Čo v praxi znamená "no-logs"?

Termín "no-logs" sa v marketingu VPN služieb používa veľmi voľne. NordVPN, ktorý vznikol v roku 2012 pod spoločnosťou Nord Security, ho definuje konkrétne: neposkytovateľ neuchováva záznamy o navštívených webových stránkach, prenášaných súboroch, použitých aplikáciách ani o vašej reálnej IP adrese počas pripojenia. To sú práve tie dáta, o ktoré by mal záujem poskytovateľ internetu, inzerent alebo vládna agentúra pri sledovaní konkrétnej osoby.

Čo v praxi znamená "no-logs"?
Čo v praxi znamená "no-logs"?

Výskum z oblasti sieťovej bezpečnosti opakovane ukazuje, že práve logy IP adries a DNS dopytov sú najcennejšie pre profilovanie používateľov. Ak tieto záznamy neexistujú, neexistujú ani pri prípadnej žiadosti úradov. V roku 2022 to NordVPN demonštroval priamo: keď litovské orgány požiadali o informácie o jednom z účtov, spoločnosť nedokázala poskytnúť žiadne použiteľné údaje o aktivite, pretože jednoducho neboli uložené.

Čo NordVPN zaznamenáva a z akého dôvodu

Transparentnosť si vyžaduje aj priznanie toho, čo sa zbiera. NordVPN uchováva niektoré dáta, ktoré sú technicky alebo právne nevyhnutné. Zaznamenáva e-mailovú adresu pri registrácii, platobné informácie (spracované tretími stranami ako PayPal alebo kryptomenová platobná brána), a agregované diagnostické údaje o výkone serverov.

Technicky dôležitý detail: služba dočasne zaznamenáva čas posledného pripojenia k sieti, ale nie konkrétnu server-side IP, z ktorej ste sa pripojili. Tento záznam slúži na správu predplatného a overenie, či je účet aktívny. Po odpojení sa informácia prepíše alebo vymaže. Nezaznamenávajú sa trvanie relácií v spojitosti s identitou, šírka pásma na úrovni používateľa ani žiadne obsahové dáta prenášaného prenosu.

Pre tých, ktorí platia kryptomenou, je miera identifikácie ešte nižšia. Platobný procesor vidí transakciu, ale NordVPN neuchováva väzbu medzi transakciou a konkrétnou online aktivitou účtu.

Nezávislé audity ako overiteľný dôkaz

Tvrdenia o no-logs politike sú ľahké. Overenie je ťažšie. NordVPN preto nechal svoju politiku preskúmať externou audítorskou firmou Deloitte. Audit nepotvrdil len to, čo je napísané v podmienkach, ale overil aj serverovú infraštruktúru a interné procesy. Výsledok: technická implementácia zodpovedá deklarovanej politike.

Predtým, v roku 2020, rovnakú úlohu vykonala firma PricewaterhouseCoopers (PwC). Dva po sebe nasledujúce audity od dvoch rôznych renomovaných firiem sú merateľný dôkaz, nie len marketingové tvrdenie. Konkurenti ako ExpressVPN alebo ProtonVPN tiež disponujú auditmi, čo znamená, že overenie sa stáva štandardom v segmente. Ak VPN provider audit neposkytuje alebo odmieta, to samo o sebe je varovný signál.

Prečo no-logs politika záleží aj pri leadgen operáciách

Keď som v októbri 2023 analyzoval nástroje vhodné pre bezpečnú koordináciu leadgen tímov pracujúcich na diaľku, NordVPN sa objavil ako jedna z preverených možností. Záver bol jednoznačný: bezpečnosť sieťovej komunikácie má priamy dopad na integritu zbieraných dát. Agentúry, ktoré spracúvajú citlivé kontaktné údaje klientov, musia šifrovať komunikáciu na úrovni siete, inak riskujú únik pred procesom, pri ktorom by bolo najvyššie GDPR riziko. Záujem o tieto riešenia rastie aj na Slovensku, čo potvrdzujú aj dáta z trhu o náraste predplatného VPN v stredoeurópskom regióne.

GDPR priamo vyžaduje primerané technické opatrenia pri spracovaní osobných údajov. VPN so skutočnou no-logs politikou je jednou z vrstiev tejto ochrany. Nie náhradou za iné opatrenia, ale pridanou vrstvou, ktorá znižuje riziko neautorizovaného prístupu k prenosom obsahujúcim osobné dáta. Viac o tom, prečo je NordVPN bezpečný pre firemné použitie, nájdete v samostatnom rozbore.

Porovnanie no-logs politík nie je čiernobiele. ExpressVPN sídli na Britských Panenských ostrovoch, čo je jurisdikcia s tradične slabou povinnosťou zdieľať dáta s úradmi. NordVPN sídli v Litve, krajine EÚ, kde platí GDPR a kde súdne príkazy na vydanie dát existujú. Rozdiel je v tom, že pri skutočnej no-logs politike tento príkaz nemá čo vymáhať: dáta jednoducho nie sú k dispozícii.

Surfshark, ďalší konkurent, tiež deklaruje no-logs politiku a prešiel auditom. CyberGhost publikuje transparentné správy o počte vládnych žiadostí každý kvartál, čo je iný prístup k dôveryhodnosti. NordVPN kombinuje audit s technickými opatreniami vrátane RAM-only serverov v časti infraštruktúry. RAM-only server fyzicky nevie uchovávať dáta po reštarte, čo je hardvérová záruka navyše k politike. Pre viac kontextu o tom, či je NordVPN legitímna služba, existuje samostatná analýza.

Technické záruky: RAM servery a šifrovanie

NordVPN využíva protokol NordLynx, postavený na základe WireGuard s dodatočnými úpravami pre anonymizáciu. Štandardné WireGuard má jednu nevýhodu: kvôli výkonu dočasne uchováva IP adresy v pamäti. NordVPN to obchádza prostredníctvom dvojitého systému NAT, kde žiadny server nikdy nepozoruje kombináciu používateľskej IP a cielenej IP zároveň.

Šifrovanie AES-256 je dnes priemyselný štandard, ktorý používajú aj vládne inštitúcie pre tajné komunikácie. Pre bežného používateľa to znamená, že zachytenie prenosu bez šifrovacieho kľúča je v praxi nepoužiteľné. Kill switch funkcia navyše zabráni úniku nešifrovaného prenosu v momente, keď sa VPN spojenie preruší, čo je kritický detail pri práci s citlivými dátami na verejných sieťach. Ak vás zaujíma, ako sa menili podmienky NordVPN v čase a čo to znamená pre no-logs záväzok, odporúčam samostatný rozbor.

Čo no-logs politika nerieši

Žiadna no-logs politika nechráni pred chybami na strane používateľa. Ak sa prihlásite do Googlu počas aktívneho VPN pripojenia, Google naďalej vie, kto ste a čo robíte. VPN chráni vrstvu medzi vaším zariadením a serverom, nie vašu identitu vo službách, kde ste prihlásení.

Rovnako platí, že malvér na zariadení funguje mimo VPN tunela. NordVPN ponúka CyberSec ako vrstvu ochrany pred škodlivými doménami, ale náhradu za antivírus to nie je. No-logs politika je zárukou, že poskytovateľ VPN vás nesleduje. Nie je zárukou úplnej anonymity na internete. Toto rozlíšenie je dôležité pri výbere nástroja pre konkrétny bezpečnostný zámer.