Предприятия должны понимать риск услуг VPN

Как вы можете заметить из нашего недавнего обзора сервисов виртуальной частной сети (VPN), эти продукты существуют по многим причинам, не все из которых имеют отношение к бизнес-использованию. Например, маловероятно, что у вашего ИТ-персонала будет бизнес-причина для просмотра фильмов, которые активно блокируются в определенном географическом регионе, например, в Китае.

Вместо этого типичные причины, по которым бизнес должен использовать сервисный центр VPN, почти полностью связаны с безопасностью. Защита устройства с использованием VPN, защита его данных при передаче и защита бизнес-сети, к которой подключается VPN, - это охватывает множество основ. Вам также может понадобиться VPN для соответствия требованиям соответствия для передачи медицинской информации или финансовых данных. Возможно, вы хотите убедиться, что ваши конкуренты не видят, что вы делаете. Или, что более распространено в последнее время, вы не хотите, чтобы иностранное правительство похищало вашу интеллектуальную собственность (ИС).

Правильно настроенный VPN должен управлять всеми этими хитростями. Ваше соединение между двумя отдельными точками в Интернете зашифровано с помощью мощных алгоритмов, которые должны предотвращать перехват ваших сообщений кем бы то ни было - будь то из вашей конкурирующей фирмы через улицу или они работают на Ким Чен Уна. Или они будут?

Что на самом деле делает ваш VPN?

Это вопрос, который задают Министерство внутренней безопасности США (DHS) по поручению сенаторов Рона Уидена (D-OR) и Марко Рубио (R-FL). В письме Кристоферу К. Кребсу, директору недавно созданного «Агентства кибербезопасности и безопасности инфраструктуры», два сенатора отметили, что многие VPN-сервисы принадлежат корпорациям за пределами США, и что они могут иметь возможность извлекать информацию (те же данные, которые пользователи считали защищенными), а затем делиться ими с другими.

Итак, во-первых, возможно ли недобросовестному провайдеру VPN обмениваться сообщениями в расшифрованном виде с другими? И, во-вторых, возможно ли, что такой обмен действительно происходит?

Ответ на первый вопрос - однозначное «да». С чисто технической точки зрения, для провайдера вполне возможно делиться любой частной информацией, которую вы прокачиваете через свои каналы VPN. Ответ на второй вопрос, конечно, «возможно», потому что это зависит от поставщика, который управляет этой организацией, потенциально там, где они находятся, и, наконец, какова их этика. Это те вопросы, которые DHS просят определить.

Причина, по которой это возможно, заключается в том, как работает большинство провайдеров VPN. При настройке сеанса VPN вы создаете зашифрованный туннель между вашим компьютером или сетью и сервером в расположении поставщика VPN. С этого момента ваше соединение отправляется в конечный пункт назначения. Пока ваши данные проходят через серверы провайдера VPN, они могут находиться в незашифрованном состоянии и снова могут быть зашифрованы при отправке на другой конец вашего соединения.

Хотя некоторые провайдеры VPN хранят ваши данные в зашифрованном виде в течение всего процесса, некоторые могут этого не делать. И любой из них может расшифровать ваши данные, если они того пожелают. Риск заключается в том, что ваши данные тратятся на серверах провайдера VPN. Недобросовестный поставщик может отправить незашифрованную версию ваших данных кому-либо еще, пока они находятся в их распоряжении. Ввиду этого сценария, как вы защищаете свои бизнес-данные?

(Изображение предоставлено Statista)

Как защититься от потери данных

Во-первых, узнайте своего провайдера VPN. Если вы являетесь американской компанией, то вам необходимо понимать, что на поставщика VPN, базирующегося в США, распространяются законы США о защите данных; поставщик, расположенный в другом месте, не может. Аналогичным образом, если вы находитесь в Европе или другой стране, вам нужно знать, что ваши данные обрабатываются также в соответствии с местным законодательством.

Фрэнсис Динья, основатель и генеральный директор OpenVPN, сказал, что вы должны рассматривать это как красный флаг, если поставщик VPN находится за границей. «Когда у вас есть компания, работающая за пределами страны, вы подвергаете себя угрозам безопасности», - сказал он. «Кто знает, передаются ли данные на вашем устройстве кому-то еще?»

Динья отмечает, что существуют и другие красные флажки, в частности, предлагается ли VPN бесплатно. С бесплатным сервисом VPN вы - продукт, объясняет он. Это может означать, что использование вами VPN может подвергать вас рекламе, или вы можете обнаружить, что ваши действия делятся с другими в маркетинговых целях, или вы можете обнаружить, что ваши данные передаются организациям, которые не имеют ваших интересов в глубине души.

«Вы не должны использовать VPN, которая позволяет торрент или одноранговые соединения», сказал Динья. «Это может быть третья сторона, которая может установить вредоносный контент».

Эти сторонние одноранговые соединения также могут извлекать данные из вашей сети. Они могут разрешить своим клиентам устанавливать задние двери для последующего использования, и они могут предоставить им доступ к сетевым ресурсам в течение всего времени, в течение которого VPN активна. В то время как многие потребители и опытные пользователи технологии VPN могут посмеяться над этим советом - часто они используют конкретную VPN именно потому, что она позволяет использовать торрент и одноранговую связь - эти пользователи также хорошо осведомлены об этих потенциальных угрозах безопасности. Они готовы взять их и, вероятно, установили множество программ защиты конечных точек, чтобы компенсировать это. С другой стороны, большинство предприятий, скорее всего, занимаются просто передачей данных и безопасными удаленными соединениями, что означает, что дополнительные риски для конечных точек просто не стоят им.

Динья сказал, что любой VPN, в том числе базирующийся в США, может быть использован не по назначению, поэтому очень важно, чтобы вы проверили вашего провайдера VPN, чтобы убедиться, что он предоставляет услугу, которую вы считаете нужной. Он сказал, что хороший способ убедиться, что вы имеете дело с авторитетным поставщиком VPN, - это подтвердить, что компания пользуется уважением другими способами. Например, найдите компании, которые имеют основания в области безопасности, такие как компании по брандмауэрам или компании по разработке программного обеспечения для безопасности.

Один ключевой момент, сказал Динья, заключается в том, что вы никогда не должны использовать VPN, где вы не можете управлять сервером. Он также предлагает вам обеспечить полный контроль над управлением ключами. Опять же, с точки зрения бизнеса, это хорошая идея. Однако большинство потребителей не будут настраивать свои собственные VPN-серверы. На самом деле, основная идея потребительских VPN заключается в том, что они не обязаны это делать. Опытные пользователи и потребители должны сопоставлять свое время и ресурсы с преимуществами, полученными благодаря сквозному управлению их VPN. Предприятия могут позволить себе быть более хардкорными, особенно с постоянным ИТ-персоналом - и, вероятно, так и должно быть.

Какой вид VPN-решения использовать

В настоящее время вы, вероятно, думаете, что использование потребительской службы VPN, когда вы туннелируете на сервер в другой стране, который затем соединяет вас с сайтом, расположенным в другом месте, не является лучшей практикой для бизнеса. Динья соглашается, подчеркивая, что эти услуги действительно не были разработаны как бизнес-решения.

• Лучшие VPN-сервисы на 2019 год Лучшие VPN-сервисы на 2019 год
• Лучшие Linux VPN на 2019 год Лучшие Linux VPN на 2019 год
• Сенаторы США требуют проверки иностранных VPN-сетей из-за шпионского риска Сенаторы США требуют проверки иностранных VPN-сетей из-за шпионского риска

Вместо этого большинство предприятий должны использовать решение VPN, которое соединяет пользователей с собственным сервером компании без промежуточного шага через чужой сервер. Существует множество таких решений, некоторые от компаний, о которых вы никогда не слышали, а некоторые от компаний, известных как Cisco. Любые из них, но не все, совместимы с программным обеспечением OpenVPN с открытым исходным кодом, которое также широко используется и повторно продается другими поставщиками, поскольку оно превратилось в нечто де-факто стандартное в пространстве VPN.

Это, безусловно, сложнее настроить и реализовать, чем просто подписаться на облачную службу VPN, но разница в том, что вы подключаетесь напрямую к VPN-серверу, которым вы управляете, обычно расположенному на границе вашей собственной сети. Таким образом, ваши данные защищены, и они никогда не попадут в руки третьих лиц.