Sikkerhedsur: hvor farlig er din udenlandske VPN?

En historie brød roligt tilbage i slutningen af ​​maj, som jeg har tygget på lige siden. Den fortæller, hvordan medlemmer af den amerikanske kongres gjorde en masse håndsvingning om truslen fra udenlandske VPN'er. Bekymringen fra lovgivere var, at hvis du bruger en udenlandsk VPN, så kunne en udenlandsk regering aflyse din aktivitet. Udenlandske virksomheder, hævdes det, kan være mere modtagelige for pres fra udenlandske regeringer, og at disse udenlandske VPN'er kunne udlevere personlige oplysninger eller endda indholdet af dine online aktiviteter.

Det stemmer måske alt sammen, men det er ikke mindre sandt for indenlandske VPN'er. En VPN opretter en krypteret forbindelse mellem din enhed og en server kontrolleret af VPN-virksomheden. Din trafik rejser gennem tunnelen og skjuler den for snoopere på et lokalt netværk og fra din internetudbyder - hvilket ironisk nok har Kongressen sagt kan spionere på dig for fortjeneste. Når din trafik når VPN-serveren, kører den ud til internettet, før du foretager returflyvningen.

Dette sætter effektivt VPN'er i rollen som din internetudbyder, idet de potentielt kan se alt hvad du gør online. Det er en af ​​de store bekymringer omkring VPN'er som branche, og det er sandt for alle VPN'er. En VPN med base i USA kunne tænde på din aktivitet, overdrage dine oplysninger til amerikansk retshåndhævelse eller bukke under for pres fra amerikanske efterretningsbureauer. Dette er risikoen ved at bruge en VPN, og de ændres ikke væsentligt ved blot at flytte det pågældende virksomheds kontorer til en anden tidszone.

Beliggenhed, beliggenhed, beliggenhed

VPN'er er grundlæggende værktøjer til privatlivets fred, og hvis de gør et dårligt job med at beskytte kundernes privatliv, vil de forhåbentlig gøre et dårligt job, der konkurrerer på markedet. Faktisk er mange af den (ofte tvivlsomme) diskurs omkring VPN-virksomheder, om de virkelig holder dine oplysninger private. VPN'er forsøger normalt mindst at placere sig selv som pålidelige forvaltere af dine oplysninger, normalt ved at definere firmapolitik, der forbyder indsamling af brugeroplysninger, offentliggør en privatlivspolitik, der forklarer detaljerne, og bygger privatliv i deres faktiske produkt. En nylig tendens er, at virksomhederne skal foretage tredjepartsrevisioner af deres produkt for at styrke påstande om pålidelighed.

Som et eksempel på, hvilke typer trin VPN-tjenester tager for at sikre dig dit privatliv, udsteder Private Internet Access dig et bruger-id, når du opretter en konto. Dette er adskilt fra de oplysninger, du giver til behandling af din abonnementsbetaling. Hvis det fungerer korrekt, betyder det, at virksomheden ikke kunne identificere en individuel bruger, selvom den er tvunget til loven, eller hvis retshåndhævelse beslaglagde sine servere.

VPN'er findes ofte mange steder på én gang. AnchorFree, virksomheden bag Hotspot Shield VPN, er baseret i Californien med et kontor i Zürich, Schweiz. Virksomheden siger, at det opererer under amerikansk og schweizisk juridisk jurisdiktion. Er det en udenlandsk VPN? AnchorFrees produkt er bredt omdannet og solgt af andre virksomheder, nogle med base i USA og andre ikke. Er de udenlandske VPN'er?

VPN-virksomheder har ofte kontorer i et land, mens de opererer under et andet juridisk jurisdiktion. VPN-virksomheder opretholder også serverflåder rundt om i verden. Enhver af disse placeringer kan være forskellige fra, hvor VPN-virksomheden er under lovlig jurisdiktion.

Når det er sagt, er juridisk jurisdiktion vigtig, for det er den ramme, under hvilken dine data vil blive beskyttet. Ser man på De Britiske Jomfruøer, har VPN-selskaber spillet op, hvordan lokal retshåndhævelse ikke blot vil acceptere warrants udstedt fra andre regeringer. I stedet skal disse tegningsoptioner hoppe gennem yderligere bøjler, før de kan anvendes til et selskab på De Britiske Jomfruøer. Tilsvarende har VPN-virksomheder på steder som Tyskland og Schweiz lagt vægt på disse lands stærke privatlivslovgivning.

Jeg skal her bemærke, at det er vanskeligt at bekræfte, at brug af en tjeneste på et bestemt sted faktisk vil hjælpe med at holde dine data sikre.

En måde VPN'er søger at beskytte kunder og markedsføre sig selv er gennem virksomhedens placering. NordVPN er for eksempel baseret i Panama, en kendsgerning, at det reklameres som privatliv og sikkerhed velsigne for kunderne på grund af lokal lovgivning. ProtonVPN er interesseret i at påpege, at det er schweizisk. Når jeg gennemgår en VPN, angiver jeg normalt dens placering og lovlige jurisdiktion sammen med VPN-protokoller og privatlivspolitik, fordi effektivt er et VPN-virksomheds placering en anden funktion.

Placering kan også have følelsesmæssig værdi. Nogle læsere har fortalt mig, at de ikke kan stole på virksomheder med base i Østeuropa på grund af deres tilknytning til russiske hackinggrupper. Andre har fortalt mig, at enhver VPN, der er baseret i USA, er uacceptabel på grund af dette lands historie med masseovervågning. VPN'er med base i Hong Kong (som semi-adskilt fra det kinesiske fastland) angribes ofte med beskyldninger om, at overvågningstaten skal have et stramt greb om dem. Mange hævder et lignende argument mod at give Huawei mulighed for at levere internetinfrastrukturudstyr.

Disse virksomheder imødekommer ofte argumentet om, at byens særlige regler gør det til et fremragende sted for private data.

Der er faktisk en stærk sag, der skal gøres, at USA har en af ​​de mest aggressive overvågnings- og dataindsamlingsoperationer i verden. Sociale medievirksomheder får undertiden nationale sikkerhedsbreve fra DHS, som kræver, at de udleverer information og ikke afslører, at de har gjort det. NSA opererede, hvad der måske er den største datainceptionsoperation, verden nogensinde har set, en, der berørte amerikanske borgere såvel som oversøiske mål.

Derudover er NSA blevet beskyldt for at drage fordel af De Forenede Staters kritiske position inden for datainfrastruktur, ved at trykke på de linjer, som den globale internettrafik strømmer igennem og angiveligt kopiere den i realtid - måske ironisk nok, i betragtning af at USA fremsætter det samme argument mod Huawei, som nævnt ovenfor. For ikke at nævne de informationsdelingsaftaler, der gør det muligt for mange allierede nationer, herunder USA, at bytte efterretninger uanset placering. I betragtning af alt dette er det svært at diskutere med mennesker, der ser amerikanske-baserede VPN-virksomheder som en potentiel risiko.

Det betyder (og gør ikke) spørgsmål

Hvis alt fungerer korrekt, skal der være lille forskel mellem en udenlandsk VPN og en, der har nogle eller alle sine kontorer i USA. Den matematik, der laver krypteringsarbejde, respekterer ikke grænser. Ligeledes er forholdene til beskyttelse af brugernes privatliv og sikkerhed godt forstået og kan implementeres overalt. Mange VPN-virksomheder vælger, hvor de skal basere deres virksomheder for at drage fordel af den lokale privatlivslovgivning, eller måske for at appellere til en følelsesladet reaktion fra forbrugernes side.

• Backstabbing, desinformation og dårlig journalistik: VPN-branchens tilstand Backstabbing, disinformation og dårlig journalistik: VPN-branchens tilstand
• Online privatliv er en ret, ikke en luksus Online privatliv er en ret, ikke en luksus
• For at redde internettet, er vi nødt til at bryde det for at redde internettet, vi er nødt til at bryde det

Det, der betyder noget, er, når VPN-virksomheder ikke krypterer ting ordentligt, eller når de af uvidenhed eller bevidsthed ikke følger bedste praksis for at beskytte deres brugers privatliv. En dårlig sikret VPN er måske udenlandsk , men den kunne også have hovedkvarter ned ad gaden fra mig. I stedet for at undre sig over, hvor virksomheder har hovedkontor, eller hvilke "værdier" de har, skal Kongressen understøtte metoder til brugere og forskere til at verificere påstandene fra VPN-virksomheder.

Sikkerhedsbranchen er fuld af markedsføring bygget rundt frygt, usikkerhed og tvivl - samlet kaldet FUD. En lang diskussion om udenlandske VPN'er i kongreshaller falder i denne kategori, især når gruppen konkluderer, at uanset hvilke trusler der er, er minimale. FUD har altid et formål, og i stedet for at spørge, hvor det bedste sted er at placere en VPN, bør vi måske fokusere på, hvorfor denne samtale skete i første omgang.