O Estado do Registo de Dados: Uma Avaliação dos Níveis de Ameaça e Práticas de Segurança
15/05/2018 - 12 min de leitura
Atualizado: 26/09/2021
A Psiphon Inc. tem, há anos, liderado os esforços para abrir a internet àqueles que vivem sob regimes de censura. Apesar de não enfrentarem restrições de conteúdo online, utilizadores de países ocidentais estão a recorrer a VPNs como a Psiphon para proteger a sua privacidade pessoal online. No entanto, em março de 2017, o Pew Research Center divulgou uma estatística surpreendente que indicava que cerca de 70% dos utilizadores de internet norte-americanos não têm a certeza da finalidade de uma VPN.1
Se o número cada vez maior de contas Psiphon servir de indicação para o crescente número de utilizadores de VPN em todo o mundo, um fluxo substancial de utilizadores independentes está a entrar num mercado no qual não dispõe de qualquer métrica para avaliar criticamente os produtos. Este grupo carrega agora o fardo de compreender os riscos no domínio pouco familiar da cibersegurança. Como tal, encontra-se altamente suscetível à desinformação. Um termo que coloca os utilizadores em alerta máximo é a omnipresença da expressão data logging (registo de dados) em sites e fóruns de VPN, e uma deturpação dos riscos individuais e dos métodos para uma autoproteção eficaz.
De acordo com a Techopedia, «o registo de dados (data logging) é o processo de recolha e armazenamento de dados ao longo de um período de tempo, a fim de analisar tendências específicas ou registar eventos/ações baseados em dados de um sistema, rede ou ambiente de TI. Permite o rastreio de todas as interações através das quais dados, ficheiros ou aplicações são armazenados, acedidos ou modificados num dispositivo de armazenamento ou aplicação».2 Muitas VPNs promovem uma política de ausência de registos (zero-logging) como uma funcionalidade aparentemente exclusiva do produto, insinuando assim que o tráfego de internet dos cidadãos comuns corre, caso contrário, o risco constante de ser registado e possivelmente explorado para fins comerciais e legais.
Isto tornou-se um tema fraturante após a revogação, em abril de 2017, de certas proteções da FCC que teriam exigido aos fornecedores de serviços de internet norte-americanos (ISPs) a obtenção de permissão antes de partilharem dados dos utilizadores (caso tivessem entrado em vigor como pretendido em dezembro de 2017). A ideia de o seu governo defender que os ISPs mantenham registos dos nossos históricos pessoais de internet e depois os vendam ou divulguem sem consentimento é alarmante para a maioria dos utilizadores de internet.
Como fervorosa defensora da liberdade na internet, a Psiphon esforça-se diariamente para garantir que os nossos utilizadores tenham um acesso justo e aberto a uma internet sem censura e sem repercussões. A expansão da legalidade do uso não autorizado de dados e do histórico de navegação dos utilizadores cria uma narrativa preocupante, demonstrando que os lucros frequentemente se sobrepõem à ética. Mas a Psiphon aprofundou a análise para compreender o panorama das práticas de tráfego e de registo de dados.
Uma Breve Análise Comparativa das Políticas de Registo de Dados nos EUA, na UE e no Canadá
Em geral, as nações ocidentais definiram proteções e regulamentações através do âmbito da segurança dos dados armazenados. Estas leis estabelecem disposições relativas aos padrões de segurança a que as empresas estão sujeitas enquanto recolhem e armazenam dados dos utilizadores. Também delineiam as questões de legalidade referentes à divulgação de informações. Contudo, todas as leis mencionadas neste artigo deixam as decisões relativas ao tipo de dados e às situações em que são recolhidos, bem como a duração da retenção desses dados, ao critério da organização recolhedora. Embora, em muitos casos, essas organizações devam justificar a lógica por detrás das suas políticas perante um órgão regulador central, essa legislação cria uma faca de dois gumes, uma vez que apoia tacitamente a conservação de dados em muitos casos.
Por exemplo, atualmente não existem regulamentações abrangentes nos EUA relativas ao registo de dados. Os ISPs são livres de recolher e armazenar dados dos utilizadores, desde que o utilizador seja informado de que está sujeito a tais práticas nos termos de serviço ou no contrato de licença de utilizador. No entanto, as empresas são regidas pelo Stored Communications Act, que interdita a divulgação de dados do utilizador, incluindo comunicações eletrónicas, «a qualquer pessoa que não seja o destinatário pretendido».3 Embora o governo norte-americano responsabilize todas as empresas pela proteção dos dados dos utilizadores, não limita expressamente as práticas de registo nem a duração razoável do armazenamento de dados.
A questão mais ampla do registo efetuado pelos ISPs não é nova, nem se trata de um problema isolado. Na verdade, a questão do registo de dados está enraizada nas mesmas questões jurídicas do recentemente reavivado debate sobre a neutralidade da rede nos EUA.
A União Europeia aprovou uma legislação a nível de todo o bloco intitulada Regulamento Geral sobre a Proteção de Dados (GDPR) em abril de 2016, que se baseia na Diretiva de Proteção de Dados original de 2012 e define diretrizes de segurança de dados, direitos dos utilizadores e classificações jurídicas dos titulares dos dados. Contudo, os Estados-Membros individuais são obrigados a determinar a duração adequada da conservação de dados e não estão sujeitos a um prazo obrigatório à escala de todo o bloco.
As empresas independentes são responsáveis por determinar a duração adequada da conservação dos dados recolhidos, podendo ser definidos períodos adicionais de conservação para «fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos».4 No entanto, ao abrigo das disposições do GDPR, um cidadão privado tem o «direito a ser esquecido» e pode solicitar que os seus dados pessoais sejam eliminados de um servidor.
Por fim, a estrutura federalista do Canadá criou uma organização jurisdicional de múltiplos níveis em relação às suas regulamentações de registo de dados. Promulgou a Lei de Proteção de Informações Pessoais e Documentos Eletrónicos (PIPEDA), que estabelece diretrizes e regulamentos a nível nacional sobre a recolha de informações para atividades comerciais, fixando uma definição padrão nacional para informações de identificação pessoal, que inclui:
• idade, nome, números de identificação, rendimento, origem étnica e tipo sanguíneo;
• opiniões, avaliações, comentários, estatuto social ou medidas disciplinares, etc.
• processos de funcionários, registos de crédito, registos de empréstimos, processos médicos, existência de litígio entre consumidor e comerciante, intenções (por exemplo, adquirir bens ou serviços, ou mudar de emprego).5
De forma semelhante à Diretiva da UE, estão incluídas disposições que permitem a divulgação de informações ao Centro de Análise de Operações e Relatórios Financeiros do Canadá (FINTRAC) relativas a indivíduos suspeitos de atos criminosos, como o financiamento do terrorismo. No entanto, a PIPEDA não define explicitamente processos para proteger as informações nem para limitar a duração legal do armazenamento das mesmas. Embora o parágrafo 4.5.3 estabeleça que «as informações que já não sejam necessárias para cumprir os fins identificados devem ser destruídas», as empresas individuais têm a liberdade de implementar os seus próprios procedimentos.
Mais abaixo na cadeia, as províncias com capacidade para criar as suas próprias leis a fim de garantir a proteção de dados podem sobrepor-se às disposições da PIPEDA.
Então, as VPNs alarmistas têm razão?
As VPNs conseguem alarmar potenciais clientes devido a três falhas fundamentais nos regimes atuais de registo:
1. Os seus dados de identificação pessoal podem não estar adequadamente seguros
2. Os ISPs e as empresas online podem utilizar os seus dados pessoais para fins comerciais
3. As bases de dados de informações pessoais mantidas por ISPs e empresas online estão à disposição das forças de segurança e das agências governamentais
Os três Estados avaliados permitiram a recolha e a conservação legais de dados de utilizadores de identificação pessoal. Embora os ISPs e as empresas online sejam legalmente obrigados a proteger tais informações, na sua génese, isto criou um sistema frágil baseado na confiança que carece de supervisão clara em praticamente todas as jurisdições. É fácil dizer que aqueles que não utilizam a internet para atividades comprometedoras ou ilegais não têm com que se preocupar, mas na Psiphon acreditamos que todos os utilizadores de internet têm uma expectativa razoável de privacidade, independentemente dos seus comportamentos online.
Como tal, pode presumir-se que os ISPs têm o direito de registar dados dos utilizadores. Isto pode ser perturbador para os utilizadores individuais de internet que receiam o uso não autorizado de informações privadas, como registos médicos ou dados bancários, ou a intrusão maliciosa em tais bases de dados. Além disso, se um ISP recebesse uma National Security Letter ou um mandado a solicitar registos de utilizadores, estaria obrigado por lei a fornecer tais informações às autoridades policiais.
Com as leis em vigor atualmente, as empresas online não têm a liberdade de vender dados de identificação pessoal para fins comerciais nem de divulgar essas informações. No entanto, estão no seu pleno direito de reter e utilizar estes dados para uma variedade de processos internos, como estatísticas de clientes. Com a potencial e iminente erosão da neutralidade da rede nos Estados Unidos, os repositórios de dados de identificação pessoal poderão vir a ser explorados ou divulgados sem consentimento. Ainda assim, uma das principais causas de preocupação entre os utilizadores de VPN é o risco de esses dados serem exfiltrados de forma maliciosa, apesar das melhores intenções do fornecedor do serviço.
Os utilizadores de internet terão sempre o encargo de se informar sobre as práticas das empresas com as quais interagem. Uma preocupação primordial é que alguns utilizadores finais possam ser incapazes de compreender o significado ou as consequências dos termos de utilização e baseiem o seu uso em padrões sociais e técnicos vagos e frequentemente enganadores quanto à fiabilidade e confiança na VPN. Isto sem esquecer a pesquisa de mercado que tem de ser feita para garantir que as VPNs estão realmente a cumprir as políticas de privacidade que apresentam aos potenciais utilizadores, especialmente se o serviço de VPN exigir a criação de contas de utilizador estruturadas em torno de informações de identificação pessoal.
Além disso, uma vez tomada uma decisão informada, utilizadores em localizações geográficas específicas e em determinados sites podem sentir-se confortáveis a utilizar uma ligação não encriptada ou uma ligação https padrão. Mas onde ainda existir confusão ou preocupação, uma VPN sem registos (no-log) como a Psiphon pode ser utilizada para proteger os dados de identificação pessoal de serem recolhidos online.
Uma VPN pode proteger-me do registo de dados?
Muitos utilizadores de internet recorrem a VPNs para se anonimizarem online e evitarem práticas de registo de dados por parte de serviços comerciais na internet. No entanto, deve salientar-se que nenhuma VPN pode oferecer anonimato total online. Mas aquelas que estão comprometidas com uma internet livremente acessível, como a Psiphon, incorporam fortes medidas de segurança nos seus serviços para proteger a privacidade dos seus utilizadores. Ao utilizar um proxy VPN, o tráfego de internet não pode ser atribuído a utilizadores específicos, continuando estes, ainda assim, ligados e a usufruir da utilização dos serviços de internet.
Num esforço para conquistar a confiança dos utilizadores e aumentar a privacidade individual, as VPNs disponíveis comercialmente destacam frequentemente políticas de não registo (no-logging). Afirmam descartar todos os registos de utilização, tornando o rastreio impossível. No entanto, muitos acordos de serviço de VPN não fornecem explicações detalhadas sobre tais políticas. Para criar uma conta ou iniciar uma sessão encriptada, uma VPN pode exigir algumas informações detalhadas do utilizador. Mais uma vez, o fardo recai sobre o utilizador individual para ler atentamente os termos de serviço e determinar se deve confiar na VPN.
A estrutura da internet exige que certas informações sejam trocadas para que a comunicação online ocorra. Nenhum dado pode ser enviado ou recebido sem um endereço IP funcional, o que inclui o endereço IP legítimo do utilizador da VPN. No entanto, como nenhuma das legislações avaliadas neste artigo exige que as VPNs armazenem dados dos utilizadores por um período de tempo determinado, os valores fundamentais da Psiphon e de outros serviços de VPN podem levá-los a apagar essas informações das suas redes assim que uma sessão encriptada for terminada.
O que torna a Psiphon diferente dos serviços de VPN tradicionais? Muito simplesmente, nascemos da liberdade na internet e existimos predominantemente para ela. Por conceção, a plataforma Psiphon não armazena quaisquer informações de identificação pessoal relativas à sessão de navegação dos utilizadores finais. Dado que o uso da Psiphon não exige uma conta, o software é virtualmente incapaz de criar ou armazenar informações relativas a qualquer utilizador individual. Por conseguinte, não há qualquer registo de utilização, tranquilizando aqueles que escapam à vigilância ou que temem a divulgação de informações de identificação pessoal a partes não autorizadas de que o uso da rede Psiphon não pode ser atribuído a um utilizador ou geolocalização únicos.
Para assegurar que a nossa rede permanece eficiente e se adapta aos níveis de procura em constante mudança, realizamos avaliações internas de dados, o que inclui volume de tráfego e informações de localização dos utilizadores agregadas ao nível do país.6 Esta é a informação mais detalhada conservada pelo serviço. Mas se, por exemplo, um interveniente malicioso externo violasse estas informações estatísticas, nenhum dado de identificação pessoal estaria em risco.
--
Por: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Parágrafo 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Contudo, os dados ao nível da cidade apenas serão agregados automaticamente após a utilização dentro de um país ultrapassar um limiar no qual seria estatisticamente impossível identificar utilizadores individuais através de uma avaliação do número de ligações ativas dentro da cidade.