VPN Proton não registra seus dados, confirma auditoria – mesmo para usuários gratuitos.

Proton VPN acaba de divulgar os resultados de sua quarta auditoria de segurança independente, que analisou a veracidade de sua política de não registro e a postura de segurança geral. O relatório confirma que a Proton não coleta dados de usuários, nem registra atividades, o que representa uma prática bem-vinda, especialmente para um serviço de VPN gratuito.

Recentemente, a Securitum realizou a auditoria e divulgou suas conclusões. A mesma empresa também audita clientes de VPN, como o DuckDuckGo, e apoiou as afirmações da Proton VPN sobre sua política de não registro; especificamente, que a Proton não mantém logs de metadados ou atividades dos usuários.

Qualquer provedor de VPN que deseja conquistar e manter uma reputação confiável deve seguir uma política rigorosa de não registro e demonstrar isso por meio de auditorias independentes. Isso é ainda mais importante para a Proton VPN, que oferece uma versão gratuita além de suas assinaturas pagas. Como as redes VPN não são gratuitas de operar, muitos serviços gratuitos se associam a práticas duvidosas de marketing e coleta de dados, a menos que sejam sustentados por assinantes pagos. A Proton VPN fornece um serviço livre porque acredita que “a privacidade deve ser acessível a todos”. Embora tenha limitações, é apoiada por clientes pagantes, tornando-se uma das poucas VPNs gratuitas confiáveis que recomendamos.

A auditoria realizada ocorreu de 18 a 20 de agosto nas instalações da Proton em Zurique. Os auditores da Securitum examinaram a arquitetura da Proton VPN, que incluiu avaliações de processos, inspeções práticas, revisões de configuração, análises de práticas de segurança operacional e de vazamentos de dados. Os consultores também verificaram armazenamento e memória de servidores em busca de evidências de persistência de dados que poderiam resultar em armazenamento acidental.

Entre os questionamentos abordados na auditoria, estavam: São rastreadas ou registradas as atividades dos usuários nos servidores de produção da VPN que gerenciam o tráfego? Há registro de metadados de conexão, como consultas DNS ou timestamps de sessão, nos servidores da VPN? O tráfego da rede dos usuários é inspecionado ativamente, ou o conteúdo é registrado nos servidores da VPN? A política de não registro é aplicada de maneira uniforme em todos os servidores, em todas as regiões geográficas e para todos os níveis de assinatura do usuário?

Segundo a Securitum, a Proton VPN não rastreia nem registra atividades dos usuários em seus servidores de produção. Sua arquitetura é “explicitamente projetada para processar o tráfego dos usuários sem manter registros de seu conteúdo ou destino.” Além disso, nenhum metadado associado a um usuário é registrado, e apenas dados não identificáveis essenciais para o serviço são coletados.

A Proton não registra ou monitora os serviços específicos, websites ou servidores que os usuários acessam, garantindo que o histórico de navegação permaneça confidencial. O relatório também confirma que uma configuração de servidor consistente e a mesma rigorosa política de não registro são aplicadas em todos os servidores, regiões e níveis de assinatura da Proton. Os auditores afirmaram ainda que a Proton VPN não realiza Inspeção de Pacotes Profundos (DPI) ou registra o conteúdo do tráfego da rede dos usuários, com uma única exceção: existe um mecanismo nos servidores da versão gratuita para impedir o tráfego BitTorrent (P2P).

A análise técnica revisada não mostrou ocorrências de registro de atividade do usuário, armazenamento de metadados de conexão ou inspeção de tráfego de rede que contradissessem a política de não registro.

“Quando você se conecta a uma VPN, ela se torna efetivamente seu provedor de internet, significando que qualquer provedor de VPN é tecnicamente capaz de rastrear e registrar o que você faz online. Embora muitas VPNs afirmem possuir políticas de não registro, isso nem sempre se sustenta quando colocado à prova,” diz a Proton VPN. “Como uma organização fundada por cientistas que se conheceram no CERN, acreditamos na revisão por pares e na transparência. É também por isso que tornamos todos os nossos aplicativos de código aberto, permitindo que qualquer um possa examinar nosso código.”

Referência: https://www.zdnet.com/article/proton-vpn-passes-its-fourth-independent-security-audit/