VPN brez dnevnikov: kateri ponudniki res ne beležijo podatkov?

Kaj pomeni VPN brez dnevnikov

NordVPN deluje od leta 2012 in ima več kot 5.000 strežnikov v več kot 60 državah. Vendar število strežnikov nič ne pove o tem, kaj ponudnik dejansko hrani. Izraz no-logs je marketinški, ne tehnični. Ponudnik lahko trdi, da ne beleži dnevnikov, a vseeno hrani čas prijave, količino prenesenih podatkov ali IP naslov, s katerega se povežete.

Razlikujemo tri vrste podatkov. Prvi so dnevniki dejavnosti: obiskana spletna mesta, DNS poizvedbe, vsebina prometa. Drugi so dnevniki povezav: časovni žig, trajanje seje, uporabljen strežnik, vaš izvorni IP. Tretji so podatki o računu: e-pošta, način plačila, datum naročnine. Pravi no-logs ponudnik ne sme hraniti prvih dveh, tretje pa omeji na najnujnejše.

Praktično to pomeni, da sta za vašo zasebnost najpomembnejša podatka izvorni IP in časovni žig. Z njima lahko organ ali tretja stran poveže določeno dejavnost z določeno osebo. Raziskave kažejo, da prav ti metapodatki najpogosteje razkrijejo uporabnika, tudi če vsebina prometa ostane šifrirana.

Zakaj samo obljuba ni dovolj

Politika zasebnosti je pogodbena obljuba, ne tehnični dokaz. Prave razlike nastanejo, ko ponudnik za svoje trditve ponudi preverljive dokaze. Obstajajo trije načini, kako se trditev preveri.

Prvi je neodvisna revizija, pri kateri zunanje podjetje pregleda konfiguracijo strežnikov in notranje procese. Drugi so strežniki, ki delujejo samo v delovnem pomnilniku (RAM-only). Po vsakem ponovnem zagonu se podatki izbrišejo, zato jih ni mogoče zasegati. Tretji so primeri iz prakse: ko organi zahtevajo podatke in ponudnik ne more predati ničesar, ker ničesar ne hrani.

Brez teh dokazov ostaja trditev ugibanje. Pri brezplačnih storitvah je tveganje še večje. Nekdo mora plačati strežnike, in če to niso naročniki, so pogosto vir prihodka podatki uporabnikov. Na slovenskem forumu slo-tech so uporabniki že leta nazaj odsvetovali brezplačne VPN-je, razen omrežja Tor, prav zaradi te logike.

Primerjava ključnih ponudnikov

Spodaj so ponudniki, ki jih tehnična skupnost najpogosteje omenja. Primerjava temelji na javno dostopnih podatkih o politiki, revizijah in zasnovi strežnikov. Preden se odločite, podatke preverite na uradnih straneh ponudnikov, saj se revizije in pogoji spreminjajo.

Mullvad je najbolj radikalen pri anonimnosti računa. Ne zahteva e-pošte, ampak naključno številko računa. NordVPN in ProtonVPN sta pri uporabnosti bolj praktična. Prvi izstopa po velikosti mreže in hitrosti, drugi po odprtosti kode. Razlika v ceni med njimi je običajno majhna, zato odločitev narekuje predvsem vaš model grožnje.

Kaj no-logs pomeni v praksi: izkušnja iz Kopra

Podjetju s sedežem v Kopru sem svetoval pri varnejšem upravljanju leadgen podatkov na daljavo. Zaposleni so v CRM-sistem pogosto vstopali iz kavarn in coworking prostorov. Ko sem pregledal loge dostopov, so bila tveganja takoj vidna: prijave z javnih omrežij brez kakršne koli zaščite, večkrat tudi z istih naprav.

Rešitev z VPN-šifriranjem se je izkazala za praktičen prvi korak. Stroški so bili manjši od 20 eurov mesečno na zaposlenega. V primerjavi z morebitnimi kaznimi po GDPR je to zanemarljiv znesek. Ključna ugotovitev pa ni bila cena. Pomembno je bilo, da ponudnik sam ne ustvarja novega dnevnika dostopov, ki bi ga bilo treba nato varovati.

Zato pri poslovni rabi no-logs ni zgolj zasebnostna lastnost. Če VPN ponudnik hrani izvorne IP naslove zaposlenih, postane nov člen v verigi obdelave osebnih podatkov. To mora podjetje urediti v pogodbi o obdelavi podatkov. Pri ponudniku brez dnevnikov je ta obveznost bistveno lažja za izpolnjevanje.

Kako sami preverite trditve ponudnika

Pred nakupom lahko opravite kratek pregled, ki traja nekaj minut. Najprej preberite politiko zasebnosti do konca in poiščite natančen seznam podatkov, ki se hranijo. Če dokument govori le o brskalni zgodovini, o časovnih žigih in IP naslovih pa molči, je to opozorilni znak.

Nato preverite, ali obstaja objavljeno poročilo neodvisne revizije in kdaj je bilo opravljeno. Starejša revizija je manj vredna, saj se infrastruktura spreminja. Poiščite tudi, ali ponudnik uporablja strežnike samo v RAM-u in ali objavlja poročila o zahtevah organov. Zanesljiv ponudnik pove tudi, česa ne more zagotoviti.

Na koncu po nakupu izvedite test uhajanja. Povežite se z VPN in na javnih orodjih preverite, ali se vaš pravi IP ali DNS poizvedbe kje izdajo. Vključite kill switch in zaščito pred uhajanjem DNS, ki ju NordVPN ponuja skupaj z drugimi varnostnimi funkcijami. Če test pokaže uhajanje, no-logs politika nima pomena, saj podatki uidejo že pri vas.

Znane omejitve in pogoste pritožbe

Nobena storitev ni brez slabosti, zato jih je smiselno poznati vnaprej. Pri NordVPN uporabniki poročajo o občasno počasnejših povezavah, težavah pri odklepanju nekaterih pretočnih storitev in počasnih odzivih podpore. Aplikacija je za začetnike lahko nepregledna. Ti podatki izvirajo iz splošnih ocen uporabnikov in se razlikujejo po lokaciji.

Pri vseh VPN-jih velja še ena omejitev: no-logs ne pomeni anonimnosti pri plačilu. Če plačate s kartico, ponudnik pozna vašo identiteto prek plačilnega sistema. Za večjo zasebnost nekateri ponudniki sprejemajo kriptovalute, med njimi tudi NordVPN. To pa ne spremeni dejstva, da VPN ne skrije vedenja, ki ga sami razkrijete, na primer prijave v račun na družbenem omrežju.

Zanimiv primer je tudi slovenska raba. Za potrebe brskanja vam VPN prikrije promet pred internetnim ponudnikom, vendar ne pred spletno stranjo, v katero ste prijavljeni. Dolgoročno je zato pomembna kombinacija orodij: VPN, upravitelj gesel in dvostopenjsko preverjanje. Podrobnejši pregled najdete v naši recenziji NordVPN, o varnosti pa piše tudi članek o varnosti NordVPN.

Pravni vidik v Sloveniji in EU

Uporaba VPN je v Sloveniji in drugih članicah EU zakonita. Vprašanje je, kje ponudnik deluje in komu mora predati podatke. Jurisdikcija določa, kakšne zahteve organov mora ponudnik izpolniti. Če podatkov ne hrani, mu ni mogoče ukazati, naj jih izroči.

Uredba GDPR, ki velja od leta 2018, od podjetij zahteva zmanjševanje obsega podatkov. Za podjetja, ki VPN uporabljajo pri delu z osebnimi podatki strank, to pomeni, da je izbira ponudnika brez dnevnikov tudi skladnostna odločitev. Več o zakonitosti si lahko preberete v članku je NordVPN zakonit. Če želite začeti, vam bo pri registraciji pomagal tudi vodnik o verifikaciji računa.

Za pravno svetovanje se obrnite na strokovnjaka. Ta članek ponuja tehnični pregled, ne pravnega mnenja. Pri poslovni rabi vedno preverite, ali je ponudnik pripravljen podpisati pogodbo o obdelavi podatkov, in ali njegovi pogoji ustrezajo vaši dejavnosti.