VPN sem logs: quanto vale realmente a promessa, e o que uma auditoria não prova

Há uma coisa numa VPN que não se consegue testar. Pode verificar que o seu IP está mascarado, que o DNS não vaza, que o kill switch dispara. Tudo isso acontece na sua máquina e pode observá-lo. O que o fornecedor anota sobre si acontece nas dele, e nenhum teste do seu lado o mostrará alguma vez.

A afirmação que não se consegue verificar daqui

"Sem registos" é a promessa universal do setor, e essa universalidade já lhe devia dizer algo: uma afirmação que todos os concorrentes fazem, sem lhes custar nada, não carrega em si qualquer informação.

A Electronic Frontier Foundation di-lo sem rodeios no seu guia Surveillance Self-Defense: "Remember that a claim is not a guarantee, so be sure you verify these claims." E de forma ainda mais crua: "Even if a company claims not to log connection data, this is not a guarantee of good behavior."

Não é cinismo. É a descrição correta de uma situação assimétrica. Pede-se-lhe que acredite numa ausência, e uma ausência não deixa rasto inspecionável.

O que faz uma auditoria independente, e onde para

As auditorias são a resposta do setor, e valem realmente alguma coisa. Um terceiro examina configurações, servidores, por vezes código-fonte, e publica o que encontrou. A EFF reconhece o valor: uma auditoria pode "reveal otherwise unknown security vulnerabilities".

Depois vem a frase que a maioria dos resumos deixa de fora. "There's no certainty that the practices aren't changed after the audit, especially if compelled to do so by a government."

Uma auditoria é uma fotografia, não um filme. Descreve um âmbito, escolhido de antemão, num momento, num lugar. Não acompanha a empresa depois, não cobre o que uma ordem judicial poderia mudar no mês seguinte, e normalmente não abrange todos os servidores de todos os países. Nada disto as torna inúteis. Torna-as prova sobre um estado passado, e não garantia sobre um futuro.

Ler uma política sem fingir

Se a afirmação não pode ser verificada, resta ler com atenção. Três pontos merecem-na.

O que conta como registo. Metadados de ligação, marcas temporais, totais de largura de banda e número de dispositivos em simultâneo são todos dados, e um fornecedor pode guardar alguns dizendo sinceramente que não mantém registos de atividade. A pergunta interessante nunca é "guardam registos" mas "o que guardam exatamente, e durante quanto tempo".

Perante quem a empresa responde. A jurisdição decide quem pode obrigar a quê, e com que dever de o informar. Uma política escreve-se dentro de um sistema jurídico, e esse sistema pode sobrepor-se a ela.

O que diz o historial. A EFF aconselha a olhar para o que foi efetivamente noticiado, notando que alguns fornecedores "have been caught misleading or lying to their customers". O comportamento passado não prova o futuro, mas é a única prova empírica disponível num campo construído sobre afirmações não verificáveis.

O conselho que daí decorre

A conclusão da própria EFF é curta e vale a pena adotá-la: "Do not use a VPN that you do not trust." Acrescenta não poder responder por nenhuma VPN nem por qualquer classificação, um grau de honestidade raro nas páginas que se posicionam para esta pesquisa.

Na prática, a decisão é sobre confiança e estrutura, não sobre a frase de marketing. O que é a empresa, perante quem responde, o que publicou, como se comportou quando foi posta à prova. A nossa comparação de dois fornecedores construídos sobre dados mínimos mostra como essa estrutura pode ser na prática.

E para tudo o que é verificável do seu lado, a auditoria de segurança completa cobre as nove verificações que pode mesmo fazer sozinho.

A conclusão honesta

Uma promessa sem registos não é desprovida de valor, e não é uma prova. É um compromisso cujo valor vem inteiramente de quem o assume e do que lhe acontece se se revelar falso. Quem lhe disser que verificou que um fornecedor não guarda registos está a descrever algo que não pode ter feito.