Securitywatch: hoe gevaarlijk is uw buitenlandse VPN?

Eind mei brak er een rustig verhaal uit waar ik sindsdien op aan het kauwen ben. Het vertelde hoe leden van het Amerikaanse Congres veel handwring deden over de dreiging van buitenlandse VPN's. De zorg van wetgevers was dat als je een buitenlandse VPN gebruikt, een buitenlandse overheid je activiteit zou kunnen afluisteren. Buitenlandse bedrijven, zo beweerde het, zijn mogelijk gevoeliger voor druk van buitenlandse overheden en dat deze buitenlandse VPN's persoonlijke informatie of zelfs de inhoud van uw online activiteiten kunnen overhandigen.

Dat kan allemaal waar zijn, maar het is niet minder waar voor binnenlandse VPN's. Een VPN maakt een gecodeerde verbinding tussen uw apparaat en een server die wordt beheerd door het VPN-bedrijf. Uw verkeer reist door de tunnel en verbergt het voor snoopers op een lokaal netwerk en voor uw ISP - ironisch genoeg heeft het Congres gezegd dat het u kan bespioneren voor winst. Wanneer uw verkeer de VPN-server bereikt, verlaat deze vervolgens het internet voordat de terugreis wordt gemaakt.

Dit plaatst VPN's effectief in de rol van uw ISP, omdat ze mogelijk alles kunnen zien wat u online doet. Het is een van de grote zorgen over VPN's als industrie, en het geldt voor alle VPN's. Een in de VS gevestigde VPN kan uw activiteit afluisteren, uw informatie overhandigen aan de Amerikaanse wetshandhaving of bezwijken onder druk van Amerikaanse inlichtingendiensten. Dit zijn de risico's van het gebruik van een VPN en ze worden niet substantieel gewijzigd door de kantoren van dat bedrijf eenvoudig naar een andere tijdzone te verplaatsen.

Locatie, locatie, locatie

VPN's zijn fundamenteel privacyhulpmiddelen, en als ze slecht werk doen bij het beschermen van de privacy van klanten, zullen ze hopelijk slecht werk verrichten op de markt. Veel van het (vaak twijfelachtige) discours rond VPN-bedrijven is zelfs of ze uw informatie echt privé houden. VPN's proberen zich in het algemeen op zijn minst te positioneren als betrouwbare beheerders van uw informatie, meestal door het definiëren van bedrijfsbeleid dat het verzamelen van gebruikersinformatie verbiedt, het publiceren van een privacybeleid dat de details verklaart en het inbouwen van privacy in hun eigenlijke product. Een recente trend is dat bedrijven audits door derden laten uitvoeren om hun betrouwbaarheid te vergroten.

Als een voorbeeld van de soorten stappen die VPN-services nemen om u van uw privacy te verzekeren, geeft Private Internet Access u een gebruikers-ID wanneer u een account aanmaakt. Dit staat los van de informatie die u verstrekt om uw abonnementsbetaling te verwerken. Als het correct werkt, betekent dit dat het bedrijf geen individuele gebruiker kon identificeren, zelfs als dit door de wet werd gedwongen of als de politie haar servers in beslag nam.

VPN's bestaan ​​vaak op veel plaatsen tegelijk. AnchorFree, het bedrijf achter Hotspot Shield VPN, is gevestigd in Californië met een kantoor in Zürich, Zwitserland. Het bedrijf zegt dat het opereert onder Amerikaanse en Zwitserse wettelijke jurisdictie. Is het een buitenlandse VPN? Het product van AnchorFree wordt op grote schaal gerebrand en verkocht door andere bedrijven, sommige in de VS en andere niet. Zijn die buitenlandse VPN's?

VPN-bedrijven hebben vaak kantoren in het ene land en opereren onder de wettelijke jurisdictie van een ander. VPN-bedrijven onderhouden ook servervloten over de hele wereld. Elk van deze locaties kan verschillen van waar het VPN-bedrijf onder wettelijke jurisdictie valt.

Dat gezegd hebbende, juridische jurisdictie is belangrijk, want dat is het kader waaronder uw gegevens worden beschermd. Kijkend naar de Britse Maagdeneilanden, hebben VPN-bedrijven uitgelokt hoe lokale wetshandhavingsinstanties niet zomaar warrants van andere overheden zullen accepteren. In plaats daarvan moeten die warrants door extra hoepels springen voordat ze kunnen worden toegepast op een bedrijf op de Britse Maagdeneilanden. Evenzo hebben VPN-bedrijven in plaatsen als Duitsland en Zwitserland de sterke privacywetten van die landen benadrukt.

Ik moet hier opmerken dat het moeilijk is om te verifiëren dat het gebruik van een service op een bepaalde locatie daadwerkelijk helpt om uw gegevens te beschermen.

Een manier waarop VPN's proberen klanten te beschermen en zichzelf op de markt te brengen, is via de locatie van het bedrijf. NordVPN is bijvoorbeeld gevestigd in Panama, een feit dat het adverteert als privacy en veiligheid voor klanten vanwege de lokale wetgeving. ProtonVPN wil erop wijzen dat het Zwitsers is. Wanneer ik een VPN bekijk, vermeld ik meestal de locatie en juridische jurisdictie ervan naast de VPN-protocollen en het privacybeleid, omdat de locatie van een VPN-bedrijf effectief een andere functie is.

Locatie kan ook emotionele waarde hebben. Sommige lezers hebben me verteld dat ze bedrijven in Oost-Europa niet kunnen vertrouwen vanwege hun associatie met Russische hackgroepen. Anderen hebben me verteld dat elke in de VS gevestigde VPN onaanvaardbaar is vanwege de geschiedenis van massale surveillance in dit land. VPN's die zijn gevestigd in Hong Kong (als semi-gescheiden van het Chinese vasteland) worden vaak aangevallen met beschuldigingen dat de toezichtstoestand ze stevig in handen moet hebben. Velen voeren een soortgelijk argument aan tegen het toestaan ​​van Huawei om apparatuur voor internetinfrastructuur te leveren.

Deze bedrijven gaan vaak in tegen het argument dat de speciale regels van de stad het een uitstekende locatie maken voor privégegevens.

Er is zelfs een sterk argument dat de VS een van de meest agressieve surveillance- en gegevensverzamelingsoperaties ter wereld heeft. Social media-bedrijven krijgen soms National Security Letters van DHS, waarbij ze informatie moeten overhandigen en niet openbaar moeten maken dat ze dat hebben gedaan. De NSA beheerde misschien wel de grootste operatie voor het onderscheppen van gegevens die de wereld ooit heeft gezien, een operatie die zowel Amerikaanse burgers als overzeese doelen trof.

Bovendien is de NSA ervan beschuldigd gebruik te maken van de kritieke positie van de Verenigde Staten op het gebied van gegevensinfrastructuur, door de lijnen te trekken waardoor mondiaal internetverkeer stroomt en naar verluidt in realtime te kopiëren - misschien ironisch gezien de VS hetzelfde argument voert tegen Huawei, zoals hierboven vermeld. Om nog maar te zwijgen over de overeenkomsten voor het delen van informatie waarmee tal van geallieerde landen, waaronder de VS, inlichtingen kunnen uitwisselen, ongeacht de locatie. Gezien dit alles is het moeilijk om ruzie te maken met mensen die in de VS gevestigde VPN-bedrijven als een potentieel risico zien.

Het doet er (en niet) toe

Als alles goed werkt, zou er weinig verschil moeten zijn tussen een buitenlandse VPN en een VPN die sommige of alle kantoren in de VS heeft. De wiskunde waardoor codering werkt, respecteert geen grenzen. Evenzo zijn de maatregelen ter bescherming van de privacy en veiligheid van gebruikers goed begrepen en kunnen ze overal worden geïmplementeerd. Veel VPN-bedrijven kiezen waar ze hun bedrijf willen baseren om te profiteren van lokale privacywetten, of misschien om een ​​beroep te doen op een emotionele reactie van de kant van consumenten.

• Backstabbing, desinformatie en slechte journalistiek: de staat van de VPN-industrie Backstabbing, desinformatie en slechte journalistiek: de staat van de VPN-industrie
• Online privacy is een recht, geen luxe Online privacy is een recht, geen luxe
• Om het internet te redden, moeten we het breken. Om het internet te redden, moeten we het breken

Wat er toe doet is wanneer VPN-bedrijven dingen niet correct coderen, of wanneer ze door onwetendheid of opzettelijkheid geen best practices volgen om de privacy van hun gebruikers te beschermen. Een slecht beveiligde VPN is misschien buitenlands , maar het kan ook vanuit mijn hoofdkantoor op straat zijn gevestigd. In plaats van zich af te vragen waar bedrijven hun hoofdkantoor hebben of welke 'waarden' ze hebben, zou het Congres methoden moeten ondersteunen voor gebruikers en onderzoekers om de claims van VPN-bedrijven te verifiëren.

De beveiligingsindustrie zit vol met marketing die is opgebouwd rond angst, onzekerheid en twijfel - gezamenlijk FUD genoemd. Een lange discussie over buitenlandse VPN's in de zalen van het Congres valt in die categorie, vooral wanneer de groep concludeert dat alle bedreigingen minimaal zijn. FUD heeft altijd een doel, en in plaats van te vragen waar de beste plaats is om een ​​VPN te plaatsen, moeten we ons misschien concentreren op waarom dit gesprek überhaupt plaatsvond.