Co naprawdę znaczy „no logs”

Jakie w ogóle bywają logi

Cztery kategorie — i nigdy nie powinno się o nich mówić jak o jednej. Kiedy dostawca deklaruje „no logs”, nie wskazując kategorii, nie powiedział Ci prawie nic, bo to hasło może uczciwie opisywać usługę, która przechowuje wszystko poza historią przeglądania.

Kategorie różnią się wrażliwością. Logi aktywności potrafią odtworzyć Twoje życie. Logi połączeń — umieścić Cię pod danym adresem o danej godzinie. Diagnostyka to zwykle prozaiczne dane o awariach. Dokumenty płatności identyfikują Cię, ale nie mówią nic o tym, co robiłeś w sieci.

• Logi aktywności — odwiedzane strony, zapytania DNS, treść ruchu: kategoria najwrażliwsza
• Logi połączeń — znaczniki czasu, Twój źródłowy adres IP, użyty serwer, przesłane bajty
• Logi diagnostyczne — awarie, wersja aplikacji, nieudane połączenia
• Dokumenty płatności — faktury, identyfikatory transakcji, dane rozliczeniowe

Których logów usługa technicznie nie potrzebuje

Logi aktywności nigdy nie są potrzebne do działania VPN-a. Przekazywanie pakietów nie wymaga zapamiętywania, dokąd poszły, więc dostawca, który zapisuje odwiedzane domeny czy zapytania DNS, robi to z wyboru. To jedyna kategoria, w której „nie przechowujemy nic” jest technicznie osiągalne i powinno być w polityce powiedziane wprost.

Logów połączeń per użytkownik też da się uniknąć, z jednym niuansem. Serwer musi znać Twój adres źródłowy, dopóki sesja trwa — inaczej ruch powrotny nie miałby dokąd wrócić. Pytanie projektowe brzmi: co dzieje się potem. Usługa nastawiona na prywatność trzyma ten stan w pamięci i porzuca go przy rozłączeniu, a logująca zapisuje go na dysk ze znacznikami czasu. Liczniki zbiorcze, jak łączne obciążenie serwera, nie potrzebują żadnych danych per użytkownik.

Krótkotrwała diagnostyka jest do obrony przy debugowaniu, ale retencja powinna liczyć się w dniach, dane nie powinny zawierać celów przeglądania, a raportowanie awarii powinno być opcjonalne po stronie klienta.

Co każda płatna usługa i tak przechowuje

Rekord konta: Twój e-mail lub inny identyfikator, status i termin ważności subskrypcji, limity urządzeń czy połączeń. Bez tego usługa nie może Cię wpuścić ani rozliczyć. Polityka twierdząca, że nie przechowuje się absolutnie nic, sama w sobie jest sygnałem ostrzegawczym, bo nie może być prawdziwa w żadnym biznesie subskrypcyjnym.

Dokumenty płatności żyją nawet dłużej niż konta. Procesorzy kart i przepisy płatnicze narzucają retencję liczoną w latach, a usunięcie konta nie wymazuje faktury z księgi rachunkowej. Płatność kryptowalutą skraca ten ślad po stronie dostawcy, ale nigdy nie usuwa zapisów samego procesora. Uczciwe ujęcie: dane płatności dowodzą, że byłeś klientem, a dobrze zaprojektowany system trzyma je odcięte od czegokolwiek, co opisuje, do czego służyło połączenie.

Czym audyt różni się od obietnicy

Obietnica na stronie głównej nic nie kosztuje i niczego nie weryfikuje. Niezależny audyt oznacza, że zewnętrzna firma zbadała serwery, konfiguracje i kod w danym momencie i zaraportowała, czy praktyka zgadza się z polityką. To znacząco wyższa poprzeczka, a dostawcy, którzy ją przechodzą, zwykle publikują raport, nie tylko plakietkę.

Audyty mają uczciwe granice. Opisują systemy w dniach badania, nie na zawsze; zakres bywa wąski; audytor widzi to, do czego dostał dostęp. Drugą, pośrednią formą dowodu są akta sądowe: sprawy, w których dostawcy nakazano wydać dane, a on nie miał nic użytecznego do przekazania. Żadna z tych rzeczy nie dowodzi przyszłości — ale razem biją slogan o kilka długości.

Dlaczego jurysdykcja znaczy więcej niż polityka

Bo prawo stoi wyżej niż marketing. Dostawca zarejestrowany w kraju z obowiązkową retencją danych musi się do niej stosować niezależnie od obietnic na stronie, a niektóre jurysdykcje mogą po cichu zmusić usługę do rozpoczęcia logowania konkretnego użytkownika. Polityka opisuje intencje; jurysdykcja definiuje, co można wymusić.

Dlatego czytaj obie rzeczy razem. Gdzie firma jest zarejestrowana, czyje sądy mają nad nią władzę i gdzie fizycznie stoją serwery — prawo kraju serwera może obowiązywać, nawet gdy firma siedzi gdzie indziej. Polityka no-logs w jurysdykcji bez obowiązku retencji to spójna historia. Ta sama polityka pod prawem retencyjnym to sprzeczność, którą dostawca powinien wyjaśnić — i zwykle nie wyjaśnia.

Jak samodzielnie sprawdzić politykę

Czytaj politykę prywatności, nie stronę główną, i szukaj w niej czterech kategorii po nazwie. Wiarygodna polityka mówi, co jest zbierane, jak długo żyje każda pozycja i co dzieje się przy usunięciu konta. Mgliste dokumenty chowają się za pojemnymi czasownikami: „możemy zbierać pewne informacje techniczne” może znaczyć wszystko, aż po pełne logowanie połączeń.

Stanowisko Aurora w skrócie: nie prowadzimy logów aktywności — żadnych zapisów o odwiedzanych stronach ani wysyłanym ruchu — a wszystko, co przechowujemy, od e-maila konta po dokumenty płatności, jest wyliczone w polityce prywatności, a nie streszczone w sloganie.

Sformułowania, przy których warto zwolnić i przeczytać dwa razy:

• „No logs” bez definicji, o które typy logów chodzi
• „Zbieramy dane zanonimizowane” bez opisu, na czym polega anonimizacja
• Brak okresów retencji albo „tak długo, jak to konieczne”
• Polityka, która nigdzie nie wspomina o reagowaniu na żądania organów
• Brak wskazanej jurysdykcji i podmiotu prawnego w całym dokumencie