De stand van datalogging: een evaluatie van dreigingsniveaus en beveiligingspraktijken
15-5-2018 - 11 min leestijd
Bijgewerkt: 26-9-2021
Psiphon Inc. loopt al jaren voorop in de strijd om het internet open te stellen voor mensen die onder censurerende regimes leven. Ondanks het ontbreken van inhoudsbeperkingen online, wenden gebruikers uit westerse landen zich tot VPN's zoals Psiphon om hun persoonlijke privacy online te beschermen. Toch publiceerde het Pew Research Center in maart 2017 een verontrustende statistiek waaruit bleek dat zo'n 70% van de Amerikaanse internetgebruikers niet zeker weet welk doel een VPN dient.1
Als het alsmaar toenemende aantal Psiphon-accounts een indicatie is van het groeiende aantal VPN-gebruikers wereldwijd, betreedt een aanzienlijke toestroom van onafhankelijke gebruikers een markt waarin zij geen maatstaf hebben om de producten kritisch te beoordelen. Deze groep draagt nu de last van het begrijpen van risico's in het onbekende domein van cyberbeveiliging. Daardoor zijn zij zeer vatbaar voor desinformatie. Eén zo'n term die gebruikers in opperste staat van paraatheid brengt, is de alomtegenwoordigheid van de term data logging op VPN-websites en -forums, en een verkeerde voorstelling van individuele risico's en methoden om zichzelf efficiënt te beschermen.
Volgens Techopedia is "data logging het proces van het verzamelen en opslaan van gegevens gedurende een bepaalde periode om specifieke trends te analyseren of de op data gebaseerde gebeurtenissen/acties van een systeem, netwerk of IT-omgeving vast te leggen. Het maakt het volgen van alle interacties mogelijk waarmee gegevens, bestanden of applicaties worden opgeslagen, geopend of gewijzigd op een opslagapparaat of applicatie."2 Veel VPN's promoten een beleid zonder logbestanden (zero-logging) als een ogenschijnlijk unieke producteigenschap, en wekken daarmee de suggestie dat het internetverkeer van gewone burgers anders voortdurend het risico loopt te worden gelogd en mogelijk uitgebuit voor commerciële en juridische doeleinden.
Dit is een heikel punt geworden na de intrekking in april 2017 van bepaalde FCC-beschermingsmaatregelen die van Amerikaanse internetproviders (ISP's) zouden hebben geëist dat zij toestemming kregen alvorens gebruikersgegevens te delen (als deze ooit zoals bedoeld in december 2017 van kracht waren geworden). De gedachte dat hun overheid er voorstander van is dat ISP's onze persoonlijke internetgeschiedenis loggen en deze vervolgens zonder toestemming verkopen of openbaar maken, is voor de meeste internetgebruikers alarmerend.
Als fervent voorvechter van internetvrijheid spant Psiphon zich dagelijks in om ervoor te zorgen dat onze gebruikers eerlijke en open toegang krijgen tot een ongecensureerd internet zonder represailles. De toenemende legaliteit van het ongeoorloofde gebruik van gebruikersgegevens en browsegeschiedenis creëert een verontrustend narratief dat aantoont dat winst vaak zwaarder weegt dan ethiek. Maar Psiphon heeft zich verder verdiept in het landschap van verkeers- en dataloggingpraktijken.
Een korte vergelijkende analyse van het beleid rond data logging in de VS, de EU en Canada
Over het algemeen hebben westerse landen beschermingsmaatregelen en regelgeving gedefinieerd binnen het kader van de beveiliging van opgeslagen gegevens. Deze wetten stellen bepalingen vast met betrekking tot de beveiligingsnormen waaraan bedrijven zich moeten houden bij het verzamelen en opslaan van gebruikersgegevens. Ze schetsen ook de kwesties van legaliteit met betrekking tot het openbaar maken van informatie. Alle in dit document genoemde wetten laten de beslissingen over het type gegevens en de situaties waarin deze worden verzameld, evenals de duur dat dergelijke gegevens worden bewaard, echter over aan het oordeel van de verzamelende organisatie. Hoewel deze organisaties in veel gevallen de logica achter hun beleid moeten verantwoorden tegenover een centraal bestuursorgaan, werkt dergelijke wetgeving als een tweesnijdend zwaard, aangezien het het bewaren van gegevens in veel gevallen stilzwijgend ondersteunt.
In de VS zijn er momenteel bijvoorbeeld geen overkoepelende regels met betrekking tot data logging. Het staat ISP's vrij om gebruikersgegevens te verzamelen en op te slaan, mits de gebruiker er in de servicevoorwaarden of de gebruikerslicentieovereenkomst op wordt gewezen dat hij aan dergelijke praktijken is onderworpen. Bedrijven vallen echter onder de Stored Communications Act, die het openbaar maken van gebruikersgegevens, inclusief elektronische communicatie, "aan enig ander persoon dan de geadresseerde of beoogde ontvanger" verbiedt.3 Hoewel de Amerikaanse overheid alle bedrijven belast met de bescherming van gebruikersgegevens, stellen zij geen uitdrukkelijke grenzen aan loggingpraktijken of een redelijke duur van gegevensopslag.
De bredere kwestie van logging door ISP's is niet nieuw en staat ook niet op zichzelf. In feite is de kwestie van data logging geworteld in dezelfde juridische vragen als het recent herleefde debat over netneutraliteit in de VS.
De Europese Unie heeft in april 2016 uniebrede wetgeving aangenomen onder de naam Algemene Verordening Gegevensbescherming (AVG/GDPR), die voortbouwt op de oorspronkelijke Richtlijn Gegevensbescherming van 2012 en richtlijnen voor gegevensbeveiliging, gebruikersrechten en juridische classificaties van betrokkenen uiteenzet. Individuele lidstaten zijn echter verplicht om de passende bewaartermijn van gegevens vast te stellen en zijn niet onderworpen aan een uniebreed verplicht tijdsbestek.
Onafhankelijke bedrijven zijn verantwoordelijk voor het bepalen van de passende bewaartermijn voor verzamelde gegevens, terwijl aanvullende bewaartermijnen kunnen worden vastgesteld voor "archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden."4 Onder de bepalingen van de AVG heeft een burger echter het "recht om vergeten te worden" en kan deze verzoeken om zijn persoonlijke gegevens van een server te laten verwijderen.
Tot slot heeft de federale structuur van Canada geleid tot een gelaagde jurisdictieorganisatie met betrekking tot de regelgeving rond data logging. Het land heeft de Personal Information Protection and Electronic Documents Act (PIPEDA) aangenomen, waarin landelijke richtlijnen en voorschriften zijn vastgelegd met betrekking tot het verzamelen van gegevens voor commerciële activiteiten, en waarin een nationale standaarddefinitie voor persoonlijk identificeerbare informatie is vastgesteld, waaronder:
• leeftijd, naam, identificatienummers, inkomen, etnische afkomst en bloedgroep;
• meningen, evaluaties, opmerkingen, sociale status of disciplinaire maatregelen, enz.
• werknemersdossiers, kredietdossiers, leningdossiers, medische dossiers, het bestaan van een geschil tussen een consument en een handelaar, intenties (bijvoorbeeld om goederen of diensten aan te schaffen, of van baan te veranderen).5
Vergelijkbaar met de EU-richtlijn zijn er bepalingen opgenomen die het mogelijk maken om informatie te verstrekken aan het Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) met betrekking tot personen die worden verdacht van strafbare feiten zoals de financiering van terrorisme. PIPEDA bevat echter geen expliciete beschrijving van procedures voor het beveiligen van gegevens en het beperken van de wettelijke bewaarduur van informatie. Hoewel paragraaf 4.5.3 stelt dat "informatie die niet langer nodig is voor de geïdentificeerde doeleinden, moet worden vernietigd", staat het individuele bedrijven vrij om hun eigen procedures te implementeren.
Verderop in de keten kunnen provincies die in staat zijn hun eigen wetten te maken om gegevensbescherming te waarborgen, voorrang krijgen boven de bepalingen van PIPEDA.
Hebben de alarmistische VPN's dus gelijk?
VPN's slagen erin potentiële klanten te verontrusten vanwege drie fundamentele tekortkomingen in de huidige loggingregimes:
1. Uw persoonlijk identificeerbare gegevens zijn mogelijk niet afdoende beveiligd
2. ISP's en online bedrijven kunnen uw persoonlijke gegevens gebruiken voor commercieel gewin
3. Databases met persoonlijke gegevens in handen van ISP's en online bedrijven staan ter beschikking van wetshandhavings- en overheidsinstanties
Alle drie de beoordeelde staten staan het legaal verzamelen en bewaren van persoonlijk identificeerbare gebruikersgegevens toe. Hoewel ISP's en online bedrijven wettelijk verplicht zijn dergelijke informatie te beveiligen, heeft dit in de kern geleid tot een wankel, op vertrouwen gebaseerd systeem dat in vrijwel elk rechtsgebied duidelijk toezicht ontbeert. Het is gemakkelijk om te zeggen dat degenen die het internet niet gebruiken voor compromitterende of illegale activiteiten zich geen zorgen hoeven te maken, maar bij Psiphon geloven we dat alle internetgebruikers een redelijke verwachting van privacy hebben, ongeacht hun online gedrag.
Als zodanig kan worden aangenomen dat ISP's het recht hebben om gebruikersgegevens te loggen. Dit kan verontrustend zijn voor individuele internetgebruikers die vrezen voor het ongeoorloofde gebruik van privégegevens zoals medische dossiers of bankgegevens, of voor kwaadwillige inbreuken op dergelijke databases. Daarnaast zou een ISP, als deze een National Security Letter of een bevelschrift ontvangt waarin om gebruikersgegevens wordt verzocht, wettelijk verplicht zijn dergelijke informatie aan de wetshandhaving te verstrekken.
Met de huidige wetgeving staat het online bedrijven niet vrij om persoonlijk identificeerbare gegevens te verkopen voor commerciële doeleinden of om dergelijke informatie openbaar te maken. Het staat hen echter volledig vrij om deze gegevens te bewaren en te gebruiken voor uiteenlopende interne processen, zoals klantstatistieken. Met de potentieel op handen zijnde afbrokkeling van netneutraliteit in de Verenigde Staten kunnen verzamelingen van persoonlijk identificeerbare gegevens worden uitgebuit of vrijgegeven zonder toestemming. Toch is een van de belangrijkste redenen tot bezorgdheid onder VPN-gebruikers het risico dat dergelijke gegevens kwaadwillig worden buitgemaakt, ondanks de beste bedoelingen van de dienstverlener.
Internetgebruikers zullen altijd de last dragen om zichzelf te informeren over de praktijken van de bedrijven waarmee ze in zee gaan. Een grote zorg is dat sommige eindgebruikers de betekenis of de gevolgen van gebruiksvoorwaarden wellicht niet begrijpen en hun gebruik baseren op vage en vaak misleidende sociale en technische normen over de vraag of de VPN betrouwbaar en integer is. Om nog maar te zwijgen van het marktonderzoek dat moet worden gedaan om ervoor te zorgen dat VPN's zich daadwerkelijk houden aan het privacybeleid dat ze potentiële gebruikers voorhouden, vooral als voor de VPN-dienst gebruikersaccounts moeten worden aangemaakt die zijn opgebouwd rond persoonlijk identificeerbare gegevens.
Bovendien kunnen gebruikers op specifieke geografische locaties en op specifieke sites, zodra er een weloverwogen beslissing is genomen, tot de conclusie komen dat ze zich op hun gemak voelen bij het gebruik van een niet-versleutelde of standaard https-verbinding. Maar waar nog twijfel of bezorgdheid heerst, kan een VPN zonder logbestanden zoals Psiphon worden gebruikt om te voorkomen dat persoonlijk identificeerbare gegevens online worden verzameld.
Kan een VPN mij beschermen tegen data logging?
Veel internetgebruikers wenden zich tot VPN's om zichzelf online te anonimiseren en de dataloggingpraktijken van commerciële diensten online te omzeilen. Er moet echter worden opgemerkt dat geen enkele VPN volledige online anonimiteit kan bieden. Maar diensten die zich inzetten voor een vrij toegankelijk internet, zoals Psiphon, integreren krachtige beveiligingsmaatregelen in hun diensten die de privacy van hun gebruikers beschermen. Door een VPN-proxy te gebruiken, kan internetverkeer niet worden herleid tot specifieke gebruikers, maar zijn gebruikers nog steeds verbonden met en nemen zij deel aan het gebruik van internetdiensten.
In een poging het vertrouwen van gebruikers te winnen en de individuele privacy te vergroten, benadrukken commercieel verkrijgbare VPN's vaak een beleid zonder logbestanden. Zij beweren alle gebruiksgegevens te verwijderen, waardoor herleiding onmogelijk wordt. Veel VPN-dienstovereenkomsten bieden echter geen gedetailleerde uitleg over een dergelijk beleid. Om een account aan te maken of een versleutelde sessie te openen, kan een VPN bepaalde gedetailleerde gebruikersinformatie vereisen. Opnieuw ligt de verantwoordelijkheid bij de individuele gebruiker om de servicevoorwaarden zorgvuldig door te nemen en te bepalen of hij de VPN vertrouwt.
De structuur van het internet vereist dat bepaalde informatie moet worden uitgewisseld om online communicatie mogelijk te maken. Er kunnen geen gegevens worden verzonden of ontvangen zonder een functionerend IP-adres, waaronder het legitieme IP-adres van de VPN-gebruiker. Omdat geen van de in dit artikel beoordeelde wetgevingen VPN's echter verplicht om gebruikersgegevens gedurende een bepaalde periode te bewaren, kunnen de kernwaarden van Psiphon en andere VPN-diensten ertoe leiden dat zij dergelijke informatie direct na beëindiging van een versleutelde sessie van hun netwerken wissen.
Wat maakt Psiphon anders dan traditionele VPN-diensten? Heel eenvoudig: wij zijn voortgekomen uit en bestaan voornamelijk voor internetvrijheid. Het Psiphon-platform slaat inherent geen persoonlijk identificeerbare gegevens op over de browsesessies van eindgebruikers. Omdat voor het gebruik van Psiphon geen account vereist is, is de software praktisch niet in staat om informatie over individuele gebruikers aan te maken of op te slaan. Er is dan ook geen enkel registratieoverzicht van het gebruik. Dit biedt geruststelling aan degenen die toezicht omzeilen of vrezen dat persoonlijk identificeerbare gegevens aan onbevoegden worden verstrekt: het gebruik van het Psiphon-netwerk kan niet worden herleid tot een unieke gebruiker of geolocatie.
Om ervoor te zorgen dat ons netwerk efficiënt blijft en mee kan schalen met veranderende vraag, voeren we interne databeoordelingen uit, waaronder verkeersvolume en gebruikerslocatiegegevens die op landniveau worden geaggregeerd.6 Dit is de meest gedetailleerde informatie die door de dienst wordt bewaard. Maar mocht een kwaadwillende externe partij bijvoorbeeld inbreken in deze statistische gegevens, dan zouden er geen persoonlijk identificeerbare gegevens in gevaar komen.
--
Door: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, herdrukt in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Paragraaf 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Gegevens op stadsniveau worden echter pas automatisch geaggregeerd nadat het gebruik binnen een land een drempelwaarde overschrijdt waarbij het statistisch onmogelijk zou zijn om individuele gebruikers te identificeren via een evaluatie van het aantal actieve verbindingen binnen de stad.