Huhtikuussa 2022 Indian Computer Emergency Response Team (CERT-In) otti käyttöön kyberturvallisuusohjeet torjuakseen kyberhyökkäyksiä ja vahvistaakseen verkkoturvallisuutta. Uudet säännöt edellyttäisivät VPN-palveluita ja muita pilvipalveluntarjoajia säilyttämään kaikki asiakastiedot ja ICT-tapahtumat viiden vuoden ajan.
VPN-teollisuus on tuominnut uudet direktiivit sanoen, että tällaiset tiukat lait ovat ristiriidassa virtuaalisten yksityisverkkojen perustarkoituksen ja -politiikan kanssa. Useat VPN-palveluntarjoajat ovat poistaneet fyysiset intialaiset palvelimensa.
Mitä nämä uudet säännöt ovat? Ja onko olemassa ratkaisua?
Mitä uudet tietosuojasäännöt tarkoittavat VPN-palveluntarjoajille?
Uusien ohjeiden mukaan palveluntarjoajat velvoitetaan säilyttämään asiakkaiden tiedoista vähintään viisi vuotta ja luovuttamaan ne pyynnöstä valtiolle.
Säännöt sovelletaan kuluttajien VPN-verkkoihin; yritysten tai yritysten VPN-verkot eivät kuulu tähän luokkaan.
Uudet määräykset, kun ne on otettu käyttöön, merkitsivät sitä, että mikä tahansa kuluttaja VPN, jolla on fyysisiä palvelimia Intiassa, joutuisi tallentamaan asiakkaiden tiedot, mukaan lukien:
- Koko nimi ja osoite.
- Puhelinnumero.
- Sähköpostiosoite.
- Todellinen IP-osoite.
- Uusi IP-osoite (VPN: n myöntämä).
- Rekisteröinnin aikaleima.
- Asiakkaiden omistusmalli.
- VPN: n käyttötarkoitus.
VPN-palveluiden on myös säilytettävä käyttäjärekisteriä, vaikka he olisivat peruneet palvelun. Nämä säännöt eivät ainoastaan loukkaa käyttäjien yksityisyyttä; ne eivät myöskään ole yhteensopivia useimpien VPN-verkkojen toimintatavan kanssa. Paitsi tiukat kirjautumattomuuskäytännöt, laitteistokokoonpano tekee joidenkin VPN-palveluntarjoajien mahdottomaksi tallentaa tietoja.
Esimerkiksi ExpressVPN, PIA ja Surfshark käyttävät RAM-pohjaisia palvelimia, jotka käyttävät haihtuvia RAM-moduuleja perinteisten kiintolevyjen sijaan. Kun virta katkaistaan palvelimilta, kaikki tiedot menetetään.
Uusien sääntöjen oli alun perin tarkoitus tulla voimaan 60 päivän kuluessa julkistamisesta eli 27. heinäkuuta. Mutta CERT-Inin päivityksen mukaan määräaikaa on jatkettu kolmella kuukaudella 25. syyskuuta 2022 asti.
Laajennus antaa pilvipalveluntarjoajille ja pk-yrityksille aikaa rakentaa kapasiteettia uusien suuntien toteuttamiseen. Niiden noudattamatta jättäminen voi johtaa vankeuteen tai muihin rangaistustoimiin.
Miten kyberturvallisuusteollisuus reagoi Intian tietosuojasääntöihin?
Internet Freedom Foundation (IFF) julkaisi lausunnon, jossa se kutsui tätä lakia käyttäjien yksityisyyden ja tietoturvan loukkaukseksi.
Erityisesti VPN-palveluntarjoajat vastustavat ohjeita, koska ne ovat vastoin VPN: iden perusperiaatteita, jotka ovat käyttäjien toiminta yksityisenä.
ExpressVPN oli ensimmäinen, joka siirsi palvelimensa pois Intiasta. Siinä kuvattiin säännöt "laajaksi" ja "ylimääräiseksi" ja väitti, että tällaisen lain mahdollinen väärinkäyttö on paljon suurempia kuin hyödyt.
Surfhai seurasi pian esimerkkiä ja ilmoitti sulkevansa intialaiset palvelimensa. Blogikirjoituksessa, yhtiö sanoi,
"Surfshark toimii ylpeänä tiukan "ei lokeja" -käytännön mukaisesti, joten tällaiset uudet vaatimukset ovat vastoin yrityksen ydineettistä.
NordVPN vahvisti myös lopettavansa Intian palvelimet vastauksena maan kyberturvallisuusdirektiiviin.
Useat muut VPN-palveluntarjoajat harkitsevat samaa reittiä, jos tietosuojalaki pannaan täytäntöön nykyisessä muodossaan, mukaan lukien:
- Protoni VPN.
- CyberGhost.
- Piilota minut.
- Puhdas VPN.
- Privado.
Tästä huolimatta jotkut VPN: t tarjoavat edelleen tavan saada intialainen IP-osoite virtuaalipalvelimien avulla.
Ovatko virtuaalipalvelimet turvallisia käyttää?
Jos olet tietosuojatietoinen käyttäjä ja sinun on poistettava intialaisen sisällön esto, on olemassa kiertotapa virtuaalipalvelimien muodossa. Se ei ole ihanteellinen, mutta on silti toiseksi paras vaihtoehto.
Virtuaalinen palvelin on ohjelmistopohjainen esitys erillisestä fyysisesta palvelimesta. Se luo toiminnallisuuden uudelleen, mutta siitä puuttuu fyysisen palvelimen taustalla oleva koneisto. Verkon ylläpitäjät käyttävät virtualisointiohjelmistoa fyysisen palvelimen jakamiseen useisiin virtuaalisiin palvelimiin.
VPN: t, kuten Surfshark ja ExpressVPN, käyttävät virtuaalipalvelimia auttaakseen käyttäjiä poistamaan intialaisen sisällön eston. Nämä palvelimet sijaitsevat fyysisesti Isossa-Britanniassa ja Singaporessa, mutta ne käyttävät useita intialaisia IP-osoitteita, jotka saavat sen näyttämään siltä kuin selaat Internetiä Intiasta käsin.
Koska virtuaalipalvelimet eivät fyysisesti sijaitse Intiassa, uudet tietojen säilyttämistä koskevat lait eivät koske niitä. Nautit edelleen normaalista kirjautumattomuudesta – pienten haittojen kera. Näitä ovat resurssien hukka ja heikko suorituskyky. Tämä tapahtuu yleensä, kun yksi fyysinen kone isännöi useita virtuaalisia palvelimia, joista osa voi alkaa käyttää liikaa resursseja.
Toinen haittapuoli liittyy niiden saatavuuteen. Kaikki VPN-palvelut eivät tarjoa virtuaalisia palvelimia; ne, jotka tekevät, kärsivät yleensä viiveistä ja hitaista yhteysnopeuksista. Saatat kuitenkin nähdä nopeampia nopeuksia, jos muodostat yhteyden maasta, jossa se sijaitsee.
Mitä tämä tarkoittaa VPN-käyttäjille?
Kun parhaat VPN-yritykset lopettavat palvelimensa Intiassa, käyttäjät ovat huolissaan siitä, kuinka he käyttävät VPN-palveluita. Monet VPN: t ovat alkaneet tarjota virtuaalipalvelimia vastaamaan heidän tarpeisiinsa.
Toistaiseksi emme ole tietoisia VPN-yrityksistä, jotka olisivat hyväksyneet tietojen säilyttämistä koskevat lait. Mutta jos käytät VPN: ää ja näet intialaisen palvelimen maaluettelossa, kannattaa tarkistaa oma yksityisyytesi yritykseltä.
