Rehberler
"Kayıt tutmuyoruz" (no logs) neredeyse hiçbir zaman hiçbir şey kaydedilmiyor demek değildir. Genellikle etkinlik kaydı yok demektir: girdiğiniz sitelerin ve aktardığınız verinin kaydı tutulmaz. Bağlantı üstverisi, tanılama verileri ve ödeme kayıtları ayrı kategorilerdir ve her sağlayıcı bunları farklı tanımlar. Hangilerinin saklandığını slogan değil, gizlilik politikası söyler.
Etkinlik kayıtları internette ne yaptığınızı, bağlantı kayıtları ne zaman ve nereden bağlandığınızı, tanılama kayıtları uygulamanın nasıl davrandığını, ödeme kayıtları ise ödeme yaptığınızı belgeler. "No logs" rozeti yalnızca ilkini kapsıyor olabilir.
Abonelik satan bir servis hesabınızın var olduğunu, ödenmiş olup olmadığını ve kaç cihaza hizmet verdiğini bilmek zorundadır. Dürüst hiçbir politika sıfır veri iddia etmez. Asıl soru, saklanan verinin davranışınızı yeniden kurup kuramayacağıdır.
Bir sağlayıcı, faaliyet gösterdiği ülkenin yasalarına uyar. Yerel yasa trafiğin saklanmasını zorunlu kılıyorsa, açılış sayfasındaki söz bunu geçersiz kılmaz. Servisin nerede kurulu olduğu, afişinde ne yazdığından daha önemlidir.
Dört kategori var ve bunlar asla tek bir şeymiş gibi konuşulmamalı. Bir sağlayıcı hangi kategoriyi kastettiğini söylemeden "kayıt tutmuyoruz" diyorsa, size neredeyse hiçbir şey söylememiştir; çünkü bu cümle, gezinme geçmişi dışında her şeyi saklayan bir servisi de dürüstçe tarif edebilir.
Kategorilerin hassasiyeti farklıdır. Etkinlik kayıtları hayatınızı yeniden kurabilir. Bağlantı kayıtları sizi belirli bir saatte belirli bir adrese yerleştirebilir. Tanılama verileri genellikle sıradan çökme verisidir. Ödeme kayıtları kimliğinizi gösterir ama internette ne yaptığınız hakkında hiçbir şey söylemez.
VPN işletmek için etkinlik kaydına asla gerek yoktur. Paketleri iletmek, nereye gittiklerini hatırlamayı gerektirmez; girilen alan adlarını veya DNS sorgularını kaydeden bir sağlayıcı bunu tercih etmiştir. "Hiçbir şey tutmuyoruz" cümlesinin teknik olarak mümkün olduğu tek kategori budur ve politikada dobra dobra yazılmalıdır.
Kullanıcı bazlı bağlantı kayıtlarından da kaçınılabilir — bir nüansla. Sunucu, oturum açıkken kaynak adresinizi bilmek zorundadır, yoksa dönen trafiğin gideceği yer olmaz. Tasarım sorusu sonrasında ne olduğudur: gizliliğe odaklı bir servis bu durumu bellekte tutar ve bağlantı kesilince atar; kayıt tutan bir servis ise zaman damgalarıyla diske yazar. Sunucu başına toplam yük gibi toplu sayaçlar için kullanıcı bazlı ayrıntıya hiç gerek yoktur.
Kısa ömürlü tanılama verileri hata ayıklama için savunulabilir; ama saklama süresi günlerle ölçülmeli, veri gezinme hedeflerini içermemeli ve çökme raporları istemcide isteğe bağlı olmalıdır.
Bir hesap kaydı: e-postanız veya başka bir tanımlayıcı, aboneliğin durumu ve bitiş tarihi, cihaz veya bağlantı sınırları. Bunlar olmadan servis sizi içeri alamaz, ücret kesemez. Kesinlikle hiçbir şey saklanmadığını iddia eden bir politika başlı başına bir alarm işaretidir; çünkü hiçbir abonelik işi için doğru olamaz.
Ödeme kayıtları hesaplardan bile uzun yaşar. Kart işlemcileri ve ödeme mevzuatı yıllarla ölçülen saklama süreleri dayatır; hesabınızı silmek, bir faturayı muhasebe defterinden silmez. Kriptoyla ödemek bu izi sağlayıcı tarafında kısaltır ama işlemcinin kendi kayıtlarını asla ortadan kaldırmaz. Dürüst çerçeve şu: ödeme verisi müşteri olduğunuzu kanıtlar; iyi tasarlanmış bir sistem onu, bağlantının ne için kullanıldığını anlatan her şeyden kopuk tutar.
Açılış sayfasındaki bir vaat hiçbir şeye mal olmaz ve hiçbir şeyi doğrulamaz. Bağımsız denetim ise dışarıdan bir firmanın belirli bir tarihte sunucuları, yapılandırmaları ve kodu incelemesi ve uygulamanın politikayla örtüşüp örtüşmediğini raporlaması demektir. Bu, anlamlı ölçüde yüksek bir çıtadır; geçen sağlayıcılar da genellikle sadece bir rozet değil, raporun kendisini yayımlar.
Denetimlerin dürüst sınırları vardır. İnceleme günlerindeki sistemleri anlatırlar, sonsuza kadarını değil; kapsam dar olabilir; denetçi de yalnızca erişim verilen şeyi görür. İkinci, dolaylı bir kanıt türü mahkeme kayıtlarıdır: sağlayıcının veri sunması emredilmiş ama teslim edecek işe yarar hiçbir şeyi çıkmamış davalar. İkisi de geleceği kanıtlamaz — ama birlikte, bir sloganı açık ara geride bırakırlar.
Çünkü yasa pazarlamadan üstündür. Zorunlu veri saklama kuralları olan bir ülkede kurulu sağlayıcı, sitesi ne vaat ederse etsin bu kurallara uymak zorundadır; bazı ülkeler bir servisi belirli bir kullanıcı için sessizce kayıt tutmaya başlamaya da zorlayabilir. Politika niyeti anlatır; yargı yetkisi neyin zorlanabileceğini belirler.
Bu yüzden ikisini birlikte okuyun. Şirket nerede kurulu, hangi mahkemeler onun üzerinde yetkili ve sunucular fiziksel olarak nerede duruyor — şirket başka yerde otursa bile sunucunun bulunduğu yerin hukuku geçerli olabilir. Saklama zorunluluğu olmayan bir ülkedeki no-logs politikası tutarlı bir hikâyedir. Aynı politika bir saklama yasasının altında ise sağlayıcının açıklaması gereken bir çelişkidir — ve genellikle açıklamaz.
Ana sayfayı değil gizlilik politikasını okuyun ve dört kategoriyi adıyla arayın. Güvenilir bir politika neyin toplandığını, her kalemin ne kadar yaşadığını ve hesap silindiğinde ne olduğunu söyler. Muğlak belgeler geniş fiillerin arkasına saklanır: "belirli teknik bilgileri toplayabiliriz" ifadesi, tam bağlantı kaydına kadar her anlama gelebilir.
Aurora'nın tutumu, kısaca: etkinlik kaydı tutmuyoruz — girdiğiniz sitelerin ve gönderdiğiniz trafiğin kaydı yok — ve hesap e-postasından ödeme kayıtlarına, sakladığımız her şey bir sloganla özetlenmek yerine gizlilik politikasında tek tek sayılıyor.
Sizi yavaşlatıp iki kez okutması gereken ifadeler:
VPN protokolü, cihazınızla sunucunun şifreli tüneli nasıl kuracağını tanımlar. WireGuard en hızlı ve en yalın olanı; OpenVPN en olgun ve en esnek; IKEv2/IPsec mobilde ağ geçişlerini en iyi atlatan; TLS üzerinden Xray/VLESS ise tünel trafiğini sıradan HTTPS gibi gösterir. Her biri gücünün karşılığında bir şeyden vazgeçer.
Kill switch, VPN tüneli koptuğu anda tüm internet trafiğini keser; uygulamalar sessizce normal bağlantınıza dönemez. O olmadan iki saniyelik bir kopuş bile gerçek IP adresinizi açık eder. Tünel ayaktayken bile DNS istekleri, tarayıcıdaki WebRTC ve IPv6 trafiği onu es geçip sızabilir. Her sızıntının basit bir testi ve çözümü var.
VPN tünelini yönlendiriciye koymak, ağdaki her cihazı tek seferde korur — uygulama kuramayan TV'ler, konsollar ve akıllı hoparlörler dahil. Bedelleri de gerçektir: verim, yönlendiricinin işlemcisiyle sınırlıdır, bütün ev tek bir ülkeden çıkar ve sorun bulmak zorlaşır. Bu rehber kurulumları ve nasıl karar vereceğinizi anlatıyor.
