2022. aasta aprillis tutvustas India arvutihädadele reageerimise meeskond (CERT-In) küberturvalisuse juhiseid, et võidelda küberrünnakute vastu ja tugevdada võrguturvalisust. Uute reeglite kohaselt peavad VPN-teenused ja teised pilveteenuse pakkujad säilitama kõiki kliendiandmeid ja IKT-tehinguid viis aastat.
VPN-tööstus on uued direktiivid hukka mõistnud, öeldes, et sellised ranged seadused on vastuolus virtuaalsete privaatvõrkude põhieesmärgi ja poliitikaga. Mitmed VPN-i pakkujad on eemaldanud oma füüsilised India serverid.
Mis need uued reeglid on? Ja kas on olemas lahendus?
Mida tähendavad uued privaatsusreeglid VPN-i pakkujate jaoks?
Uute juhiste kohaselt peavad teenusepakkujad klientide andmeid säilitama viis aastat või kauem ja andma selle nõudmisel üle valitsusele.
Reeglid kehtivad tarbija VPN-idele; ettevõtte või ettevõtte VPN-id sellesse kategooriasse ei kuulu.
Uued eeskirjad pärast rakendamist tähendaksid, et iga Indias asuvate füüsiliste serveritega tarbija VPN oleks sunnitud salvestama klientide andmeid, sealhulgas:
- Täielik nimi ja aadress.
- Telefoninumber.
- E-posti aadress.
- Tegelik IP-aadress.
- Uus IP-aadress (väljastanud VPN).
- Registreerimise ajatempel.
- Klientide omandimudel.
- VPN-i kasutamise eesmärk.
VPN-teenused peavad kasutajate kohta arvestust pidama ka pärast teenuse tühistamist. Need reeglid ei riku mitte ainult kasutajate privaatsust; need ei ühildu ka enamiku VPN-ide tööviisiga. Peale selle ranged mittelogimisreeglid, riistvarakonfiguratsioon muudab mõne VPN-i pakkuja jaoks andmete salvestamise võimatuks.
Näiteks ExpressVPN, PIA ja Surfshark käitavad RAM-põhiseid servereid, mis kasutavad tavapäraste kõvaketaste asemel lenduvaid RAM-mooduleid. Kui serverite toide on eemaldatud, lähevad kõik andmed kaotsi.
Uued reeglid pidid algselt jõustuma 60 päeva jooksul pärast teatavakstegemist, s.o 27. juulil. Kuid CERT-Ini värskenduse kohaselt on tähtaega pikendatud kolme kuu võrra 25. septembrini 2022.
Laiendus annab pilveteenuste pakkujatele ja VKEdele aega, mis kulub uute suundade elluviimise suutlikkuse suurendamiseks. Nende täitmata jätmine võib kaasa tuua vangistuse või muude karistusmeetmete.
Kuidas küberjulgeolekutööstus India privaatsusreeglitele reageeris?
Internetivabaduse sihtasutus (IFF) tegi avalduse, milles nimetas seda seadust kasutajate privaatsuse ja infoturbe rikkumiseks.
Eelkõige on VPN-teenuse pakkujad juhiste vastu, kuna need lähevad vastuollu VPN-ide põhiprintsiipidega, milleks on hoida kasutajate tegevus privaatsena.
ExpressVPN oli esimene, kes viis oma serverid Indiast välja. See kirjeldas reegleid "laiaulatuslikuks" ja "üleulatuvaks" ning väitis, et sellise seaduse võimalik väärkasutamine kaalub üles sellest saadava kasu.
Surfhai peagi järgis seda eeskuju ja teatas oma India serverite sulgemisest. Blogipostituses, teatas ettevõte,
"Surfshark tegutseb uhkelt range "ei logi" poliitika alusel, nii et sellised uued nõuded lähevad vastuollu ettevõtte põhieetosega."
NordVPN kinnitas ka, et lõpetab India serverid vastuseks riigi küberjulgeoleku direktiivile.
Mitmed teised VPN-teenuse pakkujad kaaluvad sama teed, kui privaatsusseadust rakendatakse praegusel kujul, sealhulgas:
- Prooton VPN.
- CyberGhost.
- Peida mind.
- Puhas VPN.
- Privado.
Sellest hoolimata pakuvad mõned VPN-id endiselt võimalust India IP-aadressi hankimiseks virtuaalserverite abil.
Kas virtuaalservereid on ohutu kasutada?
Kui olete privaatsusteadlik kasutaja ja peate India sisu blokeeringu tühistama, on olemas lahendus virtuaalserverite näol. See pole ideaalne, kuid siiski paremuselt järgmine valik.
Virtuaalserver on spetsiaalse füüsilise serveri tarkvarapõhine esitus. See taastab funktsionaalsuse, kuid sellel puudub füüsilise serveri aluseks olev mehhanism. Võrguadministraatorid kasutavad virtualiseerimistarkvara, et jagada füüsiline server mitmeks virtuaalserveriks.
VPN-id, nagu Surfshark ja ExpressVPN, kasutavad virtuaalservereid, et aidata kasutajatel India sisu blokeeringu tühistada. Need serverid asuvad füüsiliselt Ühendkuningriigis ja Singapuris, kuid kasutavad erinevaid India IP-aadresse, mis jätavad mulje, nagu sirviksite veebi Indiast.
Kuna virtuaalserverid ei asu füüsiliselt Indias, siis uued andmete säilitamise seadused neile ei kehti. Teile meeldib endiselt tavapärane sisselogimiskeelupoliitika – mõningate väiksemate puudustega. Nende hulka kuuluvad ressursside kogumine ja madala jõudlusega probleemid. Tavaliselt juhtub see siis, kui ühes füüsilises masinas on mitu virtuaalserverit, millest mõned võivad hakata ressursse üle kasutama.
Teine puudus on seotud nende kättesaadavusega. Kõik VPN-teenused ei paku virtuaalservereid; need, mis seda teevad, kannatavad tavaliselt viivituste ja aeglase ühenduse kiiruse all. Siiski võite näha suuremat kiirust, kui loote ühenduse riigist, kus see asub.
Mida see VPN-i kasutajate jaoks tähendab?
Kuna parimad VPN-i ettevõtted lõpetavad oma serverid Indias, tunnevad kasutajad muret selle pärast, kuidas nad VPN-teenuseid kasutavad. Paljud VPN-id on hakanud oma vajaduste rahuldamiseks pakkuma virtuaalservereid.
Praeguse seisuga ei ole me teadlikud ühestki VPN-ettevõttest, kes oleks nõustunud andmete säilitamise seadustega. Kuid kui kasutate VPN-i ja näete riikide loendis India serverit, tasub ettevõttelt oma privaatsuse tagamiseks uurida.