Đọc chính sách VPN không lưu nhật ký: những trường nào thực sự được nêu tên?

Hãy mở thông báo quyền riêng tư, không phải trang giá, và tìm trong đó từ «nhật ký». Thứ thường trả về là một câu về việc không lưu lịch sử duyệt web, và điều đó trả lời một câu hỏi hẹp hơn câu hỏi được đặt ra. Một chính sách hữu ích nêu tên các hạng mục, cho biết mỗi hạng mục được giữ bao lâu và xác định ai đưa ra cam kết. Hãy đọc tài liệu trong bốn lượt và ghi lại những gì nó không nói.

Bắt đầu từ thông báo, không phải khẩu hiệu

Tuyên bố tiếp thị là bản tóm tắt do chính nhóm viết thông báo soạn, nên thông báo là tài liệu gốc. Tải xuống, giữ một bản sao có ngày tháng và đọc như danh sách các hạng mục dữ liệu thay vì như văn xuôi. Bất cứ điều gì không được liệt kê là câu hỏi mở, không phải một «không» ngầm hiểu.

Tìm một bảng hoặc một mục cho mỗi hạng mục: siêu dữ liệu kết nối, thông tin tài khoản, bản ghi thanh toán, chẩn đoán, thư từ hỗ trợ. Nhà cung cấp nào tách chúng ra thì dễ đánh giá hơn nhà cung cấp mô tả «nhật ký» như một đối tượng duy nhất.

Một thông báo ngắn không tự động tốt hơn. Sự ngắn gọn thường có nghĩa là các hạng mục đã được gộp lại, khiến việc kiểm tra thời gian lưu giữ và chia sẻ với bên thứ ba là không thể. Những thông báo hữu ích nhất thì nhàm chán và lặp lại, với một đoạn cho mỗi hạng mục và một ngày ở đầu. Nhàm chán ở đây là dấu hiệu tốt.

Nêu tên từng trường một

Với dữ liệu kết nối, các trường đáng chú ý là địa chỉ nguồn, địa chỉ đường hầm được cấp, dấu thời gian, số byte truyền đi và điểm đến. Một tuyên bố về việc không ghi lại các trang đã truy cập không nói gì về dấu thời gian hay khối lượng, và đó chính xác là điều một điều tra viên sẽ hỏi.

Dữ liệu tài khoản là một hạng mục riêng ngay cả khi ứng dụng khách không bao giờ hiển thị màn hình tài khoản. Trạng thái đăng ký, địa chỉ email, tham chiếu của bộ xử lý thanh toán và phiếu hỗ trợ đều có thể tồn tại mà không cần đăng nhập hiển thị.

Chẩn đoán xứng đáng có dòng riêng. Báo cáo sự cố, dữ liệu đo từ xa tùy chọn và gói hỗ trợ gửi thủ công có thể chứa nhiều hơn hẳn siêu dữ liệu kết nối mà chính sách hứa không lưu giữ. Hãy đọc gói chứa gì trước khi gửi một gói. Nếu thông báo không bao giờ nhắc đến chẩn đoán, hãy hỏi nhà vận hành thay vì cho rằng hạng mục đó trống.

grep -n -i -E 'retain|retention|store|log|IP address|session|third part' policy.txt

Lưu thông báo dưới dạng văn bản và tìm kiếm trong đó nhanh hơn cuộn và khó bỏ sót hơn. Số dòng cũng cho bạn thứ để trích dẫn khi câu trả lời quan trọng. Nếu thông báo chỉ được công bố dưới dạng trang web, hãy lưu văn bản đã hiển thị thay vì HTML, để một lần thiết kế lại sau này không xóa mất bằng chứng của bạn.

Tìm thời gian lưu giữ và bên sở hữu nó

Với mỗi hạng mục, thông báo nên nói điều gì xảy ra sau khi xử lý: hủy ngay, lưu giữ ngắn, tổng hợp hoặc lưu trữ gắn với tài khoản. Thời hạn lưu giữ không có hạng mục là không thể diễn giải, và danh sách hạng mục không có vòng đời là nửa chính sách.

Sau đó xác định ai là người cam kết. Thương hiệu bán đăng ký, nhà phát triển ứng dụng khách, công ty lưu trữ máy chủ và nhà vận hành một điểm cuối cụ thể có thể là bốn bên khác nhau. Hãy kiểm tra cam kết bao phủ bên nào và lưu lượng của bạn thực sự đến bên nào.

Mã hóa khi lưu trữ không phải là cùng một thuộc tính với việc không thu thập. Các bản ghi được lưu mà hệ thống có thể giải mã theo yêu cầu vẫn là bản ghi, và mã hóa đường hầm không ngăn điểm cuối xử lý một kết nối. Thu thập và bảo vệ là những câu hỏi riêng và nên được đánh giá riêng.

Quyết định bằng chứng bao phủ những gì

Một cuộc kiểm toán là bằng chứng về một phạm vi: các hệ thống được nêu tên, một cấu hình, một khoảng thời gian và một kiểm toán viên. Hãy đọc phạm vi trước khi mở rộng kết luận cho mọi máy chủ hoặc cho tương lai. Một báo cáo về hạ tầng của một khu vực nói rất ít về một địa điểm mới được thêm vào.

Ứng dụng khách mã nguồn mở hữu ích để kiểm tra phần mềm có thể gửi gì, và chúng không nói gì về cách một triển khai cụ thể được cấu hình. Cả hai sự thật đều quan trọng, và không cái nào thay thế cái kia.

Kết thúc bằng một bảng so sánh một trang: nhà vận hành, bản ghi kết nối, dữ liệu tài khoản, chẩn đoán, lưu giữ, bằng chứng và thẩm quyền tài phán. Sau đó ghi rõ những câu hỏi chưa được trả lời, vì một thiếu sót không phải bằng chứng về hành vi sai trái và cũng không phải sự bảo đảm. Một quyết định dựa trên các trường được nêu tên tốt hơn một quyết định dựa trên khẩu hiệu ngắn nhất.