Podniky musí pochopit riziko služeb vpn

Jak vyplývá z našeho nedávného přezkumu zaokrouhlování služeb virtuální privátní sítě (VPN), tyto produkty existují z mnoha důvodů, z nichž všechny nejsou relevantní pro obchodní použití. Je například nepravděpodobné, že by váš IT personál měl obchodní důvod sledovat filmy, které jsou aktivně blokovány v určité geografické oblasti, například v Číně.

Místo toho by typické důvody, proč by firma měla používat centrum služeb VPN téměř úplně kolem zabezpečení. Ochrana zařízení pomocí VPN, ochrana jeho dat při přenosu a ochrana obchodní sítě, ke které se VPN připojuje - to je spousta pokrytých základen. Možná budete také potřebovat VPN, aby splňovala požadavky na soulad při přenosu zdravotních informací nebo finančních dat. Možná se chcete ujistit, že vaši konkurenti nemohou vidět, na co jste. Nebo co je v poslední době běžnější, nechcete, aby zahraniční vláda oddělovala vaše duševní vlastnictví (IP).

Správně nakonfigurovaná VPN by měla spravovat všechny tyto triky. Vaše spojení mezi dvěma samostatnými body na internetu je šifrováno pomocí výkonných algoritmů, které by měly zabránit tomu, aby kdokoli - ať už jde o vaši konkurenční firmu přes ulici, nebo zda pracuje pro Kim Jong-Un - v zachycení vaší komunikace. Nebo budou?

Co vaše VPN skutečně dělá?

To je otázka, kterou položilo americké ministerstvo vnitřní bezpečnosti (DHS) na příkaz senátorů Ron Wydena (D-OR) a Marco Rubio (R-FL). V dopise Christopheru C. Krebsovi, řediteli nově vytvořené Agentury pro bezpečnost kybernetiky a infrastruktury, dva senátoři poznamenali, že mnoho služeb VPN vlastní korporace mimo USA a že mohou mít schopnost získávat informace (stejná data, která uživatelé považovali za chráněná), a poté je sdílejí s ostatními.

Za prvé, je možné, aby bezohledný poskytovatel VPN sdílel komunikaci v dešifrované formě s ostatními? A za druhé, je pravděpodobné, že se takové sdílení skutečně děje?

Odpověď na první otázku je jednoznačná „ano“. Z čistě technického hlediska je poskytovatel zcela schopen sdílet jakékoli soukromé informace, které čerpáte, prostřednictvím svých VPN kanálů. Odpověď na druhou otázku je samozřejmě „možná“, protože záleží na poskytovateli, kdo řídí tuto organizaci, případně kde se nachází, a konečně na tom, jaká je jejich etika. To jsou otázky, které má DHS určit.

Důvod je to možné díky způsobu práce většiny poskytovatelů VPN. Při nastavování relace VPN vytvoříte šifrovaný tunel mezi počítačem nebo sítí a serverem v místě poskytovatele VPN. Od tohoto okamžiku je vaše připojení odesláno do jeho konečného cíle. Zatímco vaše data procházejí servery poskytovatele VPN, mohou být v nezašifrovaném stavu a mohou být znovu zašifrována, když jsou odeslána na druhý konec vašeho připojení.

Zatímco někteří poskytovatelé VPN udržují vaše data šifrovaná během celého procesu, někteří ne. A kdokoli z nich může vaše data dešifrovat, pokud se tak rozhodnou. Riziko nese čas, který vaše data stráví na serverech poskytovatele VPN. Bezohledný poskytovatel může poslat nezašifrovanou verzi vašich dat někomu jinému, zatímco je v jejich držení. Jak čelíte tomuto scénáři, jak chráníte své obchodní údaje?

(Obrazový kredit: Statista)

Jak chránit před ztrátou dat

Nejprve znáte svého poskytovatele VPN. Pokud jste společnost se sídlem v USA, musíte si uvědomit, že poskytovatel VPN se sídlem v USA bude podléhat americkým zákonům o ochraně dat; poskytovatel jinde neuvedený nemusí. Stejně tak, pokud se nacházíte v Evropě nebo v jiné zemi, budete chtít vědět, že vaše data jsou zpracovávána v souladu s místními zákony.

Francis Dinha, zakladatel a generální ředitel OpenVPN, řekl, že byste měli považovat za červenou vlajku, pokud je poskytovatel VPN umístěn v zámoří. "Když máte společnost působící mimo zemi, vystavujete se bezpečnostním rizikům, " řekl. "Kdo ví, zda jsou data ve vašem zařízení sdílena s někým jiným?"

Dinha zdůrazňuje, že existují další červené vlajky, zejména zda je VPN nabízena zdarma. S bezplatnou službou VPN jste produktem, vysvětluje. To může znamenat, že vaše použití VPN vás může vystavit reklamě, nebo můžete své aktivity sdílet s ostatními pro marketingové účely, nebo můžete zjistit, že vaše data jsou sdílena s entitami, které nemají v srdci vaše nejlepší zájmy.

„Neměli byste používat VPN, která umožňuje torrentování nebo peer-to-peer připojení, “ řekla Dinha. „Může to být třetí strana, která dokáže nainstalovat škodlivý obsah.“

Tato připojení typu peer-to-peer třetích stran mohou také extrahovat data z vaší sítě. Mohou svým klientům umožnit instalaci zadních dveří pro pozdější použití a mohou jim poskytnout přístup k síťovým prostředkům po celou dobu, kdy je VPN aktivní. Ačkoli mnoho zákazníků a výkonných uživatelů technologie VPN se může radit z této rady - často používají konkrétní VPN konkrétně proto, že to umožňuje torrentování a používání peer-to-peer - tito uživatelé jsou si dobře vědomi těchto potenciálních bezpečnostních rizik. Jsou ochotni je vzít a pravděpodobně nainstalovali spoustu softwaru pro ochranu koncových bodů, aby kompenzovali. Většina podniků se na druhou stranu pravděpodobně podílí pouze na přenosu dat a bezpečném vzdáleném připojení, což znamená, že jim další rizika koncového bodu prostě nestojí za to.

Dinha uvedla, že jakákoli VPN, včetně těch, které mají sídlo v USA, může být zneužita, takže je důležité, abyste prověřili poskytovatele VPN, aby zajistili, že poskytuje služby, o kterých si myslíte, že dostáváte. Řekl, že dobrý způsob, jak zajistit, že jednáte s renomovaným poskytovatelem VPN, je potvrdit, že společnost je renomovaná jinými způsoby. Vyhledejte například společnosti, které mají uzemnění v zabezpečení, například společnosti brány firewall nebo společnosti zabývající se zabezpečovacím softwarem.

Jedním z klíčových bodů, řekl Dinha, je to, že byste nikdy neměli používat VPN, kde nemůžete server ovládat. Navrhuje také, abyste se ujistili, že máte plnou kontrolu nad správou klíčů. Z obchodního hlediska je to opět dobrý nápad. Většina zákazníků však nebude nastavovat vlastní servery VPN. Ve skutečnosti je celá myšlenka zákaznických sítí VPN taková, že to nemusí dělat. Energetičtí uživatelé a spotřebitelé musí zvážit svůj čas a zdroje s výhodami získanými úplnou kontrolou svých VPN. Podniky si mohou dovolit být tvrdší, zejména ty, které mají stálý IT personál - a pravděpodobně by to tak mělo být.

Jaký druh VPN řešení použít

Nyní si pravděpodobně myslíte, že používání spotřebitelské služby VPN, kde se připojujete k serveru v jiné zemi, který vás poté připojí k místu umístěnému jinde, není nejlepší obchodní praktikou. Dinha souhlasí a zdůrazňuje, že tyto služby se skutečně nevyvíjely jako obchodní řešení.

• Nejlepší VPN služby pro rok 2019 Nejlepší VPN služby pro rok 2019
• Nejlepší Linux VPN pro rok 2019 Nejlepší Linux VPN pro rok 2019
• Američtí senátoři požadují sondu zahraničních VPN nad špionážním rizikem Američtí senátoři poptávají sondu zahraničních VPN nad špionážním rizikem

Většina podniků by místo toho měla udělat, je použít řešení VPN, které spojuje uživatele s vlastním serverem společnosti bez přechodného kroku přes server někoho jiného. Existuje mnoho takových řešení, některá od společností, které jste nikdy neslyšeli, a jiná od společností známých jako Cisco. Všechny tyto, ale ne všechny, jsou kompatibilní s OpenVPN open-source softwarem, který je také široce používán a znovu uváděn na trh jinými prodejci, protože se v VPN prostoru vyvinul do de facto standardu.

To je jistě obtížnější konfigurovat a implementovat, než se jednoduše přihlásit k cloudové službě VPN, ale rozdíl je v tom, že se připojujete přímo k VPN serveru, který ovládáte, obvykle na okraji vaší vlastní sítě. Tímto způsobem jsou vaše data chráněna a nikdy se nedostanou do rukou třetí strany.