Securitywatch: vpn nước ngoài của bạn nguy hiểm như thế nào?

Một câu chuyện đã lặng lẽ trở lại vào cuối tháng 5 mà tôi đã nhai kể từ đó. Nó kể lại cách các thành viên của Quốc hội Hoa Kỳ đã vặn vẹo rất nhiều về mối đe dọa từ các VPN nước ngoài . Mối quan tâm từ các nhà lập pháp là nếu bạn sử dụng VPN nước ngoài, thì chính phủ nước ngoài có thể nghe lén hoạt động của bạn. Các công ty nước ngoài, khẳng định, có thể dễ bị áp lực từ chính phủ nước ngoài hơn và các VPN nước ngoài này có thể cung cấp thông tin cá nhân hoặc thậm chí nội dung của các hoạt động trực tuyến của bạn.

Điều đó hoàn toàn có thể đúng, nhưng nó không kém phần đúng đối với VPN trong nước. VPN tạo kết nối được mã hóa giữa thiết bị của bạn và máy chủ được kiểm soát bởi công ty VPN. Lưu lượng truy cập của bạn đi qua đường hầm, ẩn nó khỏi những kẻ rình mò trên mạng cục bộ và từ ISP ISP của bạn, trớ trêu thay, Quốc hội đã nói có thể theo dõi bạn để kiếm lợi nhuận. Khi lưu lượng truy cập của bạn đến máy chủ VPN, nó sẽ thoát ra khỏi internet trước khi thực hiện chuyến đi trở về.

Điều này thực sự đặt VPN vào vai trò của ISP của bạn, trong đó họ có khả năng có thể thấy mọi thứ bạn làm trực tuyến. Đó là một trong những mối quan tâm lớn về VPN như một ngành công nghiệp và nó đúng với tất cả các VPN. VPN có trụ sở tại Hoa Kỳ có thể nghe lén hoạt động của bạn, chuyển thông tin của bạn cho cơ quan thực thi pháp luật Hoa Kỳ hoặc chịu khuất phục trước áp lực từ các cơ quan tình báo Hoa Kỳ. Đây là những rủi ro khi sử dụng bất kỳ VPN nào và chúng không bị thay đổi đáng kể khi chỉ cần chuyển các văn phòng của công ty đó sang múi giờ khác.

Địa điểm, địa điểm, địa điểm

VPN là công cụ bảo mật cơ bản và nếu họ làm một công việc tồi tệ để bảo vệ quyền riêng tư của khách hàng thì họ hy vọng sẽ làm một công việc tồi tệ cạnh tranh trên thị trường. Trên thực tế, rất nhiều cuộc thảo luận (thường xuyên bị nghi ngờ) xung quanh các công ty VPN là liệu họ có thực sự giữ kín thông tin của bạn hay không. VPN thường tìm cách ít nhất định vị mình là người quản lý thông tin đáng tin cậy của bạn, thường bằng cách xác định chính sách của công ty cấm thu thập thông tin người dùng, xuất bản chính sách bảo mật giải thích chi tiết và xây dựng quyền riêng tư vào sản phẩm thực tế của họ. Một xu hướng gần đây là các công ty ủy thác kiểm toán của bên thứ ba cho sản phẩm của họ, để củng cố tuyên bố về độ tin cậy.

Là một ví dụ về các loại dịch vụ VPN thực hiện để đảm bảo quyền riêng tư của bạn, Private Internet Access cấp cho bạn ID người dùng khi bạn tạo tài khoản. Điều này tách biệt với thông tin bạn cung cấp để xử lý khoản thanh toán đăng ký của bạn. Nếu nó hoạt động chính xác, điều này có nghĩa là công ty không thể xác định một người dùng cá nhân ngay cả khi bị buộc theo luật hoặc nếu thực thi pháp luật chiếm giữ các máy chủ của họ.

VPN thường tồn tại ở nhiều nơi cùng một lúc. AnchorFree, công ty đứng sau Hotspot Shield VPN, có trụ sở tại California với một văn phòng tại Zurich, Thụy Sĩ. Công ty cho biết họ hoạt động dưới quyền tài phán hợp pháp của Hoa Kỳ và Thụy Sĩ. Nó có phải là VPN nước ngoài không? Sản phẩm của AnchorFree được đổi thương hiệu và bán rộng rãi bởi các công ty khác, một số có trụ sở tại Mỹ và một số thì không. Là những VPN nước ngoài ?

Các công ty VPN thường có văn phòng tại một quốc gia trong khi hoạt động dưới quyền tài phán hợp pháp của quốc gia khác. Các công ty VPN cũng duy trì đội máy chủ trên toàn thế giới. Bất kỳ vị trí nào trong số này có thể khác với nơi mà công ty VPN thuộc thẩm quyền pháp lý.

Điều đó nói rằng, quyền tài phán hợp pháp là vấn đề, bởi vì đó là khuôn khổ mà dữ liệu của bạn sẽ được bảo vệ. Nhìn vào Quần đảo Virgin thuộc Anh, các công ty VPN đã cho thấy việc thực thi pháp luật địa phương sẽ không đơn giản chấp nhận lệnh bảo đảm được ban hành từ các chính phủ khác. Thay vào đó, những bảo đảm đó phải nhảy qua các vòng bổ sung trước khi chúng có thể được áp dụng cho một công ty ở Quần đảo Virgin thuộc Anh. Tương tự, các công ty VPN ở những nơi như Đức và Thụy Sĩ đã nhấn mạnh luật riêng tư mạnh mẽ của các quốc gia đó.

Tôi cần lưu ý ở đây rằng thật khó để xác minh rằng sử dụng dịch vụ ở một vị trí cụ thể sẽ thực sự giúp giữ an toàn cho dữ liệu của bạn.

Một cách VPN tìm cách bảo vệ khách hàng và tiếp thị bản thân, là thông qua vị trí của công ty. Chẳng hạn, NordVPN có trụ sở tại Panama, thực tế là nó quảng cáo là quyền riêng tư và bảo mật cho khách hàng vì luật pháp địa phương. ProtonVPN rất muốn chỉ ra rằng đó là Thụy Sĩ. Khi tôi xem xét VPN, tôi thường liệt kê vị trí và quyền tài phán hợp pháp của nó cùng với các giao thức và chính sách quyền riêng tư của VPN, bởi vì thực tế, vị trí của công ty VPN là một tính năng khác.

Vị trí cũng có thể có giá trị cảm xúc. Một số độc giả đã nói với tôi rằng họ không thể tin tưởng các công ty có trụ sở ở Đông Âu, vì sự liên kết của họ với các nhóm hack của Nga. Những người khác đã nói với tôi rằng bất kỳ VPN nào có trụ sở tại Hoa Kỳ đều không được chấp nhận vì lịch sử giám sát hàng loạt của đất nước này. VPN có trụ sở tại Hồng Kông (như bán khác biệt với Trung Quốc đại lục) thường bị tấn công với cáo buộc rằng nhà nước giám sát phải nắm chặt chúng. Nhiều người đưa ra một lập luận tương tự chống lại việc cho phép Huawei cung cấp thiết bị hạ tầng internet.

Các công ty này thường phản bác lại lập luận rằng các quy tắc đặc biệt của thành phố làm cho nó trở thành một vị trí tuyệt vời cho dữ liệu riêng tư.

Trên thực tế, có một trường hợp mạnh mẽ được đưa ra là Hoa Kỳ có một trong những hoạt động giám sát và thu thập dữ liệu tích cực nhất trên thế giới. Các công ty truyền thông xã hội đôi khi được đưa ra Thư bảo mật quốc gia bởi DHS, yêu cầu họ cung cấp thông tin và không tiết lộ họ đã làm như vậy. NSA vận hành những gì có lẽ là hoạt động đánh chặn dữ liệu lớn nhất mà thế giới từng thấy, một trong những ảnh hưởng đến công dân Mỹ cũng như các mục tiêu ở nước ngoài.

Ngoài ra, NSA đã bị cáo buộc lợi dụng vị trí quan trọng của Hoa Kỳ trong cơ sở hạ tầng dữ liệu, nhấn vào các dòng lưu lượng truy cập internet toàn cầu và bị cáo buộc sao chép nó trong thời gian thực có lẽ trớ trêu, cho rằng Hoa Kỳ đưa ra lập luận tương tự chống lại Huawei, như đã đề cập ở trên. Đó là chưa kể các thỏa thuận chia sẻ thông tin cho phép nhiều quốc gia đồng minh, bao gồm cả Mỹ, trao đổi thông tin tình báo bất kể vị trí. Với tất cả những điều này, thật khó để tranh luận với những người coi các công ty VPN có trụ sở tại Hoa Kỳ là một rủi ro tiềm ẩn.

Nó không (và không) có vấn đề

Nếu mọi thứ đều hoạt động chính xác, sẽ có một chút khác biệt giữa VPN nước ngoài và VPN có một số hoặc tất cả các văn phòng của nó ở Mỹ. Toán học làm cho công việc mã hóa không tôn trọng ranh giới. Tương tự như vậy, các biện pháp bảo vệ quyền riêng tư và bảo mật của người dùng được hiểu rõ và có thể được thực hiện ở bất cứ đâu. Nhiều công ty VPN chọn nơi đặt cơ sở cho các công ty của mình để hưởng lợi từ luật riêng tư địa phương hoặc có lẽ để thu hút phản ứng cảm xúc từ phía người tiêu dùng.

• Backstabbing, Thông tin sai lệch và Báo chí xấu: Trạng thái của ngành công nghiệp VPN Backstabbing, Thông tin sai lệch và Báo chí xấu: Trạng thái của ngành công nghiệp VPN
• Quyền riêng tư trực tuyến là quyền, không phải là xa xỉ Quyền riêng tư trực tuyến là quyền, không phải là xa xỉ
• Để cứu Internet, chúng ta phải phá vỡ nó để cứu Internet, chúng ta phải phá vỡ nó

Vấn đề là khi các công ty VPN không mã hóa mọi thứ đúng cách, hoặc khi họ, do sự thờ ơ hoặc cố ý, không tuân theo các thực tiễn tốt nhất để bảo vệ quyền riêng tư của người dùng. VPN bảo mật kém có thể là nước ngoài, nhưng nó cũng có thể được đặt trụ sở từ tôi. Thay vì tự hỏi về nơi các công ty có trụ sở chính hoặc "giá trị" nào họ có, Quốc hội nên hỗ trợ các phương pháp cho người dùng và nhà nghiên cứu để xác minh các khiếu nại của các công ty VPN.

Ngành công nghiệp bảo mật có đầy đủ các hoạt động tiếp thị được xây dựng xung quanh nỗi sợ hãi, sự không chắc chắn và nghi ngờ, gọi chung là FUD. Một cuộc thảo luận dài về VPN nước ngoài trong hội trường của Quốc hội rơi vào loại đó, đặc biệt là khi nhóm kết luận rằng bất kỳ mối đe dọa nào tồn tại là tối thiểu. FUD luôn có một mục đích và thay vì hỏi nơi tốt nhất để đặt VPN, có lẽ chúng ta nên tập trung vào lý do tại sao cuộc trò chuyện này xảy ra ở nơi đầu tiên.