O que é uma VPN sem registos? Como distinguir o real do marketing

Nem todos os registos são iguais. Quando uma política de privacidade diz «não guardamos registos», refere-se quase sempre especificamente à primeira categoria e mantém discretamente algumas das outras.

1. Registos de ligação / atividade. Que sites visitaste, que ficheiros transferiste, que aplicações usaste através do túnel. É isto que as pessoas querem realmente dizer quando falam em «sem registos». Uma VPN sem registos a sério não tem estes dados, nem por um instante. Ponto final.

2. Metadados de ligação. Quando te ligaste, que servidor de saída usaste, quanto tempo durou a sessão, que volume de dados transferiste. Alguns fornecedores guardam versões agregadas disto para planeamento de capacidade. Outros não guardam nada. Outros guardam o suficiente para identificar a sessão de um utilizador específico, se isso lhes for pedido.

3. Dados da conta. O teu endereço de email, o método de pagamento, a data de criação da conta, o histórico de reposições da palavra-passe. Quase todas as VPN pagas guardam isto — têm de o fazer para te cobrar e para te deixar iniciar sessão. São também os dados mais fáceis de obter por ordem judicial, e é por isso que alguns fornecedores oferecem pagamento em criptomoedas e aceitam registos com email anónimo.

4. Dados de IP no servidor de saída. Muitos servidores de saída de VPN funcionam em infraestrutura partilhada (por vezes alugada a fornecedores de cloud), onde o anfitrião tem os seus próprios registos. Mesmo que o fornecedor de VPN não guarde realmente registos, o centro de dados subjacente pode reter por breves momentos registos de ligação.

Uma configuração sem registos verdadeiramente mínima evita o ponto 1, usa servidores que funcionam apenas em RAM (que perdem todo o estado ao reiniciar, eliminando os pontos 2 e 4) e oferece opções de registo de conta que preservam a privacidade para o ponto 3.

Uma promessa de «não registo» vale tanto quanto o sistema jurídico sob o qual o fornecedor opera.

Uma VPN sediada num país que pode impor a conservação de dados, ou que participa em acordos de partilha de informações entre serviços secretos, pode ser legalmente obrigada a começar a registar no momento em que chega uma ordem judicial. O fornecedor não tem de atualizar os seus textos de marketing. O utilizador descobre meses depois, por vezes anos depois, quando vem a público um documento judicial divulgado numa fuga de informação.

Entre os países que historicamente têm sido melhores para os fornecedores de VPN que respeitam a privacidade estão a Roménia, a Suíça, as Ilhas Virgens Britânicas, o Panamá e as Seicheles. Entre os que são piores — mesmo que a empresa cumpra tecnicamente a lei local — estão os Estados Unidos, o Reino Unido, a Austrália e vários membros da UE com regimes de conservação de dados em vigor.

A duality.vpn opera a partir da Roménia, ao abrigo da lei romena e do RGPD da UE. Os tribunais romenos têm repetidamente declarado inconstitucionais as leis de conservação obrigatória de dados, e é por isso que vários fornecedores focados na privacidade estão lá sediados.

Se as promessas de privacidade de uma VPN forem sólidas, as respostas a estas perguntas são curtas e concretas. Se houver rodeios, isso já é informação.

1. Registam os sites que visito? (Deve ser: não, nunca, ponto final.)
2. Registam as horas de ligação e os endereços IP? (Deve ser: não, ou apenas dados de sessão efémeros que são apagados ao desligar.)
3. Alguma vez responderam a um pedido de dados de um governo? Um número crescente de VPN publica um relatório de transparência com os pedidos recebidos e a forma como responderam.
4. A vossa promessa de não registo alguma vez foi verificada num processo judicial ou numa auditoria independente? «Auditado» deve significar uma entidade externa identificada, com um relatório público — Cure53, Radically Open Security, Securitum ou semelhante. Não «auditado internamente».
5. Onde estão legalmente sediados e o que exige a lei de conservação de dados desse país? Uma resposta vaga a esta pergunta é o maior sinal de alarme.

As VPN gratuitas que se financiam com publicidade são normalmente o pior caso em termos de registos — precisam de saber o que fazes online para venderem esses dados. Os planos gratuitos oferecidos por fornecedores pagos (em que o plano gratuito é, na prática, uma amostra do produto pago) podem ser uma boa opção, porque a sua política de não registo se aplica a todos os utilizadores por igual.

A duality.vpn oferece um plano gratuito com a mesma política de registos dos planos pagos — sem registos de atividade, seja qual for o plano.

Uma VPN sem registos pode, ainda assim, ser alvo de um ataque informático ou ser obrigada a registar?

Sim. «Sem registos» descreve o estado atual, não é uma garantia para o futuro. Uma ordem judicial, a apreensão de um servidor ou uma intrusão bem-sucedida podem alterar os dados que passam a existir daí em diante. A proteção de uma política de não registo está em limitar o que fica disponível retroativamente — não há nada de ontem para apreender.

Como posso confirmar que uma VPN não guarda mesmo registos?

De três formas: (1) uma auditoria independente publicada, feita por uma empresa de segurança com boa reputação; (2) documentos judiciais de um processo em que foram pedidos dados de utilizadores ao fornecedor e este não conseguiu apresentar nenhuns; (3) a configuração técnica — servidores que funcionam apenas em RAM e warrant canaries são sinais mais fortes do que textos de marketing.

É legal uma VPN não guardar quaisquer registos?

Na maioria das jurisdições, sim. A Roménia, a Suíça, o Panamá e vários outros países não têm leis de conservação obrigatória de dados para fornecedores de VPN. O panorama legal muda — os fornecedores que levam a privacidade a sério publicam atualizações quando as leis mudam.