Kryds purevpn en linje, da den afslørede brugerinformation? | max virvel

"VPN-logfiler hjalp med at afmaske påståede 'netstalker" er en alarmerende overskrift, da hele pointen med at bruge et virtuelt privat netværk er at surfe ubemærket.

Men som registeret rapporterer, var det, hvad der skete med en mand ved navn Ryan Lin, der blev arresteret for at have gået sammen med sin tidligere værelseskammerat delvist, fordi Lins VPN-udbyder, PureVPN, hjalp feds i deres efterforskning ved at udlevere logfiler. Det lyder dårligt, men i dette tilfælde synes PureVPN i det mindste at have handlet inden for sin erklærede privatlivspolitik. Du kan stadig stole på VPN'er så meget, som du nogensinde har gjort.

Lad mig først være klar: Lin's påståede opførsel er grov. Efter sigende gik han enormt langt for at chikanere og demoralisere en kvinde. Politiet, der samarbejder med teknologiselskaber for at arrestere ham, er et eksempel på, at systemet fungerer, og det faktum, at han blev arresteret, viser, hvor langt vi er kommet ind på online-aktiviteter som faktiske forbrydelser. For bare få år siden ville doxxing af nogen ikke være inkluderet på en liste over svage kriminelle aktiviteter. Jeg håber, at enhver, der ville efterligne hans handlinger, tænker bedre på det som et resultat.

Med dette afsnit synes det klart, at denne mand ville være blevet arresteret uden de oplysninger, der er erhvervet fra PureVPN. Registeret rapporterer:

”Klagen afslørede, han begik en grundlæggende fejl ved at bruge en arbejdscomputer til nogle af sin kampagne, og selvom han var blevet afsluttet og operativsystemet blev geninstalleret på maskinen, var der fodspor, der blev efterladt for efterforskere at forbinde Lin med de 16 -måneders kampagne mod Smith."

Rapporten går ikke i detaljer om, hvilke oplysninger der blev inddrevet fra Lins arbejdscomputer, men deres involvering er betydelig. Sikkerhedsforskere er altid hurtige til at påpege, at hvis du kan få målets enhed, har du effektivt vundet.

Her er, hvad registeret siger, at efterforskere modtaget fra PureVPN:

"'Betydeligt var PureVPN i stand til at bestemme, at deres tjeneste blev adgang til af den samme kunde fra to oprindelige IP-adresser, ' hævder Feds (angiveligt, disse IP-adresser var på Lins arbejds- og hjemmeadresser)."

Det er let at læse det og antage, at PureVPN og måske alle VPN-virksomheder overvåger brugernes aktiviteter og er villige til at udlevere logfiler til efterforskere. Men jeg tror ikke, det er tilfældet. For mig lyder dette som PureVPN blot bekræftede, at dens service var logget ind af den samme kunde på to forskellige IP-adresser. Mange VPN'er registrerer oplysninger om brugernes oprindelse, normalt af datarutingårsager.

Artiklen siger også, "poster fra PureVPN viser, at der var adgang til de samme e-mail-konti fra den samme WANSecurity IP-adresse." Det er mere stump, men det lyder ikke som en bekræftelse af, at PureVPN overvåger brugeradfærd. På det højeste delte PureVPN den oprindelige IP-adresse, den adresse, mannen blev tilsluttet fra, og IP-adressen på VPN-serveren, som brugeren brugte.

I sin privatlivspolitik siger PureVPN et par vigtige ting.

"Vi har derfor ingen registrering af dine aktiviteter, f.eks. Hvilken software du brugte, hvilke websteder, du har besøgt, hvilket indhold du har downloadet, hvilke apps du brugte osv. Efter at du har oprettet forbindelse til nogen af ​​vores servere. Vores servere registrerer automatisk det tidspunkt, hvor du opretter forbindelse til nogen af ​​vores servere. Herefter og videre fører vi ikke poster over noget, der kan knytte en bestemt aktivitet til en bestemt bruger. Det tidspunkt, hvor en vellykket forbindelse oprettes med vores servere, regnes som en 'forbindelse' og den samlede båndbredde, der blev brugt under denne forbindelse, kaldes 'båndbredde'. Forbindelse og båndbredde holdes i fortegnelse for at opretholde kvaliteten af ​​vores service."

PureVPNs privatlivspolitik gør to ting tydelige. For det første at virksomheden indsamler e-mail-adresser (det er en del af dit login og virksomhedens faktureringssystem). Det er egentlig ikke en "ingen log" -politik og gør ingen krav om at være det. Den samler oplysninger om forbindelser på sit netværk, men ikke indholdet af brugeraktiviteter. For det andet ser virksomheden ud til at have oplysninger om, hvilke af dens servere der er adgang til af kunder.

PureVPNs privatlivspolitik har også dette at sige om emnet at samarbejde med efterforskninger:

"PureVPN er forpligtet til frihed og understøtter ikke kriminalitet. Vi vil kun dele oplysninger med myndigheder med gyldige stævninger, warrants, andre juridiske dokumenter eller med påståede ofre, der har klart bevis for en sådan aktivitet. Hvornår og hvis en kompetent domstol ordrer os, eller et påstået offer anmoder os (at vi nøje selvvurderer) om at frigive nogle oplysninger med korrekt bevis for, at vores tjenester blev brugt til enhver aktivitet, som du accepterede ikke at forkæle dig med, da du accepterede vores servicevilkår, så vil vi kun præsentere specifikke oplysninger om den specifikke aktivitet, forudsat at vi har registreringen af ​​en sådan aktivitet."

Kort sagt, PureVPN vil arbejde med efterforskere, der giver dem en gyldig legitimation. Efter intern evaluering af warranten vil PureVPN beslutte, om den skal overholdes eller ej. Den siger også, at den kun vil udlevere oplysninger, den har på hånden - ikke at det vil tillade, at dets netværk bruges til at spionere efter påståede kriminelle. Det er vigtigt, at PureVPN er baseret i Hong Kong. For VPN-brugere er dette faktisk temmelig godt, fordi Hong Kong ikke har nogen lov om datalagring, hvilket frigør PureVPN til at beslutte, hvad de skal opbevares, og hvor længe.

Jeg er ikke en juridisk ekspert, men det synes vigtigt, at et Kina-baseret selskab overholdt amerikanske efterforskere. Det antyder for mig, at virksomheden samarbejdede baseret på efterforskningens fortjeneste og ikke var retligt forpligtet til at gøre det, men det er spekulationer fra min side.

For mig lyder dette meget som metadata. Det er datoen og tidspunktet for forbindelsen, og sandsynligvis nogle oplysninger om indtastning og udgang af IP-adresser. Det er ikke vigtigt information om, hvor brugere gik derfra. Det betyder, at efterforskere skulle få disse oplysninger andetsteds og matche dem op til uanset information, der blev indhentet fra PureVPN.

Intet af dette er at nedtone betydningen af ​​metadata. NSA's massemetadatasamling var stødende på grund af dens omfang og det faktum, at uskyldige mennesker blev berørt. Det ser ikke ud til at være tilfældet her.

Er VPN'er pålidelige?

Lav ikke fejl: Når du bruger en VPN, har du tillid til dem med hidtil uset adgang til dine oplysninger. Dette er grunden til, at jeg tager det meget alvorligt, når et VPN-selskab beskyldes for eller er forkyndt med brugerdata, når det passerer gennem virksomhedens system. Dette er også grunden til, at det er så vigtigt at læse en virksomheds privatlivspolitik. Hvis du ikke kan finde det, eller det er så kompliceret, at det ikke kan læses, er det selskab måske ikke værd at bruge din tid. En privatlivspolitik er selvfølgelig bare ord, men vi er nødt til at starte et sted.

Det er også meget vigtigt at huske, at intet sikkerhedsværktøj er en magisk kugle, og at et målrettet angreb eller efterforskning næsten altid vil være en succes. VPN'er er bedst til at beskytte dine data fra at blive opfanget på dit lokale netværk og forhindre, at dine oplysninger fejes i masseovervågningsindsats. Hvis efterforskere allerede ser på dig som en mistænkt og har adgang til andre beviser, er disse beskyttelser allerede udsendt.

I tilfælde af PureVPN ser det ikke ud til, at virksomheden krænkede deres brugers tillid - ikke engang Lin, der angiveligt brugte tjenesten til kriminelle handlinger. Jeg vil kontakte firmaet for afklaring (og vil opdateres efter behov), men for mig lyder dette som et best-case-scenarie. En kriminel, en bestemt person, var målrettet til efterforskning, og et teknologiselskab overleverede den begrænsede information, den havde.

Jeg vil ikke slippe som en ren PureVPN-forsvarer. Snarere vil jeg have et modik af ro og forståelse omkring sikkerhedsværktøjer. Internettet blev ikke bygget med hensyn til privatlivets fred og sikkerhed, hvilket sætter brugeren på brug for at beskytte sig selv. Vi kan ikke være bange for disse værktøjer, og vi må alle lære, hvad de gør, og hvordan de bedst kan bruges.