การอ่านนโยบาย VPN ที่ไม่เก็บบันทึก: ฟิลด์ใดที่ถูกระบุชื่อจริง ๆ

เปิดประกาศความเป็นส่วนตัว ไม่ใช่หน้าค่าบริการ และค้นหาคำว่า «log» ในนั้น สิ่งที่มักได้กลับมาคือประโยคเกี่ยวกับการไม่เก็บประวัติการท่องเว็บ ซึ่งตอบคำถามที่แคบกว่าคำถามที่ตั้งไว้ นโยบายที่มีประโยชน์จะระบุหมวดหมู่ บอกว่าแต่ละหมวดเก็บไว้นานเท่าใด และระบุว่าใครเป็นผู้ให้คำมั่น จากนั้นอ่านเอกสารในสี่รอบและจดสิ่งที่เอกสารไม่ได้บอก

เริ่มจากประกาศ ไม่ใช่สโลแกน

ข้อกล่าวอ้างทางการตลาดเป็นบทสรุปที่เขียนโดยทีมเดียวกับที่เขียนประกาศ ดังนั้นประกาศจึงเป็นเอกสารหลัก ดาวน์โหลดเก็บไว้ เก็บสำเนาพร้อมวันที่ และอ่านเป็นรายการหมวดหมู่ข้อมูลแทนที่จะอ่านเป็นร้อยแก้ว สิ่งใดที่ไม่อยู่ในรายการถือเป็นคำถามเปิด ไม่ใช่ «ไม่» โดยนัย

มองหาตารางหรือหัวข้อสำหรับแต่ละหมวดหมู่: เมทาดาทาการเชื่อมต่อ ข้อมูลบัญชี บันทึกการชำระเงิน การวินิจฉัย จดหมายโต้ตอบกับฝ่ายสนับสนุน ผู้ให้บริการที่แยกหมวดหมู่เหล่านี้ออกมาจะประเมินได้ง่ายกว่าผู้ที่อธิบาย «บันทึก» เป็นวัตถุเดียว

ประกาศสั้นไม่ได้ดีกว่าโดยอัตโนมัติ ความกระชับมักหมายความว่าหมวดหมู่ถูกรวมเข้าด้วยกัน ซึ่งทำให้ตรวจสอบการเก็บรักษาและการแบ่งปันกับบุคคลที่สามไม่ได้ ประกาศที่มีประโยชน์ที่สุดจะน่าเบื่อและซ้ำซาก โดยมีหนึ่งย่อหน้าต่อหมวดหมู่และวันที่อยู่ด้านบน ความน่าเบื่อเป็นสัญญาณที่ดีในที่นี้

ระบุชื่อฟิลด์ทีละฟิลด์

สำหรับข้อมูลการเชื่อมต่อ ฟิลด์ที่น่าสนใจคือ ที่อยู่ต้นทาง ที่อยู่ทันเนลที่จัดสรรให้ เวลาที่บันทึก ไบต์ที่ถ่ายโอน และปลายทาง ข้อความเกี่ยวกับการไม่บันทึกเว็บไซต์ที่เข้าชมไม่ได้บอกอะไรเกี่ยวกับเวลาหรือปริมาณ และนั่นคือสิ่งที่ผู้สอบสวนจะถาม

ข้อมูลบัญชีเป็นหมวดหมู่แยกต่างหาก แม้ไคลเอนต์จะไม่เคยแสดงหน้าจอบัญชีก็ตาม สถานะการสมัคร ที่อยู่อีเมล ข้อมูลอ้างอิงของผู้ประมวลผลการชำระเงิน และตั๋วสนับสนุนสามารถมีอยู่ได้โดยไม่ต้องเข้าสู่ระบบให้เห็น

การวินิจฉัยสมควรมีบรรทัดของตัวเอง รายงานการขัดข้อง เทเลเมทรีแบบเลือกได้ และชุดสนับสนุนที่ส่งด้วยมืออาจมีมากกว่าข้อมูลเมทาดาทาการเชื่อมต่อที่นโยบายสัญญาว่าจะไม่เก็บ อ่านว่าชุดสนับสนุนมีอะไรบ้างก่อนส่ง หากประกาศไม่เคยกล่าวถึงการวินิจฉัย ให้ถามผู้ให้บริการแทนที่จะถือว่าหมวดหมู่นั้นว่างเปล่า

grep -n -i -E 'retain|retention|store|log|IP address|session|third part' policy.txt

การบันทึกประกาศเป็นข้อความแล้วค้นหาในนั้นเร็วกว่าการเลื่อนดูและยากที่จะมองข้าม หมายเลขบรรทัดยังให้สิ่งที่อ้างอิงได้เมื่อคำตอบสำคัญ หากประกาศเผยแพร่เป็นหน้าเว็บเท่านั้น ให้บันทึกข้อความที่แสดงผลแล้วไม่ใช่ HTML เพื่อให้การออกแบบใหม่ในภายหลังไม่ลบหลักฐานของคุณ

ค้นหาการเก็บรักษาและฝ่ายที่เป็นเจ้าของ

สำหรับแต่ละหมวดหมู่ ประกาศควรบอกว่าเกิดอะไรขึ้นหลังการประมวลผล: ลบทันที เก็บระยะสั้น รวมกลุ่ม หรือจัดเก็บที่ผูกกับบัญชี ระยะเวลาการเก็บรักษาที่ไม่มีหมวดหมู่ตีความไม่ได้ และรายการหมวดหมู่ที่ไม่มีวงจรชีวิตก็เป็นนโยบายเพียงครึ่งเดียว

จากนั้นระบุว่าใครเป็นผู้ให้คำมั่น แบรนด์ที่ขายการสมัคร นักพัฒนาของไคลเอนต์ บริษัทที่โฮสต์เซิร์ฟเวอร์ และผู้ดำเนินการของปลายทางแต่ละจุดอาจเป็นสี่ฝ่ายที่แตกต่างกัน ตรวจสอบว่าคำมั่นครอบคลุมฝ่ายใดและทราฟฟิกของคุณไปถึงฝ่ายใดจริง

การเข้ารหัสขณะพักไม่ได้เป็นคุณสมบัติเดียวกับการไม่เก็บรวบรวม บันทึกที่จัดเก็บไว้ซึ่งระบบสามารถถอดรหัสได้ตามคำขอถือเป็นบันทึกอยู่ดี และการเข้ารหัสทันเนลไม่ได้หยุดปลายทางจากการประมวลผลการเชื่อมต่อ การเก็บรวบรวมและการป้องกันเป็นคำถามแยกกันและควรประเมินแยกกัน

ตัดสินว่าหลักฐานครอบคลุมอะไร

การตรวจสอบคือหลักฐานเกี่ยวกับขอบเขต: ระบบที่ระบุชื่อ การกำหนดค่า ระยะเวลา และผู้ตรวจสอบ อ่านขอบเขตก่อนขยายข้อสรุปไปยังทุกเซิร์ฟเวอร์หรืออนาคต รายงานเกี่ยวกับโครงสร้างพื้นฐานของภูมิภาคเดียวบอกได้น้อยเกี่ยวกับสถานที่ที่เพิ่งเพิ่มเข้ามา

ไคลเอนต์โอเพนซอร์สมีประโยชน์ในการตรวจสอบว่าซอฟต์แวร์ส่งอะไรได้บ้าง และไม่ได้บอกอะไรเกี่ยวกับวิธีการกำหนดค่าการติดตั้งเฉพาะ ทั้งสองข้อเท็จจริงสำคัญ และไม่มีข้อใดแทนที่อีกข้อ

จบด้วยการเปรียบเทียบหนึ่งหน้า: ผู้ให้บริการ บันทึกการเชื่อมต่อ ข้อมูลบัญชี การวินิจฉัย การเก็บรักษา หลักฐาน และเขตอำนาจศาล จากนั้นจดคำถามที่ยังไม่มีคำตอบอย่างชัดเจน เพราะการละเว้นไม่ใช่หลักฐานของการประพฤติผิดและไม่ใช่การรับประกันเช่นกัน การตัดสินใจจากฟิลด์ที่ระบุชื่อย่อมดีกว่าการตัดสินใจจากสโลแกนที่สั้นที่สุด