Varför är ett VPNs hemvistland ett viktigt kriterium?

Det glöms alltför ofta bort, men jurisdiktion är ett viktigt kriterium för att säkerställa säkerheten för ett VPNsom absolut måste vägleda internetanvändarens val.

Som oerfaren användare skulle det inte vara förvånande att blanda ihop VPN-adressen och den geografiska platsen för dess servrar. De två koncepten är dock väldigt olika, det ena handlar om säkerhet och konfidentialitet för personuppgifter, medan det andra helt enkelt låter dig simulera din geolokalisering.

Vad är ett VPNs hemland?

Mycket enkelt, ett VPNs hemvistland är det land där dess huvudkontor är etablerat. Vi pratar också om jurisdiktion eller av laglig hemvist. Huruvida skaparna av ett företag är av en eller annan nationalitet spelar då ingen roll: företagets nationalitet kommer att bestämmas av platsen för dess registrerade säte, dess jurisdiktion. I förlängningen är det lagarna i denna jurisdiktion som kommer att gälla för företaget med avseende på insamling, lagring och skydd av personuppgifter, även om det har infrastrukturer någon annanstans i världen.

Bosättningslandet är således en viktig förutsättning som måste vägleda valet av användare, alla stater anser inte behandlingen av personuppgifter på ett likvärdigt sätt.

Är jurisdiktionen för ett VPN tillräckligt för att skydda användarnas integritet?

I praktiken kan vissa parametrar allvarligt undergräva datasäkerheten som utlovas av VPN, även om de är baserade i rekommenderade jurisdiktioner. Företagets hemvistland kan därför inte vara det enda kriteriet för val av tjänst.

För att jurisdiktionsargumentet ska vara effektivt är det viktigt att VPN som man har valt gäller en No-log policy. Konkret förutsätter detta att servrarna som används inte registrerar någon webbläsarinformation, och inte heller något annat element som tydligt skulle identifiera internetanvändaren och hans onlineaktiviteter (IP-adress, besökta webbplatser, datum och tider för anslutning, sessionslängd, antal data som utbytts etc.).

I händelse av loggning (lagring) av dessa uppgifter kan tjänster baserade i så kallade påträngande jurisdiktioner, eller upprätthålla relationer med olika internationella underrättelseallianser, ledas till att leverera denna information på begäran av myndigheterna.

No-log-policyn är nu en av de viktigaste försäljningsargumenten som lagts fram av de allra flesta VPN-leverantörer. Men det är absolut nödvändigt att komma ihåg att en slogan som publiceras på hemsidan inte är en garanti för respekt för användarnas integritet. Att ta sig tid att noggrant läsa varje tjänsts användarvillkor och sekretesspolicy är ett viktigt första steg för att få en känsla av vad företag faktiskt loggar om sina användares onlineaktiviteter.

Man bör också komma ihåg att en VPN-tjänst är beroende av ett privat företag. Som sådan är det fortfarande mycket svårt att verifiera att de åtaganden som gjorts hålls, och om man inser knepet är det väldigt ofta för att det finns en skandal. 2011 arbetade HideMyAss, då baserat i Storbritannien och som hade en policy för inga loggar, tillsammans med amerikanska myndigheter genom brittiska myndigheter för att arrestera en amerikan som misstänks ha hjälpt LulzSec att hacka sig in på Sony.

Under 2016 såg IPVanish, som inte heller tillämpade någon logg, sitt rykte äventyras av ett barnbrott och barnpornografifall. Tjänsten tvingades sedan lämna över anslutningsdata till FBI (användaridentitet, källans IP-adress, e-postadress, tidsstämpel för anslutningar) som den garanterat inte kommer att behålla.

2017 anklagades PureVPN – men ändå baserat i Hong Kong, en jurisdiktion som då ansågs tillförlitlig på grund av dess oberoende kopplat till dess status som en före detta brittisk koloni – för att ha kommunicerat information till FBI som en del av en utredning som ledde till gripandet av en amerikansk brottsling. Företaget försvarade sig och hävdade att det hade respekterat sin integritetspolicy och principen om ingen logg som det sålde till sina prenumeranter. Ett sant uttalande, men diskutabelt, eftersom de små raderna föreskrev att servrarna automatiskt registrerade anslutningstiden för sina användare, och därmed deras IP-adress. Vilseledande hade PureVPN verkligen följt sin integritetspolicy, som innehöll en ordnad (och tillmötesgående) version av begreppet nollloggar.

Omvänt, vissa leverantörer baserade i jurisdiktioner som omfattas av de strängaste underrättelselagarna har kunnat konsolidera sitt rykte och det förtroende som deras användare ger dem. Detta är särskilt fallet med Private Internet Access (PIA), som två gånger uppmanats av FBI och domstolen att kommunicera sina loggar i samband med piratkopiering, och två gånger kunnat bevisa att det inte fanns några data att kommunicera.

För att välja det säkraste VPN-nätverket, se till att VPN-leverantören har låtit utföra en säkerhetsrevision av en oberoende organisation och att rapporten från denna revision har offentliggjorts.

Five Eyes och andra kompromissande internationella allianser

Naturligtvis Fem ögon ska undvikas om du vill bevara sekretessen för dina personuppgifter så mycket som möjligt. Denna internationella allians som föddes under andra världskriget samlar USA, Kanada, Australien, Nya Zeeland och Storbritannien. Organisationens kärna tillhandahåller multilaterala överenskommelser om utbyte av underrättelseinformation. Detta är vad som förklarar varför FBI kunde få information som innehas av HideMyAss medan tjänsten var beroende av brittisk lagstiftning. 2013 avslöjade Edward Snowden en serie dokument som vittnar om den massövervakning som inrättats av Five Eyes: i avsaknad av att direkt kunna spionera på sina egna medborgare, använde dessa stater information som samlats in av sina kamrater. Ett trevligt trick.

Med de fem ögonen kan vi logiskt associera Nio ögon (Five Eyes + Frankrike, Danmark, Nederländerna, Norge) och Fjorton ögon (Nine Eyes + Belgien, Tyskland, Italien, Spanien, Sverige).

Vid sidan av dessa huvudallianser har mer riktade internationella samarbeten vuxit fram, inklusive Five Eyes, Frankrike, Tyskland och Japan mot Kina och Ryssland eller Five Eyes, Frankrike, Japan och Sydkorea mot Nordkorea. Även Singapore, Israel, Japan och Sydkorea misstänks ha skrivit på avtal med Five Eyes.

I allmänhet är det bättre att undvika att prenumerera på en VPN-tjänst med hemvist i ett av EU:s medlemsländer. Även om den europeiska lagstiftningen är strängare än de tidigare nämnda allianserna när det gäller medborgarnas rättigheter och respekt för integritet, finns det lagbestämmelser som underlättar insamling och delning av information mellan länder (avtal och lagar som stärker internationell säkerhet, obligatorisk lagring av data av ISP:er, överföring av uppgifter på begäran av myndigheterna). Rumänien och Bulgarien anses dock vara två undantag från regeln, efter att ha funnit att europeiska direktiv och lagförslag om lagring av personuppgifter strider mot grundlagen.

Slutligen rekommenderas det inte att välja ett VPN baserat i ett medlemsland (Kina, Ryssland, Kazakstan, Kirgizistan, Uzbekistan, Tadzjikistan, Indien, Pakistan), observatör (Mongolien, Iran, Afghanistan, Vitryssland) eller dialogpartner (Sri Lanka) , Turkiet, Armenien, Azerbajdzjan, Kambodja, Nepal).Shanghais samarbetsorganisationom några finns, och att de är lagliga och inte kontrolleras av dagens regering.

Dataparadis: paradis för missbrukad data

Precis som det finns skatteparadis finns det dataparadis (dataparadis). Dessa platser kan vara virtuella (.onion-domän, Freenet, HavenCo) eller geografiskt fysiska. I samband med VPN-användning är det detta andra alternativ som intresserar oss. Vi finner bland de dataparadis Brittiska Jungfruöarna, Panama, Seychellerna, Malaysia och Caymanöarna.

Vi skulle kunna lägga till Hongkong till den här listan, även om de upprepade angreppen mot Kina en dag kan sluta med att få bättre över landets oberoende och Schweiz. Bulgarien och Rumänien skulle också kunna inkluderas på grund av deras starka engagemang för rätten till privatliv.

Nederländerna och Sverige är speciella fall: även om de är en del av Fourteen Eyes och i Europeiska unionen har de en nationell rättslig ram som är ganska gynnsam för att respektera sekretessen för personuppgifter. Det är därför tillrådligt att vara vaksam om man väljer en VPN-tjänst baserad i en av dessa två stater. Samma observation för Israel och Singapore som, även om de misstänks för att samarbeta med Five Eyes, är ryktbara dra nytta av solida lagar om respekt för privatlivet.