Securitywatch: насколько опасен ваш иностранный vpn?

В конце мая тихо разразилась история, которую я с тех пор пережевываю. В нем рассказывалось о том, как члены Конгресса США делали много уловок по поводу угрозы, которую представляют иностранные VPN. Опасения законодателей заключались в том, что если вы используете иностранный VPN, то иностранное правительство может подслушать вашу деятельность. Иностранные компании, как было заявлено, могут быть более подвержены давлению со стороны иностранных правительств, и что эти иностранные VPN могут передавать личную информацию или даже содержимое вашей онлайн-деятельности.

Все это может быть правдой, но это не менее верно для внутренних VPN. VPN создает зашифрованное соединение между вашим устройством и сервером, контролируемым компанией VPN. Ваш трафик проходит через туннель, скрывая его от злоумышленников в локальной сети и от вашего интернет-провайдера, что, по иронии судьбы, Конгресс заявил, что может шпионить за вами для получения прибыли. Когда ваш трафик достигает VPN-сервера, он отправляется в Интернет, прежде чем совершить обратную поездку.

Это действительно ставит VPN в роль вашего интернет-провайдера, поскольку они потенциально могут видеть все, что вы делаете онлайн. Это одна из самых больших проблем для VPN как отрасли, и это верно для всех VPN. VPN в США может подслушивать вашу деятельность, передавать вашу информацию в правоохранительные органы США или поддаваться давлению со стороны американских спецслужб. Это риски использования любого VPN, и они существенно не меняются, если просто переместить офисы этой компании в другой часовой пояс.

Местоположение, Местоположение, Местоположение

Виртуальные частные сети являются инструментами конфиденциальности, и если они плохо защищают конфиденциальность клиентов, то, мы надеемся, они плохо справятся с конкурентами на рынке. Фактически, много (часто сомнительных) рассуждений, окружающих VPN-компании, заключается в том, действительно ли они сохраняют вашу информацию конфиденциальной. Виртуальные частные сети обычно стремятся, по крайней мере, позиционировать себя как надежных хранителей вашей информации, обычно путем определения политики компании, которая запрещает сбор информации о пользователях, публикации политики конфиденциальности, которая объясняет детали, и встраивания конфиденциальности в их реальный продукт. Недавняя тенденция заключается в том, чтобы компании вводили сторонние аудиты своего продукта для поддержки требований надежности.

В качестве примера тех шагов, которые службы VPN предпринимают для обеспечения вашей конфиденциальности, При личном доступе в Интернет вам выдается идентификатор пользователя при создании учетной записи. Это отдельно от информации, которую вы предоставляете для обработки платежа по подписке. Если он работает правильно, это означает, что компания не смогла идентифицировать отдельного пользователя, даже если это было предписано законом или если правоохранительные органы захватили его серверы.

VPN часто существуют во многих местах одновременно. AnchorFree, компания, стоящая за Hotspot Shield VPN, базируется в Калифорнии с офисом в Цюрихе, Швейцария. Компания заявляет, что работает под юрисдикцией США и Швейцарии. Это иностранный VPN? Продукт AnchorFree широко переименовывается и продается другими компаниями, некоторые из которых находятся в США, а некоторые - нет. Это иностранные VPN?

VPN-компании часто имеют офисы в одной стране, работая под юрисдикцией другой страны. VPN-компании также поддерживают серверные парки по всему миру. Любое из этих мест может отличаться от того, где VPN-компания находится под юридической юрисдикцией.

Тем не менее, юридическая юрисдикция имеет значение, потому что это структура, в которой ваши данные будут защищены. Глядя на Британские Виргинские острова, VPN-компании придумали, как местные правоохранительные органы не будут просто принимать ордера, выданные другими правительствами. Вместо этого эти ордера должны пройти через дополнительные обручи, прежде чем они могут быть применены к компании на Британских Виргинских островах. Аналогичным образом, компании VPN в таких местах, как Германия и Швейцария, подчеркивают строгие законы о конфиденциальности этих стран.

Здесь я должен отметить, что трудно проверить, что использование службы в определенном месте на самом деле поможет сохранить ваши данные в безопасности.

Один из способов, с помощью которых VPN стремятся защитить своих клиентов и самостоятельно продвигать их, - это расположение компании. Например, NordVPN базируется в Панаме. Этот факт он рекламирует как благо конфиденциальности и безопасности для клиентов из-за местного законодательства. ProtonVPN стремится указать, что он швейцарский. Когда я проверяю VPN, я обычно перечисляю его местоположение и юридическую юрисдикцию наряду с протоколами VPN и политикой конфиденциальности, потому что фактически местоположение компании VPN является еще одной функцией.

Местоположение также может иметь эмоциональную ценность. Некоторые читатели сказали мне, что они не могут доверять компаниям, базирующимся в Восточной Европе, из-за их связи с российскими хакерскими группами. Другие говорили мне, что любой VPN, базирующийся в США, неприемлем из-за истории массового слежения в этой стране. Сети VPN, базирующиеся в Гонконге (в отличие от материкового Китая), часто подвергаются нападкам с обвинениями в том, что государство, осуществляющее наблюдение, должно их жестко контролировать. Многие выступают с аналогичным аргументом против того, чтобы позволить Huawei предоставлять оборудование для интернет-инфраструктуры.

Эти компании часто вступают в противоречие с аргументом о том, что особые правила города делают его отличным местом для личных данных.

На самом деле, есть веские основания утверждать, что в США проводится одна из самых агрессивных операций по наблюдению и сбору данных в мире. Компаниям, работающим в социальных сетях, иногда выдаются Письма о национальной безопасности DHS, которые требуют, чтобы они передавали информацию, а не раскрывали, что они это сделали. В АНБ была проведена, пожалуй, самая крупная операция по перехвату данных в мире, которая затрагивала граждан США, а также целевые объекты за рубежом.

Кроме того, АНБ было обвинено в том, что оно воспользовалось критическим положением Соединенных Штатов в области инфраструктуры данных, коснувшись линий, через которые проходит глобальный интернет-трафик, и предположительно копировало его в режиме реального времени - возможно, по иронии судьбы, учитывая, что США приводят тот же аргумент против Huawei, как упоминалось выше. Это не говоря уже о соглашениях об обмене информацией, которые позволяют многочисленным союзным государствам, включая США, обмениваться разведданными, независимо от их местонахождения. Учитывая все это, трудно спорить с людьми, которые считают американские VPN-компании потенциальным риском.

Это имеет (и не имеет) значение

Если все работает правильно, между иностранной VPN и той, которая имеет некоторые или все свои офисы в США, должно быть мало различий. Математика, которая заставляет шифрование работать, не уважает границы. Аналогичным образом, меры по защите конфиденциальности и безопасности пользователей хорошо понятны и могут быть реализованы где угодно. Многие VPN-компании выбирают, где разместить свои компании, чтобы воспользоваться местными законами о конфиденциальности или, возможно, обратиться к эмоциональной реакции со стороны потребителей.

• Backstabbing, дезинформация и плохая журналистика: состояние индустрии VPN Backstabbing, дезинформация и плохая журналистика: состояние индустрии VPN
• Конфиденциальность в Интернете - это право, а не роскошь
• Чтобы сохранить Интернет, мы должны сломать его Чтобы сохранить Интернет, мы должны сломать его

Важно то, что VPN-компании не шифруют вещи должным образом или когда они по незнанию или своеволию не следуют передовым методам защиты конфиденциальности своих пользователей. Плохо защищенный VPN может быть чужим , но он также может быть размещен вниз по улице от меня. Вместо того, чтобы задумываться о том, где находится штаб-квартира компаний или какие у них «ценности», Конгресс должен поддерживать методы, позволяющие пользователям и исследователям проверять заявления компаний VPN.

Индустрия безопасности полна маркетинга, построенного на страхе, неуверенности и сомнениях, которые в совокупности называются FUD. Длительная дискуссия об иностранных VPN в залах Конгресса попадает в эту категорию, особенно когда группа приходит к выводу, что любые существующие угрозы минимальны. У FUD всегда есть цель, и вместо того, чтобы спрашивать, где лучше всего разместить VPN, возможно, нам следует сосредоточиться на том, почему этот разговор вообще произошел.