資料記錄現況：威脅層級與安全實務評估
2018/5/15 - 1 分鐘閱讀
更新： 2021/9/26
多年來，Psiphon Inc. 一直走在最前線，為生活在審查政權下的人們開啟通往自由網路的大門。儘管在網路上沒有面臨任何內容限制，西方國家的使用者也開始轉向使用 Psiphon 等 VPN 來保護自己的線上個人隱私。然而在 2017 年 3 月，皮尤研究中心（Pew Research Center）發布了一項驚人的統計數據：約有 70% 的美國網路使用者不確定 VPN 究竟有何用途。1
如果不斷增加的 Psiphon 帳戶數量象徵著全球 VPN 使用者數量的增長，那麼大量獨立使用者正在湧入一個他們缺乏批判性評估產品指標的市場。這群人現在承擔著在不熟悉的網路安全領域中理解風險的負擔。因此，他們極易受到不實資訊的影響。其中一個讓使用者高度警戒的現象，就是資料記錄（data logging）一詞在各大 VPN 網站和論壇上的氾濫，以及對個人風險和有效自我保護方法的錯誤描述。
根據 Techopedia 的定義：「資料記錄是在一段時間內收集和儲存資料的過程，以便分析特定趨勢或記錄系統、網路或 IT 環境中基於資料的事件／操作。它能夠追蹤在儲存裝置或應用程式上儲存、存取或修改資料、檔案或應用程式的所有互動。」2 許多 VPN 將「零記錄」（zero-logging）政策宣傳為看似獨特的產品功能，從而暗示一般公民的網路流量若非如此，就會隨時面臨被記錄並可能被用於商業和法律用途的風險。
自從 2017 年 4 月廢除 FCC 的某些保護措施後，這已成為一個熱門爭議話題；這些保護措施原定會要求美國網際網路服務供應商（ISP）在分享使用者資料之前必須取得許可（如果該措施如預期於 2017 年 12 月生效的話）。想到政府支持 ISP 記錄我們的個人網路瀏覽紀錄，然後在未經同意的情況下將其出售或公開，這對大多數網路使用者來說都是令人擔憂的。
作為網路自由的堅定擁護者，Psiphon 每天都在努力確保我們的使用者能夠公平、開放地存取未受審查的網際網路，而無需擔心遭受後果。未經授權使用使用者資料和瀏覽紀錄的合法性擴大，形成了一種令人不安的論述，表明利潤往往壓倒了道德。但 Psiphon 更深入地研究了流量和資料記錄措施的現況。
美國、歐盟與加拿大資料記錄政策簡要比較分析
總體而言，西方國家是從儲存資料安全性的角度來界定保護與法規。這些法律規定了企業在收集和儲存使用者資料時所必須遵守的安全標準。它們也概述了涉及資訊揭露的合法性問題。然而，本文引用的所有法律都將收集資料的類型、收集時機以及保留期間等決定權，留給了收集資料的組織自行裁量。 雖然在許多情況下，這些組織必須向中央主管機構證明其政策的合理性，但此類立法形成了一把雙面刃，因為它在許多情況下默許了資料留存。
例如，美國目前沒有針對資料記錄的全面性法規。ISP 可以自由收集和儲存使用者資料，前提是在服務條款或使用者授權合約中告知使用者他們會受到此類常規的約束。然而，企業受到《儲存通訊法》（Stored Communications Act）的約束，該法禁止向「收件人或預期接收者以外的任何人」揭露包括電子通訊在內的使用者資料。3 雖然美國政府賦予所有企業保護使用者資料的責任，但並未明確限制記錄行為或資料儲存的合理期限。
ISP 記錄這個更大的問題並非新議題，也不是一個孤立的問題。事實上，資料記錄問題與美國最近再度興起的網路中立性辯論源於相同的法律爭議。
歐盟於 2016 年 4 月通過了一項涵蓋整個聯盟的法規，名為《一般資料保護規則》（GDPR），該法規建立在 2012 年最初的《資料保護指令》基礎上，概述了資料安全準則、使用者權利以及主體的法律分類。然而，各成員國有義務自行決定適當的資料留存期限，並不受整個歐盟強制性時限的約束。
獨立企業有責任確定所收集資料的適當留存期限，同時可為「出於公共利益、科學、統計或歷史目的的存檔」設定額外的留存期。4 然而，根據 GDPR 的規定，一般公民擁有「被遺忘權」，並可要求從伺服器中刪除其個人資料。
最後，加拿大的聯邦體制對其資料記錄法規建立了多層次的管轄體系。加拿大頒布了《個人資訊保護與電子文件法》（PIPEDA），概述了全國範圍內關於為商業活動收集資訊的指令和法規，並為個人身分識別資訊設定了國家標準定義，其中包括：
• 年齡、姓名、身分證號碼、收入、族裔和血型；
• 意見、評價、評論、社會地位或懲戒處分等；
• 員工檔案、信用記錄、貸款記錄、醫療記錄、消費者與商家之間存在的爭端、意向（例如購買商品或服務，或更換工作）。5
與歐盟指令類似，該法規包含了允許向加拿大金融交易和報告分析中心（FINTRAC）揭露涉嫌資助恐怖主義等犯罪行為的個人資訊的條款。然而，PIPEDA 並未明確規定保護資訊安全和限制資訊法定儲存期限的流程。雖然第 4.5.3 段規定「不再需要用於實現明確目的的資訊應當予以銷毀」，但各企業可自由實施自己的程序。
進一步而言，有能力自行制定法律以確保資料保護的省份，其法規效力可能優先於 PIPEDA 的規定。
那麼，危言聳聽的 VPN 說法正確嗎？
VPN 能夠成功引起潛在客戶的恐慌，是因為現行記錄體制存在三個根本缺陷：
1. 您的個人身分識別資料可能沒有得到充分的安全保護
2. ISP 和網路公司可能會將您的個人資料用於獲取商業利益
3. ISP 和網路公司持有的個人資訊資料庫可供執法和政府機構任意調閱
上述評估的三個地區都允許合法收集和留存可識別個人身分的使用者資料。雖然 ISP 和網路公司在法律上有義務保護此類資訊的安全，但從本質上講，這建立了一個薄弱的基於信任的體系，在幾乎所有司法管轄區都缺乏明確的監管。 人們很容易認為那些沒有使用網路從事危險或非法活動的人不需要擔心，但在 Psiphon，我們認為所有網路使用者都應當享有合理的隱私期待，無論其網路行為為何。
因此，可以假設 ISP 有權記錄使用者資料。對於擔心醫療記錄或銀行資訊等私人資訊遭到未經授權使用，或擔心此類資料庫遭受惡意入侵的個別網路使用者而言，這可能會令人感到不安。此外，如果 ISP 收到國家安全信函或要求提供使用者記錄的搜查令，他們在法律上有義務向執法部門提供此類資訊。
根據現行法律，網路公司不得出於商業目的出售個人身分識別資料或揭露此類資訊。但是，他們完全有權保留並將這些資料用於各種內部流程，例如客戶統計。隨著美國網路中立性可能即將遭到削弱，儲存的個人身分識別資料可能會在未經同意的情況下被利用或釋出。然而，VPN 使用者擔憂的一個主要原因是，儘管服務供應商出於善意，仍存在此類資料被惡意竊取的風險。
網路使用者永遠承擔著深入了解與其互動之企業做法的負擔。主要的擔憂是，某些終端使用者可能無法理解使用條款的含義或後果，並可能依據模糊且往往具有誤導性的社交和技術標準來判斷 VPN 是否值得信賴和可靠。更不用說還必須進行市場調查，以確保 VPN 確實遵守其向潛在使用者提出的隱私權政策，特別是如果該 VPN 服務需要建立圍繞個人身分識別資訊的使用者帳戶時。
更重要的是，一旦做出知情的決定，特定地理位置和特定網站上的使用者可能會發現，他們可以放心使用未加密或標準的 https 連線。但在仍有疑慮或擔憂的情況下，可以使用像 Psiphon 這樣不記錄日誌的 VPN 來防止個人身分識別資料在線上被收集。
VPN 能保護我免受資料記錄的影響嗎？
許多網路使用者求助於 VPN 來實現線上匿名，並避開商業服務的線上資料記錄行為。然而，必須指出的是，沒有任何 VPN 可以在線上提供完全的匿名性。但是，致力於網路自由存取的服務（例如 Psiphon）在其服務中整合了強大的安全措施，以保護其使用者的隱私。透過使用 VPN 代理，網路流量無法歸因於特定使用者，但使用者仍然可以連線並參與使用網際網路服務。
為了贏得使用者信任並增強個人隱私，市面上的商業 VPN 通常會強調無記錄政策。他們聲稱會丟棄所有使用記錄，從而使追蹤成為不可能。然而，許多 VPN 服務合約並未對此類政策提供詳細說明。為了建立帳戶或開啟加密工作階段，VPN 可能需要一些詳細的使用者資訊。再一次，這項責任落在了個別使用者身上，他們需要仔細閱讀服務條款並決定是否信任該 VPN。
網際網路的架構要求必須交換某些資訊才能進行線上通訊。如果沒有運作正常的 IP 位址（包括 VPN 使用者的合法 IP 位址），就無法傳送或接收任何資料。然而，由於本文評估的法規都沒有強制要求 VPN 將使用者資料儲存指定的時間，因此 Psiphon 和其他 VPN 服務的核心價值觀可能會促使他們在加密工作階段終止時從其網路中清除此類資訊。
是什麼讓 Psiphon 與傳統的 VPN 服務與眾不同？很簡單，我們因網路自由而生，也主要為網路自由而存在。在設計上，Psiphon 平台不會儲存任何有關終端使用者瀏覽工作階段的個人身分識別資訊。因為使用 Psiphon 不需要帳戶，所以該軟體實際上無法建立或儲存與任何個別使用者相關的資訊。因此不會留下使用記錄，這讓那些規避監控或擔心個人身分識別資訊外洩給未授權方的人感到安心，因為使用 Psiphon 網路無法被歸因於單一使用者或地理位置。
為了確保我們的網路維持高效運作並隨著需求水準的變化進行擴展，我們進行了內部資料評估，其中包括按國家／地區層級匯總的流量和使用者位置資訊。6 這是該服務保留的最詳細資訊。但舉例來說，即使有惡意外部人員侵入了這些統計資訊，也不會有任何個人身分識別資訊面臨風險。
--
作者：Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 同前註，第 26 段。
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 然而，只有在該國家／地區內的使用量超過一個門檻值，使得在統計上不可能透過評估該城市內的活動連線數量來識別個別使用者時，才會自動匯總城市層級的資料。