¿Purevpn cruzó una línea cuando reveló información del usuario? El | max eddy

"Los registros de VPN ayudaron a desenmascarar al supuesto" acosador de la red "es un titular alarmante, ya que el objetivo de usar una red privada virtual es navegar sin ser notado.

Pero como informa The Register, eso es lo que sucedió con un hombre llamado Ryan Lin, quien fue arrestado por acoso cibernético a su ex compañero de habitación en parte porque el proveedor de VPN de Lin, PureVPN, ayudó a los federales en su investigación entregando registros. Eso suena mal, pero al menos en este caso, PureVPN parece haber actuado dentro de su política de privacidad establecida. Todavía puede confiar en las VPN tanto como lo hizo alguna vez.

Primero, déjenme ser claro: el supuesto comportamiento de Lin es grosero. Según los informes, hizo todo lo posible para hostigar y desmoralizar a una mujer. La policía que se asoció con compañías tecnológicas para arrestarlo es un ejemplo del funcionamiento del sistema, y ​​el hecho de que fue arrestado muestra cuán lejos hemos llegado respecto a las actividades en línea como delitos reales. Hace solo unos años, doxxing alguien no habría sido incluido en una lista de actividades criminales viles. Espero que cualquiera que emule sus acciones lo piense mejor como resultado.

Con eso a un lado, parece claro que este hombre habría sido arrestado sin la información adquirida de PureVPN. El registro informa:

"La queja reveló que cometió un error fundamental al usar una computadora de trabajo para parte de su campaña, y aunque fue cancelado y el sistema operativo reinstalado en la máquina, quedaron huellas para que los investigadores asociaran a Lin con el 16 de un mes contra Smith ".

El informe no entra en detalles sobre qué información se recuperó de la computadora de trabajo de Lin, pero su participación es significativa. Los investigadores de seguridad siempre se apresuran a señalar que si puede obtener el dispositivo del objetivo, efectivamente ha ganado.

Esto es lo que The Register dice que los investigadores recibieron de PureVPN:

"'Significativamente, PureVPN pudo determinar que el mismo cliente accedió a su servicio desde dos direcciones IP de origen', afirman los federales (supuestamente, esas direcciones IP estaban en las direcciones de trabajo y residencia de Lin)".

Es fácil leer eso y asumir que PureVPN, y tal vez todas las compañías de VPN, están monitoreando las actividades de los usuarios y están dispuestos a entregar registros a los investigadores. Pero no creo que ese sea el caso. Para mí, esto parece que PureVPN simplemente confirmó que su servicio fue iniciado por el mismo cliente en dos direcciones IP diferentes. Muchas VPN registran información sobre los orígenes de los usuarios, generalmente por razones de enrutamiento de datos.

El artículo también dice que "los registros de PureVPN muestran que se accedió a las mismas cuentas de correo electrónico desde la misma dirección IP de WANSecurity". Eso es más obtuso, pero no parece una confirmación de que PureVPN esté monitoreando el comportamiento del usuario. Como máximo, PureVPN compartió la dirección IP de origen, la dirección desde la cual se conectó el hombre y la dirección IP del servidor VPN que el usuario estaba usando.

En su política de privacidad, PureVPN dice algunas cosas importantes.

"Por lo tanto, no tenemos registro de sus actividades, como qué software utilizó, qué sitios web visitó, qué contenido descargó, qué aplicaciones utilizó, etc., después de conectarse a cualquiera de nuestros servidores. Nuestros servidores registran automáticamente el momento en que se conecta a cualquiera de nuestros servidores. De aquí en adelante, no guardamos ningún registro de nada que pueda asociar una actividad específica a un usuario específico. El momento en que se realiza una conexión exitosa con nuestros servidores se cuenta como una "conexión" y el ancho de banda total utilizado durante esta conexión se llama 'ancho de banda'. La conexión y el ancho de banda se mantienen en un registro para mantener la calidad de nuestro servicio ".

La política de privacidad de PureVPN deja en claro dos cosas. Primero, que la compañía recolecte direcciones de correo electrónico (es parte de su inicio de sesión y del sistema de facturación de la compañía). Realmente no es una política de "no registro" y no pretende serlo. Recopila información sobre las conexiones en su red, pero no el contenido de las actividades del usuario. En segundo lugar, la empresa parece tener información sobre a qué servidores acceden los clientes.

La política de privacidad de PureVPN también tiene esto que decir sobre el tema de cooperar con las investigaciones:

"PureVPN está comprometido con la libertad y no apoya el crimen, solo compartiremos información con autoridades que tengan citaciones válidas, órdenes de arresto, otros documentos legales o con presuntas víctimas que tengan pruebas claras de dicha actividad. Cuándo y si un tribunal competente nos ordena o una presunta víctima nos solicita (que nosotros mismos evaluamos rigurosamente) que divulguemos cierta información, con la evidencia adecuada, de que nuestros servicios se utilizaron para cualquier actividad que usted acordó no realizar cuando accedió a nuestros Términos de Servicio, entonces solo presentaremos información específica sobre esa actividad específica, siempre que tengamos el registro de dicha actividad ".

En resumen, PureVPN trabajará con investigadores que les presenten una orden judicial válida. Después de evaluar la orden internamente, PureVPN decidirá si cumple o no. También dice que solo entregará la información que tiene a mano, no que permitirá que sus redes se usen para espiar a presuntos delincuentes. Es importante destacar que PureVPN tiene su sede en Hong Kong. Para los usuarios de VPN, esto es bastante bueno porque Hong Kong no tiene leyes de retención de datos, lo que libera a PureVPN para decidir qué almacenar y por cuánto tiempo.

No soy un experto legal, pero parece significativo que una empresa con sede en China haya cumplido con los investigadores estadounidenses. Me sugiere que la compañía cooperó en base a los méritos de la investigación y no estaba legalmente obligada a hacerlo, pero eso es especulación de mi parte.

Para mí, esto se parece mucho a los metadatos. Es la fecha y hora de la conexión, y probablemente alguna información sobre las direcciones IP entrantes y salientes. No es, lo que es más importante, información sobre a dónde fueron los usuarios desde allí. Eso significa que los investigadores tuvieron que obtener esa información en otro lugar y compararla con la información obtenida de PureVPN.

Nada de esto es minimizar la importancia de los metadatos. La recopilación masiva de metadatos por parte de la NSA fue ofensiva debido a su escala y al hecho de que personas inocentes se vieron afectadas. Ese no parece ser el caso aquí.

¿Son confiables las VPN?

No se equivoque: cuando usa una VPN, confía en ellos con un acceso sin precedentes a su información. Es por eso que me lo tomo muy en serio cuando una compañía VPN es acusada o está alterando los datos del usuario a medida que pasan por el sistema de la compañía. Por eso también es tan importante leer la política de privacidad de una empresa. Si no puede encontrarlo o es tan complicado como para ser ilegible, es posible que esa compañía no valga la pena. Una política de privacidad son solo palabras, por supuesto, pero tenemos que comenzar en alguna parte.

También es muy importante recordar que ninguna herramienta de seguridad es una bala mágica, y que un ataque o investigación dirigida casi siempre tendrá éxito. Las VPN son mejores para proteger sus datos de ser interceptados en su red local y evitar que su información sea barrida en esfuerzos de vigilancia masiva. Si los investigadores ya lo están mirando como sospechoso y tienen acceso a otras pruebas, estas protecciones ya son discutibles.

En el caso de PureVPN, no parece que la compañía haya violado la confianza de sus usuarios, ni siquiera de Lin, quien supuestamente estaba usando el servicio para actos criminales. Me pondré en contacto con la empresa para obtener aclaraciones (y actualizaré según sea necesario), pero para mí esto parece el mejor de los casos. Un criminal, un individuo específico, fue blanco de investigación, y una compañía de tecnología entregó la información limitada que tenía.

No quiero parecer un defensor de PureVPN. Más bien, quiero un poco de calma y comprensión sobre las herramientas de seguridad. Internet no se creó teniendo en cuenta la privacidad y la seguridad, lo que obliga a los usuarios a protegerse. No podemos tener miedo de estas herramientas, y todos debemos aprender lo que hacen y cómo usarlas mejor.