Securitywatch: seberapa berbahaya vpn asing Anda?

Sebuah kisah pecah dengan tenang pada akhir Mei yang telah saya kunyah sejak itu. Ini menceritakan bagaimana anggota Kongres AS melakukan banyak perasan tentang ancaman yang ditimbulkan oleh VPN asing . Kekhawatiran dari anggota parlemen adalah bahwa jika Anda menggunakan VPN asing , maka pemerintah asing dapat menguping aktivitas Anda. Perusahaan asing , tegasnya, mungkin lebih rentan terhadap tekanan dari pemerintah asing , dan bahwa VPN asing ini dapat menyerahkan informasi pribadi, atau bahkan konten dari aktivitas online Anda.

Itu semua mungkin benar, tetapi tidak kalah benar untuk VPN domestik. VPN menciptakan koneksi terenkripsi antara perangkat Anda dan server yang dikendalikan oleh perusahaan VPN. Lalu lintas Anda berjalan melalui terowongan, menyembunyikannya dari pengintai di jaringan lokal dan dari ISP Anda - yang, ironisnya, Kongres katakan dapat memata-matai Anda untuk mendapat untung. Ketika lalu lintas Anda mencapai server VPN, lalu keluar ke internet sebelum melakukan perjalanan kembali.

Ini memang secara efektif menempatkan VPN dalam peran ISP Anda, karena mereka berpotensi melihat semua yang Anda lakukan online. Ini adalah salah satu kekhawatiran besar tentang VPN sebagai industri, dan itu berlaku untuk semua VPN. VPN yang berbasis di AS dapat menguping aktivitas Anda, menyerahkan informasi Anda kepada penegak hukum AS, atau menyerah pada tekanan dari badan intelijen AS. Ini adalah risiko menggunakan VPN apa pun, dan tidak berubah secara substansial hanya dengan memindahkan kantor perusahaan itu ke zona waktu yang berbeda.

Lokasi, Lokasi, Lokasi

VPN pada dasarnya adalah alat privasi, dan jika mereka melakukan pekerjaan yang buruk melindungi privasi pelanggan maka diharapkan mereka akan melakukan pekerjaan buruk yang bersaing di pasar. Faktanya, banyak wacana (yang sering dipertanyakan) seputar perusahaan VPN adalah apakah mereka benar-benar menjaga kerahasiaan informasi Anda. VPN umumnya berusaha untuk setidaknya memposisikan diri mereka sebagai pelayan informasi Anda yang dapat dipercaya, biasanya dengan mendefinisikan kebijakan perusahaan yang melarang pengumpulan informasi pengguna, menerbitkan kebijakan privasi yang menjelaskan detailnya, dan membangun privasi ke dalam produk mereka yang sebenarnya. Tren baru-baru ini adalah bagi perusahaan untuk melakukan audit pihak ketiga atas produk mereka, untuk mendukung klaim kepercayaan.

Sebagai contoh langkah-langkah yang dilakukan layanan VPN untuk memastikan privasi Anda, Private Internet Access memberi Anda ID pengguna saat membuat akun. Ini terpisah dari informasi yang Anda berikan untuk memproses pembayaran berlangganan Anda. Jika itu berfungsi dengan benar, ini berarti bahwa perusahaan tidak dapat mengidentifikasi pengguna individu meskipun dipaksa oleh hukum atau jika penegakan hukum merebut server-nya.

VPN sering ada di banyak tempat sekaligus. AnchorFree, perusahaan di belakang Hotspot Shield VPN, berbasis di California dengan kantor di Zurich, Swiss. Perusahaan itu mengatakan beroperasi di bawah yurisdiksi hukum AS dan Swiss. Apakah ini VPN asing ? Produk AnchorFree secara luas diganti merek dan dijual oleh perusahaan lain, beberapa berbasis di AS dan beberapa tidak. Apakah itu VPN asing ?

Perusahaan VPN sering memiliki kantor di satu negara saat beroperasi di bawah yurisdiksi hukum negara lain. Perusahaan VPN juga memelihara armada server di seluruh dunia. Salah satu dari lokasi ini mungkin berbeda dari tempat perusahaan VPN berada di bawah yurisdiksi hukum.

Yang mengatakan, yurisdiksi hukum penting, karena itulah kerangka kerja di mana data Anda akan dilindungi. Melihat Kepulauan Virgin Inggris, perusahaan VPN telah memperjelas bagaimana penegak hukum setempat tidak akan begitu saja menerima surat perintah yang dikeluarkan dari pemerintah lain. Alih-alih, waran tersebut harus melewati rintangan tambahan sebelum dapat diterapkan pada perusahaan di Kepulauan Virgin Britania Raya. Demikian pula, perusahaan VPN di tempat-tempat seperti Jerman dan Swiss telah menekankan undang-undang privasi yang kuat dari negara-negara tersebut.

Saya harus mencatat di sini bahwa sulit untuk memverifikasi bahwa menggunakan layanan di lokasi tertentu sebenarnya akan membantu menjaga data Anda aman.

Salah satu cara VPN berupaya melindungi pelanggan, dan memasarkan diri mereka sendiri, adalah melalui lokasi perusahaan. NordVPN, misalnya, berbasis di Panama, sebuah fakta yang diiklankan sebagai keuntungan dan keamanan bagi pelanggan karena hukum setempat. ProtonVPN ingin menunjukkan bahwa itu adalah Swiss. Ketika saya meninjau VPN, saya biasanya mencantumkan lokasi dan yurisdiksinya di samping protokol VPN dan kebijakan privasi, karena secara efektif, lokasi perusahaan VPN adalah fitur lain.

Lokasi juga dapat memiliki nilai emosional. Beberapa pembaca mengatakan kepada saya bahwa mereka tidak dapat mempercayai perusahaan yang berbasis di Eropa Timur, karena hubungan mereka dengan kelompok peretasan Rusia. Yang lain mengatakan kepada saya bahwa VPN apa pun yang berbasis di AS tidak dapat diterima karena sejarah pengawasan massal negara ini. VPN yang berbasis di Hong Kong (sebagai semi-terpisah dari daratan Cina) sering diserang dengan tuduhan bahwa negara pengawas harus memiliki pegangan yang kuat terhadapnya. Banyak yang membuat argumen serupa yang melarang Huawei menyediakan peralatan infrastruktur internet.

Perusahaan-perusahaan ini sering menentang argumen bahwa peraturan khusus kota menjadikannya lokasi yang sangat baik untuk data pribadi.

Faktanya, ada alasan kuat untuk dibuat bahwa AS memiliki salah satu operasi pengawasan dan pengumpulan data paling agresif di dunia. Perusahaan media sosial kadang-kadang diberi Surat Keamanan Nasional oleh DHS, yang mengharuskan mereka untuk menyerahkan informasi dan tidak mengungkapkan bahwa mereka telah melakukannya. NSA mengoperasikan apa yang mungkin merupakan operasi intersepsi data terbesar yang pernah ada di dunia, operasi yang memengaruhi warga AS dan juga target luar negeri.

Selain itu, NSA telah dituduh mengambil keuntungan dari posisi kritis Amerika Serikat dalam infrastruktur data, memanfaatkan jalur yang melaluinya arus lalu lintas internet global dan diduga menyalinnya secara waktu nyata - mungkin ironisnya, mengingat bahwa AS membuat argumen yang sama terhadap Huawei, sebagaimana disebutkan di atas. Belum lagi perjanjian berbagi informasi yang memungkinkan banyak negara sekutu, termasuk AS, untuk bertukar intelijen di mana pun lokasinya. Mengingat semua ini, sulit untuk berdebat dengan orang-orang yang melihat perusahaan VPN yang berbasis di AS sebagai risiko potensial.

Itu (dan tidak) Masalah

Jika semuanya berfungsi dengan benar, seharusnya ada sedikit perbedaan antara VPN asing dan yang memiliki beberapa atau semua kantornya di AS. Matematika yang membuat enkripsi bekerja tidak menghormati batasan. Demikian juga, langkah-langkah untuk melindungi privasi dan keamanan pengguna dipahami dengan baik dan dapat diterapkan di mana saja. Banyak perusahaan VPN memilih tempat untuk mendasarkan perusahaan mereka untuk mendapatkan keuntungan dari undang-undang privasi lokal, atau mungkin untuk menarik tanggapan emosional dari pihak konsumen.

• Pengkhianatan, Disinformasi, dan Jurnalisme Buruk: Keadaan Industri VPN Pengkhianatan, Disinformasi, dan Jurnalisme Buruk: Keadaan Industri VPN
• Privasi Online Adalah Hak, Bukan Kemewahan Online Privasi Adalah Hak, Bukan Kemewahan
• Untuk Menyimpan Internet, Kita Harus Mematahkannya Untuk Menyimpan Internet, Kita Harus Memecahkannya

Yang penting adalah ketika perusahaan VPN tidak mengenkripsi hal-hal dengan benar, atau ketika mereka, karena ketidaktahuan atau keinginan, tidak mengikuti praktik terbaik untuk melindungi privasi penggunanya. VPN yang diamankan dengan buruk mungkin asing , tetapi bisa juga berkantor pusat di jalan saya. Alih-alih bertanya-tanya tentang di mana perusahaan berkantor pusat atau "nilai" apa yang mereka miliki, Kongres seharusnya menjadi metode pendukung bagi pengguna dan peneliti untuk memverifikasi klaim yang dibuat oleh perusahaan VPN.

Industri keamanan penuh dengan pemasaran yang dibangun di sekitar rasa takut, ketidakpastian, dan keraguan - secara kolektif disebut FUD. Diskusi panjang tentang VPN asing di aula Kongres termasuk dalam kategori itu, terutama ketika kelompok menyimpulkan bahwa ancaman apa pun yang ada minimal. FUD selalu memiliki tujuan, dan alih-alih bertanya di mana tempat terbaik untuk meletakkan VPN, mungkin kita harus fokus pada mengapa percakapan ini terjadi.