USA senator Ron Wyden nõuab NSA-lt selgeid juhiseid VPN-ide kasutamiseks, kuna liigutuseanalüüs võib paljastada kasutajad isegi krüpteeritud ühenduse korral.

Küberturvalisuse maailmas on virtuaalne privaatvõrk ehk VPN kaua olnud standardse soovitusena neile, kes soovivad oma internetiliiklust varjata või kaitsta endi luuretegevuse eest. Kuid viimased sündmused USA kongressis viitavad sellele, et see tehnoloogiline kihk ei ole nii läbimatu kui paljud ettevõtjad ja privaatkasutajad usuvad. Senator Ron Wyden on pöördunud USA riikliku turvalisuse agentuuri (NSA) poole, nõudes selgeid ja praktilisi juhiseid selle kohta, millised VPN-lahendused on tegelikult võimelid pakkuda kaitset keerukate välisriiklike survete eest.

Krüpteerimise piirangud ja liigutuseanalüüs

Enamasti lähtume eeldusest, et VPN loob turvalise tunneli, mis muudab andmed loetamatuks kõigile kolmandatele osapoolele. Kuid kongressi analüüs paljastab kriitilise nõudsuse. Probleem ei ole krüpteerimise purkamises, vaid liigutuseanalüüsis ehk traffic analysis meetodis. See tähendab, et kui luureagentuuril on ülevalvatse üle suurema osa interneti infrastruktuurist, saab ta võrrelda krüpteeritud andmevoogu, mis siseneb VPN-serverisse, ja seda, mis sealt väljub.

Kuigi sisu jääb loetamatuks, võimaldab andmevoo maht ja ajastus tuvastada korrelatsioone. Kui suur paket andmeid jõuab serverisse ja sekundit hiljem väljub sarnane paket konkreetse veebilehe suunas, on kasutaja identiteedi ja tema külastatud ressursside seos tehniliselt tuvastatav. See meetod muudab tavalise commercials VPN-teenuse paljusisandades ebaefektiivseks siis, kui vastaseks on riiklik luureorganisatsioon.

Valikuparadiis või turvalisuse lõkrakari

Kasutaja jaoks on tänapäeval VPN-ide turg muutunud segaseks. Turul eksisteerib tohutul hulgal erinevaid arhitektuure, kuid enamikule ettevõtjatele on raske aru saada, milline neist pakub tegelikku kaitset. Senator Wyden on märkinud, et valikuvõimalused on peaaegu Hamletlikud: kas valida avatud lähtekoodiga lahendused, kommertsilised teenused, ühehüppelised (single-hop) või mitmehüppelised (multi-hop) ühendused? Lisaks tuleks kaaluda mixnetide kasutamist, mis on loodud just liigutuseanalüüsi takistamiseks.

Kõige suurem risk peitub aga selles, et krüpteeritud tunnel lõppeb sageli juba esimesel serveril. Kui server dekrypteerib liikluse ja saadab selle edasi lõppsihtkohta, on kogu eelnev turvalisus sõltuv sellest, kelle kontrollis see server on ja kui palju usaldust saab sellele teenusepakkujale julgustada. Arstechnica analüüsi kohaselt on just see nüanss see koht, kus paljude kasutajate turvatunne muutub illusiooniks.

Riiklike agentuuride roll ja vastutus

Kuigi USA agentuurid on varem VPN-ide kasutamist üldiselt soovitanud, on puudunud konkreetsed kriteeriumid selle kohta, mis tähendab adekvaatset kaitset. Wydeni nõue on lihtne: NSA peab täiendama oma küberturvalisuse juhiseid nii, et need hoiataksid avalikkust standardsete VPN-teenuste piirangute eest. See on oluline samm, sest riiklikud luurejõud, sealhulgas USA ja Hiina, on püüelnud saavutada võimalikult laia nähtavust globaalsesse internetiliiklusse.

Standardne commercials VPN ei olegi ehk enam piisav kaitsemeede, kui vastaseks on riiklik luureagentuur, kes kontrollib võrgupõhiseid sõlme.

Kuidas eristada turvalist lahendust

Kuna NSA ametlikud juhised on veel ootel, peavad ettevõtjad ise hindama oma riskitasmet. Oluline on mõista, et VPN ei ole universaalne võtme privaatsusele, vaid üks tööriist suuremas küberkaitse tervikusscheemas. Turvalisuse tõstmiseks on vajalik vaadata süvitsi teenusepakkuja infrastruktuuri ja seda, kuidas nad käituvad andmetega serveri tasandil.

Kõige kriitilisemad küsimused on järgmised:

• Kas teenusepakkuja kasutab mitmehüppelist arhitektuuri, et raskendada liigutuseanalüüsi?
• Kas kood on avalik ja sõltumatult auditeeritud?
• Millises jurisdiktsioonis asuvad serverid ja millised on sealne andmevaadamise seadusandlus?
• Kas teenus pakub funktsioone, mis maskeerivad liikluse mahu ja ajastuse?

Mõju Balti riikidele ja e-Estonia ökosüsteemile

Kuigi senator Wydeni pöördumine on suunatud USA siseasjadele, on sellel otsene tähendus Eesti ja Balti riikide ettevõtjate jaoks. Meie regioonis, kus digitaalne infrastruktuur on äärmiselt arengud ja riigiteenused on peaaegu täielikult digitaliseeritud, on küberturvalisus eksistentsiaalne küsimus. Eestis, kus e-riigi mudel põhineb usaldusest ja krüpteeritud identiteedidel, on oluline mõista, et ükski üksik tööriist, sealhulgas VPN, ei garanteeri täielikku anonüümsust.

Balti riikide ettevõtjad, kes töötavad rahvusvaheliselt või tegelevad tundlike andmetega, peavad arvestama, et meie geopoliitiline asukoht teeb meid potentsiaalseks sihte kõrge tasemega luuretegevuse jaoks. Seoses Euroopa Liidu AI Actiga ja rangemate andmekaitse nõudmistega on ettevõtetel kohustus tagada andmete terviklikkus ja konfidentsiaalsus. Kui standardne VPN ei kaitse liigutuseanalüüsi eest, peavad Balti tehnoloogiastartupid ja ettevõtjad liikuma suurema nulle-usaldus (Zero Trust) arhitektuuri poole.

Eesti digiekoosüsteem on alati olnud innovaatiline, kuid see nõuab ka pidevat kriitilist vaatmust olemasolevatetehnoloogiatele. USA senatori mure on meeldejätuletav signaal, et küberkaitse ei ole staatiline olek, vaid pidev võrdlelus. Meie jaoks tähendab see, et ei tohi tugineda ainult ühele krüpteerimiskihele, vaid tuleb rakendada süsteemset lähenemist, kus kombineeritakse erinevaid kaitsemeetodeid, et minimeerida riski, et andmevoo analüüs paljastab ettevõtte strateegilised liigutused või kliendiandmed.

Korduma kippuvad küsimused

---

Allikad: Arstechnica, Newsbreak, Nextgov ·