数据记录现状：威胁级别与安全实践评估
2018/5/15 - 1 分钟阅读
更新： 2021/9/26
多年来，Psiphon Inc. 一直致力于为生活在网络审查制度下的人们开放互联网。尽管在网上没有面临任何内容限制，但西方国家的用户也开始求助于像 Psiphon 这样的 VPN，以保护他们在网络上的个人隐私。然而，皮尤研究中心（Pew Research Center）在 2017 年 3 月发布了一项令人震惊的统计数据：约 70% 的美国互联网用户不确定 VPN 的用途。1
如果 Psiphon 账户数量的不断增长预示着全球 VPN 用户数量的增加，那么大量独立用户正在涌入一个他们尚无衡量标准来对其产品进行审慎评估的市场。这一群体现在不得不承担起理解网络安全这一陌生领域中各种风险的重担。因此，他们极易受到错误信息的误导。让用户高度警惕的一个词便是遍布 VPN 网站和论坛的数据记录（data logging）一词，以及对个人风险和有效自我保护方式的歪曲解读。
根据 Techopedia 的定义，“数据记录是指在一段时间内收集和存储数据，以便分析特定趋势或记录系统、网络或 IT 环境中基于数据的事件/活动的过程。它可以跟踪在存储设备或应用程序上存储、访问或修改数据、文件或应用程序的所有交互活动。”2 许多 VPN 将“零日志”政策作为一项看似独特的产品特性来进行宣传，从而暗示如果不使用 VPN，普通公民的互联网流量将始终面临被记录并可能被用于商业和法律目的的风险。
在 2017 年 4 月废除某些 FCC 保护措施后，这一问题成为了焦点。这些保护措施原本要求美国互联网服务提供商（ISPs）在共享用户数据之前必须获得许可（如果它们按计划在 2017 年 12 月生效的话）。政府倡导 ISPs 记录我们个人的互联网历史记录，并在未经同意的情况下出售或披露这些记录，这一想法令大多数互联网用户感到担忧。
作为互联网自由的坚定支持者，Psiphon 每天都在努力确保我们的用户能够公平、开放地访问未经审查的互联网，且无需承担不良后果。对未经授权使用用户数据和浏览历史的合法性扩大，构成了一种令人不安的现状，表明利益往往凌驾于道德之上。但 Psiphon 对流量和数据记录实践的现状进行了更深入的探讨。
美国、欧盟和加拿大数据记录政策简要对比分析
总体而言，西方国家通过存储数据安全的范畴来界定保护和监管措施。这些法律规定了企业在收集和存储用户数据时必须遵守的安全标准。它们还概述了与信息披露相关的合法性问题。然而，本文提及的所有法律都将关于数据类型、收集场景以及此类数据保留期限的决定权，留给了收集数据的组织自行裁量。 虽然在许多情况下，这些组织必须向中央管理机构证明其政策背后的合理性，但此类立法是一把双刃剑，因为它在很多情况下默认支持数据保留。
例如，目前美国尚无关于数据记录的总体综合性法规。只要在服务条款或用户许可协议中告知用户需遵守此类规定，ISPs 就可以自由收集和存储用户数据。然而，企业受到《存储通信法案》（Stored Communications Act）的约束，该法案禁止将包括电子通信在内的用户数据披露给“收件人或预期接收人以外的任何人”。3 尽管美国政府要求所有企业承担保护用户数据的责任，但并没有明确限制记录行为或合理的数据存储期限。
ISP 记录这个更大的问题并非新问题，也不是一个孤立的问题。事实上，数据记录问题与最近在美国重新引发的网络中立性辩论根植于相同的法律问题。
欧盟于 2016 年 4 月通过了一项名为《通用数据保护条例》（GDPR）的全欧盟范围立法，该条例建立在 2012 年最初的《数据保护指令》之上，概述了数据安全准则、用户权利以及主体的法律分类。但是，各成员国必须自行确定适当的数据保留期限，不受全欧盟统一强制期限的约束。
独立企业负责确定所收集数据的适当保留期限，同时可针对“出于公共利益、科学、统计或历史用途的归档”设定额外的保留期限。4 然而，根据 GDPR 的规定，普通公民享有“被遗忘权”，可以要求从服务器中删除其个人数据。
最后，加拿大的联邦制结构导致其数据记录法规形成了多层次的管辖架构。该国颁布了《个人信息保护和电子文档法案》（PIPEDA），其中概述了关于商业活动中信息收集的全国性指令和法规，并为个人身份信息设定了国家标准定义，其中包括：
• 年龄、姓名、身份证号码、收入、族裔血统和血型；
• 意见、评价、评论、社会地位或纪律处分等；
• 员工档案、信用记录、贷款记录、医疗记录、消费者与商家之间存在的争议、意图（例如获取商品或服务、更换工作）。5
与欧盟指令类似，其中包含允许向加拿大金融交易与报告分析中心（FINTRAC）披露涉嫌恐怖主义融资等犯罪行为个人的信息的条款。然而，PIPEDA 并未明确规定确保信息安全和限制信息合法存储期限的流程。虽然第 4.5.3 段规定“不再需要用于实现指定目的的信息应当予以销毁”，但各企业可以自由实施自己的程序。
在更下层的层级上，有权制定本省法律以确保数据保护的省份可能会取代 PIPEDA 的条款。
那么，危言耸听的 VPN 厂商说得对吗？
VPN 厂商之所以能成功让潜在客户产生警觉，是因为当前的记录机制存在三个根本缺陷：
1. 您的个人身份数据可能不够安全
2. ISPs 和在线公司可能会将您的个人数据用于商业获利
3. ISPs 和在线公司持有的个人信息数据库可供执法部门和政府机构调用
所评估的所有三个国家和地区都允许合法收集和保留用户个人身份数据。虽然 ISPs 和在线公司在法律上有义务保护此类信息的安全，但从本质上讲，这造成了一个脆弱的、基于信任的系统，在几乎所有司法管辖区都缺乏明确的监管。 说那些没有在互联网上从事危险或违法活动的人无需担心固然容易，但在 Psiphon，我们坚信所有互联网用户都有权享有合理的隐私预期，无论其在线行为如何。
因此，可以认为 ISPs 有权记录用户数据。这可能会令个别互联网用户感到不安，他们担心医疗记录或银行信息等私人信息被未经授权使用，或者担心此类数据库遭到恶意入侵。此外，如果 ISP 收到要求提供用户记录的国家安全信函（National Security Letter）或搜查令，他们在法律上必须向执法部门提供此类信息。
根据现行法律，在线公司不得出于商业目的出售个人身份数据或披露此类信息。但是，他们完全有权保留并将这些数据用于各种内部流程，例如客户统计。随着美国网络中立性可能面临迫在眉睫的削弱，存储的个人身份数据可能会在未经同意的情况下被利用或泄露。然而，即使服务提供商抱有最好的意图，此类数据被恶意窃取的风险仍然是 VPN 用户担忧的主要原因。
互联网用户将始终承担着自我了解与其互动的公司运作方式的责任。主要担忧在于，某些最终用户可能无法理解使用条款的含义或后果，并且可能会根据关于 VPN 是否值得信赖和可靠的模糊且往往具有误导性的社会和技术标准来决定是否使用。更不用说必须进行市场调研以确保 VPN 真正遵守其向潜在用户提出的隐私政策，特别是当该 VPN 服务需要创建围绕个人身份信息构建的用户账户时。
此外，一旦做出了明智的决定，特定地理位置和特定网站上的用户可能会觉得使用未加密或标准的 https 连接就很放心。但在仍存疑虑或担忧的情况下，可以使用像 Psiphon 这样的无日志记录 VPN 来保护个人身份数据不被在线收集。
VPN 能否保护我免受数据记录的影响？
许多互联网用户求助于 VPN 来在网络上实现匿名，并避免在线商业服务的数据记录行为。但是，必须说明的是，没有任何一款 VPN 能够提供完全的网络匿名性。但那些致力于自由开放互联网的 VPN（例如 Psiphon）会在其服务中融入强有力的安全措施，以保护用户的隐私。通过使用 VPN 代理，互联网流量无法归因于特定用户，但用户仍然可以连接并参与使用互联网服务。
为了赢得用户的信任并提高个人隐私保护，市面上的商业 VPN 通常会强调无日志政策。他们声称会丢弃所有使用记录，从而让追踪成为不可能。然而，许多 VPN 服务协议并没有对此类政策提供详细的解释。为了创建账户或开启加密会话，VPN 可能会要求提供某些详细的用户信息。再次强调，仔细阅读服务条款并判断是否信任该 VPN 的责任落在了用户个人身上。
互联网的架构决定了为了进行在线通信，必须交换某些信息。如果没有正常工作的 IP 地址（包括 VPN 用户的合法 IP 地址），就无法发送或接收任何数据。然而，由于本文评估的各项立法均未强制要求 VPN 将用户数据存储特定时长，因此 Psiphon 和其他 VPN 服务的核心价值观可能会促使它们在加密会话终止后立即从其网络中清除此类信息。
是什么让 Psiphon 与传统的 VPN 服务与众不同？很简单，我们因互联网自由而生，也主要为了互联网自由而存在。从设计上讲，Psiphon 平台不存储任何有关最终用户浏览会话的个人身份信息。由于使用 Psiphon 不需要账户，该软件实际上无法创建或存储与任何单个用户相关的信息。因此不会留下任何使用记录，这让那些规避监控或担心个人身份信息泄露给未经授权方的人感到安心：使用 Psiphon 网络无法被归因于特定用户或地理位置。
为了确保我们的网络保持高效并随着需求水平的变化而扩展，我们进行内部数据评估，其中包括在国家级别汇总的流量和用户位置信息。6 这是该服务保留的最详细的信息。但例如，即使有恶意的外部攻击者入侵了这些统计信息，也不会有任何个人身份信息面临风险。
--
作者：Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 同上，第 26 段。
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 但是，只有当一个国家内的使用量超过某个阈值， 使得在统计上不可能通过对该城市内活跃连接数的评估 来识别单个用户之后， 才会自动汇总城市级别的数据。