Czytanie polityki VPN bez logów: które pola są naprawdę nazwane?

Otwórz informację o prywatności, a nie stronę z cenami, i poszukaj w niej słowa „log”. Zwykle wraca zdanie o tym, że historia przeglądania nie jest zapisywana, a to odpowiada na węższe pytanie niż zadane. Przydatna polityka nazywa kategorie, mówi, jak długo każda jest przechowywana, i wskazuje, kto składa obietnicę. Przejrzyj dokument w czterech przebiegach i zapisz, czego nie mówi.

Zacznij od informacji, nie od sloganu

Twierdzenie marketingowe to streszczenie napisane przez ten sam zespół, który napisał informację, więc informacja jest dokumentem podstawowym. Pobierz ją, zachowaj kopię z datą i czytaj jako listę kategorii danych, a nie jako prozę. Wszystko, czego nie wymieniono, jest otwartym pytaniem, a nie domniemanym „nie”.

Szukaj tabeli lub sekcji dla każdej kategorii: metadane połączenia, informacje o koncie, zapisy płatności, diagnostyka, korespondencja z pomocą techniczną. Dostawców, którzy je rozdzielają, łatwiej ocenić niż tych, którzy „logi” opisują jako jeden obiekt.

Krótka informacja nie jest automatycznie lepsza. Zwięzłość często oznacza, że kategorie połączono, co uniemożliwia sprawdzenie przechowywania i udostępniania stronom trzecim. Najbardziej przydatne informacje są nudne i powtarzalne, z jednym akapitem na kategorię i datą u góry. Nuda jest tu dobrym znakiem.

Nazwij pola jedno po drugim

W danych połączenia interesujące pola to adres źródłowy, przypisany adres tunelu, znaczniki czasu, przesłane bajty i cel. Stwierdzenie, że odwiedzane strony nie są rejestrowane, nie mówi nic o znacznikach czasu ani wolumenie, a właśnie o to zapytałby śledczy.

Dane konta to osobna kategoria, nawet gdy klient nigdy nie pokazuje ekranu konta. Status subskrypcji, adres e-mail, referencje procesora płatności i zgłoszenia do pomocy technicznej mogą istnieć bez widocznego logowania.

Diagnostyka zasługuje na własny wiersz. Raporty awarii, opcjonalna telemetria i ręcznie wysyłane pakiety pomocy technicznej mogą zawierać znacznie więcej niż metadane połączenia, których polityka obiecuje nie przechowywać. Przeczytaj, co zawiera pakiet, zanim go wyślesz. Jeśli informacja nigdy nie wspomina o diagnostyce, zapytaj operatora, zamiast zakładać, że kategoria jest pusta.

grep -n -i -E 'retain|retention|store|log|IP address|session|third part' policy.txt

Zapisanie informacji jako tekstu i przeszukanie jej jest szybsze niż przewijanie i trudniejsze do przeoczenia. Numery wierszy dają też coś do zacytowania, gdy odpowiedź ma znaczenie. Jeśli informacja jest publikowana tylko jako strona internetowa, zapisz wyrenderowany tekst, a nie HTML, aby późniejszy redesign nie usunął twoich dowodów.

Znajdź przechowywanie i stronę, która je posiada

Dla każdej kategorii informacja powinna mówić, co dzieje się po przetworzeniu: natychmiastowe usunięcie, krótkie przechowywanie, agregacja lub przechowywanie powiązane z kontem. Okres przechowywania bez kategorii jest nieinterpretowalny, a lista kategorii bez cyklu życia to połowa polityki.

Następnie ustal, kto obiecuje. Marka sprzedająca subskrypcję, deweloper klienta, firma hostująca serwery i operator pojedynczego punktu końcowego mogą być czterema różnymi stronami. Sprawdź, którą obietnica obejmuje i do której faktycznie dociera twój ruch.

Szyfrowanie w spoczynku to nie ta sama właściwość co niezbieranie. Zapisane rekordy, które system może odszyfrować na żądanie, nadal są rekordami, a szyfrowanie tunelu nie powstrzymuje punktu końcowego przed przetwarzaniem połączenia. Zbieranie i ochrona to odrębne kwestie i należy je oceniać osobno.

Zdecyduj, co obejmują dowody

Audyt jest dowodem dotyczącym zakresu: nazwane systemy, konfiguracja, okres i audytor. Przeczytaj zakres, zanim rozszerzysz wniosek na każdy serwer lub na przyszłość. Raport o infrastrukturze jednego regionu mówi niewiele o niedawno dodanej lokalizacji.

Klienci open source są przydatni do sprawdzenia, co oprogramowanie może wysłać, i nie mówią nic o tym, jak skonfigurowane jest konkretne wdrożenie. Oba fakty się liczą i żaden nie zastępuje drugiego.

Zakończ porównaniem na jednej stronie: operator, zapisy połączeń, dane konta, diagnostyka, przechowywanie, dowody i jurysdykcja. Następnie wyraźnie zapisz pytania bez odpowiedzi, ponieważ pominięcie nie jest dowodem niewłaściwego postępowania ani gwarancją. Decyzja oparta na nazwanych polach jest lepsza od decyzji opartej na najkrótszym sloganie.