Hali ya Uwekaji Kumbukumbu wa Data: Tathmini ya Viwango vya Vitisho na Mbinu za Usalama

15/5/2018 - 11 dakika za kusoma

Imesasishwa: 26/9/2021

Psiphon Inc. kwa miaka mingi imekuwa ikiongoza harakati za kufungua intaneti kwa wale wanaoishi chini ya tawala zenye udhibiti. Licha ya kutokabiliwa na vizuizi vya maudhui mtandaoni, watumiaji kutoka nchi za Magharibi wanageukia VPN kama vile Psiphon, ili kulinda faragha yao ya kibinafsi mtandaoni. Hata hivyo, mnamo Machi 2017, Kituo cha Utafiti cha Pew kilitoa takwimu ya kushangaza kwamba takriban 70% ya watumiaji wa intaneti wa Marekani hawana uhakika kuhusu madhumuni ya VPN.¹

Ikiwa idadi inayoongezeka kila mara ya akaunti za Psiphon ni kiashirio cha ongezeko la watumiaji wa VPN duniani kote, idadi kubwa ya watumiaji huru wanaingia katika soko ambalo hawana kigezo cha kutathmini bidhaa kwa umakini. Kundi hili sasa linabeba mzigo wa kuelewa hatari katika nyanja isiyojulikana sana ya usalama wa mtandao. Kwa hivyo, wako katika hatari kubwa ya kupotoshwa na taarifa zisizo sahihi. Neno mojawapo linalowaweka watumiaji katika tahadhari kubwa ni kuenea kwa neno data logging (uwekaji kumbukumbu za data) kwenye tovuti na majukwaa ya VPN, pamoja na upotoshaji wa hatari za kibinafsi na mbinu za kujilinda kwa njia inayofaa.

Kulingana na Techopedia, “uwekaji kumbukumbu za data ni mchakato wa kukusanya na kuhifadhi data kwa kipindi fulani cha muda ili kuchanganua mielekeo mahususi au kurekodi matukio/vitendo vinavyotegemea data vya mfumo, mtandao au mazingira ya IT. Huwezesha ufuatiliaji wa mwingiliano wote ambapo data, faili au programu huhifadhiwa, kufikiwa au kurekebishwa kwenye kifaa cha kuhifadhia au programu.”²  VPN nyingi huinadi sera ya kutoweka kumbukumbu zozote kama kipengele cha kipekee cha bidhaa, na hivyo kudokeza kwamba trafiki ya intaneti ya wananchi wa kawaida iko kwenye hatari ya mara kwa mara ya kuwekewa kumbukumbu na huenda ikanyonywa kwa madhumuni ya kibiashara na kisheria.

Hili limekuwa suala zito kufuatia kufutwa kwa ulinzi fulani wa FCC mnamo Aprili 2017 ambao ungewahitaji Watoa Huduma za Intaneti (ISP) wa Marekani kupata idhini kabla ya kushiriki data ya mtumiaji (kama ungeanza kutumika kama ilivyokusudiwa mnamo Desemba 2017). Wazo la serikali yao kutetea ISP kutengeneza kumbukumbu za historia zetu za kibinafsi za intaneti na kisha kuziuza au kuzifichua bila idhini linatisha kwa watumiaji wengi wa intaneti.

Kama mtetezi mkubwa wa uhuru wa intaneti, Psiphon hujitahidi kila siku kuhakikisha kuwa watumiaji wetu wanapata ufikiaji wa haki na wazi wa intaneti isiyodhibitiwa bila madhara yoyote. Kupanuka kwa uhalali wa kisheria wa matumizi yasiyoidhinishwa ya data ya mtumiaji na historia ya kuvinjari kunaleta simulizi inayotia wasiwasi inayoonyesha kwamba faida mara nyingi huzidi maadili. Lakini Psiphon iliangazia kwa kina zaidi kuelewa mazingira ya mazoea ya kuweka kumbukumbu za trafiki na data.

Uchambuzi Mfupi Linganishi wa Sera za Kuweka Kumbukumbu za Data katika US, EU, na Kanada

Kwa ujumla, mataifa ya Magharibi yamefafanua ulinzi na kanuni kupitia wigo wa usalama wa data iliyohifadhiwa. Sheria hizi huweka masharti yanayohusiana na viwango vya usalama ambavyo makampuni yanapaswa kuzingatia wakati wa kukusanya na kuhifadhi data ya mtumiaji. Pia zinaeleza masuala ya kisheria yanayohusu ufichuzi wa taarifa. Hata hivyo, sheria zote zilizorejelewa katika makala haya huacha maamuzi kuhusu aina ya data na hali ambazo inakusanywa, pamoja na muda ambao data hiyo inahifadhiwa, kwa hiari ya shirika linalokusanya.  Ingawa katika hali nyingi mashirika haya lazima yaeleze mantiki iliyo nyuma ya sera zao kwa chombo kikuu cha utawala, sheria kama hizo huunda upanga wenye makali kuwili, kwani huunga mkono kimyakimya uhifadhi wa data katika visa vingi.

Kwa mfano, hakuna kanuni za jumla katika US zinazohusu uwekaji kumbukumbu za data kwa sasa. ISP ziko huru kukusanya na kuhifadhi data ya mtumiaji, mradi tu mtumiaji afahamishwe kuwa anafungwa na taratibu kama hizo katika masharti ya huduma au makubaliano ya leseni ya mtumiaji. Hata hivyo, makampuni yanasimamiwa na Stored Communications Act, ambayo inakataza ufichuzi wa data ya mtumiaji, ikijumuisha mawasiliano ya kielektroniki, “kwa mtu yeyote isipokuwa mwandikiwa au mpokeaji aliyekusudiwa.”³  Ingawa serikali ya Marekani inayawajibisha makampuni yote kulinda data ya watumiaji, haizuii waziwazi mazoea ya kuweka kumbukumbu au muda unaofaa wa kuhifadhi data.

Swali kubwa zaidi la uwekaji kumbukumbu wa ISP si geni, na pia si suala linalojitegemea. Kwa kweli, swali la uwekaji kumbukumbu za data limejikita katika maswali yale yale ya kisheria ya mjadala ulioibuka upya hivi karibuni wa net neutrality katika US.

Umoja wa Ulaya ulipitisha sheria ya kambi nzima iitwayo General Data Protection Regulation (GDPR) mnamo Aprili 2016 ambayo inajenga juu ya Data Protection Directive ya awali ya 2012 na kueleza miongozo ya usalama wa data, haki za mtumiaji, na uainishaji wa kisheria wa masuala husika. Hata hivyo, nchi wanachama binafsi zinalazimika kubainisha muda unaofaa wa uhifadhi wa data na hazilazimishwi na muda uliowekwa kwa kambi nzima.

Kanuni za uhifadhi wa data katika EU zimeundwa ili kuhakikisha usalama wa data ya mtumiaji na upatikanaji wake kwa vyombo vya kutekeleza sheria, na lugha nyingi iliyotumiwa katika Data Protection Directive ya awali inaonyesha kuwa uhifadhi wa data ni muhimu kwa urahisi na ufanisi wa wakati wa uchunguzi wa kisheria. Inafikia hata kuweka katika sheria Kifungu cha 6, ambacho kinaruhusu uainishaji mahususi wa kisheria kama vile washukiwa wa uhalifu, wahalifu waliopatikana na hatia, na waathiriwa kutofautishwa kisheria na watu wengine wakati wa michakato ya kuweka kumbukumbu na kuhifadhi data.

Makampuni huru yana wajibu wa kubainisha muda unaofaa wa kuhifadhi data iliyokusanywa, huku vipindi vya ziada vya uhifadhi vikiweza kuwekwa kwa ajili ya “kuhifadhi kwenye kumbukumbu kwa manufaa ya umma, matumizi ya kisayansi, kitakwimu au ya kihistoria.”⁴  Hata hivyo, chini ya masharti ya GDPR, raia binafsi ana “haki ya kusahauliwa” na anaweza kuomba data yake ya kibinafsi iondolewe kwenye seva.

Hatimaye, muundo wa shirikisho wa Kanada umeunda mfumo wa kisheria wa ngazi mbalimbali kuhusu kanuni zake za uwekaji kumbukumbu za data. Imetunga Sheria ya Ulinzi wa Taarifa Binafsi na Nyaraka za Kielektroniki (PIPEDA), ambayo inaeleza miongozo na kanuni za nchi nzima kuhusu ukusanyaji wa taarifa kwa ajili ya shughuli za kibiashara, na kuweka ufafanuzi wa viwango vya kitaifa wa taarifa zinazoweza kumtambulisha mtu binafsi, ambazo ni pamoja na:

• umri, jina, nambari za kitambulisho, mapato, asili ya kabila, na aina ya damu;

• maoni, tathmini, maelezo, hadhi ya kijamii, au hatua za kinidhamu, n.k.

• faili za wafanyakazi, rekodi za mikopo, rekodi za mikopo ya fedha, rekodi za matibabu, kuwepo kwa mzozo kati ya mtumiaji na mfanyabiashara, nia (kwa mfano, kupata bidhaa au huduma, au kubadilisha kazi).⁵

Sawa na Maagizo ya EU, masharti yamejumuishwa ili kuruhusu ufichuzi wa taarifa kwa Kituo cha Uchambuzi wa Miamala ya Kifedha na Ripoti cha Kanada (FINTRAC) zinazohusiana na watu wanaoshukiwa kufanya vitendo vya uhalifu kama vile ufadhili wa ugaidi. Hata hivyo, PIPEDA haielezi waziwazi michakato ya kulinda taarifa na kuweka kikomo cha muda wa kisheria wa kuhifadhi taarifa. Wakati aya ya 4.5.3 inasema kwamba “taarifa ambayo haihitajiki tena kutimiza madhumuni yaliyotambuliwa inapaswa kuharibiwa,” makampuni binafsi yako huru kutekeleza taratibu zao wenyewe.

Zaidi ya hayo, majimbo yenye uwezo wa kutunga sheria zao ili kuhakikisha ulinzi wa data yanaweza kuchukua nafasi ya masharti ya PIPEDA.

Kwa hivyo, je, VPN zinazoeneza tahadhari ziko sahihi?

VPN hufanikiwa kuwatia wasiwasi wateja watarajiwa kutokana na kasoro tatu za kimsingi katika mifumo ya sasa ya kuweka kumbukumbu:

1. Data yako inayoweza kukutambulisha binafsi huenda isiwe salama vya kutosha

2. ISP na makampuni ya mtandaoni yanaweza kutumia data yako ya kibinafsi kwa manufaa ya kibiashara

3. Hifadhidata za taarifa za kibinafsi zinazoshikiliwa na ISP na makampuni ya mtandaoni ziko mikononi mwa vyombo vya kutekeleza sheria na mashirika ya kiserikali

Nchi zote tatu zilizotathminiwa zimeruhusu ukusanyaji na uhifadhi halali kisheria wa data ya mtumiaji inayoweza kumtambulisha binafsi. Ingawa ISP na makampuni ya mtandaoni yanalazimika kisheria kulinda taarifa hizo, kimsingi, hii imeunda mfumo dhaifu unaotegemea uaminifu ambao unakosa usimamizi thabiti katika takriban kila eneo la mamlaka ya kisheria.  Ni rahisi kusema kwamba wale ambao hawatumii intaneti kwa shughuli zinazotiliwa shaka au haramu hawana haja ya kuwa na wasiwasi, lakini katika Psiphon tunaamini kuwa watumiaji wote wa intaneti wanastahili kutarajia faragha kwa kiwango kinachofaa, bila kujali tabia zao mtandaoni.

Kwa hivyo, inaweza kudhaniwa kuwa ISP zina haki ya kuweka kumbukumbu za data ya mtumiaji. Hili linaweza kuwa la kutia wasiwasi kwa watumiaji binafsi wa intaneti wanaohofia matumizi yasiyoidhinishwa ya taarifa za kibinafsi kama vile rekodi za matibabu au taarifa za kibenki, au kuingiliwa kwa nia mbaya kwenye hifadhidata hizo. Zaidi ya hayo, ikiwa ISP itapokea Barua ya Usalama wa Kitaifa au hati ya kibali inayoomba rekodi za mtumiaji, italazimika kisheria kutoa taarifa hizo kwa vyombo vya kutekeleza sheria.

Pamoja na sheria za sasa zilizopo, makampuni ya mtandaoni hayako huru kuuza data inayoweza kumtambulisha mtu binafsi kwa madhumuni ya kibiashara au kufichua taarifa hizo. Hata hivyo, yapo ndani ya haki zao kuhifadhi na kutumia data hii kwa michakato mbalimbali ya ndani kama vile takwimu za wateja. Kutokana na uwezekano wa kumomonyoka kwa karibuni kwa net neutrality nchini Marekani, akiba ya data inayoweza kumtambulisha mtu binafsi inaweza kutumiwa vibaya au kutolewa bila idhini. Hata hivyo, sababu kuu ya wasiwasi miongoni mwa watumiaji wa VPN ni hatari ya data hiyo kuibwa kwa nia mbaya, licha ya nia njema ya mtoa huduma.

Watumiaji wa intaneti daima watabeba mzigo wa kujielimisha kuhusu taratibu za makampuni wanayojihusisha nayo. Wasiwasi wa kimsingi ni kwamba baadhi ya watumiaji wa mwisho wanaweza kushindwa kuelewa maana au matokeo ya masharti ya matumizi na wanaweza kutegemeza matumizi yao kwenye viwango visivyo wazi na mara nyingi vinavyopotosha vya kijamii na kiufundi kuhusu iwapo VPN hiyo inastahili kuaminiwa na inategemeka. Bila kusahau utafiti wa soko unaopaswa kufanywa ili kuhakikisha kuwa VPN zinafuata kweli sera za faragha wanazotoa kwa watumiaji watarajiwa, hasa ikiwa huduma ya VPN inahitaji kuundwa kwa akaunti za watumiaji ambazo zimejengwa karibu na taarifa zinazoweza kumtambulisha mtu binafsi.

Zaidi ya hayo, mara uamuzi wenye ufahamu unapofikiwa, watumiaji katika maeneo mahususi ya kijiografia na kwenye tovuti mahususi wanaweza kugundua kuwa wanajisikia vizuri kutumia muunganisho usio na usimbaji fiche au wa kawaida wa https. Lakini pale ambapo bado kuna mkanganyiko au wasiwasi, VPN isiyoweka kumbukumbu kama vile Psiphon inaweza kutumika kulinda data inayoweza kumtambulisha mtu binafsi isikusanywe mtandaoni.

Je, VPN inaweza kunilinda dhidi ya kuwekewa kumbukumbu za data?

Watumiaji wengi wa intaneti hugeukia VPN ili kuficha utambulisho wao mtandaoni na kuepuka mazoea ya uwekaji kumbukumbu za data ya huduma za kibiashara mtandaoni. Hata hivyo, ni lazima isemwe kwamba hakuna VPN inayoweza kutoa ufichaji kamili wa utambulisho mtandaoni. Lakini zile zilizojitolea kwa intaneti inayofikiwa kwa uhuru, kama vile Psiphon, zinajumuisha hatua thabiti za usalama katika huduma zao zinazolinda faragha ya watumiaji wao. Kwa kutumia proksi ya VPN, trafiki ya intaneti haiwezi kuhusishwa na watumiaji mahususi, lakini watumiaji bado wameunganishwa na wanashiriki katika matumizi ya huduma za intaneti.

Katika juhudi za kupata uaminifu wa watumiaji na kuongeza faragha ya mtu binafsi, VPN zinazopatikana kibiashara mara nyingi huangazia sera za kutoweka kumbukumbu. Zinadai kutupa rekodi zote za matumizi, na hivyo kufanya jambo hilo kutowezekana. Hata hivyo, makubaliano mengi ya huduma za VPN hayatoi maelezo ya kina ya sera kama hizo. Ili kuunda akaunti au kufungua kipindi kilichosimbwa kwa njia fiche, VPN inaweza kuhitaji taarifa fulani za kina za mtumiaji. Kwa mara nyingine tena, mzigo unamwangukia mtumiaji binafsi kusoma kwa makini masharti ya huduma na kuamua iwapo ataamini VPN hiyo.

Muundo wa intaneti unahitaji kwamba taarifa fulani zibadilishwe ili mawasiliano ya mtandaoni yafanyike. Hakuna data inayoweza kutumwa au kupokewa bila anwani ya IP inayofanya kazi, ambayo inajumuisha anwani halali ya IP ya mtumiaji wa VPN. Hata hivyo, kwa sababu hakuna sheria yoyote iliyotathminiwa katika makala haya inayolazimisha VPN kuhifadhi data ya mtumiaji kwa muda maalum, maadili ya msingi ya Psiphon na huduma zingine za VPN yanaweza kuzifanya zifute taarifa kama hizo kutoka kwenye mitandao yao mara tu kipindi kilichosimbwa kwa njia fiche kinapokamilika.

Ni nini kinachofanya Psiphon iwe tofauti na huduma za jadi za VPN? Ni rahisi tu, tumezaliwa kutokana na na kuwepo hasa kwa ajili ya uhuru wa intaneti. Kwa muundo wake, jukwaa la Psiphon halihifadhi taarifa zozote zinazoweza kumtambulisha mtu binafsi kuhusu kipindi cha kuvinjari cha watumiaji wa mwisho. Kwa sababu kutumia Psiphon hakuhitaji akaunti, programu hiyo kimsingi haina uwezo wa kuunda au kuhifadhi taarifa zinazohusu mtumiaji yeyote binafsi. Kwa hivyo hakuna rekodi ya matumizi, ikiwahakikishia wale wanaokwepa ufuatiliaji au wanaohofia ufichuzi wa taarifa zinazoweza kuwatambulisha binafsi kwa wahusika wasioidhinishwa kwamba kutumia mtandao wa Psiphon hakuwezi kuhusishwa na mtumiaji mahususi au eneo la kijiografia.

Ili kuhakikisha kuwa mtandao wetu unabaki na ufanisi na unapanuka kulingana na mabadiliko ya kiwango cha mahitaji, tunajihusisha na tathmini ya data ya ndani, ambayo inajumuisha kiwango cha trafiki na taarifa za eneo la mtumiaji zilizokusanywa kwa kiwango cha nchi.⁶  Hizi ndizo taarifa za kina zaidi zinazohifadhiwa na huduma hii. Lakini ikiwa, kwa mfano, mhusika mbaya kutoka nje angeingilia taarifa hizi za kitakwimu, hakuna taarifa yoyote inayoweza kumtambulisha mtu binafsi ambayo ingekuwa hatarini.

--
Na: Jacob Klein

1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging

3 S.Rep. No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.

4 Ibid. Aya ya 26. 5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html
6 Hata hivyo, data ya kiwango cha jiji itajumuishwa kiotomatiki tu baada ya matumizi ndani ya nchi kuvuka kiwango ambacho kitafanya isiwezekane kitakwimu kwa watumiaji binafsi kutambuliwa kupitia tathmini ya idadi ya miunganisho inayotumika ndani ya jiji. 

ShirikiNakili kiungo