วิธีตรวจสอบคำกล่าวอ้างเรื่องการเก็บบันทึกของ VPN

ผู้ให้บริการ VPN บอกว่าไม่เก็บบันทึกสิ่งที่คุณทำ ป้ายบนหน้าแรกบอกว่าคำกล่าวนี้ผ่านการออดิต คำถามที่บทความนี้ตอบคือคำถามที่ผู้อ่านส่วนใหญ่ข้าม คุณจะตรวจได้อย่างไรว่าป้ายนั้นหมายความอย่างที่คุณคิดจริงๆ

การตรวจสอบคำอ้างเรื่อง ออดิตการเก็บบันทึกของ VPN เป็นเรื่องของการอ่านอย่างรอบคอบมากกว่าเทคโนโลยี คุณไม่ต้องเป็นวิศวกร สิ่งที่ต้องมีคือชุดคำถามตามลำดับ ที่ให้จดคำตอบ และวินัยที่จะสังเกตเมื่อหน้าเว็บเลี่ยงที่จะตอบ ด้านล่างคือวิธีสี่ขั้นตอนพร้อมตารางจดผล ตัวอย่างที่ใช้คำอ้างสมมุติ และข้อสังเกตตามจริงว่าการตรวจสอบมากแค่ไหนก็พิสูจน์บางอย่างไม่ได้ ส่วนทฤษฎีทั่วไปเกี่ยวกับออดิตและชนิดของมัน ดู ออดิต VPN อิสระและวิธีอ่านรายงาน บทความนี้เป็นเช็กลิสต์ภาคปฏิบัติ

ป้ายเดียว แต่ซ่อนสามเรื่องที่ต่างกัน

เมื่อผู้ให้บริการบอกว่า "ผ่านการออดิต" อาจหมายถึงคำกล่าวสามแบบที่ต่างกันมาก และควรตรวจแยกกัน

1. คำกล่าวด้านนโยบาย ข้อความที่เขียนบนเว็บไซต์หรือในเงื่อนไข ว่าผู้ให้บริการบอกว่าเก็บและเก็บไว้อะไร ใครก็เขียนได้ และมันผูกมัดผู้ให้บริการเท่าที่กฎหมายและสัญญาอนุญาต
2. คำกล่าวด้านการออกแบบ ข้อความเกี่ยวกับวิธีสร้างระบบ เช่นเซิร์ฟเวอร์ถูกตั้งค่าไม่ให้เก็บข้อมูลบางอย่าง หรือรีสตาร์ตจากสถานะสะอาด นี่คือข้อกล่าวอ้างทางเทคนิคที่วิศวกรตรวจได้
3. ผลออดิต รายงานจากบริษัทภายนอกที่ตรวจบางอย่างแล้วบันทึกสิ่งที่พบ

ป้ายมักชี้ไปที่ข้อสาม แต่รายงานอาจสนับสนุนได้เพียงบางส่วนของสองข้อแรก รูปแบบที่พบบ่อยคือประโยคนโยบายที่แข็งแรง คำกล่าวด้านการออกแบบที่คลุมเครือ และผลออดิตที่ตรวจเรื่องแคบกว่าทั้งสองอย่าง หน้าที่ของคุณคือวางทั้งสามให้ตรงกันและดูว่าเข้ากันไหม

เขียนบรรทัดนี้ไว้ที่หัวตารางของคุณ นโยบายบอกว่า / การออกแบบบอกว่า / ออดิตแสดงว่า แล้วเติมไปเรื่อยๆ

ขั้นที่ 1 เก็บถ้อยคำจริงให้ครบ

ข้อความการตลาดทำให้รายละเอียดเลือน ให้ไปเอาต้นฉบับ

• นโยบายความเป็นส่วนตัวและข้อกำหนดการใช้บริการ ทั้งฉบับ พร้อมวันที่อัปเดตล่าสุด
• หน้า "นโยบายการเก็บบันทึก" หรือ "เราเก็บอะไรบ้าง" ซึ่งผู้ให้บริการมักแยกจากนโยบายความเป็นส่วนตัว
• ประกาศผลออดิตและรายงานออดิตตัวจริง ผู้ให้บริการบางรายเผยแพร่แค่สรุปสั้นหรือโพสต์ข่าว รายงานฉบับเต็มดีกว่า สรุปเป็นตัวแทนที่อ่อนกว่า
• หน้าแอปในสโตร์ ซึ่งอาจมีคำแจ้งข้อมูลที่แอปเก็บ App Privacy Details ของ Apple อธิบายว่าป้ายเหล่านั้นมีไว้แสดงอะไร

บันทึกสำเนาหรือแคปหน้าจอพร้อมวันที่ หน้าเว็บเปลี่ยนได้ และคำอ้างที่คุณอ่านเมื่อเดือนมีนาคมอาจเขียนต่างออกไปในเดือนตุลาคม ถ้าวันหนึ่งต้องอ้างถ้อยคำของผู้ให้บริการกลับไปให้ฝ่ายสนับสนุน สำเนาที่ลงวันที่มีค่ากว่าความจำของคุณ

จากนั้นอ่านโดยจับที่ คำกริยาและคำจำกัดความ เทียบ "เราไม่เก็บบันทึกกิจกรรม" กับ "เราไม่เก็บบันทึกที่ระบุตัวคุณได้" และกับ "เราเก็บเฉพาะที่จำเป็นต่อการให้บริการ" ดูคล้ายกันแต่สัญญาไว้ต่างกันมาก ระวังคำที่ผ่อนปรน เช่น "โดยทั่วไป" "ปกติ" "ข้อมูลที่ระบุตัวบุคคลได้" และ "สำหรับผู้ใช้ส่วนใหญ่" สโลแกนกว้างๆ บนหน้าแรกตามด้วยเงื่อนไขแคบๆ ในนโยบายเป็นรูปแบบที่ควรจดไว้ในตาราง

ขั้นที่ 2 ระบุว่าอ้างว่า "ไม่มี" อะไรบ้าง

"บันทึก" ไม่ได้เป็นเรื่องเดียว ผู้ให้บริการเก็บหรือไม่เก็บข้อมูลได้หลายประเภท ให้ทดสอบคำอ้างกับแต่ละประเภทตามลำดับ

ประเภทข้อมูล	อาจเผยอะไร	สิ่งที่ควรมองหาในถ้อยคำ
เวลาการเชื่อมต่อ	คุณออนไลน์เมื่อไร	มีการพูดถึงข้อมูลการเชื่อมต่อชัดเจนไหม เก็บหรือไม่เก็บ
IP ต้นทางของคุณ	คุณมาจากเครือข่ายไหน	เก็บที่อยู่ต้นทางไว้ แม้ชั่วครู่หรือไม่
ที่อยู่ VPN ที่ได้รับ	เซสชันหนึ่งใช้ที่อยู่ไหน	ที่อยู่หนึ่งโยงกลับไปหาบัญชีหนึ่งได้ไหม
ปริมาณข้อมูลที่ส่ง	ใช้เท่าไรและเมื่อไร	เก็บไว้เพื่อเรียกเก็บเงิน กำหนดโควตา หรือควบคุมการใช้งานผิดปกติหรือไม่
คำขอ DNS	คุณค้นหาชื่อเว็บอะไร	ผู้ให้บริการใช้ตัวแปลง DNS ของตัวเองไหม และบันทึกคำขอหรือเปล่า
เว็บไซต์และเนื้อหา	คุณทำอะไรออนไลน์	มักระบุไว้ แต่ให้ตรวจถ้อยคำ
ข้อมูลบัญชีและการชำระเงิน	คุณคือใคร	ต้องใช้อะไรเปิดบัญชี และเก็บไว้นานแค่ไหน
ข้อมูลวินิจฉัยของแอป	ชนิดอุปกรณ์ แอปแครช สถิติการใช้	มีการเก็บสถิติไหม ปิดได้หรือเปล่า

ทำเครื่องหมายแต่ละแถวในตารางของคุณว่า เก็บ ไม่เก็บ เก็บตามระยะเวลาที่ระบุ หรือ ไม่ได้กล่าวถึง แถว "ไม่ได้กล่าวถึง" มีประโยชน์ที่สุด เพราะความเงียบในหมวดหนึ่งก็เป็นข้อมูล นโยบายที่ชัดเจนเรื่องประวัติการเข้าเว็บ แต่เงียบเรื่องเวลาเชื่อมต่อหรือที่อยู่ต้นทาง บอกคุณน้อยกว่าที่ดูเผินๆ

ดูด้วยว่าเหตุผลที่ผู้ให้บริการให้ไว้สำหรับการเก็บอะไรก็ตาม การเรียกเก็บเงิน การป้องกันการใช้งานผิดปกติ และการแก้ปัญหาเป็นวัตถุประสงค์ที่พบบ่อยและเข้าใจได้ คำถามคือมีระบุระยะเวลาเก็บและสั้นหรือไม่ สำหรับการอ่านข้อความแบบนี้โดยทั่วไป เช็กลิสต์นโยบายความเป็นส่วนตัวของ VPN และ คู่มือนโยบายการเก็บบันทึก พาอ่านถ้อยคำทั่วไปทีละบรรทัด

ขั้นที่ 3 อ่านรายงานออดิตให้ถึงตัวเอกสาร

ตรงนี้คือจุดที่คำอ้างส่วนใหญ่พัง และการอ่านอย่างละเอียดให้ผลคุ้ม ให้ถือรายงานออดิตเป็นเอกสารที่มีปก ขอบเขต วิธีการ ข้อค้นพบ และวันที่ ตรวจทีละส่วน

ใครเขียน ใครจ่ายเงิน บริษัทอิสระที่เปิดเผยชื่อเป็นจุดเริ่มต้นที่ดี ผู้ให้บริการมักเป็นผู้จ่ายค่าผู้ตรวจ ซึ่งเป็นเรื่องปกติ แต่ให้ดูว่ารายงานระบุความสัมพันธ์นั้นและมีการลงนามหรือระบุผู้เขียน

ขอบเขตครอบคลุมอะไร นี่คือคำถามที่สำคัญที่สุดข้อเดียว ขอบเขตอาจเป็นเว็บไซต์ แอปมือถือ เซิร์ฟเวอร์ไม่กี่เครื่อง การทบทวนการตั้งค่า หรือโครงสร้างพื้นฐานทั้งหมด คำอ้างเรื่องการเก็บบันทึกได้รับการสนับสนุนก็ต่อเมื่อขอบเขตครอบคลุมระบบที่อาจเก็บบันทึกได้ ออดิตโค้ดของแอปไม่ได้บอกอะไรเกี่ยวกับสิ่งที่เซิร์ฟเวอร์บันทึก

หลักฐานประเภทไหน ผู้ตรวจที่อ่านไฟล์การตั้งค่า ผู้ที่สัมภาษณ์พนักงาน ผู้ที่ตรวจเซิร์ฟเวอร์โดยตรง และผู้ที่ทบทวนเอกสารการออกแบบ ต่างกัน การตรวจระบบจริงโดยตรงแข็งแรงกว่าการอ่านสิ่งที่ผู้ให้บริการส่งให้ สังเกตวลีเช่น "อิงจากข้อมูลที่ฝ่ายบริหารให้มา"

ช่วงเวลาหรือเวอร์ชันไหน รายงานควรระบุว่าทำงานเมื่อไรและเห็นระบบในสถานะใด หลักฐานจากช่วงที่ผ่านมาไม่ได้บอกว่าวันนี้เกิดอะไรขึ้น

พบอะไร รายงานที่ดีระบุข้อค้นพบ รวมถึงเรื่องเล็กน้อย และแสดงว่าผู้ให้บริการตอบสนองอย่างไร รายงานที่ไม่มีข้อค้นพบเลย หรือไม่เอ่ยถึงข้อจำกัดเลย ควรดูซ้ำ ระวังสรุปที่รายงานแต่ข่าวดี

เผยแพร่ทั้งฉบับไหม ถ้าผู้ให้บริการเผยแพร่แค่ข้อความที่ยกมาจากรายงาน ให้ถามว่ามีฉบับเต็มไหม ผู้ให้บริการที่ภูมิใจกับออดิตมักใส่ลิงก์ไปที่รายงาน

จดคำตอบเป็นบล็อกสั้นๆ ในตาราง ได้แก่ ผู้ตรวจ ขอบเขต ประเภทหลักฐาน วันที่ ข้อค้นพบ มีรายงานฉบับเต็มหรือไม่

ขั้นที่ 4 เทียบกับหลักฐานที่ผู้ให้บริการควบคุมไม่ได้

คำอ้างที่ตรวจได้จากหลายมุมอิสระแข็งแรงกว่าคำอ้างที่เห็นได้มุมเดียวมาก

• รายงานความโปร่งใส ผู้ให้บริการเผยแพร่จำนวนคำร้องทางกฎหมายที่ได้รับและสิ่งที่ส่งมอบได้หรือไม่ อ่านว่า รายงานความโปร่งใส มีโครงสร้างอย่างไรและรายงานที่ดีควรมีอะไร
• ประวัติทางกฎหมายและเหตุการณ์ เคยมีคดีสาธารณะที่ถูกเรียกดูบันทึกของผู้ให้บริการไหม บันทึกสาธารณะบอกว่าส่งมอบอะไรได้ ให้ระวังข่าวและเลือกแหล่งต้นทาง เช่นเอกสารศาลหรือแถลงการณ์ทางการ
• เขตอำนาจศาลและความเป็นเจ้าของ บริษัทตั้งอยู่ที่ไหนและใครเป็นเจ้าของ สิ่งเหล่านี้มีผลต่อคำสั่งทางกฎหมายที่อาจได้รับ ดู เขตอำนาจศาลของ VPN
• โค้ดเปิด หากบางส่วนของซอฟต์แวร์เปิดสาธารณะ ผู้เชี่ยวชาญภายนอกอ่านได้ ซึ่งไม่ได้พิสูจน์พฤติกรรมของเซิร์ฟเวอร์ แต่เพิ่มมุมมองอีกหนึ่งมุม
• รีวิวอิสระและรายงานชุมชน มองหาบทความเทคนิคจากนักวิจัยด้านความปลอดภัย ไม่ใช่เว็บจัดอันดับที่ได้ค่าตอบแทน
• ความสอดคล้องระหว่างหน้า นโยบายความเป็นส่วนตัวตรงกับหน้าการตลาด ประกาศออดิต และคำแจ้งในสโตร์ไหม ความไม่ตรงกันมีนัยสำคัญ

แต่ละแหล่งที่สอดคล้องกับคำอ้างเพิ่มความมั่นใจขึ้นอีกเล็กน้อย แต่ละแหล่งที่ขัดแย้ง หรือหาไม่เจอเลย ก็ควรจดไว้เช่นกัน

สัญญาณเตือนและสัญญาณที่ดี

ดูดีผิวเผิน	ทำไมควรดูใกล้ขึ้น
ป้าย "ผ่านการออดิต" ที่ไม่มีลิงก์	มองไม่เห็นขอบเขตหรือวันที่
ออดิตเฉพาะเว็บไซต์หรือแอป	บอกเรื่องบันทึกบนเซิร์ฟเวอร์น้อยมาก
รายงานเก่ากว่าการเปลี่ยนโครงสร้างใหญ่ครั้งล่าสุด	หลักฐานอาจใช้ไม่ได้แล้ว
ออดิตที่จ่ายและเขียนโดยบริษัทในเครือ	ความเป็นอิสระไม่ชัดเจน
ถ้อยคำเด็ดขาดเช่น "เราไม่บันทึกอะไรเลย"	ระบบจริงแทบไม่มีใครที่ไม่เก็บอะไรเลย
คำอ้างที่ขัดกับนโยบายฉบับยาว	คำอ้างแรงอาจเป็นแค่สโลแกน

สิ่งที่ควรชื่นชม	ช่วยอย่างไร
เผยแพร่รายงานเต็ม มีข้อค้นพบและการตอบสนอง	อ่านขอบเขตและข้อจำกัดเองได้
ระบุชื่อผู้ตรวจและวันที่ทำงาน	ผูกคำอ้างกับช่วงเวลาได้
ระบุระยะเวลาเก็บข้อมูลเฉพาะเจาะจง	ข้อความที่เป็นรูปธรรมทดสอบได้
ออดิตซ้ำหลายปี	แสดงถึงนิสัย ไม่ใช่เหตุการณ์ครั้งเดียว
ยอมรับตรงๆ ว่าเก็บอะไร	ซื่อตรงเรื่องข้อแลกเปลี่ยน

สัญญาณดีเพียงข้อเดียวไม่ตัดสินคำถาม และสัญญาณเตือนเพียงข้อเดียวไม่พิสูจน์เจตนาไม่ดี จุดประสงค์คือประกอบภาพจากข้อสังเกตหลายข้อ

ตัวอย่างใช้งานจริงกับคำอ้างสมมุติ

นี่คือผู้ให้บริการสมมุติสามราย ให้คะแนนด้วยตารางจดผล ไม่ใช่บริษัทจริง

ผู้ให้บริการ A หน้าแรก "ผ่านการออดิต ไม่มีบันทึกเลย ตลอดไป" นโยบายความเป็นส่วนตัวระบุว่าเก็บ "ข้อมูลเมตาการเชื่อมต่อเท่าที่จำกัดเพื่อคุณภาพบริการ" ป้ายออดิตลิงก์ไปบล็อกย่อหน้าเดียวที่เขียนว่า "ผู้เชี่ยวชาญอิสระตรวจระบบของเรา" ไม่มีชื่อและวันที่ ข้อสรุป ไม่ตรงกันสามจุด สโลแกน นโยบาย และออดิตไม่สอดคล้อง และขอบเขตมองไม่เห็น ถือว่าคำอ้างยังไม่ได้รับการยืนยัน

ผู้ให้บริการ B หน้าแรก "เซิร์ฟเวอร์ของเราสร้างมาเพื่อหลีกเลี่ยงการเก็บบันทึกกิจกรรม" นโยบายระบุว่าไม่เก็บข้อมูลการเข้าเว็บและที่อยู่ต้นทาง และเก็บอีเมลบัญชีกับสถานะการชำระเงินตราบที่บัญชียังอยู่ รายงานฉบับเต็มของบริษัทภายนอก ลงวันที่เมื่อแปดเดือนก่อน ตรวจตัวอย่างเซิร์ฟเวอร์และกระบวนการตั้งค่า ระบุข้อค้นพบเล็กน้อยสองข้อและการแก้ไขของผู้ให้บริการ ข้อสรุป นโยบาย การออกแบบ และออดิตสอดคล้องกัน ขอบเขตระบุชัด และวันที่ยังใหม่ ช่องว่างที่เหลือ คือเป็นแค่ตัวอย่างเซิร์ฟเวอร์ ไม่ใช่ทุกเครื่อง และช่วงเวลาผ่านมาแล้ว ได้รับการสนับสนุนพอสมควร พร้อมข้อจำกัด

ผู้ให้บริการ C ไม่มีออดิต แต่มีนโยบายชัดเจนพร้อมระยะเวลาเก็บ รายงานความโปร่งใสทุกปี และโค้ดแอปเปิดสาธารณะ ข้อสรุป ไม่มีอะไรที่เป็นอิสระครอบคลุมพฤติกรรมของเซิร์ฟเวอร์ แต่ผู้ให้บริการเปิดเผยทุกเรื่องที่เหลือ น่าพิจารณาสำหรับการใช้งานที่ไม่อ่อนไหวมาก ด้วยความคาดหวังที่สมเหตุสมผล

สังเกตว่าผู้ให้บริการ B ไม่ได้ "สมบูรณ์แบบ" และผู้ให้บริการ C ก็ไม่ได้ "แย่" ตารางจดผลให้วิธีพูดว่าอะไรมีหลักฐานสนับสนุน อะไรไม่มี และอะไรยังไม่รู้

การตรวจทำอะไรได้และทำอะไรไม่ได้

ซื่อสัตย์กับตัวเองเรื่องเพดานของมัน

• ไม่มีใครพิสูจน์ข้อปฏิเสธได้ตลอดไป ออดิตแสดงว่าในเวลาหนึ่ง ภายในขอบเขตหนึ่ง ผู้ตรวจไม่พบบันทึกกิจกรรมที่เก็บไว้ มันไม่อาจแสดงว่าไม่มีบนเซิร์ฟเวอร์ที่ไม่ได้เห็น หรือในวันที่ไม่ได้ดู
• นโยบายไม่ใช่การบังคับใช้ คำสัญญามีค่าเท่าแรงจูงใจของผู้ให้บริการและกฎหมายที่ผู้ให้บริการอยู่ภายใต้
• ผู้ให้บริการ VPN เป็นเพียงฝ่ายเดียว ผู้ให้บริการอินเทอร์เน็ตของคุณ เว็บที่คุณเข้า แอป และอุปกรณ์ ล้วนเก็บบันทึกได้ ไม่ว่าจะมี VPN หรือไม่ ดู ผู้ให้บริการ VPN เห็นอะไรได้บ้าง สำหรับการแบ่งบทบาท
• คุณกำลังตรวจผู้ให้บริการ ไม่ใช่ซื้อความแน่นอน เป้าหมายคือหลีกเลี่ยงคำอ้างที่อ่อนชัดเจน ไม่ใช่หาคำอ้างที่สมบูรณ์แบบ

ถ้าสถานการณ์ของคุณเดิมพันสูง เช่นนักข่าวหรือนักเคลื่อนไหวที่ทำงานภายใต้ภัยคุกคามร้ายแรง คำอ้างเรื่องการเก็บบันทึกเป็นแค่ปัจจัยหนึ่ง และคำแนะนำจากผู้เชี่ยวชาญขององค์กรอย่าง EFF เหมาะกว่าเช็กลิสต์สำหรับผู้บริโภค คู่มือ EFF Surveillance Self-Defense เป็นจุดเริ่มต้นที่ดี

สำหรับผู้ใช้ทั่วไป ผลลัพธ์ที่สมเหตุสมผลของวิธีนี้คือมุมมองที่สมจริงขึ้น คุณรู้ว่าคำอ้างไหนมีหลักฐานหนุน อันไหนเป็นแค่ถ้อยคำที่ปรารถนา และอันไหนที่คุณตัดสินไม่ได้

สรุป

หากจะตรวจสอบคำอ้างเรื่องออดิตการเก็บบันทึกของ VPN ให้แยกนโยบาย คำกล่าวด้านการออกแบบ และผลออดิตออกจากกัน เก็บถ้อยคำจริงพร้อมวันที่ ระบุแต่ละประเภทข้อมูลว่าเก็บ ไม่เก็บ หรือไม่ได้กล่าวถึง อ่านรายงานออดิตให้เห็นผู้ตรวจ ขอบเขต ประเภทหลักฐาน ช่วงเวลา และข้อค้นพบ แล้วเทียบกับรายงานความโปร่งใส ประวัติทางกฎหมาย และโค้ดสาธารณะ ให้คะแนนสิ่งที่พบในตารางง่ายๆ ระวังสโลแกนเด็ดขาด และยอมรับว่าออดิตเป็นภาพที่ลงวันที่ ไม่ใช่การรับประกันถาวร

หากคุณกำลังเทียบผู้ให้บริการด้วยประเด็นเหล่านี้ ขอรายงานฉบับเต็มและเงื่อนไขจากรายใดก็ได้ก่อนจ่ายเงิน และ หน้าราคา แสดงวิธีที่ขายแพ็กเกจ XPASS หากอยากดูโมเดลชำระครั้งเดียวแบบเรียบง่าย