Leggere una politica VPN senza log: quali campi sono realmente nominati?

Aprite l’informativa sulla privacy, non la pagina dei prezzi, e cercatevi la parola «log». Quello che di solito torna è una frase sul fatto che la cronologia di navigazione non viene memorizzata, e questo risponde a una domanda più stretta di quella posta. Una politica utile nomina le categorie, dice per quanto tempo ciascuna viene conservata e identifica chi formula la promessa. Percorrete il documento in quattro passaggi e annotate ciò che non dice.

Cominciate dall’informativa, non dallo slogan

L’affermazione di marketing è un riassunto scritto dallo stesso team che ha scritto l’informativa, quindi l’informativa è il documento primario. Scaricatela, conservatene una copia con la data e leggetela come un elenco di categorie di dati anziché come prosa. Tutto ciò che non è elencato è una domanda aperta, non un «no» implicito.

Cercate una tabella o una sezione per categoria: metadati di connessione, informazioni sull’account, registri di pagamento, diagnostica, corrispondenza con l’assistenza. I fornitori che le separano sono più facili da valutare di quelli che descrivono i «log» come un unico oggetto.

Un’informativa breve non è automaticamente migliore. La brevità spesso significa che le categorie sono state fuse, il che rende impossibile verificare la conservazione e la condivisione con terze parti. Le informative più utili sono noiose e ripetitive, con un paragrafo per categoria e una data in cima. La noia qui è un buon segno.

Nominate i campi uno per uno

Per i dati di connessione, i campi interessanti sono l’indirizzo di origine, l’indirizzo del tunnel assegnato, i timestamp, i byte trasferiti e la destinazione. Un’affermazione sul non registrare i siti visitati non dice nulla sui timestamp o sul volume, ed è esattamente ciò che chiederebbe un investigatore.

I dati dell’account sono una categoria a sé anche quando il client non mostra mai una schermata dell’account. Stato dell’abbonamento, indirizzo e-mail, riferimenti del processore di pagamento e ticket di assistenza possono tutti esistere senza un accesso visibile.

La diagnostica merita una riga propria. I rapporti di arresto anomalo, la telemetria opzionale e i pacchetti di assistenza inviati manualmente possono contenere molto più dei metadati di connessione che la politica promette di non conservare. Leggete cosa include un pacchetto prima di inviarne uno. Se l’informativa non menziona mai la diagnostica, chiedete all’operatore invece di presumere che la categoria sia vuota.

grep -n -i -E 'retain|retention|store|log|IP address|session|third part' policy.txt

Salvare l’informativa come testo e cercarvi dentro è più veloce che scorrere ed è più difficile lasciarsela sfuggire. I numeri di riga vi danno anche qualcosa da citare quando la risposta conta. Se l’informativa è pubblicata solo come pagina web, salvate il testo renderizzato anziché l’HTML, così una successiva riprogettazione non cancella le vostre prove.

Trovate la conservazione e la parte che la possiede

Per ogni categoria, l’informativa dovrebbe dire cosa accade dopo il trattamento: smaltimento immediato, conservazione breve, aggregazione o archiviazione legata a un account. Un periodo di conservazione senza categoria non è interpretabile, e un elenco di categorie senza ciclo di vita è mezza politica.

Poi identificate chi promette. Il marchio che vende l’abbonamento, lo sviluppatore del client, l’azienda che ospita i server e l’operatore di un singolo endpoint possono essere quattro parti diverse. Verificate quale copre la promessa e a quale arriva realmente il vostro traffico.

La cifratura a riposo non è la stessa proprietà del non raccogliere. I registri memorizzati che un sistema può decifrare su richiesta restano registri, e la cifratura del tunnel non impedisce all’endpoint di elaborare una connessione. Raccolta e protezione sono questioni separate e vanno valutate separatamente.

Decidete cosa coprono le prove

Un audit è una prova su un perimetro: sistemi nominati, una configurazione, un periodo e un revisore. Leggete il perimetro prima di estendere la conclusione a ogni server o al futuro. Un rapporto sull’infrastruttura di una regione dice poco su una località aggiunta di recente.

I client open source sono utili per verificare cosa può inviare il software, e non dicono nulla su come è configurata una particolare installazione. Entrambi i fatti contano, e nessuno sostituisce l’altro.

Chiudete con un confronto di una pagina: operatore, registri di connessione, dati dell’account, diagnostica, conservazione, prove e giurisdizione. Poi annotate esplicitamente le domande senza risposta, perché un’omissione non è prova di condotta scorretta e non è nemmeno una garanzia. Una decisione basata su campi nominati batte una basata sullo slogan più corto.