Российский SplitVPN нарушил свою политику скрытности?.

Российский VPN-сервис SplitVPN (ранее известный как NotVPN), который многие используют для обхода интернет-блокировок, оказался в центре скандала: в сеть утекла база данных MySQL, в которой, по заявлениям исследователей, содержалось ошеломляющее количество — около 58 миллионов логов соединений. Это противоречит заявленной политике "никаких логов" (no-log) — якобы SplitVPN не фиксирует и не хранит личные данные пользователей.

На практике политика "no-log" обещает пользователям, что сервисы не следят за их действиями: не записывают, какие сайты они посещают, что скачивают и сколько времени проводят в сети, пока подключены к VPN. Проблема в том, что проверить подобные обещания лично ни один пользователь не может — поэтому ведущие мировые VPN-компании периодически проводят независимые аудиты приватности, чтобы доказать клиентам свою честность.

Что же случилось? 21 июля на хакерском форуме Altenen один из участников выложил 17-гигабайтную SQL-базу данных, которую он назвал украденной у SplitVPN. В ней якобы содержалась информация о пользователях, устройствах, оплатах, а главное — миллионы логов соединений.

Исследователи из Mysterium VPN изучили базу данных и утверждают: раздел deviceproxy действительно содержит примерно 58 миллионов журналов соединений. Это так называемая анонимизированная метаинформация — какой девайс с каким сервером подключался и когда. Формально это не история посещённых сайтов, но по таким данным можно вычислить: кто, откуда и когда пользовался VPN. Для пользователей в странах с цензурой — настоящая бомба под ногами.

SplitVPN на обвинения реагирует ожидаемо жёстко: они признали часть утёкших данных — имейлы, страны, статусы подписок и слегка замаскированные платежные данные — но заявили, что таблица deviceproxy вовсе выдумана и добавлена злоумышленниками для повышения цены на "сенсацию". "Мы не храним такие логи. Любые записи со связкой девайс-сервер-время не имеют к нам отношения", — подчеркнули представители SplitVPN. По их словам, после обнаружения утечки все IP VPN-серверов и ключи были моментально изменены, уязвимость закрыта, а систему проверили внешние специалисты по безопасности. Сейчас, якобы, всё снова работает штатно.

Правда, доказать, что deviceproxy — фейк, невозможно так же, как и подтвердить обратное. Поэтому пользователи SplitVPN могут только разводить руками: или логи были, или нет — но если они попадут не в те руки, в государствах с уголовным преследованием за VPN главная проблема уже не в политике сервиса, а в собственной безопасности.

Эксперты советуют выбирать VPN только с регулярным независимым аудитом, функцией "kill switch", двойным шифрованием и RAM-серверами. Всякие красивые слова о приватности в условиях утечек ничего не стоят — важна только реальная техническая защита.