گزارشی در مورد امنیت سرویسهای وی پی ان

 

این گزارش 48 صفحه ای توسط Digital Lab که بخشی از سازمان غیرانتفاعی و مستقل Consumer Report است منتشر شده است.
این سازمان تست کاملی را بر روی 16 سرویس مشهور وی پی ان از لحاظ  اقدامات امنیتی (مقاومت آنها در برابر نشت و هک)  و شیوه های حفظ حریم خصوصی (میزان ذخیره داده ها و نحوه استفاده از آنها) انجام داده است. در این تست، ویژگی‌های VPN، اسناد قابل دسترسی تجزیه و تحلیل ترافیک شبکه و ارزیابی رابط‌های کاربری مبنا قرار گرفته است.

لیست سرویسهای تست شده:

Betternet, CyberGhost, ExpressVPN, F-Secure Freedome VPN, Hotspot Shield, IPVanish, IVPN, Kaspersky VPN, Mozilla VPN, Mullvad, NordVPN, Private Internet Access (PIA), Private Tunnel, ProtonVPN, Surfshark, TunnelBear

در این تست سه وی پی ان Mullvad، IVPN و Mozilla VPN امتیاز بهتری نسبت به بقیه سرویسهای تست شده به دست آوردند.

از جمله دلایل برتری این سه سرویس می توان به موارد زیر اشاره کرد:

1- متن باز
این سرویسها دارای کد منبع باز هستند. طوری که محققان امنیتی مستقل می توانند آن را از نظر نقص امنیتی ارزیابی کنند و این تضمین را به محقق می دهند که با کدهای ارائه شده می توانند دقیقا مشابه نرم افزار شرکت مربوطه را بازسازی کنند.

2- پشتیبانی از پروتکل های مدرن
هر سه نرم افزار از پروتکل وایرگارد پشتیبانی می کنند. وایرگارد پروتکلی با سطح امنیتی بالا و دارای مجموعه‌ای از مکانیسم‌های لایه‌ای برای محافظت از داده‌ها است.
همچنین  IVPN و Mullvad از پروتکل OpenVPN نیز پشتیبانی می کنند.

3 - ویژگی Kill Switches
سرویسهای Mozilla و Mullvad هر دو دارای Kill Switch هستند و IVPN به کاربر این امکان را می‌دهد تا Kill Switch را در قالب یک گزینه فایروال همیشه فعال نگه دارد.
گزینه Kill Switch از ترافیک کاربر در صورت قطع اتصال VPN محافظت می‌کنند.
در این تست همچنین مشخص شد که در Le VPN و Speedify هنگام قطع اتصال وی پی ان کلید Kill Switch به درستی عمل نمی کند و ترافیک کاربر نشتی پیدا می کند. و در HideMyAss و Trust.Zone نیز هنگام قطع اتصال وی پی ان کلید Kill Switch به درستی عمل نکرده و ترافیک دی ان اس نشتی پیدا می کند.

همچنین مشخص شد که در Hola Free VPN و Psiphon همه ترافیک کاربر (به غیر ترافیک عبوری از مرورگر) نشتی دارند.

4- ممیزی های امنیتی
این شرکتها محصول خود را از لحاظ امنیتی توسط شرکت های مستقل مورد بررسی و ارزیابی قرار می دهند و از این طریق ضعفهای امنیتی محصول خود را برطرف می کنند.

طبق بررسی ها تنها چهار سرویس وی پی ان در مستندات خود به ممیزی امنیت اشاره کرده اند و تنها دو مورد دارای توضیحات واضح و دقیقی بودند که مطابق با استانداردهای موجود است. و همچنین نیمی از وی پی ان هایی که مورد بررسی قرار گرفته گزارش ممیزی های امنیتی شخص ثالث را در دسترس عموم قرار نداده اند. گزارش ممیزی های امنیتی شخص ثالث نشانه ای از قابل اعتماد بودن آن سرویس است. به خصوص اگر گزارش ها به راحتی در دسترس عموم و کارشناسان امنیتی باشد.

5- ارائه راه هایی برای افشای آسیب پذیری
شرکتهای IVPN و Mozilla VPN یک برنامه افشای آسیب پذیری برای محققان امنیتی دارند تا یافته های خود را گزارش کنند. و Mullvad یک آدرس ایمیل اختصاصی برای انجام این کار در نظر گرفته است.

6- اشتراک گذاری محدود داده های کاربران
این شرکتها به صورت مشخص و واضح در مورد نحوه ذخیره سازی و نحوه استفاده از اطلاعات کاربران در وبسایت های خود اطلاع رسانی می کنند. و همچنین در مورد مزایا و محدودیت های سرویس از قبیل بعضی رفتارهای کاربران در اینترنت که آن وی پی ان نمی تواند از آنها حفاظت کند آموزش می دهند.

در این تحقیق همچنین مشخص شده است که 12 سرویس از 16 سرویس تست شده، وعده های غیرواقعی در مورد میزان امنیت کاربران در حین استفاده از آن سرویسها به کاربران داده اند.

به عنوان مثال، بسیاری از VPN ها ناشناس بودن و غیرقابل ردیابی یا محافظت در برابر تبلیغ کنندگان و دولت ها را وعده داده اند. با این حال، تبلیغ‌ کنندگان و دولتها می‌توانند افراد را به روش‌های مختلف ردیابی کنند و داده‌های کاربر می‌تواند از طریق فیشینگ، بدافزارها و روش‌های مختلف دیگری که این وی پی ان ‌ها نمی‌توانند از آنها محافظت کنند، به خطر بیفتند.

اما در این میان چهار سرویس وی پی ان Mullvad، IVPN، Mozilla VPN و TunnelBear توصیه‌های عملی در مورد خدمات و تکنیک‌های دیگری که کاربران این سرویسها برای ایمن ماندن باید استفاده کنند ارائه کرده اند.

یکی دیگر از فاکتورهایی که مورد ارزیابی قرار گرفته است سهولت در لغو اشتراک این سرویس ها است. دشواری در لغو اشتراک یا لغو تمدید خودکار سرویس می تواند برای کاربر خسته کننده باشد. طبق این بررسی ExpressVPN، NordVPN، PureVPN و Surfshark داری این مشکل بودند.