A vállalkozásoknak meg kell érteniük a VPN szolgáltatások kockázatát

Amint azt a virtuális magánhálózati (VPN) szolgáltatások legutóbbi áttekintéséből kiderítheti, ezek a termékek számos okból léteznek, amelyek nem mindegyike releváns az üzleti használatra. Például valószínűtlen, hogy informatikai személyzetük üzleti okkal járjon olyan filmek nézésére, amelyeket egy adott földrajzi régióban, például például Kínában blokkolnak.

Ehelyett a vállalkozások általánosságban indokolt okokból szinte teljes egészében a biztonság körüli VPN szolgáltató központot kell használni. Az eszköz védelme a VPN segítségével, az adatok védelme az átvitel során, valamint az üzleti hálózat védelme, amelyhez a VPN csatlakozik - ez sok alapot tartalmaz. Szüksége lehet VPN-re is az egészséggel kapcsolatos információk vagy pénzügyi adatok továbbítására vonatkozó megfelelési követelmények teljesítéséhez. Talán azt szeretné biztosítani, hogy a versenytársak ne látják, mire készülnek. Vagy ami az utóbbi időben gyakori, akkor nem akarja, hogy egy külföldi kormány elpusztítsa szellemi tulajdonát (IP).

A megfelelően konfigurált VPN-nek kezelnie kell ezeket a trükköket. Az internet két különálló pontja között a hatékony algoritmusok segítségével titkosítva van, amelyek megakadályozzák, hogy bárki - akár az utcai versengő vállalkozástól származik, akár Kim Jong-Unnak dolgozik - megakadályozza a kommunikáció megszakítását. Vagy fogják?

Mit csinál valójában a VPN?

Ez az a kérdés, amelyet az Egyesült Államok Belbiztonsági Minisztériuma (DHS) feltett Ron Wyden (D-OR) és Marco Rubio (R-FL) szenátorok kérésére. A két szenátor Christopher C. Krebsnek, az újonnan létrehozott "Kiberbiztonsági és Infrastruktúra Biztonsági Ügynökség" igazgatójának címzett levélben megjegyezte, hogy sok VPN-szolgáltatás az Egyesült Államokon kívüli vállalatok tulajdonában van, és képesek lehetnek információ kinyerésére (a ugyanazok az adatok, amelyeket a felhasználók védelem alatt álltak), majd megoszthatják másokkal.

Tehát először is lehetséges egy gátlástalan VPN-szolgáltató megosztott kommunikációt megosztani másokkal? Másodszor, valószínű, hogy valóban megtörténik az ilyen megosztás?

Az első kérdésre a válasz egyértelmű "igen". Tisztán műszaki szempontból a szolgáltatónak teljes mértékben megoszthatja a VPN-csövein keresztül pumpált magáninformációit. A második kérdésre természetesen a "talán" a válasz, mert attól függ, hogy a szolgáltató menedzseli-e ezt a szervezetet, potenciálisan hol található, és végül mi az etikájuk. Ezeket a kérdéseket kell feltenni a DHS-nek.

Ez azért lehetséges, mert a legtöbb VPN-szolgáltató működik. A VPN-munkamenet beállításakor titkosított alagutat hoz létre a számítógép vagy a hálózat és a VPN-szolgáltató helyén található kiszolgáló között. Ettől a ponttól kezdve a kapcsolat eljut a végső rendeltetési helyre. Amíg adatai áthaladnak a VPN-szolgáltató szerverein, titkosítatlan állapotban lehetnek, és újra titkosítva lehetnek, amikor a kapcsolat másik végére küldik.

Míg néhány VPN-szolgáltató az adatokat a teljes folyamat során titkosítva tartja, mások nem. És bármelyikük visszafejti az adatait, ha úgy dönt. A kockázat abban az időben rejlik, amikor az adatok a VPN-szolgáltató kiszolgálóin töltenek. Egy gátlástalan szolgáltató az adatok titkosítatlan verzióját elküldheti valakinek, amíg azok a birtokukban vannak. Ezzel a forgatókönyvvel hogyan védheti meg üzleti adatait?

(Kép jóváírása: Statista)

Az adatvesztés elleni védelem

Először ismerje meg VPN-szolgáltatóját. Ha Ön amerikai székhelyű cég, akkor tisztában kell lennie azzal, hogy az Egyesült Államokban működő VPN-szolgáltatóra az Egyesült Államok adatvédelmi törvényei vonatkoznak; máshol található szolgáltató nem. Hasonlóképpen, ha Európában vagy más országban tartózkodik, akkor érdemes tudni, hogy adatait a helyi törvényeknek megfelelően kezelik.

Francis Dinha, az OpenVPN alapítója és vezérigazgatója elmondta, hogy vörös zászlónak kell tekintenie, ha a VPN szolgáltató tengerentúlon található. "Ha van egy olyan vállalkozása, amely országon kívül működik, akkor biztonsági kockázatoknak tesz ki magát" - mondta. "Ki tudja, hogy a készüléken lévő adatokat megosztják-e valakivel?"

Dinha rámutat arra, hogy vannak más vörös zászlók is, nevezetesen az, hogy ingyenes VPN-t kínálnak-e. Ingyenes VPN szolgáltatással Ön a termék - magyarázza. Ez azt jelentheti, hogy VPN-felhasználása hirdetéseknek teheti ki magát, vagy tevékenységeit marketing célokból megoszthatja másokkal, vagy előfordulhat, hogy adatait olyan szervezetekkel osztják meg, amelyeknek nincs a legfontosabb érdeke.

"Nem szabad olyan VPN-t használni, amely megengedi torrent vagy peer-to-peer kapcsolatok létrehozását" - mondta Dinha. "Lehet, hogy egy harmadik fél telepítheti a rosszindulatú tartalmat."

Ezek a harmadik féltől származó peer-to-peer kapcsolatok adatot nyerhetnek a hálózatból. Megengedhetik ügyfeleiknek, hogy hátsó ajtókat telepítsenek későbbi felhasználás céljából, és hozzáférést biztosíthatnak számukra a hálózati eszközökhöz a VPN teljes aktív ideje alatt. Noha a VPN-technológia sok fogyasztója és energiafelhasználója megcáfolhatja ezt a tanácsot - gyakran egy adott VPN-t használnak, mert kifejezetten kínzó és peer-to-peer használatot tesznek lehetővé -, ezek a felhasználók is tisztában vannak ezekkel a lehetséges biztonsági kockázatokkal. Hajlandóak elvégezni őket, és valószínűleg rengeteg végpont-védelmi szoftvert telepítettek ezek kompenzálására. A legtöbb vállalkozás viszont valószínűleg csak az adatátvitelben és a biztonságos távoli kapcsolatokban vesz részt, ami azt jelenti, hogy a kiegészítő végpontkockázat egyszerűen nem éri meg számukra.

Dinha elmondta, hogy bármilyen VPN-t - beleértve az Egyesült Államokban székhellyel rendelkezőket is - visszaélésszerűen lehet felhasználni, ezért kritikus fontosságú, hogy ellenőrizze VPN-szolgáltatóját annak biztosítása érdekében, hogy az Ön által nyújtott szolgáltatást nyújtja. Azt mondta, hogy a jó hírű VPN-szolgáltatókkal való kapcsolat biztosításának jó módja annak megerősítése, hogy a vállalat más módon is jó hírű. Például keressen olyan vállalatokat, amelyek biztonsággal rendelkeznek, például tűzfalakkal vagy biztonsági szoftverekkel foglalkozó cégeket.

Az egyik kulcsfontosságú pont, Dinha mondta, hogy soha ne használjon olyan VPN-t, ahol nem tudja irányítani a szervert. Azt is javasolja, hogy gondoskodjon arról, hogy teljes mértékben ellenőrizze a kulcskezelést. Üzleti szempontból ez is jó ötlet. A legtöbb fogyasztó azonban nem állítja be saját VPN szervereit. Valójában a fogyasztói VPN-k mögött rejlő ötlet az, hogy nekik nem kell ezt megtenniük. Az energiafelhasználóknak és a fogyasztóknak mérlegelniük kell az idejüket és forrásaikat a VPN-ek teljes körű ellenőrzéséből származó előnyökkel szemben. A vállalkozások engedhetik meg maguknak, hogy keményebbek legyenek, különösen azok, akik állandó informatikai alkalmazottakkal rendelkeznek - és valószínűleg ilyeneknek is kell lenniük.

Milyen VPN megoldást kell használni

Mostanra valószínűleg azt gondolja, hogy a fogyasztói VPN-szolgáltatás használata, ahol egy másik ország szerverére lép, és ezután egy másutt található webhelyhez csatlakozik, nem a legjobb üzleti gyakorlat. Dinha egyetért azzal, hogy hangsúlyozza, hogy ezeket a szolgáltatásokat valóban nem üzleti megoldásként fejlesztették ki.

• A legjobb VPN-szolgáltatások 2019-ig A legjobb VPN-szolgáltatások 2019-re
• A legjobb Linux VPN-k 2019-re A legjobb Linux VPN-ek 2019-re
• Az amerikai szenátorok a kémkedés kockázatán alapuló külföldi VPN-k szonda

Amit a legtöbb vállalkozásnak inkább az tennie kell, ha olyan VPN-megoldást használ, amely összeköti a felhasználókat a vállalat saját szerverével, közbenső lépés nélkül valaki más szerverén keresztül. Számos ilyen megoldás érhető el, néhány olyan cégek közül, amelyekről még soha nem hallottál, és mások a Cisco néven ismert cégeknek. Ezek közül bármelyik, de nem mindegyik, kompatibilisek az OpenVPN nyílt forráskódú szoftverével, amelyet más gyártók is széles körben használnak és újból forgalmaznak, mivel a VPN térben de facto szabványgé vált.

Ez minden bizonnyal nehezebb konfigurálni és megvalósítani, mint pusztán a VPN felhőalapú szolgáltatásra való feliratkozás, de a különbség az, hogy közvetlenül kapcsolódik egy ellenőrzött VPN szerverhez, általában a saját hálózatának szélén. Ilyen módon az Ön adatai védettek és soha nem kerülnek harmadik fél kezébe.