VPN hizmetinin günlük tutup tutmadığı nasıl anlaşılır?

Bilgisayar ve telefonların kullanıcıyı izleyebildiği günümüzde İnternet güvenliği ve anonimliği herkes için önemlidir.

Günlük tutmayan VPN, anonimlik sorununu tamamen çözer.

Önce VPN hizmetinde günlük nedir, bakalım.

VPN sunucusu günlükleri nedir

Günlükler, her müşteriyi ayrı tanımlamaya yardımcı olabilecek her türlü kayıttır.

Örneğin PPTP VPN'de günlüğü kapatan yerleşik özellik yoktur; işletim sisteminin standart günlüğüne yazılır. İnternet'ten alınan aşağıdaki resimde PPTP VPN sunucusunun günlüğü gösteriliyor.

Standart PPTP ve OpenVPN sunucu günlüğü bağlantı saati, gerçek müşteri IP'si ve bağlantı durumunu gösteren komutları içerir.

Gerçek müşteri IP'leri ve bağlantı saatleri, her müşteriyi kesin tanımlamayı sağlar.

Sunucuda müşteriyi tanımlamak için şu parametreler kullanılabilir:

• sağlayıcı tarafından verilen müşterinin gerçek IP adresi
• sistemdeki iç müşteri numarası: sistemdeki benzersiz müşteri ID'si
• tarayıcı, işletim sistemi, bağlantı zamanı parametreleri; bunlar tarayıcıdan, trafik analizinden vb. alınabilir
• VPN'e bağlanan müşterinin iç IP'si; 10.0… veya 192.168… biçiminde olabilir ve VPN içi trafik yönlendirmesinde kullanılır
• müşterinin dış IP adresi: İnternet sitelerinde görünecek IP

Sistemin tamamında belirli 1 kullanıcıyı engelleyen kontrol mekanizmaları varsa hizmet anonim değildir ve günlük tutar.

Ortak IP mi özel IP mi daha iyi?

Tüm kullanıcıların ortak (shared) IP'si mi, yoksa her müşteriye özel (dedicated) IP mi daha iyi diye sıkça soruluyor.

Her müşteriye verilen benzersiz özel IP kullanıcıyı tanımlayabileceğinden, sunucunun paylaşılan IP'si daha güvenlidir.

Şikâyet sunucu sahibine IP adresi ve saldırı zamanı belirtilerek gönderilir.

Hizmet günlük tutuyorsa her müşteriye özel IP verildiğinde bu 2 parametreyle müşteri kesin bulunabilir.

Statik (sabit) paylaşımlı IP öneririz.

Artık sunucu günlüklerinin ne olduğunu ve hangi IP'nin iyi olduğunu biliyoruz. Yanıtları, hizmetin günlük tutup tutmadığını ve anonimliğini kesin gösterecek sorulara geçelim.

VPN hizmetinin anonimliğini belirleyen sorular

Teknik desteğe gelen en sık soru: VPN hizmetiniz günlük tutuyor mu?

Bu şaşırtıcı değil. Birçok hizmet ana sayfasında anonim VPN sunduğunu yazıyor. Ama “Kullanım Koşulları”nda küçük harflerle kendi güvenlikleri için kullanıcı verilerini kaydetme hakkını saklı tuttuklarını belirtiyor.

Bu durumda böyle bir hizmet anonim sayılabilir mi?

VPN'in günlük tutup tutmadığını ve anonim sayılıp sayılmayacağını kesin belirleyen sorular hazırladık.

Bu soruları teknik desteğe (veya satış bölümüne) sorup yanıtları analiz edin. Soruları buradan kopyalayabilirsiniz.

Bazı hizmetler polisle çalışabileceğinden güvenilir anonim aktarım kanalı (anonim VPN + TOR + proxy) öneririz. Sorular bilgi güvenliğiyle ilgili olduğu için hacker olduğunuzu düşünüp sizi izlemeye başlayabilirler.

Sorular nasıl sorulmalı?

E-postada 1 soru sorup yanıt bekleyin. Sonra ikinciyi gönderin, böyle devam edin. Hepsini birden sorarsanız dürüst yanıt alamazsınız.

Soru 1. Şirketinizin ofisi nerede?

Bu soru, şirketin resmî kayıtlı olup ofisinin bulunup bulunmadığını veya yalnızca sitesi olan hayalet şirket olup olmadığını anlamak içindir.

OLASI YANIT 1: ofisimiz şu ülkededir ve resmî kaydı vardır.

Bu kötüdür; polis şirket ofisine hukuki talep gönderebilir ve şirket kanunen yanıt vermek zorundadır. Kanunen tüm şirketler günlük tutmalı, müşterilerinin faaliyetini kontrol etmelidir. Yapmazlarsa müşterilerinin faaliyetinden tüm hukuki sorumluluğu kendileri alır.

Resmî kayıtlı ve ofisli tüm şirketler günlük tutmak zorundadır ve anonim hizmet sunamaz.

Ofis adresleri ve şirket kayıt numarası genellikle sitede yayımlanır.

OLASI YANIT 2: yalnızca web sitemiz var. Bu daha iyidir; teknik desteğe Email göndermek hukuki sonuç doğurmaz.

OLASI YANIT 3: şirketimiz offshore bir yerde, Cayman Adaları'nda veya yalnızca palmiye ve hindistancevizi yetişen adada kayıtlı :)

Genellikle şirkete itibar ve güven vermek için böyle yanıtlanır. Gerçekte bu, yanıt 2'dir. Bazen şirket gerçekten offshore ülkede kayıtlıdır. Bu kötüdür; ülkeye resmî hukuki talep gönderilebilir ve şirket yerel kanuna göre resmî yanıt vermek zorundadır.

Soru 2. Hizmetiniz günlük tutuyor mu?

OLASI YANIT 1: evet, günlük tutulur.

Başka soruya gerek yok. Her şey anlaşıldı. Dürüstlükleri için teşekkür yazabilirsiniz :)

OLASI YANIT 2: hizmet kullanımı hakkında bazı istatistikler topluyoruz. Soru 3'e geçin.

OLASI YANIT 3: hayır, tutulmaz. Soru 4'e geçin.

Soru 3. Tam olarak hangi istatistikleri (verileri) topluyorsunuz?

OLASI YANIT 1: kişisel veriler (örneğin Email, bağlantı saati, tarayıcı sürümü, işletim sistemi vb.)

Bu, kullanıcıyı belirlemek için yapılıyor olabilir. Hizmet muhtemelen günlük tutuyor ve anonim değil. Kontrol için soru 4'e geçin.

OLASI YANIT 2: site istatistikleri için Google Analytics kullanırız. Yalnızca site ziyaretlerini topladığı için bunda korkulacak şey yoktur. Soru 4'e geçin.

Soru 4. Günlük tutulmadığını söylediniz. VPN'inizle spam gönderir veya siteye saldırırsam hesabımı engeller misiniz?

OLASI YANIT 1: hayır, hesabınızı engellemeyiz. Ancak çok şikayet gelirse bunların geldiği siteye VPN erişimini engelleriz. Hesabınız çalışır, fakat o siteye VPN'imizle giremezsiniz. Bu, hizmetin anonim olduğunu ve günlük tutmadığını gösterir.

OLASI YANIT 2: evet, engelleriz. Sunucuda günlükleri kapatırken yasak müşteri etkinliğini belirleyen bir sistemimiz var. Hesabınızı bu sistem engeller. Soru 5'e geçin.

Soru 5. Güvenlik sisteminizin nasıl çalıştığını ayrıntılı anlatır mısınız?

OLASI YANIT 1: anlatamayız, çünkü bu bizim sırrımız.

Bu yanıtın tek anlamı vardır: hizmet günlük tutuyor ve anonim değil. Böyle sihirli bir sistem olsaydı herkese anlatıp gurur duyabilirlerdi. Ne yazık ki böyle mucizeler yoktur.

OLASI YANIT 2: ama çoğu zaman bu sorulardan sonra teknik destek (satış) yanıt vermeyi bırakır. Bu da hizmetin günlük tuttuğunu ve anonim olmadığını gösterir.

SON SORU: kendiniz denemeye hazır mısınız?

Tüm yanıtlardan sonra hizmet anonim ve günlük tutmuyor görünüyorsa kendiniz test edebilirsiniz.

Sonraki işlemleri kendi riskinizle yapın; yaptıklarınızdan sorumlusunuz. Bunu önermiyoruz. Ancak VPN'in günlük tutup tutmadığını doğrudan gösterecektir.

Mümkün olduğunca çok koruma yöntemi kullanın (anonim VPN + TOR + proxy). Sonraki makalelerde ideal korumayı anlatacağız.

Amaç, hizmetin VPN sunucusuna bağlanıp yasak eylemleri denemektir. Hesabınız engellenirse günlük tutuluyor ve hizmet anonim değil demektir.

Bunu yapmanızı önermediğimizi tekrarlayalım, ama gerçeği başka nasıl öğrenebilirsiniz?

Günlüksüz anonim VPN hizmetimiz nasıl çalışır

Bir müşteri VPN sunucusunda yasak eylem yapıyorsa hizmetin tek amacı bunu durdurmaktır.

VPN hizmeti bunu hangi müşterinin yaptığını önemsemez.

Çeşitli programlarla (örneğin tcpdump) trafik filtrelenerek hangi siteye gidildiği anlaşılır. Ya da şikâyetteki siteye erişim engellenebilir.

Sonra hiçbir müşteri VPN sunucusundan siteye giremez. Saldırı giderilir; saldırıyı yapan müşteriyi aramak anlamsızdır.

Bu, anonim VPN'in nasıl çalıştığına küçük bir örnektir. Ancak hizmet, polisten resmî talep gelebilecek ofisi olan kayıtlı şirket değilse müşteri arayıp engellemenin gerekmediğini iyi gösterir.

VPN fiyatımızın neden böyle olduğu sık sorulur.

Bugün birçok VPN hizmeti aylık $5-10'a sunulur. Bunu ayrıntılı inceleyelim.

$5 VPN hizmeti olgusu

Ucuz hizmet kullanan ne alır? Birçok kişi ucuz güvenlik sanır. Ucuz güvenlik yoktur.

Winston Churchill, “Güvenlik için ödeme yapmalısınız; yokluğunun ise bedelini ödersiniz” demişti.

Ucuz VPN'in dezavantajları:

• ucuz veya ücretsiz VPN polisin tuzağı olabilir. Anonim hizmet sunamaz; aksine hakkınızda veri toplayabilir şirketler her müşteriyi zaman ve IP üzerinden tanımlamak için özellikle dinamik IP kullanır. Her müşteri bağlandığında benzersiz özel IP alır
• ucuzluk birkaç sunucu alınıp farklı ülke IP bloklarının bağlanmasıyla sağlanır. Sonuçta tüm sunucularda Google DNS kullanılır. Çıkışı Almanya veya Malezya'ya değiştirseniz de DNS her zaman ABD görünür
• 1 sunucuda daha çok müşteri olduğu için hızın düşmesi
kurulumu en kolay olduğu için güvenilmez PPTP bağlantısının önerilmesi. Tüm işletim sistemleri varsayılan olarak destekler
• açık kaynaklı resmî OpenVPN uygulamasıyla manuel bağlantı için yapılandırma dosyalarının bulunmaması

Ülkenizde engelli Facebook, Twitter veya Google Drive gibi hizmetleri açmak için IP değiştirecekseniz ucuz VPN öneriyoruz. Ancak yalnızca anonimlik gerekmiyorsa. Büyük VPN şirketlerinin çoğu günlük tutar.

Neden günlük tutmayan anonim VPN hizmeti bu kadar az?

Günlük tutmayan anonim VPN, hangi müşterinin kural ihlali yaptığını bilemez. Tek kötü niyetli müşteri bütün hizmeti etkileyebileceği için temel sorun budur.

VPN müşterilerinin kuralları ihlal etmesini (spam, saldırı, port tarama vb.) yalnızca kötüye kullanım koruma sistemi geliştirmek engelleyebilir

Hizmetler genelde şikâyetten korkar; yanıt vermek yerine müşteriden vazgeçmek daha kolaydır.

Sık sık kötüye kullanım şikâyetinden söz ediyoruz. Bunun ne olduğunu ayrıntılı inceleyelim.

Kötüye kullanım şikâyeti nedir

Kötüye kullanım bildirimi, İngilizce abuse sözcüğünden gelir ve şikâyet anlamında kullanılır. Site saldırısında IP sahibine şikâyet gönderilebilir. Genelde Email ile gelir.

VPN üzerinden saldırıya uğrayan site, saldırının geldiği IP'nin sahibine şikayet gönderir.

IP genellikle bir kuruluşa aittir ve şikayeti sunucu sahibine iletir. Sunucu sahibi saldırıyı durdurmak için önlem almalıdır.

İnternette telif hakkına uyumu otomatik izleyen sistemler vardır.

Örneğin kullanıcı Paramount Pictures'ın bilinen bir filminin torrent dosyasını torrent izleyicisine yükler. Sistem müşterinin IP'sini otomatik bulur ve yasadışı film yüklemesinin yapıldığı IP'nin sahibine otomatik şikayet gönderir.

Elektronik kitap kopyalarında da durum benzerdir.

Üçüncü taraf sunucuya saldırı şikayeti örneği (görsel İnternet'ten). Saldırganın dış IP'si, saldırı saati ve hedef site bulunur.

Kötüye kullanım şikâyetlerini nasıl işliyoruz

Aslında şikayetler korkutucu değildir; belirli önlemlerin alınması gerektiğini gösterir.

Torrent izleyicilerinde kaynağı engelleriz. Müşteri o sunucudan film indiremez. Hizmetimizde torrent indirmeye izin veren sunucu listesi vardır; bunlar bu faaliyetlere hoşgörülü veri merkezlerindedir.

Talepleri işlemiyoruz. Sunucular günlük tutmadığı için iş birliği anlamsızdır. Müşteriyi belirleyecek hiçbir verimiz yok.

İstekler site saldırısından kaynaklanıyorsa torrent izleyicilerinde olduğu gibi o siteye erişimi engelleriz.

Şikâyetlere yanıt verilmezse ne olur

Şikâyetleri işlemek gerekir. Veri merkezi için en önemlisi, nedenini gidereceğimizi belirten yanıttır. Asıl önemlisi gerçekten gidermektir.

Şikâyetleri görmezden gelirseniz veri merkezi sunucuyu kapatır.

Müşterilerimize hizmet verir, onları önemsiz şeylerle rahatsız etmeyiz. Şikâyetlere yanıt vermek bizim işimizdir.

Bize sıkça kötüye kullanım şikayeti gelir, ama müşterilerimiz bilmez bile.

Günlükler tamamen kapatılabilir mi?

Kullanıcılar günlüklerin tamamen kapatılıp kapatılamayacağını sıkça sorar.

Bunu sağlayan işletim sistemleri vardır. Linux ve tüm çeşitleri bunlardandır.

Örneğin Linux'ta «log /dev/null», OpenVPN'in günlük yazmasını tamamen kaldırır. Ayarlarla sunucuya bağlantıların kaydı tamamen kapatılabilir.

İşimiz müşterilerimizin güvenliğini sağlamaktır.

Ek anonimlik araçları kullanırız. Sunucularımızda syslog sistem olay kaydı kapalıdır. Sunucunun üzerindeki işlemleri anonimleştiririz. Böylece hizmetimizde yüksek güvenlik ve anonimlik sağlanır.

Faaliyete başladığımızdan beri (2006'dan bu yana) hiçbir müşteri eylemlerimiz yüzünden zarar görmedi.

Anonimlikle ilgili bir konu daha kaldı: İnternet'teki kullanıcı eylemlerini izleyen sistemler gerçekten var mı?

Kullanıcı izleme sistemleri

Telefon, faks, kablosuz ve radyo bağlantıları üzerinden trafiği yakalayıp İnternet'teki kullanıcıyı izleyen sistemler vardır.

Bu sistemler dünyadaki tüm veri merkezlerine, merkezin veya İnternet sağlayıcısının ekipmanından önce kurulur. Tüm verilere sürekli erişim vardır; sağlayıcılara resmi yazı yazmak bile gerekmez. Ülkenin güvenlik birimi, sağlayıcı veya kullanıcı izni olmadan gereken verileri kendisi görebilir. Sağlayıcı bile artık hangi kullanıcının izlendiğini bilmez.

Örneğin Solera sistemi BDT ülkelerinin çoğunda, Avrupa ve ABD'de kurulur.

Rusya'da SORM sistemi kurulmaktadır.

SORM-1, telefon dinlemek için 1996'da devreye alındı.

SORM-2, 2000'de devreye alındı; işlevleri İnternet kullanıcılarını izlemeye genişletildi.

SORM-3 de uygulanmıştır; yapabildikleri şunlardır:

• ağ paketlerinin kullanıcı kimlikleriyle ilişkilendirilmesi
• IP, e-posta, sosyal ağ ve mesajlaşma kullanıcı adları, telefon numarası ve abone konumuna göre verileri sıralama ve seçme

Kullanıcı izleme sistemi dünyadaki tüm telekom operatörlerinde uygulanmıştır.

Dolayısıyla sistem kullanıcıları IP, sosyal ağ, benzersiz tarayıcı kimliği ve telefon numarasıyla zaten izleyebilir.

Önemli soru: sürekli izleniyorsak VPN ve diğer korumaları kullanmaya değer mi?

SORM bizi izliyorsa neden VPN kullanalım?

Sistem şu anda trafiği çözemiyor. Üreticinin tek önerisi, müşterinin bilgisayarından veri çalacak virüs yüklemek veya şifreleme anahtarını fiziksel yöntemlerle kullanıcıdan öğrenmek :)

VPN kullanmak böylece izleme sorununu çözmeye yardımcı olur.

İkinci önemli etken, İnternet kullanımını güvenli ve anonim yapmak için VPN'i diğer korumalarla birlikte kullanmaktır.

İnternet güvenliği uzmanı olun. Size yardımcı olacağız.

Günlük tutmayan anonim VPN istiyorum