Состояние логирования данных: оценка уровней угроз и практик безопасности
15.05.2018 - 9 мин чтения
Обновлено: 26.09.2021
Psiphon Inc. на протяжении многих лет возглавляет борьбу за открытие свободного интернета для тех, кто живет в условиях цензурных режимов. Несмотря на отсутствие ограничений контента в сети, пользователи из западных стран обращаются к VPN, таким как Psiphon, для защиты своей личной конфиденциальности в интернете. Однако в марте 2017 года исследовательский центр Pew Research Center опубликовал поразительную статистику: около 70% американских интернет-пользователей не уверены в том, для чего именно нужен VPN.1
Если постоянно растущее число учетных записей Psiphon свидетельствует о росте числа пользователей VPN по всему миру, то значительный приток независимых пользователей выходит на рынок, где у них нет критериев для критической оценки продуктов. Теперь на эту группу ложится бремя понимания рисков в малознакомой области кибербезопасности. В связи с этим они чрезвычайно уязвимы для дезинформации. Одним из таких терминов, настораживающих пользователей, является повсеместное распространение термина ведение журналов данных на сайтах и форумах о VPN, а также искаженное представление об индивидуальных рисках и методах эффективной защиты.
По данным Techopedia, «ведение журналов данных — это процесс сбора и хранения данных в течение определенного периода времени с целью анализа конкретных тенденций или фиксации связанных с данными событий/действий системы, сети или ИТ-среды. Оно позволяет отслеживать все взаимодействия, посредством которых данные, файлы или приложения сохраняются, запрашиваются или изменяются на устройстве хранения или в приложении».2 Многие VPN преподносят политику отсутствия журналов (zero-logging) как якобы уникальную особенность продукта, тем самым внушая мысль, что в противном случае интернет-трафик обычных граждан постоянно подвергается риску регистрации и потенциального использования в коммерческих и юридических целях.
Этот вопрос стал особенно острым после отмены в апреле 2017 года определенных защитных норм FCC, которые требовали бы от американских интернет-провайдеров (ISP) получать разрешение перед передачей пользовательских данных (если бы они вообще вступили в силу, как планировалось, в декабре 2017 года). Мысль о том, что их правительство поддерживает ведение провайдерами журналов нашей личной интернет-истории с последующей продажей или раскрытием этих данных без согласия, вызывает тревогу у большинства интернет-пользователей.
Являясь решительным сторонником свободы интернета, Psiphon ежедневно стремится обеспечить нашим пользователям справедливый и открытый доступ к интернету без цензуры и без каких-либо последствий. Расширение легальности несанкционированного использования данных пользователей и истории просмотров формирует тревожную тенденцию, демонстрирующую, что прибыль часто ставится выше этики. Поэтому Psiphon решил глубже изучить реальное положение дел в сфере практик ведения журналов трафика и данных.
Краткий сравнительный анализ политик ведения журналов данных в США, ЕС и Канаде
В целом западные страны определили меры защиты и нормативные акты через призму безопасности хранящихся данных. Эти законы устанавливают положения, касающиеся стандартов безопасности, которых компании должны придерживаться при сборе и хранении данных пользователей. Они также определяют вопросы законности передачи информации третьим лицам. Однако все законы, упомянутые в этой статье, оставляют решения о типе данных и ситуациях, в которых они собираются, а также о продолжительности хранения таких данных, на усмотрение собирающей их организации. Хотя во многих случаях эти организации должны обосновывать логику своих политик перед центральным регулирующим органом, подобное законодательство создает палку о двух концах, поскольку во многих случаях негласно поощряет хранение данных.
Например, в настоящее время в США нет всеобъемлющих правил, регулирующих ведение журналов данных. Интернет-провайдеры могут свободно собирать и хранить пользовательские данные при условии, что пользователь проинформирован о применении таких практик в условиях обслуживания или лицензионном соглашении. Однако компании подпадают под действие Закона о сохранности сообщений (Stored Communications Act), который запрещает раскрытие данных пользователей, включая электронные сообщения, «любому лицу, кроме адресата или предполагаемого получателя».3 Хотя американское правительство возлагает на все компании обязанность по защите данных пользователей, оно прямо не ограничивает практики ведения журналов или разумные сроки хранения данных.
Более масштабный вопрос ведения журналов интернет-провайдерами не нов и не является изолированной проблемой. По сути, вопрос ведения журналов данных берет начало в тех же правовых спорах, которые вызвали недавнее возобновление дискуссий о сетевом нейтралитете в США.
В апреле 2016 года Европейский союз принял законодательный акт общеевропейского масштаба под названием Общий регламент по защите данных (GDPR), который развивает первоначальную Директиву о защите данных 2012 года и определяет руководящие принципы безопасности данных, права пользователей и правовую классификацию субъектов. Тем не менее, отдельные государства-члены обязаны самостоятельно определять надлежащую продолжительность хранения данных и не ограничены едиными обязательными для всего блока сроками.
Независимые компании несут ответственность за определение надлежащей продолжительности хранения собранных данных, в то время как дополнительные периоды хранения могут устанавливаться для «архивации в общественных интересах, научных, статистических или исторических целях».4 Однако в соответствии с положениями GDPR частный гражданин имеет «право на забвение» и может потребовать удаления своих персональных данных с сервера.
Наконец, федеративное устройство Канады сформировало многоуровневую юрисдикционную структуру в отношении регулирования ведения журналов данных. В стране принят Закон о защите личной информации и электронных документах (PIPEDA), в котором изложены общенациональные директивы и правила сбора информации для коммерческой деятельности, а также установлено единое национальное определение персональных данных (лично идентифицируемой информации), которое включает:
• возраст, имя, идентификационные номера, доход, этническое происхождение и группу крови;
• мнения, оценки, комментарии, социальный статус, дисциплинарные взыскания и т. д.;
• личные дела сотрудников, кредитные истории, данные о кредитах, медицинские записи, наличие спора между потребителем и продавцом, намерения (например, приобрести товары или услуги либо сменить работу).5
Аналогично Директиве ЕС, включены положения, разрешающие раскрытие информации Центру анализа финансовых операций и отчетов Канады (FINTRAC) в отношении лиц, подозреваемых в преступных действиях, таких как финансирование терроризма. Однако PIPEDA прямо не описывает процессы обеспечения безопасности информации и ограничения законных сроков ее хранения. Хотя пункт 4.5.3 гласит, что «информация, которая больше не требуется для выполнения указанных целей, должна быть уничтожена», отдельные компании вольны внедрять свои собственные процедуры.
Далее по цепочке провинции, способные создавать свои собственные законы для обеспечения защиты данных, могут заменять положения PIPEDA.
Итак, правы ли паникующие провайдеры VPN?
Сервисы VPN успешно вызывают тревогу у потенциальных клиентов, указывая на три фундаментальных недостатка текущих режимов ведения журналов:
1. Ваши персональные данные могут быть защищены недостаточно надежно
2. Интернет-провайдеры и онлайн-компании могут использовать ваши личные данные для коммерческой выгоды
3. Базы данных личной информации, хранящиеся у интернет-провайдеров и онлайн-компаний, находятся в распоряжении правоохранительных органов и государственных ведомств
Все три рассмотренные правовые системы разрешают законный сбор и хранение идентифицирующих данных пользователей. Хотя интернет-провайдеры и онлайн-компании юридически обязаны защищать такую информацию, по сути это породило шаткую систему, основанную на доверии, которой не хватает четкого надзора практически в каждой юрисдикции. Легко сказать, что тем, кто не использует интернет для компрометирующих или незаконных действий, не о чем беспокоиться, но мы в Psiphon считаем, что все интернет-пользователи имеют обоснованное право ожидать конфиденциальности независимо от своего поведения в сети.
Таким образом, можно исходить из того, что интернет-провайдеры имеют право вести журналы данных пользователей. Это может вызывать беспокойство у отдельных интернет-пользователей, опасающихся несанкционированного использования конфиденциальной информации, такой как медицинские записи или банковские реквизиты, либо злонамеренного взлома таких баз данных. Кроме того, если интернет-провайдер получит письмо национальной безопасности (National Security Letter) или ордер с требованием предоставить записи пользователя, он будет обязан по закону предоставить такую информацию правоохранительным органам.
При действующих законах онлайн-компании не имеют права продавать персональные данные в коммерческих целях или раскрывать такую информацию. Однако они имеют полное право хранить и использовать эти данные для множества внутренних процессов, таких как сбор клиентской статистики. В связи с потенциально неизбежным размыванием сетевого нейтралитета в Соединенных Штатах массивы персональных данных могут быть использованы или обнародованы без согласия. Тем не менее, главной причиной для беспокойства среди пользователей VPN является риск злонамеренной утечки таких данных вопреки самым благим намерениям поставщика услуг.
На интернет-пользователях всегда будет лежать бремя самостоятельного изучения практик компаний, с которыми они взаимодействуют. Основное опасение заключается в том, что некоторые конечные пользователи не смогут понять смысл или последствия условий использования и будут основывать свой выбор на смутных и зачастую вводящих в заблуждение социальных и технических критериях надежности VPN. Не говоря уже об исследовании рынка, которое необходимо провести, чтобы убедиться, что VPN действительно соблюдают политику конфиденциальности, предлагаемую потенциальным пользователям, особенно если сервис VPN требует создания учетных записей, привязанных к персональным данным.
Более того, приняв взвешенное решение, пользователи в определенных географических точках и на определенных сайтах могут прийти к выводу, что им вполне комфортно использовать незашифрованное или стандартное HTTPS-соединение. Но там, где все еще остаются неясности или сомнения, для защиты персональных данных от сбора в сети может использоваться не ведущий журналы VPN, такой как Psiphon.
Может ли VPN защитить меня от ведения журналов данных?
Многие интернет-пользователи обращаются к VPN, чтобы обеспечить свою анонимность в сети и избежать ведения журналов данных коммерческими онлайн-сервисами. Однако следует подчеркнуть, что ни один VPN не может гарантировать полную анонимность в интернете. Но те, кто привержен идее свободного доступа к интернету, такие как Psiphon, внедряют в свои сервисы надежные меры безопасности, защищающие конфиденциальность пользователей. При использовании прокси VPN интернет-трафик невозможно соотнести с конкретными пользователями, но при этом пользователи по-прежнему подключены к интернет-сервисам и продолжают ими пользоваться.
Стремясь завоевать доверие пользователей и повысить уровень индивидуальной конфиденциальности, коммерческие VPN часто подчеркивают наличие политики отсутствия журналов. Они заявляют, что удаляют все записи об использовании, делая отслеживание невозможным. Однако многие сервисные соглашения VPN не содержат подробных объяснений таких политик. Для создания учетной записи или открытия зашифрованной сессии VPN может потребовать некоторые подробные данные пользователя. И вновь бремя внимательного прочтения условий обслуживания и принятия решения о доверии к VPN ложится на плечи самого пользователя.
Структура интернета требует обязательного обмена определенной информацией для осуществления сетевой коммуникации. Никакие данные не могут быть отправлены или получены без функционирующего IP-адреса, включая реальный IP-адрес пользователя VPN. Однако, поскольку ни один из законодательных актов, рассмотренных в этой статье, не обязывает VPN хранить данные пользователей в течение определенного периода времени, базовые ценности Psiphon и других сервисов VPN позволяют им удалять такую информацию из своих сетей сразу после завершения зашифрованной сессии.
Что отличает Psiphon от традиционных сервисов VPN? Проще говоря, мы родились и существуем главным образом ради свободы интернета. Сама архитектура платформы Psiphon не предполагает хранения каких-либо персональных данных о сеансах просмотра конечных пользователей. Поскольку для использования Psiphon не требуется учетная запись, программное обеспечение фактически не способно создавать или хранить информацию, относящуюся к какому-либо отдельному пользователю. Следовательно, никаких записей об использовании нет, что вселяет уверенность в тех, кто избегает слежки или опасается передачи персональных данных посторонним лицам: использование сети Psiphon невозможно сопоставить с конкретным пользователем или геолокацией.
Чтобы наша сеть оставалась эффективной и масштабировалась в соответствии с меняющимся уровнем спроса, мы проводим внутреннюю оценку данных, которая включает объем трафика и информацию о местоположении пользователей, агрегированную на уровне страны.6 Это наиболее детализированная информация, сохраняемая сервисом. Но если бы, например, злоумышленник получил несанкционированный доступ к этой статистической информации, никакие персональные данные не оказались бы под угрозой.
--
Автор: Джейкоб Кляйн (Jacob Klein)
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Там же. Пункт 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Однако данные на уровне городов будут автоматически агрегироваться только после того, как использование в пределах страны превысит пороговое значение, при котором было бы статистически невозможно идентифицировать отдельных пользователей путем оценки количества активных подключений в пределах города.