O estado do registro de dados: uma avaliação dos níveis de ameaça e práticas de segurança
15/05/2018 - 12 min de leitura
Atualizado: 26/09/2021
A Psiphon Inc. lidera há anos a iniciativa de abrir a internet para aqueles que vivem sob regimes de censura. Apesar de não enfrentarem restrições de conteúdo online, usuários de países ocidentais estão recorrendo a VPNs, como o Psiphon, para proteger sua privacidade pessoal online. No entanto, em março de 2017, o Pew Research Center divulgou uma estatística surpreendente: cerca de 70% dos usuários de internet americanos não têm certeza da finalidade de uma VPN.1
Se o número cada vez maior de contas do Psiphon servir de indicativo para a crescente quantidade de usuários de VPN em todo o mundo, um fluxo substancial de usuários independentes está entrando em um mercado no qual não possuem critérios para avaliar os produtos criticamente. Esse grupo carrega agora o fardo de compreender riscos no domínio pouco familiar da cibersegurança. Dessa forma, eles se tornam altamente suscetíveis à desinformação. Um exemplo que deixa os usuários em alerta máximo é a presença generalizada do termo registro de dados em sites e fóruns de VPN, acompanhada por uma distorção dos riscos individuais e dos métodos para se proteger com eficácia.
De acordo com o Techopedia, “o registro de dados é o processo de coleta e armazenamento de dados ao longo de um período de tempo com o objetivo de analisar tendências específicas ou registrar eventos/ações baseados em dados de um sistema, rede ou ambiente de TI. Ele viabiliza o rastreamento de todas as interações por meio das quais dados, arquivos ou aplicativos são armazenados, acessados ou modificados em um dispositivo de armazenamento ou aplicativo.”2 Muitas VPNs promovem uma política de “zero registros” como se fosse um recurso exclusivo de seus produtos, insinuando assim que, de outra forma, o tráfego de internet do cidadão comum estaria em risco constante de ser registrado e possivelmente explorado para fins comerciais e legais.
Esse assunto se tornou um tema polêmico após a revogação, em abril de 2017, de certas proteções da FCC que exigiriam que os Provedores de Serviços de Internet (ISPs) americanos obtivessem permissão antes de compartilhar dados dos usuários (caso a medida tivesse entrado em vigor conforme planejado em dezembro de 2017). A ideia de que seu governo defenda que os ISPs criem registros do nosso histórico pessoal de navegação na internet e depois os vendam ou divulguem sem consentimento é alarmante para a maioria dos usuários da internet.
Como firme defensora da liberdade na internet, a Psiphon se empenha diariamente para garantir que nossos usuários tenham acesso justo e aberto a uma internet sem censura e sem repercussões. A expansão da legalidade do uso não autorizado de dados de usuários e do histórico de navegação constrói uma narrativa preocupante, que demonstra que os lucros frequentemente se sobrepõem à ética. Mas o Psiphon fez uma análise mais aprofundada para compreender o cenário das práticas de tráfego e de registro de dados.
Uma Breve Análise Comparativa das Políticas de Registro de Dados nos EUA, na UE e no Canadá
Em geral, as nações ocidentais definiram proteções e regulamentações no âmbito da segurança dos dados armazenados. Essas leis estabelecem dispositivos referentes aos padrões de segurança que as empresas devem cumprir ao coletar e armazenar dados de usuários. Elas também delineiam as questões de legalidade referentes à divulgação de informações. No entanto, todas as leis mencionadas neste artigo deixam as decisões sobre o tipo de dados e as situações em que são coletados, bem como o período de retenção desses dados, a critério da organização coletora. Embora, em muitos casos, essas organizações devam justificar a lógica por trás de suas políticas a um órgão regulador central, essa legislação cria uma faca de dois gumes, pois tacitamente apoia a retenção de dados em muitas circunstâncias.
Por exemplo, atualmente não existem regulamentações abrangentes nos EUA relativas ao registro de dados. Os ISPs têm a liberdade de coletar e armazenar dados de usuários, desde que o usuário seja informado de que está sujeito a tais práticas nos termos de serviço ou no contrato de licença de usuário. No entanto, as empresas são regidas pelo Stored Communications Act, que proíbe a divulgação de dados de usuários, incluindo comunicações eletrônicas, “a qualquer pessoa que não seja o destinatário original ou pretendido”.3 Embora o governo americano atribua a todas as empresas a responsabilidade de proteger os dados dos usuários, ele não limita expressamente as práticas de registro ou a duração razoável do armazenamento de dados.
A questão mais ampla do registro de dados por parte dos ISPs não é nova, tampouco se trata de um problema isolado. Na verdade, a questão do registro de dados está enraizada nas mesmas perguntas jurídicas do debate sobre a neutralidade da rede, que ressurgiu recentemente nos EUA.
A União Europeia aprovou uma legislação para todo o bloco intitulada Regulamento Geral sobre a Proteção de Dados (GDPR) em abril de 2016, que se baseia na Diretiva de Proteção de Dados original de 2012 e define diretrizes de segurança de dados, direitos dos usuários e classificações legais dos indivíduos. Contudo, os estados-membros individuais são obrigados a determinar o período apropriado de retenção de dados e não estão sujeitos a um prazo obrigatório para todo o bloco.
Empresas independentes são responsáveis por determinar a duração adequada de retenção dos dados coletados, enquanto períodos adicionais de retenção podem ser definidos para “arquivamento de interesse público, uso científico, estatístico ou histórico”.4 No entanto, sob os dispositivos do GDPR, o cidadão comum tem o “direito ao esquecimento” e pode solicitar que seus dados pessoais sejam removidos de um servidor.
Por fim, a estrutura federalista do Canadá gerou uma organização jurisdicional de múltiplos níveis em relação às suas regulamentações de registro de dados. O país promulgou a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA), que estabelece diretrizes e regulamentações nacionais sobre a coleta de informações para atividades comerciais, além de fixar uma definição padrão nacional para informações de identificação pessoal, que inclui:
• idade, nome, números de documentos de identidade, renda, origem étnica e tipo sanguíneo;
• opiniões, avaliações, comentários, status social ou medidas disciplinares, etc.
• arquivos de funcionários, registros de crédito, registros de empréstimos, prontuários médicos, existência de litígio entre consumidor e comerciante, intenções (por exemplo, adquirir produtos ou serviços, ou mudar de emprego).5
De forma semelhante à Diretiva da UE, foram incluídas disposições que permitem a divulgação de informações ao Centro de Análise de Transações e Relatórios Financeiros do Canadá (FINTRAC) referentes a indivíduos suspeitos de atos criminosos, como financiamento ao terrorismo. Contudo, a PIPEDA não detalha explicitamente os processos para proteger as informações nem para limitar o período legal de armazenamento dos dados. Embora o parágrafo 4.5.3 afirme que “as informações que não forem mais necessárias para cumprir as finalidades identificadas devem ser destruídas”, as empresas individuais têm a liberdade de implementar seus próprios procedimentos.
Mais abaixo na cadeia hierárquica, províncias capazes de criar suas próprias leis para assegurar a proteção de dados podem se sobrepor às disposições da PIPEDA.
Então, as VPNs alarmistas estão certas?
As VPNs conseguem alarmar potenciais clientes apontando três falhas fundamentais nos regimes atuais de registros:
1. Seus dados de identificação pessoal podem não estar adequadamente seguros
2. ISPs e empresas online podem usar seus dados pessoais para fins comerciais
3. Bancos de dados com informações pessoais mantidos por ISPs e empresas online estão à disposição de órgãos governamentais e de aplicação da lei
Todos os três estados avaliados permitiram a coleta e retenção legal de dados de identificação pessoal dos usuários. Embora os ISPs e as empresas online sejam legalmente obrigados a proteger essas informações, em sua essência, isso criou um sistema frágil baseado na confiança, que carece de supervisão clara em praticamente todas as jurisdições. É fácil dizer que aqueles que não usam a internet para atividades comprometedoras ou ilegais não precisam se preocupar, mas, no Psiphon, acreditamos que todos os usuários da internet têm uma expectativa razoável de privacidade, independentemente de suas condutas online.
Dessa forma, pode-se presumir que os ISPs têm o direito de registrar os dados dos usuários. Isso pode ser preocupante para usuários individuais de internet que temem o uso não autorizado de informações privadas, como prontuários médicos ou dados bancários, ou a invasão maliciosa a esses bancos de dados. Além disso, se um ISP recebesse uma Carta de Segurança Nacional ou um mandado solicitando registros de usuários, estaria obrigado por lei a fornecer tais informações às autoridades policiais.
Com as leis atuais em vigor, as empresas online não têm a liberdade de vender dados de identificação pessoal para fins comerciais nem de divulgar essas informações. No entanto, estão em pleno direito de reter e usar esses dados para uma variedade de processos internos, como estatísticas de clientes. Com a potencial e iminente erosão da neutralidade da rede nos Estados Unidos, grandes volumes de dados de identificação pessoal podem ser explorados ou divulgados sem consentimento. Ainda assim, uma das principais causas de preocupação entre os usuários de VPN é o risco de esses dados serem extraídos de forma maliciosa, a despeito das melhores intenções do provedor de serviços.
Os usuários de internet sempre arcarão com a responsabilidade de se informar sobre as práticas das empresas com as quais se relacionam. Uma grande preocupação é que alguns usuários finais talvez não consigam entender o significado ou as consequências dos termos de uso e baseiem sua utilização em padrões sociais e técnicos vagos e muitas vezes enganosos sobre se a VPN é confiável e segura. Isso sem falar na pesquisa de mercado que precisa ser feita para garantir que as VPNs realmente cumpram as políticas de privacidade apresentadas aos potenciais usuários, principalmente se o serviço de VPN exigir a criação de contas baseadas em informações de identificação pessoal.
Além disso, uma vez tomada uma decisão informada, usuários em localidades geográficas específicas e em sites específicos podem se sentir confortáveis usando uma conexão não criptografada ou uma conexão HTTPS padrão. Porém, onde ainda houver dúvida ou receio, uma VPN sem registro de atividades, como o Psiphon, pode ser utilizada para proteger dados de identificação pessoal contra coletas online.
Uma VPN pode me proteger contra o registro de dados?
Muitos usuários da internet recorrem a VPNs para se manterem anônimos online e evitarem as práticas de registro de dados de serviços comerciais na rede. No entanto, deve-se ressaltar que nenhuma VPN pode oferecer anonimato total online. Mas aquelas que estão comprometidas com uma internet de livre acesso, como o Psiphon, incorporam medidas rigorosas de segurança em seus serviços para proteger a privacidade de seus usuários. Ao utilizar um proxy VPN, o tráfego de internet não pode ser atribuído a usuários específicos, embora os usuários ainda estejam conectados e participando do uso dos serviços de internet.
Em um esforço para conquistar a confiança dos usuários e aumentar a privacidade individual, as VPNs disponíveis comercialmente costumam destacar políticas de não retenção de registros (zero-logging). Elas afirmam descartar todos os registros de uso, impossibilitando qualquer rastreamento. No entanto, muitos contratos de serviços de VPN não fornecem explicações detalhadas sobre essas políticas. Para criar uma conta ou iniciar uma sessão criptografada, uma VPN pode exigir algumas informações detalhadas do usuário. Mais uma vez, cabe ao usuário individual ler com atenção os termos de serviço e decidir se deve ou não confiar na VPN.
A estrutura da internet exige que certas informações sejam trocadas para que a comunicação online aconteça. Nenhum dado pode ser enviado ou recebido sem um endereço IP funcional, o que inclui o endereço IP legítimo do usuário da VPN. Contudo, como nenhuma das legislações analisadas neste artigo exige que as VPNs armazenem dados de usuários por um período especificado, os valores fundamentais do Psiphon e de outros serviços de VPN podem levá-los a apagar essas informações de suas redes assim que uma sessão criptografada for encerrada.
O que torna o Psiphon diferente dos serviços de VPN tradicionais? Muito simples: nós nascemos da liberdade na internet e existimos predominantemente para ela. Por definição, a plataforma Psiphon não armazena nenhuma informação de identificação pessoal relativa à sessão de navegação dos usuários finais. Como o uso do Psiphon não exige uma conta, o software é virtualmente incapaz de criar ou armazenar informações relativas a qualquer usuário individual. Portanto, não há registros de uso, o que tranquiliza aqueles que fogem da vigilância ou temem a divulgação de informações de identificação pessoal a partes não autorizadas, garantindo que o uso da rede Psiphon não possa ser atribuído a um usuário ou geolocalização específicos.
Para garantir que nossa rede permaneça eficiente e acompanhe as mudanças no nível de demanda, realizamos avaliações internas de dados, o que inclui volume de tráfego e informações de localização dos usuários agregadas a nível de país.6 Essas são as informações mais detalhadas retidas pelo serviço. Mas se, por exemplo, um agente mal-intencionado violasse essas informações estatísticas, nenhum dado de identificação pessoal estaria em risco.
--
Por: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reimpresso em 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Parágrafo 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 No entanto, os dados ao nível da cidade só serão agregados automaticamente depois que o uso em um país ultrapassar um limite no qual seria estatisticamente impossível identificar usuários individuais por meio de uma avaliação do número de conexões ativas na cidade.