Сървърът на ExpressVPN, конфискуван в Турция, не показва нищо в случай на убийство, потвърждавайки политиката „без регистрация“
Турските власти конфискуваха VPN сървър, управляван от ExpressVPN, който според тях е бил използван за скриване на подробности относно убийството на руския посланик в Турция Андрей Карлов. Сървърът не съдържаше полезна информация за властите, които разследваха изтриването на възможни доказателства във Facebook и Gmail.
Служител на турската полиция, който не е на служба, застреля Карлов през декември 2016 г. на художествена изложба в турската столица Анкара. Сървърът беше конфискуван някъде през януари 2017 г., но подробностите, свързани с ExpressVPN, бяха разкрити едва наскоро. Случаят все още е отворен към момента на писане.
Властите нахлуха в центъра за данни и конфискуваха сървъра с надеждата да проследят все още неизвестно лице, което е изтрило акаунтите на убиеца във Facebook и Gmail, заедно с разговори, които биха могли да бъдат полезни за разследването. Този човек го направи под прикритието на ExpressVPN връзка, която маскира истинския IP адрес на потребителя и криптира интернет трафика. ExpressVPN казва, че не поддържа регистрационни файлове за активността на своите потребители, нито друга идентифицираща информация.
ExpressVPN издаде официален отговор тук .
„Както заявихме пред турските власти през януари 2017 г., ExpressVPN няма и никога не е притежавал регистрационни файлове за връзка с клиенти, които биха ни позволили да разберем кой клиент е използвал конкретните IP адреси, цитирани от разследващите. Освен това не успяхме да видим кои клиенти са имали достъп до Gmail или Facebook през въпросното време, тъй като не поддържаме регистрационни файлове за активност. Вярваме, че изземването и проверката на въпросния VPN сървър от следователите потвърди тези точки.
ExpressVPN сътрудничи на властите, но просто няма информация, която да даде по отношение на случая. Компанията е регистрирана на Британските Вирджински острови, където няма задължителни изисквания за запазване на данни. Такива припадъци не са необичайни, казва говорител на ExpressVPN пред Comparitech.
„Това не е първият път, когато служители на правоприлагащите органи са конфискували физически сървър“, обяснява говорителят. „Подходите от страна на правоприлагащите органи са част от нормалния ход на бизнеса за голям доставчик на VPN и това е една от причините да работим усилено, за да гарантираме, че нито един от нашите сървъри не съдържа данни, които биха могли да позволят на всеки да свърже онлайн дейността с конкретни потребители.“
Условията за използване на ExpressVPN забраняват използването на услугата му за незаконни дейности, но тъй като не следи и не съхранява записи за това какво правят клиентите, докато са свързани с VPN, има малко средства за прилагане.
Въпреки че обстоятелствата са неблагоприятни, случаят подкрепя твърденията на ExpressVPN за безмилостна поверителност на своите потребители. Услугата работеше точно както беше предвидено и обещано във време, когато много критици на VPN, сред които Едуард Сноудън, поставиха под съмнение подобни твърдения.
VPN мрежите са добри, но тяхната слабост е единствената точка на повреда: хакнете или извикайте тази една точка, за да видите всичко. https://t.co/iUxkbJsoK2
– Едуард Сноудън (@Snowden) 30 декември 2015 г
Политики за регистриране: четете между редовете
Но не всички VPN са толкова сериозни. През октомври 2017 г. полицията арестува клиент на PureVPN по обвинение в киберпреследване. Райън Лин използва PureVPN, за да скрие самоличността си, когато преследва и тормози своя бивш съквартирант. Когато агенти на ФБР се обърнаха към базираната в Хонконг компания, PureVPN предаде регистрационни файлове, които уличаваха Лин.
Вижте също: Най-добрите VPN без регистрация
PureVPN, подобно на ExpressVPN, твърди, че не поддържа никакви регистрационни файлове.
Подобен забележителен случай се случи през 2011 г., когато хакер на LulzSec в САЩ беше арестуван за ролята си в хакване срещу Sony Pictures. Cody Kretsinger използва VPN доставчика HideMyAss, за да скрие самоличността си. Когато ФБР издаде съдебна заповед, Твърди се, че HideMyAss е предал регистрационни файлове което уличава Крецингер, което води до ареста му.
HideMyAss също твърди, че не поддържа никакви регистрационни файлове. Струва си да се отбележи, че компанията вече е под нова собственост.
И така, какво разделя политиките за регистриране на ExpressVPN и доставчици като тези? Всичко се свежда до това какво точно се определя като „дневник“, прозрачност и как VPN доставчиците рекламират.
Когато HideMyAss и PureVPN твърдят, че нямат регистрация, това, което всъщност имат предвид, е, че не водят записи за активността на своите потребители. Те не записват подробности за посетените уеб страници, съдържанието на съобщенията или покупките, например. Те често се наричат дневници на трафика или дневници на дейността.
Те обаче записват информация закаке използван VPN, като например кога потребител се свързва и прекъсва връзката, колко данни се прехвърлят и, най-важното, реалните IP адреси на потребителите. Те са известни като регистрационни файлове с метаданни или регистрационни файлове на сесии. Повечето от тази информация е доста доброкачествена; не може директно да идентифицира потребителя.
Но IP адресите са различни. IP адресът е низ от числа и десетични знаци, който е уникален за конкретно устройство. VPN маскират истинските IP адреси на потребителите, но ако VPN компанията запише техния истински IP адрес, тогава властите могат да използват тази информация, за да проследят известната активност обратно до конкретно устройство и лицето, което го притежава. Един IP адрес може законно да не представлява самоличност, но може да се използва за потвърждаване на други доказателства.
HideMyAss и PureVPN, въпреки че твърдят, че не записват никакви регистрационни файлове в своите реклами, записват реалните IP адреси на потребителите. Техните реални политики за регистриране са заровени в дребния шрифт на съответните им политики за поверителност, които повечето потребители няма да си направят труда да прочетат.
ExpressVPN, както и по-голямата част от VPN мрежите, които препоръчваме в Comparitech, не съхраняват нито регистрационни файлове за активност, нито IP адреси. Няколко доставчици твърдят, че предоставят услуги с „нулева регистрация“, което означава, че не записват никаква информация за това какво правят клиентите им онлайн. Въпреки че това е идеално, бъдещите VPN клиенти трябва да бъдат скептични към подобни твърдения, особено от VPN, които са нови, безплатни, имат малко клиенти или имат история на регистриране.
ExpressVPN записва някои метаданни, включително „успешно активирани приложения и версии на приложения, дати (не часове), когато е свързан към VPN услугата, избор на местоположение на VPN сървър и общо количество (в MB) данни, прехвърлени на ден.“ Нищо от това не бе счетено за полезно от турските власти в случая Карлов.
Виртуални местоположения, несъвършено решение
През лятото на 2017 г. ExpressVPN беше остро критикуван за използването на „виртуални местоположения“. Потребители, които вярваха, че интернет трафикът им се насочва през VPN сървър на място като Пакистан или Шри Ланка, всъщност бяха свързани със сървъри в други страни. Докато IP адресът, присвоен на сървъра, е този на избраната държава, физическият сървър се намира другаде.
Изследователите твърдят, че ExpressVPN, заедно с PureVPN и HideMyAss, са представили погрешно своите услуги. Критиците твърдят, че това може да бъде катастрофално за хората, които вярват, че се свързват с истински сървър в определена страна. ExpressVPN даде този отговор по това време:
„За по-малко от 3% от сървърите на ExpressVPN регистрираният IP адрес съвпада с държавата, към която сте избрали да се свържете, докато сървърът е физически разположен в друга държава, обикновено наблизо. Те се наричат местоположения на виртуални сървъри и помагат да се гарантира, че връзката ви е бърза, сигурна и надеждна.“
След изземването на нейните сървъри в Турция, ExpressVPN спря да използва физически сървъри в Турция и вместо това премина към виртуално местоположение. В приложението ExpressVPN Турция все още е посочена като местоположение и свързването с нея ще даде на потребителите турски IP адрес, но физическият сървър се намира в Холандия.
Противно на казаното от критиците, инцидентът в Карлов подкрепя мотивите на ExpressVPN за използване на виртуални местоположения. В държави, в които трети страни като разузнавателни агенции могат да компрометират сигурността и поверителността на центровете за данни – където се намират повечето сървъри – има смисъл да се създаде виртуално местоположение с физически сървър в страна с по-строги регулации за поверителност на потребителите.
„Имаме строги стандарти за сървъри, които не само покриват способността за надеждно свързване и постоянно високи скорости, но също така и физическа сигурност и правна юрисдикция“, казва говорителят. „В някои страни може да е трудно да се намерят сървъри, които отговарят на тези квалификации. Местоположенията на виртуалните сървъри позволяват на потребителите да се свързват с такива държави, като същевременно осигуряват поверителността, сигурността и качеството на връзката, което очакват от ExpressVPN.“
Виртуалните местоположения служат като несъвършено решение за клиенти, които искат да се свържат с държава, но също така искат да се уверят, че получават поверителността, за която са платили. Вместо да правите общо изявление за това как всички виртуални местоположения са по някакъв начин нечестни, може би по-уместният проблем е липсата на прозрачност. Докато ExpressVPN сега изброява кои местоположения са виртуални и кои не на своя уебсайт , самото приложение ExpressVPN не прави никаква разлика между двете.
Актуализация на 21 декември 2017 г.:Добавени са цитати от говорител на ExpressVPN.
Кредит за най-високо изображение: Президент на Русия