O estado do registro de dados: uma avaliação dos níveis de ameaça e das práticas de segurança
15/05/2018 - 11 min de leitura
Atualizado: 26/09/2021
A Psiphon Inc. lidera há anos a luta para abrir a internet para aqueles que vivem sob regimes de censura. Apesar de não enfrentarem restrições de conteúdo online, usuários de países ocidentais estão recorrendo a VPNs, como o Psiphon, para proteger sua privacidade pessoal online. No entanto, em março de 2017, o Pew Research Center divulgou uma estatística surpreendente de que cerca de 70% dos usuários de internet norte-americanos não têm certeza para que serve uma VPN.1
Se o número cada vez maior de contas do Psiphon for qualquer indício do crescente número de usuários de VPN em todo o mundo, um fluxo substancial de usuários independentes está entrando em um mercado no qual não possuem métricas para avaliar os produtos de forma crítica. Esse grupo agora arca com o fardo de compreender riscos no domínio pouco familiar da cibersegurança. Sendo assim, eles são altamente suscetíveis à desinformação. Um termo que coloca os usuários em alerta máximo é a onipresença do termo registro de dados em sites e fóruns sobre VPNs, e uma deturpação dos riscos individuais e dos métodos para se proteger com eficiência.
De acordo com a Techopedia, “o registro de dados é o processo de coletar e armazenar dados ao longo de um período para analisar tendências específicas ou registrar eventos/ações baseados em dados de um sistema, rede ou ambiente de TI. Ele permite o rastreamento de todas as interações por meio das quais dados, arquivos ou aplicativos são armazenados, acessados ou modificados em um dispositivo ou aplicativo de armazenamento.”2 Muitas VPNs promovem uma política de não registro de dados como um recurso aparentemente exclusivo do produto, insinuando assim que o tráfego de internet do cidadão comum estaria, caso contrário, sob risco constante de ser registrado e possivelmente explorado para fins comerciais e legais.
Isso se tornou uma questão polêmica após a revogação, em abril de 2017, de certas proteções da FCC que teriam exigido que os provedores de serviços de internet norte-americanos (ISPs) obtivessem permissão antes de compartilhar dados de usuários (caso tivessem entrado em vigor como pretendido em dezembro de 2017). O pensamento de que seu governo defende que os ISPs mantenham registros de nossos históricos pessoais de internet e depois os vendam ou divulguem sem consentimento é alarmante para a maioria dos usuários da internet.
Como um forte defensor da liberdade na internet, o Psiphon se esforça diariamente para garantir que nossos usuários tenham acesso justo e aberto a uma internet sem censura e sem repercussões. A expansão da legalidade do uso não autorizado de dados e do histórico de navegação dos usuários cria uma narrativa preocupante que demonstra que o lucro muitas vezes supera a ética. Mas o Psiphon se aprofundou para compreender o panorama das práticas de tráfego e de registro de dados.
Uma breve análise comparativa das políticas de registro de dados nos US, na EU e no Canadá
Em geral, as nações ocidentais definiram proteções e regulamentações no âmbito da segurança dos dados armazenados. Essas leis estabelecem disposições relativas aos padrões de segurança aos quais as empresas estão sujeitas ao coletar e armazenar dados dos usuários. Elas também delineiam as questões de legalidade referentes à divulgação de informações. No entanto, todas as leis mencionadas neste artigo deixam as decisões sobre o tipo de dado e as situações nas quais ele é coletado, bem como a duração da retenção de tais dados, a critério da organização coletora. Embora, em muitos casos, essas organizações devam justificar a lógica por trás de suas políticas a um órgão governamental central, essa legislação cria uma faca de dois gumes, pois apoia tacitamente a retenção de dados em muitos casos.
Por exemplo, atualmente não existem regulamentações abrangentes nos US relativas ao registro de dados. Os ISPs têm a liberdade de coletar e armazenar dados dos usuários, desde que o usuário seja informado de que está sujeito a tais práticas nos termos de serviço ou no contrato de licença de usuário. No entanto, as empresas são regidas pelo Stored Communications Act, que proíbe a divulgação de dados de usuários, incluindo comunicações eletrônicas, “a qualquer pessoa que não seja o destinatário ou o destinatário pretendido.”3 Embora o governo norte-americano atribua a todas as empresas a responsabilidade de proteger os dados dos usuários, ele não limita expressamente as práticas de registro nem uma duração razoável para o armazenamento dos dados.
A questão mais ampla do registro por parte dos ISPs não é nova e também não é um problema isolado. Na verdade, a questão do registro de dados está enraizada nas mesmas questões jurídicas do debate sobre neutralidade da rede que ressurgiu recentemente nos US.
A União Europeia aprovou uma legislação para todo o bloco intitulada Regulamento Geral sobre a Proteção de Dados (GDPR) em abril de 2016, que se baseia na Diretiva de Proteção de Dados original de 2012 e define diretrizes de segurança de dados, direitos do usuário e classificações jurídicas dos titulares. No entanto, os estados-membros individuais são obrigados a determinar a duração apropriada da retenção de dados e não estão sujeitos a um prazo obrigatório para todo o bloco.
As empresas independentes são responsáveis por determinar a duração adequada da retenção dos dados coletados, enquanto períodos adicionais de retenção podem ser definidos para “arquivamento de interesse público, uso científico, estatístico ou histórico.”4 No entanto, sob as disposições do GDPR, o cidadão privado tem o “direito ao esquecimento” e pode solicitar que seus dados pessoais sejam removidos de um servidor.
Por fim, a estrutura federalista do Canadá criou uma organização jurisdicional em múltiplos níveis em relação às suas regulamentações de registro de dados. O país promulgou o Personal Information Protection and Electronic Documents Act (PIPEDA), que estabelece diretrizes e regulamentações nacionais sobre a coleta de informações para atividades comerciais e define um padrão nacional para informações de identificação pessoal, o que inclui:
• idade, nome, números de identificação, renda, origem étnica e tipo sanguíneo;
• opiniões, avaliações, comentários, status social ou ações disciplinares, etc.
• arquivos de funcionários, registros de crédito, registros de empréstimos, registros médicos, existência de litígio entre consumidor e comerciante, intenções (por exemplo, adquirir bens ou serviços, ou mudar de emprego).5
Semelhante à Diretiva da EU, foram incluídas disposições que permitem a divulgação de informações ao Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) relativas a indivíduos suspeitos de atos criminosos, como o financiamento do terrorismo. No entanto, o PIPEDA não descreve explicitamente processos para proteger informações e limitar a duração legal do armazenamento de dados. Embora o parágrafo 4.5.3 estabeleça que “as informações que não forem mais necessárias para cumprir as finalidades identificadas devem ser destruídas”, as empresas individuais têm a liberdade de implementar seus próprios procedimentos.
Mais adiante na cadeia, as províncias que têm capacidade de criar suas próprias leis para garantir a proteção de dados podem se sobrepor às disposições do PIPEDA.
Então, as VPNs alarmistas têm razão?
As VPNs conseguem alarmar potenciais clientes devido a três falhas fundamentais nos regimes atuais de registro:
1. Seus dados de identificação pessoal podem não estar adequadamente seguros
2. ISPs e empresas online podem usar seus dados pessoais para fins comerciais
3. Bancos de dados de informações pessoais mantidos por ISPs e empresas online estão à disposição de órgãos de aplicação da lei e agências governamentais
Todos os três estados avaliados permitiram a coleta e retenção legal de dados de identificação pessoal dos usuários. Embora os ISPs e empresas online sejam legalmente obrigados a proteger tais informações, no fundo, isso criou um sistema frágil baseado na confiança que carece de supervisão clara em praticamente todas as jurisdições. É fácil dizer que aqueles que não usam a internet para atividades comprometedoras ou ilegais não precisam se preocupar, mas, no Psiphon, acreditamos que todos os usuários da internet têm uma expectativa razoável de privacidade, independentemente do comportamento online.
Dessa forma, pode-se presumir que os ISPs têm o direito de registrar dados dos usuários. Isso pode ser preocupante para usuários individuais da internet que temem o uso não autorizado de informações privadas, como prontuários médicos ou dados bancários, ou a invasão maliciosa desses bancos de dados. Além disso, se um ISP recebesse uma National Security Letter ou um mandado solicitando registros de usuários, seria obrigado por lei a fornecer tais informações às autoridades policiais.
Com as leis em vigor atualmente, as empresas online não têm a liberdade de vender dados de identificação pessoal para fins comerciais nem de divulgar tais informações. No entanto, estão em pleno direito de reter e usar esses dados para uma variedade de processos internos, como estatísticas de clientes. Com a potencial e iminente perda da neutralidade da rede nos Estados Unidos, acervos de dados de identificação pessoal podem ser explorados ou divulgados sem consentimento. Ainda assim, uma das principais causas de preocupação entre os usuários de VPN é o risco de esses dados serem exfiltrados maliciosamente, apesar das melhores intenções do provedor de serviços.
Os usuários da internet sempre carregarão o fardo de se educar sobre as práticas das empresas com as quais se relacionam. Uma preocupação primária é que alguns usuários finais podem ser incapazes de compreender o significado ou as consequências dos termos de uso e podem basear seu uso em padrões sociais e técnicos vagos e muitas vezes enganosos sobre se a VPN é confiável ou não. Sem falar na pesquisa de mercado que precisa ser feita para garantir que as VPNs estejam realmente cumprindo as políticas de privacidade que apresentam aos potenciais usuários, especialmente se o serviço de VPN exigir a criação de contas de usuário estruturadas em torno de informações de identificação pessoal.
Além disso, uma vez tomada uma decisão informada, usuários em localizações geográficas específicas e em sites específicos podem achar que se sentem confortáveis usando uma conexão não criptografada ou uma conexão https padrão. Mas onde ainda houver confusão ou preocupação, uma VPN sem logs como o Psiphon pode ser usada para proteger os dados de identificação pessoal de serem coletados online.
Uma VPN pode me proteger contra o registro de dados?
Muitos usuários da internet recorrem a VPNs para se manterem anônimos online e evitarem práticas de registro de dados por parte de serviços comerciais online. No entanto, é preciso afirmar que nenhuma VPN pode oferecer anonimato total online. Mas aquelas comprometidas com uma internet livremente acessível, como o Psiphon, incorporam fortes medidas de segurança em seus serviços para proteger a privacidade de seus usuários. Ao usar um proxy VPN, o tráfego de internet não pode ser atribuído a usuários específicos, mas os usuários continuam conectados e participando do uso dos serviços de internet.
Em um esforço para ganhar a confiança do usuário e aumentar a privacidade individual, as VPNs disponíveis comercialmente costumam destacar políticas de não registro de logs. Elas afirmam descartar todos os registros de uso, impossibilitando assim qualquer rastreamento. No entanto, muitos contratos de serviço de VPN não fornecem explicações detalhadas sobre tais políticas. Para criar uma conta ou iniciar uma sessão criptografada, uma VPN pode exigir algumas informações detalhadas do usuário. Mais uma vez, cabe ao usuário individual o fardo de ler atentamente os termos de serviço e determinar se confia na VPN.
A estrutura da internet exige a troca de determinadas informações para que a comunicação online ocorra. Nenhum dado pode ser enviado ou recebido sem um endereço IP funcional, o que inclui o endereço IP legítimo do usuário da VPN. No entanto, como nenhuma das legislações avaliadas neste documento exige que as VPNs armazenem dados do usuário por um período de tempo determinado, os valores fundamentais do Psiphon e de outros serviços de VPN podem levá-los a apagar tais informações de suas redes após o término de uma sessão criptografada.
O que torna o Psiphon diferente dos serviços tradicionais de VPN? Muito simplesmente, nós nascemos e existimos predominantemente para a liberdade na internet. Por concepção, a plataforma Psiphon não armazena nenhuma informação de identificação pessoal referente à sessão de navegação dos usuários finais. Como usar o Psiphon não requer uma conta, o software é praticamente incapaz de criar ou armazenar informações relativas a qualquer usuário individual. Portanto, não há registro de uso, garantindo àqueles que evitam a vigilância ou temem a divulgação de informações de identificação pessoal a partes não autorizadas que o uso da rede Psiphon não pode ser atribuído a um usuário ou geolocalização exclusivos.
Para garantir que nossa rede permaneça eficiente e acompanhe os níveis variáveis de demanda, realizamos avaliações internas de dados, que incluem volume de tráfego e informações sobre a localização dos usuários agregadas no nível do país.6 Essa é a informação mais detalhada retida pelo serviço. Mas se, por exemplo, um agente externo mal-intencionado violasse essas informações estatísticas, nenhuma informação de identificação pessoal estaria em risco.
--
Por: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reimpresso em 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Parágrafo 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 No entanto, os dados a nível de cidade serão agregados automaticamente apenas depois que o uso em um país ultrapassar um limite no qual seria estatisticamente impossível identificar usuários individuais por meio de uma avaliação do número de conexões ativas na cidade.