Ma'lumotlarni qayd qilish holati: Xavf darajalari va xavfsizlik amaliyotlarini baholash
15/05/2018 - 9 daqiqalik mutolaa
Yangilangan: 26/09/2021
Psiphon Inc. yillar davomida senzura oʻrnatilgan rejimlarda yashayotganlar uchun internetni ochiq qilish yoʻlida yetakchilik qilib kelmoqda. Internetda hech qanday kontent cheklovlariga duch kelmasligiga qaramay, Gʻarb mamlakatlaridagi foydalanuvchilar shaxsiy maxfiyligini onlayn himoya qilish uchun Psiphon kabi VPN xizmatlariga murojaat qilmoqdalar. Shunga qaramay, 2017-yil mart oyida Pew Research Center hayratlanarli statistikani eʼlon qildi: amerikalik internet foydalanuvchilarining qariyb 70 foizi VPN nima maqsadda xizmat qilishini aniq bilmaydi.1
Agar doimiy ravishda oʻsib borayotgan Psiphon hisoblari butun dunyo boʻylab VPN foydalanuvchilari soni oshib borayotganining belgisi boʻlsa, mustaqil foydalanuvchilarning katta oqimi mahsulotlarni tanqidiy baholash uchun hech qanday mezonga ega boʻlmagan bozorga kirib kelmoqda. Bu guruh endi oʻzlari uchun notanish boʻlgan kiberxavfsizlik sohasidagi xavf-xatarlarni tushunish yukini oʻz zimmasiga olmoqda. Shu sababli, ular dezinformatsiyaga juda moyil boʻlib qoladilar. Foydalanuvchilarni qattiq xavotirga soladigan shunday atamalardan biri bu VPN veb-saytlari va forumlarida keng tarqalgan maʼlumotlarni qayd qilish (data logging) atamasi hamda individual xavflar va oʻzini samarali himoya qilish usullarining notoʻgʻri talqin qilinishidir.
Techopedia maʼlumotlariga koʻra, “maʼlumotlarni qayd qilish (data logging) — bu muayyan tendensiyalarni tahlil qilish yoki tizim, tarmoq yoki IT muhitining maʼlumotlarga asoslangan hodisalari/harakatlarini qayd etish maqsadida maʼlum vaqt davomida maʼlumotlarni toʻplash va saqlash jarayonidir. Bu saqlash qurilmasi yoki ilovada maʼlumotlar, fayllar yoki ilovalar saqlanadigan, ularga kiriladigan yoki oʻzgartiriladigan barcha oʻzaro harakatlarni kuzatish imkonini beradi.”2 Koʻplab VPNlar hech qanday maʼlumotni qayd qilmaslik (zero-logging) siyosatini goʻyoki noyob mahsulot funksiyasi sifatida targʻib qiladilar va shu tariqa oddiy fuqarolarning internet trafigi aks holda doimiy ravishda qayd qilinishi hamda tijorat va huquqiy maqsadlarda foydalanilishi xavfi ostida ekanligiga ishora qiladilar.
Bu masala 2017-yil aprel oyida FCC’ning baʼzi himoya choralari bekor qilinganidan soʻng dolzarb mavzuga aylandi, bu qoidalar amerikalik internet xizmati provayderlaridan (ISP) foydalanuvchi maʼlumotlarini ulashishdan oldin ruxsat olishni talab qilgan boʻlar edi (agar u 2017-yil dekabrida moʻljallanganidek kuchga kirganida). Hukumatning ISP’lar tomonidan shaxsiy internet tariximiz jurnallarini yuritishini va keyinchalik ularni roziliksiz sotish yoki oshkor qilishini qoʻllab-quvvatlayotgani haqidagi fikr koʻpchilik internet foydalanuvchilarini xavotirga solmoqda.
Internet erkinligining qatʼiy tarafdori sifatida Psiphon har kuni foydalanuvchilarimiz senzuradan xoli internetga hech qanday salbiy oqibatlarsiz adolatli va ochiq kirish imkoniyatiga ega boʻlishlarini taʼminlashga intiladi. Foydalanuvchi maʼlumotlari va koʻrish tarixidan ruxsatsiz foydalanishning qonuniylashtirib borilishi koʻpincha daromad axloqdan ustun turishini koʻrsatuvchi tashvishli vaziyatni yuzaga keltiradi. Ammo Psiphon trafik va maʼlumotlarni qayd qilish amaliyoti manzarasini tushunish uchun chuqurroq oʻrganish olib bordi.
AQSH, YI va Kanadada maʼlumotlarni qayd qilish siyosatining qisqacha qiyosiy tahlili
Umuman olganda, Gʻarb davlatlari himoya choralari va qoidalarini saqlanadigan maʼlumotlar xavfsizligi doirasida belgilagan. Ushbu qonunlar kompaniyalar foydalanuvchi maʼlumotlarini toʻplash va saqlashda rioya qilishlari kerak boʻlgan xavfsizlik standartlariga oid qoidalarni belgilaydi. Shuningdek, ular maʼlumotlarni oshkor qilishning qonuniyligi masalalarini bayon qiladi. Biroq ushbu maqolada keltirilgan barcha qonunlar maʼlumotlar turi, ular qanday vaziyatlarda toʻplanishi hamda qancha muddat saqlanishi toʻgʻrisidagi qarorlarni maʼlumot toʻplovchi tashkilotning ixtiyoriga qoldiradi. Koʻp hollarda ushbu tashkilotlar oʻz siyosatlarining mantiqiy asoslarini markaziy boshqaruv organiga asoslab berishlari shart boʻlsa-da, bunday qonunchilik ikki tomonlama tigʻli qurol boʻlib xizmat qiladi, chunki u koʻp hollarda maʼlumotlarni saqlashni zimdan qoʻllab-quvvatlaydi.
Masalan, hozirgi kunda AQSHda maʼlumotlarni qayd qilish boʻyicha hech qanday umumiy qoidalar mavjud emas. Xizmat koʻrsatish shartlarida yoki foydalanuvchi litsenziya shartnomasida bunday amaliyotlar qoʻllanishi haqida foydalanuvchi xabardor qilingan taqdirda, ISP’lar foydalanuvchi maʼlumotlarini toʻplash va saqlashda erkindirlar. Biroq kompaniyalar foydalanuvchi maʼlumotlarini, jumladan elektron xabarlarni “adresat yoki moʻljallangan qabul qiluvchidan boshqa har qanday shaxsga” oshkor qilishni taqiqlovchi Saqlanadigan xabarlar toʻgʻrisidagi qonun (Stored Communications Act) bilan boshqariladi.3 Amerika hukumati barcha firmalarga foydalanuvchi maʼlumotlarini himoya qilish majburiyatini yuklasa-da, ular qayd qilish amaliyotini yoki maʼlumotlarni saqlashning oqilona muddatini aniq cheklamaydi.
ISP tomonidan qayd qilish bilan bogʻliq kattaroq masala yangilik emas va u alohida ajralib turgan masala ham emas. Aslida, maʼlumotlarni qayd qilish masalasi yaqinda AQSHda qayta jonlangan tarmoq betarafligi (net neutrality) boʻyicha bahslardagi ayni huquqiy savollarga borib taqaladi.
Yevropa Ittifoqi 2016-yil aprel oyida 2012-yildagi dastlabki Maʼlumotlarni himoya qilish boʻyicha direktivaga asoslangan hamda maʼlumotlar xavfsizligi boʻyicha yoʻriqnomalar, foydalanuvchi huquqlari va subyektlarning huquqiy tasniflarini bayon qiluvchi Umumiy maʼlumotlarni himoya qilish reglamenti (GDPR) deb nomlangan butun blok miqyosidagi qonun hujjatini qabul qildi. Biroq alohida aʼzo davlatlar maʼlumotlarni saqlashning tegishli muddatini belgilashga majburdirlar va butun blok miqyosidagi majburiy muddatlarga boʻysundirilmaydi.
Mustaqil firmalar toʻplangan maʼlumotlarni saqlashning tegishli muddatini belgilash uchun javobgardir, shu bilan birga “jamoat manfaati uchun ilmiy, statistik yoki tarixiy maqsadlarda arxivlash” uchun qoʻshimcha saqlash muddatlari belgilanishi mumkin.4 Biroq GDPR qoidalariga koʻra, xususiy fuqaro “unutilish huquqi”ga ega va oʻz shaxsiy maʼlumotlarini serverdan oʻchirib tashlashni soʻrashi mumkin.
Nihoyat, Kanadaning federalistik tuzilishi maʼlumotlarni qayd qilish qoidalariga nisbatan koʻp bosqichli yurisdiksiyaviy tizimni yaratdi. U tijorat faoliyati uchun axborot toʻplash boʻyicha umummilliy koʻrsatmalar va qoidalarni bayon qiluvchi hamda shaxsni identifikatsiyalovchi maʼlumotlar uchun milliy standart taʼrifni belgilovchi Shaxsiy maʼlumotlarni himoya qilish va elektron hujjatlar toʻgʻrisidagi qonunni (PIPEDA) qabul qildi, unga quyidagilar kiradi:
• yosh, ism, ID raqamlar, daromad, etnik kelib chiqish va qon guruhi;
• fikrlar, baholar, sharhlar, ijtimoiy mavqe yoki intizomiy choralar va h.k.
• xodimlarning shaxsiy yigʻmajildlari, kredit tarixi, qarz yozuvlari, tibbiy yozuvlar, isteʼmolchi va sotuvchi oʻrtasidagi nizoning mavjudligi, niyatlar (masalan, tovar yoki xizmatlarni sotib olish yoki ish joyini oʻzgartirish).5
YI direktivasiga oʻxshash ravishda, terrorizmni moliyalashtirish kabi jinoiy harakatlarda gumon qilinayotgan shaxslarga oid maʼlumotlarni Kanadaning Moliyaviy operatsiyalar va hisobotlarni tahlil qilish markaziga (FINTRAC) oshkor qilishga ruxsat beruvchi qoidalar kiritilgan. Biroq PIPEDA axborot xavfsizligini taʼminlash va axborotni saqlashning qonuniy muddatini cheklash jarayonlarini aniq bayon qilmaydi. 4.5.3-bandda “belgilangan maqsadlarni amalga oshirish uchun endi talab qilinmaydigan maʼlumotlar yoʻq qilinishi kerak” deb koʻrsatilgan boʻlsa-da, alohida firmalar oʻzlarining shaxsiy tartib-taomillarini joriy qilishda erkindirlar.
Zanjirning quyi qismida esa, maʼlumotlar himoyasini taʼminlash uchun oʻz qonunlarini yaratish vakolatiga ega boʻlgan provinsiyalar PIPEDA qoidalarini bekor qilishi yoki ularning oʻrnini egallashi mumkin.
Xoʻsh, vahima uygʻotuvchi VPNlar haqmi?
VPNlar amaldagi jurnal yuritish tizimlaridagi uchta asosiy kamchilik sababli boʻlajak mijozlarni muvaffaqiyatli xavotirga solmoqda:
1. Shaxsni identifikatsiyalovchi maʼlumotlaringiz yetarlicha xavfsiz boʻlmasligi mumkin
2. ISP’lar va onlayn kompaniyalar shaxsiy maʼlumotlaringizdan tijoriy foyda olish uchun foydalanishi mumkin
3. ISP’lar va onlayn kompaniyalar tomonidan saqlanadigan shaxsiy maʼlumotlar bazalari huquqni muhofaza qilish va davlat organlari ixtiyorida boʻladi
Baholangan har uchala davlat ham shaxsni identifikatsiyalovchi foydalanuvchi maʼlumotlarini qonuniy toʻplash va saqlashga ruxsat bergan. ISP’lar va onlayn kompaniyalar qonuniy ravishda bunday maʼlumotlar xavfsizligini taʼminlashga majbur boʻlsalar-da, tub mohiyatiga koʻra, bu deyarli har bir yurisdiksiyada aniq nazoratga ega boʻlmagan zaif, ishonchga asoslangan tizimni yaratdi. Internetdan obroʻsizlantiruvchi yoki noqonuniy faoliyat uchun foydalanmaydiganlar xavotirlanishiga hojat yoʻq deb aytish oson, biroq Psiphon’da biz onlayn xatti-harakatlaridan qatʼi nazar, barcha internet foydalanuvchilari maxfiylikni oqilona kutish huquqiga ega deb hisoblaymiz.
Shunday qilib, ISP’lar foydalanuvchi maʼlumotlarini qayd qilish huquqiga ega deb hisoblash mumkin. Bu tibbiy yozuvlar yoki bank maʼlumotlari kabi shaxsiy axborotdan ruxsatsiz foydalanishdan yoki bunday maʼlumotlar bazalariga gʻarazli buzib kirishlardan qoʻrquvchi alohida internet foydalanuvchilarini tashvishga solishi mumkin. Bundan tashqari, agar ISP Milliy xavfsizlik maktubi (National Security Letter) yoki foydalanuvchi yozuvlarini talab qiluvchi order olsa, ular qonun boʻyicha bunday maʼlumotlarni huquqni muhofaza qilish organlariga taqdim etishga majbur boʻladilar.
Amaldagi qonunlarga koʻra, onlayn kompaniyalar shaxsni identifikatsiyalovchi maʼlumotlarni tijorat maqsadlarida sotish yoki bunday maʼlumotlarni oshkor qilish huquqiga ega emas. Biroq ular mijozlar statistikasi kabi turli ichki jarayonlar uchun ushbu maʼlumotlarni saqlash va ulardan foydalanish huquqiga toʻliq egadirlar. Qoʻshma Shtatlarda tarmoq betarafligining ehtimoliy yaqin orada zaiflashishi bilan, shaxsni identifikatsiyalovchi maʼlumotlar zaxiralaridan roziliksiz foydalanilishi yoki ular tarqatib yuborilishi mumkin. Shunga qaramay, VPN foydalanuvchilari orasida eng asosiy xavotir sababi xizmat koʻrsatuvchi provayderning eng ezgu niyatlariga qaramasdan, bunday maʼlumotlarning gʻarazli niyatda oʻgʻirlanishi (ekfiltratsiyasi) xavfidir.
Internet foydalanuvchilari har doim oʻzlari aloqada boʻlgan kompaniyalarning amaliyotlari haqida oʻzlarini oʻqitish va maʼlumot olish yukini oʻz zimmalarida tasiydilar. Asosiy xavotir shundaki, baʼzi yakuniy foydalanuvchilar foydalanish shartlarining maʼnosi yoki oqibatlarini tushuna olmasliklari va oʻz foydalanishlarini VPN’ning ishonchli va xavfsiz ekanligi haqidagi noaniq hamda koʻpincha chalgʻituvchi ijtimoiy va texnik standartlarga asoslashlari mumkin. Boʻlajak foydalanuvchilarga taqdim etilayotgan maxfiylik siyosatiga VPNlar haqiqatan ham rioya qilayotganiga ishonch hosil qilish uchun oʻtkazilishi kerak boʻlgan bozor tadqiqotlari haqida gapirmasa ham boʻladi, ayniqsa agar VPN xizmati shaxsni identifikatsiyalovchi maʼlumotlar asosida tuzilgan foydalanuvchi hisoblarini yaratishni talab qilsa.
Bundan tashqari, ongli qaror qabul qilingandan soʻng, muayyan geografik hududlardagi va muayyan saytlardagi foydalanuvchilar shifrlanmagan yoki standart https ulanishidan foydalanishda oʻzlarini qulay his qilishlari mumkin. Ammo chalkashlik yoki xavotir saqlanib qolgan joylarda, shaxsni identifikatsiyalovchi maʼlumotlarning onlayn toʻplanishidan himoya qilish uchun Psiphon kabi jurnallarsiz (no-log) VPN ishlatilishi mumkin.
VPN meni maʼlumotlarni qayd qilishdan himoya qila oladimi?
Koʻpgina internet foydalanuvchilari internetda oʻzlarini anonimlashtirish va onlayn tijorat xizmatlarining maʼlumotlarni qayd qilish amaliyotlaridan qochish uchun VPNlarga murojaat qiladilar. Biroq shuni taʼkidlash kerakki, hech qanday VPN internetda toʻliq anonimlikni taqdim eta olmaydi. Ammo erkin kirish mumkin boʻlgan internetga sodiq boʻlganlar, masalan, Psiphon, oʻz foydalanuvchilarining maxfiyligini himoya qiluvchi kuchli xavfsizlik choralarini oʻz xizmatlariga kiritadilar. VPN proksisidan foydalanish orqali internet trafigini muayyan foydalanuvchilarga bogʻlab boʻlmaydi, lekin foydalanuvchilar hamon internet xizmatlariga ulangan va ulardan foydalanishda ishtirok etayotgan boʻladilar.
Foydalanuvchilarning ishonchini qozonish va shaxsiy maxfiylikni oshirish maqsadida tijoriy VPNlar koʻpincha jurnallarsiz (no-logging) siyosatni taʼkidlaydilar. Ular foydalanishga oid barcha yozuvlarni yoʻq qilishlarini va shu tariqa buni imkonsiz qilishlarini daʼvo qiladilar. Biroq koʻplab VPN xizmat shartnomalari bunday siyosatlarning batafsil tushuntirishlarini taqdim etmaydi. Hisob yaratish yoki shifrlangan seansni ochish uchun VPN baʼzi batafsil foydalanuvchi maʼlumotlarini talab qilishi mumkin. Yana bir bor, xizmat koʻrsatish shartlarini diqqat bilan oʻqib chiqish va VPNga ishonish yoki ishonmaslikni hal qilish yuki alohida foydalanuvchining zimmasiga tushadi.
Internet tuzilishi onlayn muloqot amalga oshishi uchun muayyan maʼlumotlar almashinuvini talab qiladi. Ishlayotgan IP-manzilsiz, jumladan VPN foydalanuvchisining haqiqiy IP-manzilisiz hech qanday maʼlumot yuborilishi yoki qabul qilinishi mumkin emas. Biroq ushbu maqolada baholangan qonunlarning hech biri VPNlarga foydalanuvchi maʼlumotlarini maʼlum vaqt davomida saqlashni majburiy qilib qoʻymagani sababli, Psiphon va boshqa VPN xizmatlarining asosiy qadriyatlari shifrlangan seans tugagandan soʻng bunday maʼlumotlarni oʻz tarmoqlaridan oʻchirib tashlashga undaydi.
Psiphon’ni anʼanaviy VPN xizmatlaridan nima ajratib turadi? Juda oddiy: biz internet erkinligidan tugʻilganmiz va asosan internet erkinligi uchun mavjudmiz. Konstruksiyasiga koʻra, Psiphon platformasi yakuniy foydalanuvchilarning koʻrish seansi boʻyicha shaxsni identifikatsiyalovchi hech qanday maʼlumotni saqlamaydi. Psiphon’dan foydalanish hisob talab qilmagani sababli, dasturiy taʼminot har qanday alohida foydalanuvchiga tegishli maʼlumotlarni yaratish yoki saqlashga amalda qodir emas. Shu sababli, foydalanish haqida hech qanday yozuv mavjud emas, bu esa kuzatuvdan qochayotgan yoki shaxsni identifikatsiyalovchi maʼlumotlarning ruxsatsiz tomonlarga oshkor boʻlishidan qoʻrquvchilarga Psiphon tarmogʻidan foydalanishni noyob foydalanuvchiga yoki geolokatsiyaga bogʻlab boʻlmasligini kafolatlaydi.
Tarmoqimiz samarali boʻlib qolishi va oʻzgaruvchan talab darajasiga mos ravishda kengayishi uchun biz ichki maʼlumotlarni baholash bilan shugʻullanamiz, bunga mamlakat darajasida jamlangan trafik hajmi va foydalanuvchi joylashuvi haqidagi maʼlumotlar kiradi.6 Bu xizmat tomonidan saqlanadigan eng batafsil maʼlumotdir. Ammo, masalan, gʻaraz niyatli tashqi shaxs ushbu statistik maʼlumotlarni buzib kirsa ham, shaxsni identifikatsiyalovchi hech qanday maʼlumot xavf ostida qolmaydi.
--
Muallif: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Oʻsha manba. 26-band.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Biroq shahar darajasidagi maʼlumotlar faqat mamlakat ichidagi foydalanish shahardagi faol ulanishlar sonini baholash orqali alohida foydalanuvchilarni aniqlash statistik jihatdan imkonsiz boʻladigan chegaradan oshgandagina avtomatik ravishda jamlanadi.