VPN taisyklės JAV kariuomenei: privatumas vėl tampa saugumo klausimu

VPN saugumas ilgai buvo parduodamas labai paprastai: įsijunk, ir esi saugus.

Ars Technica rašo, kad JAV senatorius Ronas Wydenas paprašė Nacionalinio saugumo agentūros pateikti aiškesnes rekomendacijas, kokie VPN sprendimai tinka žmonėms, kuriuos gali sekti užsienio valstybės.

Ir čia gera pamoka visiems. Ne tik kariuomenei, žurnalistams ar gynybos rangovams.

VPN NĖRA MAGIŠKAS ŠALMAS

VPN užšifruoja ryšį tarp vartotojo ir serverio. Tai naudinga. Bet tunelis kažkur baigiasi, o ten jau atsiranda kiti klausimai.

Kas valdo serverį? Kas mato srautą po iššifravimo? Ar galima stebėti laiką, duomenų kiekį, ryšio modelius?

Kitaip sakant, VPN padeda nuo vienų rizikų, bet ne nuo visų. Reklamoje šita dalis dažnai nutylima.

METADUOMENYS YRA TYLI PROBLEMA

Net kai turinys užšifruotas, lieka metaduomenys: kada jungėtės, kiek duomenų keliavo, į kokius mazgus, kokiu ritmu.

Pažangesni stebėtojai gali naudoti tokius modelius profiliavimui. Čia jau nebe paprastas slaptažodžio klausimas.

Todėl Wydeno laiške minimi kelių šuolių sprendimai, Tor, Nym, Apple Private Relay, atsitiktiniai vėlinimai ir kitos techninės apsaugos.

KĄ PASIIMTI ĮMONĖMS

Įmonėms nereikia kiekvienam darbuotojui daryti žvalgybos tarnybos lygio schemos. Bet reikia nustoti sakyti „naudokit VPN“ kaip vienintelę saugumo taisyklę.

Skirtingi žmonės turi skirtingą riziką. Vadovai, teisininkai, finansai, pardavimai, administratoriai – jų prieigos ir duomenys skiriasi.

Saugumas prasideda nuo klausimo: nuo ko konkrečiai saugomės? Be šito VPN tampa lipduku ant neaiškaus proceso.

FAQ

Ar VPN visada apsaugo privatumą?

Ne. VPN padeda šifruoti ryšį iki serverio, bet nepašalina visų metaduomenų ir pasitikėjimo tiekėju rizikų.

Kodėl JAV prašo NSA rekomendacijų?

Senatorius Ronas Wydenas nori aiškesnių gairių žmonėms, kuriems gali grėsti pažangesnis užsienio stebėjimas.

Ką reiškia kelių šuolių apsauga?

Tai ryšio nukreipimas per kelis mazgus, kad vienas taškas nematytų visos vartotojo veiklos grandinės.

Šaltinis: Ars Technica.

Jei saugumo taisyklė jūsų įmonėje telpa į vieną sakinį, ji greičiausiai per trumpa. Pradėkite nuo rizikų sąrašo, tada rinkitės įrankius.