Vigilancia de seguridad: ¿qué tan peligroso es su VPN extranjero?

A finales de mayo, una historia comenzó en silencio que he estado masticando desde entonces. Relató cómo los miembros del Congreso de los EE. UU. Criticaron mucho la amenaza que representaban las VPN extranjeras . La preocupación de los legisladores era que si usa una VPN extranjera , entonces un gobierno extranjero podría espiar su actividad. Afirmó que las compañías extranjeras podrían ser más susceptibles a la presión de los gobiernos extranjeros , y que estas VPN extranjeras podrían entregar información personal o incluso el contenido de sus actividades en línea.

Todo eso podría ser cierto, pero no es menos cierto para las VPN nacionales. Una VPN crea una conexión encriptada entre su dispositivo y un servidor controlado por la compañía VPN. Su tráfico viaja a través del túnel, ocultándolo de los intrusos en una red local y de su ISP, lo cual, irónicamente, el Congreso ha dicho que puede espiarlo para obtener ganancias. Cuando su tráfico llega al servidor VPN, sale a Internet antes de realizar el viaje de regreso.

Esto pone efectivamente a las VPN en el rol de su ISP, ya que potencialmente pueden ver todo lo que hace en línea. Es una de las grandes preocupaciones sobre las VPN como industria, y es cierto para todas las VPN. Una VPN con sede en los EE. UU. Podría espiar su actividad, entregar su información a la policía de los EE. UU. O sucumbir a la presión de las agencias de inteligencia de EE. UU. Estos son los riesgos de usar cualquier VPN, y no se modifican sustancialmente simplemente moviendo las oficinas de esa compañía a una zona horaria diferente.

Ubicación, ubicación, ubicación

Las VPN son fundamentalmente herramientas de privacidad, y si hacen un mal trabajo protegiendo la privacidad del cliente, con suerte harán un mal trabajo compitiendo en el mercado. De hecho, gran parte del discurso (frecuentemente cuestionable) que rodea a las compañías de VPN es si realmente mantienen su información privada. Las VPN generalmente buscan al menos posicionarse como administradores confiables de su información, generalmente definiendo la política de la compañía que prohíbe la recopilación de información del usuario, publicando una política de privacidad que explique los detalles y construyendo privacidad en su producto real. Una tendencia reciente es que las compañías comisionen auditorías de terceros de su producto, para reforzar las afirmaciones de confiabilidad.

Como ejemplo de los tipos de pasos que los servicios de VPN toman para asegurar su privacidad, Private Internet Access le emite una identificación de usuario cuando crea una cuenta. Esto es independiente de la información que proporciona para procesar su pago de suscripción. Si funciona correctamente, esto significa que la compañía no podría identificar a un usuario individual, incluso si la ley lo obligara o si la policía incautara sus servidores.

Las VPN a menudo existen en muchos lugares a la vez. AnchorFree, la compañía detrás de Hotspot Shield VPN, tiene su sede en California con una oficina en Zurich, Suiza. La compañía dice que opera bajo la jurisdicción legal de Estados Unidos y Suiza. ¿Es una VPN extranjera ? El producto de AnchorFree es ampliamente renombrado y vendido por otras compañías, algunas con sede en los Estados Unidos y otras no. ¿Son esas VPN extranjeras ?

Las compañías de VPN a menudo tienen oficinas en un país mientras operan bajo la jurisdicción legal de otro. Las compañías de VPN también mantienen flotas de servidores en todo el mundo. Cualquiera de estas ubicaciones puede ser diferente de donde la compañía VPN está bajo jurisdicción legal.

Dicho esto, la jurisdicción legal es importante, porque ese es el marco bajo el cual se protegerán sus datos. Mirando a las Islas Vírgenes Británicas, las compañías de VPN han jugado cómo la policía local no aceptará simplemente las órdenes emitidas por otros gobiernos. En cambio, esas órdenes tienen que saltar a través de aros adicionales antes de que puedan aplicarse a una empresa en las Islas Vírgenes Británicas. Del mismo modo, las compañías de VPN en lugares como Alemania y Suiza han enfatizado las fuertes leyes de privacidad de esos países.

Debo señalar aquí que es difícil verificar que el uso de un servicio en una ubicación en particular ayudará a mantener sus datos seguros.

Una forma en que las VPN buscan proteger a los clientes y comercializarse es a través de la ubicación de la empresa. NordVPN, por ejemplo, tiene su sede en Panamá, un hecho que anuncia como una bendición de privacidad y seguridad para los clientes debido a la ley local. ProtonVPN desea señalar que es suizo. Cuando reviso una VPN, generalmente enumero su ubicación y jurisdicción legal junto con los protocolos de VPN y la política de privacidad, porque efectivamente, la ubicación de una empresa de VPN es otra característica.

La ubicación también puede tener valor emocional. Algunos lectores me han dicho que no pueden confiar en las empresas con sede en Europa del Este, debido a su asociación con los grupos de piratas informáticos rusos. Otros me han dicho que cualquier VPN con sede en los EE. UU. Es inaceptable debido a la historia de vigilancia masiva de este país. Las VPN basadas en Hong Kong (a diferencia de China continental) a menudo son atacadas con acusaciones de que el estado de vigilancia debe tener un control estricto sobre ellas. Muchos hacen un argumento similar en contra de permitir que Huawei proporcione equipos de infraestructura de Internet.

Estas compañías a menudo responden con el argumento de que las reglas especiales de la ciudad lo convierten en una excelente ubicación para los datos privados.

De hecho, hay una fuerte justificación de que EE. UU. Tiene una de las operaciones de vigilancia y recopilación de datos más agresivas del mundo. El DHS a veces entrega cartas de seguridad nacional a las compañías de redes sociales, que requieren que entreguen información y no revelen que lo han hecho. La NSA operó la que es quizás la operación de interceptación de datos más grande que el mundo haya visto, una que afectó a los ciudadanos estadounidenses y a objetivos en el extranjero.

Además, la NSA ha sido acusada de aprovecharse de la posición crítica de los Estados Unidos en la infraestructura de datos, aprovechando las líneas a través de las cuales fluye el tráfico global de Internet y presuntamente copiando en tiempo real, tal vez irónicamente, dado que los Estados Unidos hacen el mismo argumento contra Huawei, como se mencionó anteriormente. Eso sin mencionar los acuerdos de intercambio de información que permiten a numerosas naciones aliadas, incluido EE. UU., Intercambiar inteligencia independientemente de su ubicación. Dado todo esto, es difícil discutir con personas que ven a las compañías de VPN con sede en EE. UU. Como un riesgo potencial.

Importa (y no importa)

Si todo funciona correctamente, debería haber poca diferencia entre una VPN extranjera y una que tenga algunas o todas sus oficinas en los EE. UU. Las matemáticas que hacen que el cifrado funcione no respetan los límites. Del mismo modo, las medidas para proteger la privacidad y seguridad del usuario se entienden bien y se pueden implementar en cualquier lugar. Muchas compañías de VPN eligen dónde ubicar a sus compañías para beneficiarse de las leyes de privacidad locales, o tal vez apelar a una respuesta emocional por parte de los consumidores.

• Backstabbing, desinformación y mal periodismo: el estado de la industria VPN Backstabbing, desinformación y mal periodismo: el estado de la industria VPN
• La privacidad en línea es un derecho, no un lujo La privacidad en línea es un derecho, no un lujo
• Para salvar Internet, tenemos que romperlo Para salvar Internet, tenemos que romperlo

Lo que importa es cuando las compañías de VPN no cifran las cosas correctamente, o cuando, por ignorancia o obstinación, no siguen las mejores prácticas para proteger la privacidad de sus usuarios. Una VPN mal asegurada podría ser extranjera , pero también podría tener mi sede en la calle. En lugar de preguntarse dónde tienen su sede las empresas o qué "valores" tienen, el Congreso debería apoyar métodos para que los usuarios e investigadores verifiquen las afirmaciones hechas por las compañías de VPN.

La industria de la seguridad está llena de mercadotecnia basada en el miedo, la incertidumbre y la duda, llamada colectivamente FUD. Una larga discusión sobre VPN extranjeras en los pasillos del Congreso cae en esa categoría, especialmente cuando el grupo concluye que las amenazas que existen son mínimas. FUD siempre tiene un propósito, y en lugar de preguntar dónde es el mejor lugar para poner una VPN, quizás deberíamos centrarnos en por qué esta conversación ocurrió en primer lugar.