Bedrijven moeten het risico van VPN-services begrijpen

Zoals u kunt zien in ons recente overzicht van VPN-services (Virtual Private Network), bestaan ​​deze producten om veel redenen, die niet allemaal relevant zijn voor zakelijk gebruik. Het is bijvoorbeeld onwaarschijnlijk dat uw IT-personeel een zakelijke reden heeft om films te bekijken die actief worden geblokkeerd in een specifieke geografische regio zoals bijvoorbeeld China.

In plaats daarvan zijn de typische redenen waarom een ​​bedrijf een VPN-servicecentrum bijna volledig moet gebruiken rond beveiliging. Het beschermen van het apparaat met behulp van de VPN, het beschermen van de gegevens tijdens het transport en het beschermen van het bedrijfsnetwerk waarmee de VPN verbinding maakt - dat zijn veel basissen. Mogelijk hebt u ook een VPN nodig om te voldoen aan compliancevereisten voor de overdracht van gezondheidsgerelateerde informatie of financiële gegevens. Misschien wilt u ervoor zorgen dat uw concurrenten niet kunnen zien wat u van plan bent. Of wat de laatste tijd vaker voorkomt, u wilt niet dat een buitenlandse overheid uw intellectueel eigendom (IP) overhevelt.

Een goed geconfigureerde VPN zou al deze trucs moeten beheren. Uw verbinding tussen twee afzonderlijke punten op internet wordt gecodeerd met behulp van krachtige algoritmen die moeten voorkomen dat iemand - of hij nu van uw concurrerende bedrijf aan de overkant is of dat hij voor Kim Jong-Un werkt - uw communicatie onderschept. Of zullen ze?

Wat doet uw VPN echt?

Dat is de vraag die wordt gesteld door het Amerikaanse ministerie van Binnenlandse Veiligheid (DHS) in opdracht van senatoren Ron Wyden (D-OR) en Marco Rubio (R-FL). In een brief aan Christopher C. Krebs, directeur van het nieuw gevormde 'Cybersecurity and Infrastructure Security Agency', merkten de twee senatoren op dat veel VPN-services eigendom zijn van bedrijven buiten de VS en dat ze mogelijk de mogelijkheid hebben om informatie te extraheren (de dezelfde gegevens waarvan gebruikers dachten dat deze beschermd waren) en deze vervolgens delen met anderen.

Dus, ten eerste, is het mogelijk voor een gewetenloze VPN-provider om communicatie in gedecodeerde vorm met anderen te delen? En ten tweede, is het waarschijnlijk dat dergelijk delen daadwerkelijk gebeurt?

Het antwoord op de eerste vraag is een ondubbelzinnig "ja". Vanuit een puur technisch perspectief is het voor een provider heel goed mogelijk om alle privé-informatie die u door zijn VPN-pijpen pompt te delen. Het antwoord op de tweede vraag is natuurlijk "misschien", omdat het afhankelijk is van de provider, die die organisatie beheert, mogelijk waar ze zich bevinden, en ten slotte, wat hun ethiek is. Dat zijn de vragen die het DHS wordt gesteld om te bepalen.

De reden dat het mogelijk is, is vanwege de manier waarop de meeste VPN-providers werken. Wanneer u de VPN-sessie instelt, maakt u een gecodeerde tunnel tussen uw computer of netwerk en een server op de locatie van de VPN-provider. Vanaf dat moment wordt uw verbinding naar de uiteindelijke bestemming verzonden. Terwijl uw gegevens door de servers van de VPN-provider gaan, kunnen deze zich in een niet-gecodeerde status bevinden en kunnen ze opnieuw worden gecodeerd wanneer ze naar het andere uiteinde van uw verbinding worden verzonden.

Hoewel sommige VPN-providers uw gegevens gedurende het hele proces versleuteld houden, kunnen sommige dat niet. En elk van hen kan uw gegevens decoderen als ze dat willen. Het risico ligt in de tijd dat uw gegevens op de servers van de VPN-provider doorbrengen. Een gewetenloze provider kan een niet-gecodeerde versie van uw gegevens naar iemand anders sturen terwijl deze in hun bezit is. Hoe beschermt u uw zakelijke gegevens in het licht van dat scenario?

(Afbeelding tegoed: Statista)

Hoe te beschermen tegen gegevensverlies

Ken eerst uw VPN-provider. Als u een in de VS gevestigd bedrijf bent, moet u zich realiseren dat een in de VS gevestigde VPN-provider onder de Amerikaanse wetgeving inzake gegevensbescherming valt; een provider die zich elders bevindt, mag dat niet. Evenzo, als u zich in Europa of een ander land bevindt, wilt u misschien weten dat uw gegevens ook worden verwerkt in overeenstemming met uw lokale wetgeving.

Francis Dinha, oprichter en CEO van OpenVPN, zei dat je het als een rode vlag moet beschouwen als een VPN-provider zich in het buitenland bevindt. "Als je een bedrijf hebt dat in het buitenland actief is, stel je jezelf bloot aan veiligheidsrisico's, " zei hij. "Wie weet of de gegevens op uw apparaat met iemand anders worden gedeeld?"

Dinha wijst erop dat er andere rode vlaggen zijn, met name of een VPN gratis wordt aangeboden. Met een gratis VPN-service ben jij het product, legt hij uit. Dit kan betekenen dat uw VPN-gebruik u kan blootstellen aan adverteren, of dat uw activiteiten worden gedeeld met anderen voor marketingdoeleinden, of dat uw gegevens worden gedeeld met entiteiten die uw belangen niet behartigen.

"Je zou geen VPN moeten gebruiken die torrenting of peer-to-peer verbindingen toestaat, " zei Dinha. "Het kan een derde partij zijn die schadelijke inhoud kan installeren."

Die peer-to-peer-verbindingen van derden kunnen ook gegevens uit uw netwerk extraheren. Ze kunnen hun klanten toestaan ​​om achterdeuren te installeren voor later gebruik, en ze kunnen hen toegang geven tot netwerkactiva gedurende de hele tijd dat de VPN actief is. Hoewel veel consumenten en power users van VPN-technologie dit advies bespotten - vaak gebruiken ze een bepaalde VPN specifiek omdat het torrenting en peer-to-peer gebruik mogelijk maakt - deze gebruikers zijn zich ook goed bewust van deze potentiële beveiligingsrisico's. Ze zijn bereid om ze te nemen en ze hebben waarschijnlijk veel eindpuntbeschermingssoftware geïnstalleerd om dit te compenseren. De meeste bedrijven daarentegen zijn waarschijnlijk gewoon betrokken bij datatransmissie en veilige externe verbindingen, wat betekent dat extra eindpuntrisico's hen gewoon niet waard zijn.

Dinha zei dat elke VPN, inclusief die in de VS, kan worden misbruikt, dus het is van cruciaal belang dat u uw VPN-provider controleert om ervoor te zorgen dat deze de service biedt die u denkt te krijgen. Hij zei dat een goede manier om ervoor te zorgen dat je te maken hebt met een gerenommeerde VPN-provider, is om te bevestigen dat het bedrijf op andere manieren bekend is. Zoek bijvoorbeeld bedrijven met een beveiligingsniveau, zoals firewallbedrijven of beveiligingssoftwarebedrijven.

Een belangrijk punt, zei Dinha, is dat je nooit een VPN moet gebruiken waar je de server niet kunt besturen. Hij stelt ook voor dat u ervoor moet zorgen dat u volledige controle hebt over het sleutelbeheer. Nogmaals, vanuit een zakelijk perspectief is dit een goed idee. De meeste consumenten zullen echter niet hun eigen VPN-servers opzetten. Eigenlijk is het hele idee achter VPN's voor consumenten dat ze dit niet hoeven te doen. Hoofdgebruikers en consumenten moeten hun tijd en middelen afwegen tegen de voordelen van end-to-end controle van hun VPN's. Bedrijven kunnen het zich veroorloven om meer hardcore te zijn, vooral bedrijven met permanent IT-personeel - en dat zouden ze waarschijnlijk ook moeten zijn.

Wat voor soort VPN-oplossing te gebruiken

Inmiddels denk je waarschijnlijk dat het gebruik van een VPN-service voor consumenten waarbij je een tunnel in een ander land binnentreedt, die je vervolgens verbindt met een site elders, geen goede praktijk is. Dinha is het daarmee eens en benadrukt dat die diensten niet echt als bedrijfsoplossingen zijn ontwikkeld.

• De beste VPN-services voor 2019 De beste VPN-services voor 2019
• De beste Linux VPN's voor 2019 De beste Linux VPN's voor 2019
• Amerikaanse senatoren eisen onderzoek naar buitenlandse VPN's over spionagerisico Amerikaanse senatoren eisen onderzoek naar buitenlandse VPN's over spionagerisico

Wat de meeste bedrijven zouden moeten doen, is een VPN-oplossing gebruiken die gebruikers verbindt met de eigen server van het bedrijf zonder een tussenstap via de server van iemand anders. Er zijn veel van dergelijke oplossingen beschikbaar, sommige van bedrijven waar je nog nooit van hebt gehoord en sommige van bedrijven die zo bekend staan ​​als Cisco. Elk van deze, maar niet alle, is compatibel met OpenVPN's open-source software, die ook op grote schaal wordt gebruikt en opnieuw wordt verkocht door andere leveranciers omdat het is uitgegroeid tot iets van een de facto standaard in de VPN-ruimte.

Dit is zeker moeilijker te configureren en te implementeren dan alleen aanmelden voor een VPN-cloudservice, maar het verschil is dat u rechtstreeks verbinding maakt met een VPN-server die u beheert, meestal aan de rand van uw eigen netwerk. Op deze manier worden uw gegevens beschermd en komen deze nooit in handen van derden.