Membaca kebijakan VPN tanpa log: bidang mana yang benar-benar disebut?

Buka pemberitahuan privasi, bukan halaman harga, dan cari kata «log» di dalamnya. Yang biasanya kembali adalah kalimat tentang tidak menyimpan riwayat penjelajahan, dan itu menjawab pertanyaan yang lebih sempit daripada yang diajukan. Kebijakan yang berguna menyebut kategori, mengatakan berapa lama masing-masing disimpan, dan mengidentifikasi siapa yang membuat janji. Telusuri dokumen dalam empat lintasan dan catat apa yang tidak dikatakannya.

Mulai dari pemberitahuan, bukan dari slogan

Klaim pemasaran adalah ringkasan yang ditulis oleh tim yang sama yang menulis pemberitahuan, jadi pemberitahuan adalah dokumen utama. Unduh, simpan salinan dengan tanggalnya, dan baca sebagai daftar kategori data alih-alih sebagai prosa. Apa pun yang tidak tercantum adalah pertanyaan terbuka, bukan «tidak» tersirat.

Cari tabel atau bagian per kategori: metadata koneksi, informasi akun, catatan pembayaran, diagnostik, korespondensi dukungan. Penyedia yang memisahkannya lebih mudah dinilai daripada penyedia yang menggambarkan «log» sebagai satu objek.

Pemberitahuan pendek tidak otomatis lebih baik. Keringkasan sering berarti kategorinya digabung, yang membuat penyimpanan dan pembagian dengan pihak ketiga mustahil diperiksa. Pemberitahuan paling berguna membosankan dan berulang, dengan satu paragraf per kategori dan tanggal di bagian atas. Membosankan adalah tanda baik di sini.

Sebutkan bidangnya satu per satu

Untuk data koneksi, bidang yang menarik adalah alamat sumber, alamat terowongan yang ditetapkan, stempel waktu, byte yang ditransfer, dan tujuan. Pernyataan tentang tidak merekam situs yang dikunjungi tidak mengatakan apa pun tentang stempel waktu atau volume, dan itulah tepatnya yang akan ditanyakan penyidik.

Data akun adalah kategori terpisah bahkan ketika klien tidak pernah menampilkan layar akun. Status langganan, alamat email, referensi pemroses pembayaran, dan tiket dukungan semuanya dapat ada tanpa login yang terlihat.

Diagnostik layak mendapat barisnya sendiri. Laporan kerusakan, telemetri opsional, dan bundel dukungan yang dikirim manual dapat berisi jauh lebih banyak daripada metadata koneksi yang dijanjikan kebijakan untuk tidak disimpan. Baca apa yang termasuk dalam bundel sebelum mengirimkannya. Jika pemberitahuan tidak pernah menyebut diagnostik, tanyakan kepada operator alih-alih menganggap kategorinya kosong.

grep -n -i -E 'retain|retention|store|log|IP address|session|third part' policy.txt

Menyimpan pemberitahuan sebagai teks dan mencarinya lebih cepat daripada menggulir dan lebih sulit terlewat. Nomor baris juga memberi Anda sesuatu untuk dikutip ketika jawabannya penting. Jika pemberitahuan hanya diterbitkan sebagai halaman web, simpan teks yang dirender alih-alih HTML, agar desain ulang nanti tidak menghapus bukti Anda.

Temukan penyimpanan dan pihak yang memilikinya

Untuk setiap kategori, pemberitahuan harus menyebutkan apa yang terjadi setelah pemrosesan: pembuangan segera, penyimpanan singkat, agregasi, atau penyimpanan yang terkait dengan akun. Periode penyimpanan tanpa kategori tidak dapat ditafsirkan, dan daftar kategori tanpa siklus hidup adalah setengah kebijakan.

Lalu identifikasi siapa yang berjanji. Merek yang menjual langganan, pengembang klien, perusahaan yang menghosting server, dan operator titik akhir tertentu bisa jadi empat pihak berbeda. Periksa pihak mana yang dicakup janji dan pihak mana yang benar-benar dijangkau lalu lintas Anda.

Enkripsi saat istirahat bukan properti yang sama dengan tidak mengumpulkan. Catatan tersimpan yang dapat didekripsi sistem atas permintaan tetap catatan, dan enkripsi terowongan tidak menghentikan titik akhir memproses koneksi. Pengumpulan dan perlindungan adalah pertanyaan terpisah dan harus dinilai secara terpisah.

Putuskan apa yang dicakup bukti

Audit adalah bukti tentang cakupan: sistem yang disebutkan, konfigurasi, periode, dan auditor. Baca cakupannya sebelum memperluas kesimpulan ke setiap server atau ke masa depan. Laporan tentang infrastruktur satu wilayah sedikit berbicara tentang lokasi yang baru ditambahkan.

Klien sumber terbuka berguna untuk memeriksa apa yang dapat dikirim perangkat lunak, dan mereka tidak mengatakan apa pun tentang bagaimana penerapan tertentu dikonfigurasi. Kedua fakta penting, dan tidak ada yang menggantikan yang lain.

Akhiri dengan perbandingan satu halaman: operator, catatan koneksi, data akun, diagnostik, penyimpanan, bukti, dan yurisdiksi. Lalu catat pertanyaan yang belum terjawab secara eksplisit, karena kelalaian bukan bukti pelanggaran dan juga bukan jaminan. Keputusan yang dibuat berdasarkan bidang yang disebutkan lebih baik daripada yang dibuat berdasarkan slogan terpendek.