Securitywatch: quina perillositat és el vostre vpn estranger?

A finals de maig, una història es va esborrar tranquil·lament que des de sempre he estat mastegant. Va exposar com els membres del Congrés dels Estats Units van treballar molt per sobre l'amenaça que representen les VPN estrangeres . La preocupació dels legisladors era que si utilitzeu una VPN estrangera , un govern estranger podria esclatar la vostra activitat. Les empreses estrangeres , va afirmar, podrien ser més susceptibles a la pressió dels governs estrangers i que aquestes VPN estrangeres podrien lliurar informació personal o, fins i tot, el contingut de les vostres activitats en línia.

Tot això pot ser cert, però no és menys cert que les VPN domèstiques. Una VPN crea una connexió xifrada entre el vostre dispositiu i un servidor controlat per l’empresa VPN. El trànsit viatja a través del túnel, amagant-lo dels amargadors d'una xarxa local i del vostre ISP, cosa que, irònicament, ha dit que el Congrés pot espiar-te amb benefici. Quan el trànsit arriba al servidor VPN, sortirà a Internet abans de realitzar el viatge de tornada.

Això fa que les VPN tinguin efectivament el paper del vostre proveïdor independent, ja que poden veure tot el que feu en línia. És una de les grans preocupacions sobre les VPN com a indústria i és cert per a totes les VPN. Una VPN amb seu als Estats Units podria afondar la vostra activitat, lliurar la informació a les autoritats nord-americanes o sucumbir a la pressió de les agències d’intel·ligència nord-americanes. Aquests són els riscos d’utilitzar cap VPN, i no es canvien substancialment simplement traslladant les oficines d’aquesta empresa a una zona horària diferent.

Ubicació, ubicació, ubicació

Les VPN són fonamentalment eines de privacitat i, si fan una mala feina protegint la privadesa del client, esperaran que es faci una mala feina competint al mercat. De fet, una gran quantitat de discurs (sovint qüestionable) sobre empreses VPN és si realment mantenen la vostra informació privada. Les VPN solen, al menys, posicionar-se com a administradors de confiança de la vostra informació, normalment definint la política de l’empresa que prohibeix la recollida d’informació de l’usuari, publicant una política de privadesa que expliqui els detalls i incorporant la privadesa al producte real. Una tendència recent és que les empreses encarreguin auditories de tercers del seu producte per reforçar les reclamacions de fiabilitat.

Com a exemple dels passos que fan els serveis VPN per assegurar-vos la vostra privadesa, l’accés a Internet privat us emetrà un identificador d’usuari quan creeu un compte. Això es separa de la informació que proporcioneu per processar el pagament de la subscripció. Si funciona correctament, això vol dir que l'empresa no podria identificar un usuari individual encara que estigués obligat per la llei o si l'aplicació de la llei s'apodera dels seus servidors.

Les VPN sovint existeixen a molts llocs alhora. AnchorFree, la companyia de la Hotspot Shield VPN, té la seu a Califòrnia amb una oficina a Zuric, Suïssa. La companyia diu que opera sota la jurisdicció legal dels Estats Units i Suïssa. És una VPN estrangera ? El producte d'AnchorFree és àmpliament rebrandat i venut per altres empreses, algunes amb base als Estats Units i altres no. Són VPN externs ?

Les empreses VPN solen tenir oficines en un país mentre operen sota la jurisdicció legal d’un altre. Les empreses VPN també mantenen flotes de servidors a tot el món. Qualsevol d’aquestes ubicacions podria ser diferent de la que l’empresa VPN està sota jurisdicció legal.

Dit això, és important la jurisdicció legal, perquè és el marc en què es protegiran les vostres dades. Mirant les Illes Verges Britàniques, les empreses VPN han explicat com les autoritats locals no acceptaran simplement les garanties emeses per part d'altres governs. En canvi, aquests requisits han de saltar per cèrcols addicionals abans que es puguin aplicar a una empresa de les Illes Verges Britàniques. De la mateixa manera, empreses VPN de llocs com Alemanya i Suïssa han posat èmfasi en les fortes lleis de privadesa d'aquests països.

Heuria de notar aquí que és difícil verificar que l'ús d'un servei en una ubicació determinada ajudarà a mantenir les vostres dades segures.

Una de les maneres que les VPN busquen protegir els clients i comercialitzar-se a si mateix és a través de la ubicació de l'empresa. NordVPN, per exemple, té la seva seu a Panamà, fet que fa publicitat com a garantia de privadesa i seguretat per als clients a causa de la legislació local. ProtonVPN té ganes de remarcar que és suís. Quan reviso una VPN, acostumo a enumerar la seva ubicació i la jurisdicció legal al costat dels protocols VPN i la política de privadesa, perquè efectivament, la ubicació d’una empresa VPN és una altra característica.

La ubicació també pot tenir valor emocional. Alguns lectors m’han dit que no poden confiar en empreses amb seu a l’Europa de l’Est per la seva associació amb grups de pirateria russos. Altres m'han dit que qualsevol VPN amb seu als Estats Units és inacceptable per la història de la vigilància massiva d'aquest país. Les VPN amb seu a Hong Kong (com a semi-diferenciades de la Xina continental) són sovint atacades amb acusacions que l'estat de vigilància ha de tenir un fort control. Molts diuen un argument similar en permetre a Huawei proporcionar equips d'infraestructura a Internet.

Sovint, aquestes empreses contraposen l'argument que les normes especials de la ciutat la converteixen en una ubicació excel·lent per a dades privades.

De fet, cal fer notar que els Estats Units tenen una de les operacions de vigilància i recollida de dades més agressives del món. A les empreses de mitjans de comunicació, de vegades, DHS lliura cartes de seguretat nacional que requereixen que lliurin informació i que no la divulguin. L’NSA va operar la que potser és la operació d’intercepció de dades més gran que el món hagi vist mai, una que va afectar ciutadans nord-americans i objectius a l’estranger.

A més, l’ACN ha estat acusat d’aprofitar la posició crítica dels Estats Units en la infraestructura de dades, de tocar les línies per on circula el trànsit global d’internet i suposadament copiar-la en temps real, potser irònicament, atès que els Estats Units fan el mateix argument. contra Huawei, com s'ha esmentat anteriorment. Sense oblidar els acords d’intercanvi d’informació que permeten a nombroses nacions aliades, inclosos els EUA, canviar d’intel·ligència independentment de la ubicació. Tenint en compte tot això, és difícil discutir amb persones que veuen les empreses VPN basades en Estats Units com un risc potencial.

Importa (i no importa)

Si tot funciona correctament, hi hauria una petita diferència entre una VPN estrangera i una que tingui algunes o totes les seves oficines als Estats Units. La matemàtica que fa que el xifrat funciona no respecta els límits. Així mateix, les mesures per protegir la privacitat i la seguretat dels usuaris són ben enteses i es poden implementar en qualsevol lloc. Moltes empreses VPN trien on basar-se les seves empreses per beneficiar-se de les lleis locals de privacitat o potser apel·len a una resposta emocional per part dels consumidors.

• Backstabbing, desinformació i periodisme dolent: l’estat de la indústria VPN Backstabbing, desinformació i mal periodisme: l’estat de la indústria VPN
• La privadesa en línia és un dret, no un luxe La privadesa en línia és un dret, no un luxe
• Per guardar Internet, hem de trencar-lo Per guardar Internet, l’hem de trencar

El que passa és que les empreses VPN no xifren les coses correctament, o quan, per ignorància o voluntat, no segueixen les bones pràctiques per protegir la privadesa dels seus usuaris. Una VPN mal assegurada pot ser estrangera , però també es podria tenir al carrer mateix al carrer. En lloc de preguntar-se sobre la seu de les empreses o quins "valors" tenen, el Congrés hauria de donar suport als mètodes perquè els usuaris i els investigadors verifiquin les reclamacions de les empreses VPN.

La indústria de la seguretat està plena de màrqueting construït al voltant de la por, la incertesa i el dubte, anomenats col·lectivament FUD. Una àmplia discussió sobre VPN estrangeres a les sales del Congrés entra dins d'aquesta categoria, sobretot quan el grup conclou que les amenaces existents són mínimes. FUD sempre té un propòsit i, en comptes de preguntar-nos on és el millor lloc per posar una VPN, potser ens hauríem de centrar en el primer lloc per què es va produir aquesta conversa.