. Men de som er forpliktet til et fritt tilgjengelig internett, slik som Psiphon, bygger sterke sikkerhetstiltak inn i tjenestene sine som beskytter brukernes personvern. Ved å bruke en VPN-proxy kan ikke internetttrafikk tilskrives bestemte brukere, men brukerne er fortsatt tilkoblet og deltar i bruken av internetttjenester.
I et forsøk på å oppnå brukernes tillit og øke det individuelle personvernet, fremhever kommersielt tilgjengelige VPN-er ofte retningslinjer for ingen logging. De hevder å kvitte seg med alle brukslogger, noe som dermed gjør det umulig. Mange VPN-tjenesteavtaler gir imidlertid ingen detaljerte forklaringer på slike retningslinjer. For å opprette en konto eller åpne en kryptert økt, kan en VPN kreve detaljert brukerinformasjon. Igjen faller byrden på den enkelte bruker med å lese nøye gjennom tjenestevilkårene og ta en avgjørelse om hvorvidt man skal stole på VPN-tjenesten.
Internettets struktur krever at viss informasjon må utveksles for at nettkommunikasjon skal kunne finne sted. Ingen data kan sendes eller mottas uten en fungerende IP-adresse, noe som inkluderer VPN-brukerens legitime IP-adresse. Men fordi ingen av lovene som vurderes i denne artikkelen krever at VPN-er lagrer brukerdata i en bestemt tidsperiode, kan kjerneverdiene til Psiphon og andre VPN-tjenester føre til at de sletter slik informasjon fra nettverkene sine så snart en kryptert økt avsluttes.
Hva gjør Psiphon annerledes enn tradisjonelle VPN-tjenester? Ganske enkelt: Vi er sprunget ut av og eksisterer først og fremst for internettfrihet. Av design lagrer ikke Psiphon-plattformen noen personlig identifiserbar informasjon knyttet til sluttbrukernes nettleserøkt. Fordi bruk av Psiphon ikke krever en konto, er programvaren praktisk talt ute av stand til å opprette eller lagre informasjon knyttet til enkelte brukere. Det finnes derfor ingen brukslogg, noe som beroliger dem som unngår overvåking eller frykter utlevering av personlig identifiserbar informasjon til uautoriserte parter om at bruk av Psiphon-nettverket ikke kan spores til en unik bruker eller geolokasjon.
For å sikre at nettverket vårt forblir effektivt og skalerer i tråd med skiftende etterspørsel, foretar vi intern datavurdering, som inkluderer trafikkmengde og informasjon om brukerplassering aggregert på landsnivå.6 Dette er den mest detaljerte informasjonen som oppbevares av tjenesten. Men hvis for eksempel en ondsinnet ekstern aktør skulle bryte seg inn i denne statistiske informasjonen, ville ingen personlig identifiserbar informasjon være i fare.
--
Av: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, gjengitt i 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Avsnitt 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Data på bynivå vil imidlertid automatisk bli aggregert først etter at bruken innenfor et land overskrider en terskel der det ville være statistisk umulig for individuelle brukere å bli identifisert via en vurdering av antallet aktive tilkoblinger i byen.