¿Cómo saber si un servicio VPN guarda registros?
Hoy, cuando los ordenadores y teléfonos pueden vigilar al usuario, la seguridad y el anonimato en Internet son importantes para todas las personas.
Utilizar un servicio VPN sin registros permite resolver por completo el problema del anonimato.
Para empezar, aclaremos qué son los registros de un servicio VPN.
Qué son los registros de un servidor VPN
Los registros son cualquier anotación que pueda ayudar a identificar individualmente a cada cliente.
Por ejemplo, PPTP VPN no tiene una función integrada para desactivar los registros y escribe en el registro estándar del sistema operativo. La imagen siguiente, tomada de Internet, muestra el registro de un servidor PPTP VPN.
El registro estándar de un servidor PPTP y OpenVPN contiene la hora de conexión, la dirección IP real del cliente y un conjunto de comandos que muestran el estado de la conexión.
Las direcciones IP reales de los clientes y sus horas de conexión permiten identificar con precisión a cada cliente.
Para identificar al cliente en el servidor se pueden utilizar los siguientes parámetros:
- dirección IP real del cliente, asignada por su proveedor de Internet
- número interno del cliente en el sistema: ID único del cliente en el sistema
- parámetros del navegador, del sistema operativo y de la hora de conexión: estos datos pueden obtenerse del navegador del usuario, de un analizador de tráfico, etc.
- dirección IP interna del cliente al conectarse a la VPN: puede tener el formato 10.0… o 192.168… y se utiliza para redirigir el tráfico dentro de la red VPN
- dirección IP externa del cliente: la dirección IP que se mostrará en los sitios de Internet
Si existen mecanismos de control que permiten bloquear a 1 usuario concreto en todo el sistema, significa que el servicio no es anónimo y guarda registros.
¿Qué es mejor: una dirección IP compartida o dedicada?
A menudo nos preguntan qué dirección IP es mejor: una compartida (shared) por todos los usuarios o una dedicada (dedicated) para cada cliente.
Como una dirección IP dedicada y única para cada cliente puede identificar al usuario en el sistema, es más seguro utilizar una IP compartida del servidor VPN.
La denuncia de abuso llega al propietario del servidor e indica la dirección IP y la hora del ataque.
Si el servicio guarda registros, estos 2 parámetros permiten identificar con precisión al cliente cuando se utiliza una dirección IP dedicada para cada uno.
Recomendamos utilizar una dirección IP estática (fija) compartida.
Ahora sabemos qué son los registros del servidor y qué dirección IP conviene utilizar. Pasemos a las preguntas cuyas respuestas le permitirán saber con certeza si el servicio VPN guarda registros y ofrece servicios anónimos.
Lista de preguntas para determinar el anonimato de un servicio VPN
La pregunta más frecuente que recibe nuestro soporte técnico es: ¿su servicio VPN guarda registros?
No es sorprendente. Actualmente, muchos servicios anuncian en su página principal que ofrecen una VPN anónima. Pero en la letra pequeña de las “Condiciones de uso” indican que se reservan el derecho a registrar datos de los usuarios por su propia seguridad.
En estos casos surge la pregunta: ¿puede considerarse anónimo ese servicio?
Hemos elaborado una lista de preguntas que permiten determinar con precisión si un servicio VPN guarda registros y si sus servicios pueden considerarse anónimos.
Haga estas preguntas al soporte técnico (o al departamento comercial) y analice las respuestas. Puede copiarlas directamente de aquí.
Recomendamos utilizar un canal de transmisión anónimo de confianza (VPN anónima + TOR + proxy), ya que algunos servicios pueden colaborar con la policía. Como las preguntas están relacionadas con la seguridad de la información, podrían empezar a vigilarle pensando que es un hacker.
¿Cómo debe formular las preguntas?
Haga 1 pregunta por correo y espere la respuesta. Después envíe la segunda, y así sucesivamente. Si envía todas las preguntas a la vez, no recibirá respuestas sinceras.
Pregunta 1. ¿Dónde está la oficina de su empresa?
Esta pregunta sirve sobre todo para saber si la empresa está registrada oficialmente y tiene oficina, o si es una empresa fantasma que solo tiene un sitio web.
POSIBLE RESPUESTA 1: nuestra oficina se encuentra en determinado país y está registrada oficialmente.
Esto es negativo porque la policía puede enviar un requerimiento jurídico a la oficina de la empresa, que estará legalmente obligada a responder. La ley obliga a todas las empresas a guardar registros y controlar la actividad de sus clientes. Si no lo hacen, asumen toda la responsabilidad jurídica por dicha actividad.
Todas las empresas registradas oficialmente y con una oficina están obligadas a guardar registros y no pueden prestar servicios anónimos.
Las direcciones de las oficinas y el número de registro de la empresa suelen publicarse en su sitio web.
POSIBLE RESPUESTA 2: solo tenemos un sitio web. Esta opción es mejor, ya que enviar un correo al soporte técnico no tiene consecuencias jurídicas.
POSIBLE RESPUESTA 3: nuestra empresa está registrada en una jurisdicción extraterritorial, en las Islas Caimán o en una isla donde solo crecen palmeras y cocos :)
Esta respuesta suele darse para conferir prestigio y credibilidad a la empresa, pero en realidad equivale a la respuesta 2. A veces la empresa sí está registrada en un país offshore. Esto es negativo, porque puede enviarse una solicitud jurídica oficial a ese país y la empresa estará obligada a responder conforme a su legislación.
Pregunta 2. ¿Su servicio guarda registros?
POSIBLE RESPUESTA 1: sí, se guardan registros.
No hace falta preguntar nada más. Todo ha quedado claro. Puede escribirles para agradecerles la sinceridad :)
POSIBLE RESPUESTA 2: recopilamos algunas estadísticas sobre el uso de nuestros servicios. Pase a la pregunta 3.
POSIBLE RESPUESTA 3: no, no guardamos registros. Pase a la pregunta 4.
Pregunta 3. ¿Qué estadísticas concretas recopilan (qué datos)?
POSIBLE RESPUESTA 1: datos personales (por ejemplo: correo electrónico, hora de conexión, versión del navegador, sistema operativo, etc.)
En este caso, quizá se haga para identificar al usuario. Lo más probable es que el servicio guarde registros y no sea anónimo. Pase a la pregunta 4 para comprobarlo.
POSIBLE RESPUESTA 2: utilizamos Google Analytics para las estadísticas de visitas de nuestro sitio. No hay nada preocupante en ello, ya que Google Analytics solo recopila estadísticas de visitas. Pase a la pregunta 4.
Pregunta 4. Han dicho que no guardan registros. Si envío spam o ataco sitios mediante su VPN, ¿bloquearán mi cuenta?
POSIBLE RESPUESTA 1: no, no bloquearemos su cuenta, pero si recibimos muchas reclamaciones por abuso, bloquearemos el acceso a través de la VPN al sitio del que proceden. Así, su cuenta seguirá funcionando, pero no podrá acceder a ese sitio mediante nuestra VPN. Esto indica que el servicio VPN es anónimo y no guarda registros.
POSIBLE RESPUESTA 2: sí, la bloquearemos. Tenemos un sistema que permite desactivar los registros del servidor e identificar al mismo tiempo las actividades prohibidas de los clientes. Por tanto, ese sistema bloqueará su cuenta. Pase a la pregunta 5.
Pregunta 5. ¿Puede explicar con más detalle cómo funciona su sistema de seguridad?
POSIBLE RESPUESTA 1: no podemos explicárselo porque es nuestro secreto.
Esta respuesta solo significa una cosa: el servicio guarda registros y no es anónimo. Si existiera un sistema tan mágico, podrían contárselo a todo el mundo y presumir de él. Por desgracia, esos milagros no existen.
POSIBLE RESPUESTA 2: pero, con frecuencia, tras estas preguntas el soporte técnico (departamento comercial) deja de responder por completo. Esto también indica que el servicio guarda registros y no es anónimo.
ÚLTIMA PREGUNTA: ¿está dispuesto a comprobarlo por sí mismo?
Si, tras responder a todas las preguntas, el servicio le parece anónimo y sin registros, puede realizar las comprobaciones personalmente.
Realice las siguientes acciones por su cuenta y riesgo, ya que será responsable de ellas. No recomendamos hacerlo. Sin embargo, estas acciones responderán directamente a su pregunta sobre si el servicio VPN guarda registros.
Utilice tantos métodos de protección como sea posible (VPN anónima + TOR + proxy). En próximos artículos hablaremos de la protección ideal.
La idea consiste en conectarse a un servidor VPN de ese servicio e intentar realizar acciones prohibidas. Si bloquean su cuenta, significa que sí guardan registros y que el servicio no es anónimo.
Reiteramos que no le recomendamos actuar así, pero ¿cómo averiguar la verdad de otro modo?
Cómo funciona nuestro servicio VPN anónimo sin registros
Si un cliente realiza acciones prohibidas a través de un servidor VPN, el único objetivo del servicio es detenerlas.
Al servicio VPN le da igual qué cliente concreto lo haga.
Se puede filtrar el tráfico con distintos programas (por ejemplo, tcpdump) y averiguar a qué sitio se está accediendo. También se puede tomar el sitio indicado en la denuncia y bloquear el acceso a él.
Después, ningún cliente podrá acceder a ese sitio mediante el servidor VPN. El ataque queda neutralizado y no tiene sentido buscar al cliente que lo realizó.
Este es solo un pequeño ejemplo de cómo funciona un servicio VPN anónimo. Sin embargo, muestra claramente que no es necesario buscar y bloquear al cliente, siempre que el servicio no sea una empresa oficial con una oficina que pueda recibir un requerimiento policial.
A menudo nos preguntan: ¿por qué sus servicios VPN tienen ese precio?
Actualmente hay muchos servicios VPN que ofrecen sus servicios por $5-10 al mes. Examinemos esto con más detalle.
El fenómeno de la VPN por $5
¿Qué obtiene el cliente que utiliza un servicio barato? Muchos creen que seguridad económica. La seguridad barata no existe.
Winston Churchill decía: “Hay que pagar por la seguridad y pagar las consecuencias de su ausencia”.
Desventajas de una VPN barata:
- una VPN barata o gratuita puede ser un señuelo de la policía. Una VPN así no puede ofrecer servicios anónimos; al contrario, puede recopilar datos sobre usted las empresas utilizan deliberadamente direcciones IP dinámicas para identificar a cada cliente por la hora y la dirección IP. Al conectarse, cada cliente recibe una dirección IP dedicada única
- el bajo coste se consigue comprando unos pocos servidores y asociándoles bloques de direcciones IP de distintos países. En consecuencia, se utiliza Google DNS en todos ellos. Por tanto, su DNS siempre aparecerá como de Estados Unidos, aunque cambie los puntos de salida, por ejemplo, a Alemania o Malasia
- caída de la velocidad de conexión, ya que hay más clientes en 1 servidor recomendación de utilizar una conexión PPTP poco segura porque es la más fácil de configurar. Todos los sistemas operativos la admiten de forma predeterminada
- ausencia de archivos de configuración OpenVPN para configurar manualmente la conexión mediante la aplicación oficial OpenVPN de código abierto
Recomendamos utilizar un servicio VPN barato si necesita cambiar su dirección IP para desbloquear servicios no disponibles en su país, como Facebook, Twitter o Google Drive, y solo si no necesita anonimato. La mayoría de las grandes empresas VPN guardan registros en sus servidores.
¿Por qué hay tan pocos servicios VPN anónimos sin registros?
Un servicio VPN anónimo que no guarda registros no puede saber qué cliente incumple las normas. Este es el principal problema, ya que un solo cliente irresponsable puede perjudicar a todo el servicio.
Solo el desarrollo de un sistema de protección contra abusos puede impedir que los clientes del servidor VPN incumplan las normas (por ejemplo, enviar spam, realizar ataques, escanear puertos de servidores, etc.)
Los servicios suelen temer las denuncias de abuso y prefieren prescindir de un cliente a tener que responderlas.
Hablamos a menudo de denuncias de abuso. Veamos con más detalle qué son.
Qué es una denuncia de abuso
El término «abuso» procede del inglés abuse y se refiere a una denuncia. Ante un ataque a un sitio, puede enviarse una queja al propietario de esa dirección IP. Normalmente llega por correo electrónico.
El sitio atacado a través del servidor VPN envía una reclamación al propietario de la dirección IP desde la que se realizó el ataque.
Normalmente, la dirección IP pertenece a una organización que reenvía la reclamación por abuso al propietario del servidor. Este debe tomar medidas para detener el ataque.
Actualmente ya existen sistemas automáticos que vigilan el respeto de los derechos de autor en Internet.
Por ejemplo, un usuario sube a un rastreador torrent un archivo torrent de una película conocida de Paramount Pictures. El sistema identifica automáticamente la dirección IP del cliente que lo hizo y envía una reclamación por abuso al propietario de la IP desde la que se subió ilegalmente la película.
Lo mismo ocurre con las copias de libros electrónicos.
Ejemplo de reclamación por un ataque a un servidor externo (imagen tomada de Internet). La reclamación incluye la dirección IP externa del atacante, la hora del ataque y el sitio web atacado.
Cómo gestionamos las denuncias de abuso
En realidad, las reclamaciones por abuso no tienen nada de alarmante. Son una señal de que hay que tomar determinadas medidas.
En el caso de los rastreadores de torrents, bloqueamos el recurso. El cliente ya no podrá utilizar ese servidor VPN para descargar la película. Nuestro servicio dispone de una lista de servidores donde se permiten las descargas de torrents. Están alojados en centros de datos que toleran estas actividades.
No tramitamos solicitudes. Nuestros servidores no guardan registros y, por tanto, colaborar carece de sentido. No tenemos ningún dato para identificar al cliente.
Si las solicitudes se deben a un ataque a un sitio, simplemente bloqueamos el acceso a ese sitio, igual que con los rastreadores de torrents.
Qué ocurre si no se responde a las denuncias de abuso
Hay que gestionar las denuncias de abuso. Para el centro de datos, lo principal es recibir una respuesta indicando que eliminaremos la causa de la denuncia. Y lo más importante es eliminarla de verdad.
Si se ignoran las denuncias de abuso, el centro de datos desconectará el servidor.
Prestamos servicio a nuestros clientes y no los molestamos por asuntos menores. Responder a las denuncias de abuso es nuestro trabajo.
Recibimos reclamaciones por abuso con frecuencia, pero nuestros clientes ni siquiera lo saben.
¿Se pueden desactivar por completo los registros?
En Internet, los usuarios preguntan a menudo si es posible desactivar totalmente los registros.
Existen sistemas operativos que permiten hacerlo. Entre ellos se encuentra Linux y todas sus variantes.
Por ejemplo, el comando «log /dev/null» en Linux elimina por completo la escritura de registros del servicio OpenVPN. Mediante la configuración se puede desactivar totalmente el registro de las conexiones al servidor OpenVPN.
Nuestro trabajo consiste en garantizar la seguridad de nuestros clientes.
Utilizamos herramientas adicionales de anonimato. En nuestros servidores está desactivado el registro de eventos del sistema mediante syslog. Anonimizamos las acciones en el propio servidor. Así logramos un alto nivel de seguridad y anonimato al utilizar nuestro servicio.
Desde que comenzamos a trabajar (en 2006), no ha habido ningún caso de clientes perjudicados por nuestras acciones.
Queda por abordar otra cuestión sobre el anonimato. ¿Existen realmente sistemas capaces de vigilar las acciones del usuario en Internet?
Sistemas de seguimiento del usuario
Existen sistemas para interceptar tráfico y vigilar las acciones del usuario en Internet a través de conexiones telefónicas, de fax, inalámbricas y de radio.
Estos sistemas se instalan en todos los centros de datos del mundo y se sitúan delante de sus equipos o de los del proveedor de Internet. Siempre hay acceso a todos los datos, sin necesidad siquiera de enviar solicitudes oficiales a los proveedores. Los servicios de seguridad del país pueden consultar por sí mismos los datos que necesiten sin permiso del proveedor ni de los usuarios. Ni siquiera el proveedor sabe ya a qué usuario se está vigilando.
Por ejemplo, el sistema Solera se instala en la mayoría de los países de la CEI, Europa y Estados Unidos.
En Rusia se instala el sistema SORM.
SORM-1 se implantó ya en 1996 para interceptar conversaciones telefónicas.
SORM-2 se implantó en 2000 y amplió sus funciones a la vigilancia de usuarios de Internet.
Ahora ya se ha implantado SORM-3 y esta es la lista de sus funciones:
- vinculación de los paquetes de red a los identificadores del usuario
- organización de la clasificación y selección de datos por dirección IP, usuarios de correo electrónico, redes sociales y mensajería instantánea, número de teléfono y ubicación del abonado
Todos los operadores de telecomunicaciones del mundo tienen implantado un sistema de vigilancia de usuarios.
Por tanto, el sistema ya sabe rastrear a los usuarios mediante direcciones IP, redes sociales, identificadores únicos del navegador y números de teléfono.
Surge una pregunta importante: ¿merece la pena utilizar VPN y otras formas de protección si nos vigilan constantemente?
¿Para qué utilizar una VPN si SORM nos vigila?
Actualmente, el sistema no puede descifrar el tráfico. La única recomendación de su fabricante para eludirlo es infectar al cliente con un virus que robe datos de su ordenador, u obtener la clave de cifrado del usuario mediante métodos físicos :)
Así, el uso de una VPN ayuda a resolver el problema de la vigilancia.
El segundo factor importante es que debe combinar la VPN con otros métodos de protección para navegar por Internet de forma segura y anónima.
Conviértase en experto en seguridad en Internet. Le ayudaremos a conseguirlo.
Necesito una VPN anónima sin registros