Servidores incautados y políticas de registros – Caso ExpressVPN

A lo largo del tiempo en este humilde blog hemos analizado, experimentado y comprobado por medio de los expertos qué NO hay sistema 100% seguro, no hay nada «impenetrable» todo es posible en la vida y precisamente en la criptografía y ese nicho de la privacidad no puede ser exceptuado de tal fatídica realidad.

Con el tiempo se ha evidenciado el crecimiento de herramientas que dicen proteger vuestra privacidad, siendo esto falaz, más allá de las promesas o «tratamiento» de datos especiales, la verdadera solución es: no tenerlos y con eso me refiero a los datos. Por más que seas «neutralizado» no puedes mostrar algo que simplemente no tienes ¿Y cómo es ello? Ahí vamos con el resto del artículo.

Corrían los días de Enero de 2017, un día cualquiera (no especificado) las autoridades turcas deciden incautar un servidor de ExpressVPN debido al asesinato del embajador ruso Andrei Karlov, en su territorio, presuntamente con la finalidad de adquirir información útil acerca del asesino quién fue borrando las posibles pruebas de sitios cómo Facebook y Gmail (conectado por medio de dicha VPN), impidiendo a la investigación dar con un dato relevante.

Para aquella fecha los medios expresaban lo siguiente acerca del caso, cito:

“Las autoridades allanaron el centro de datos y confiscaron el servidor con la esperanza de rastrear a una persona aún desconocida que eliminó las cuentas de Facebook y Gmail del asesino, junto con conversaciones que podrían haber sido útiles para la investigación. Esa persona lo hizo bajo la apariencia de una conexión ExpressVPN, que enmascara la dirección IP real de un usuario y encripta el tráfico de Internet. ExpressVPN dice que no guarda registros de la actividad de sus usuarios ni ninguna otra información de identificación”.

ExpressVPN emitió una respuesta oficial aquí:

“Como declaramos a las autoridades turcas en enero de 2017, ExpressVPN no posee ni ha poseído nunca registros de conexión de clientes que nos permitan saber qué cliente estaba usando las IP específicas citadas por los investigadores. Además, no pudimos ver qué clientes accedieron a Gmail o Facebook durante el tiempo en cuestión, ya que no mantenemos registros de actividad. Creemos que la incautación y la inspección del servidor VPN en cuestión por parte de los investigadores confirmaron estos puntos”.

He de agregar que hay una actualización de tal comunicado que se hizo en el año 2019. Además, quede alucinando con la sesión de comentarios, transcribo:

-User: “¿Entonces, lo que está diciendo es que no mantendrá registros para ayudar a atrapar a los delincuentes?”

-Admin: “No mantenemos registros, punto”.

-Usuario 2: “Gran respuesta lmaoo. Si alguien compra un arma en una tienda y luego la emplea para matar a alguien, ¿eso hace que la gente que se la vendió al asesino sea una mierda por no poner un rastreador en toda su mercancía “por si acaso”? Smh”.

No voy a agregar mi opinión referente a dicha sesión, pero si coincido con el comunicado de ExpressVPN de aquella fecha, agregando un trozo de texto admirable:

“Si bien es lamentable que se pueda abusar de las herramientas de seguridad como las VPN con fines ilícitos, son fundamentales para nuestra seguridad y la preservación de nuestro derecho a la privacidad en línea. ExpressVPN se opone fundamentalmente a cualquier esfuerzo por instalar “puertas traseras” o intentos de los gobiernos de socavar dichas tecnologías”.

En conclusión: Según los medios, para aquellas fechas dicha incautación no tuvo mucho sentido, de hecho no avanzaron en su investigación porque no encontraron nada, ExpressVPN por su parte, decidió retirar su servidor de Turquía para evitar nuevamente ese tipo de sucesos, eso sí, aún permitía asignar una IP turca virtual en donde los servidores físicos estaban en países bajos.

Gracias a ese suceso, la confianza en ExpressVPN aumento y no cómo otros qué servicios que prometían una política de “no logs” y terminaron entregando a sus usuarios, siendo el caso de PureVPN y HideMyAss . No hay mucho por agregar, son VPNs con una alerta roja evidente para alejarse lo más que se pueda, no importa que el suceso haya pasado en 2011, 2017 o mucho antes, debemos de tener memoria y si lo hicieron una vez, ¿qué les impide no volver a hacerlo? Me sorprende cómo en la actualidad aún se mantienen vigentes (ingresa a los hipervínculos para leer las noticias referentes al caso).

También, aunque suene repetitivo: gracias a este suceso en cadena, nos dimos cuenta de que solo el 5% del rendimiento total de ExpressVPN, la dirección IP registrada, coincide con el país al que ha elegido conectarse (antes era 3%, ha aumentado en la actualidad). Ósea, la mayoría son ubicaciones virtuales, proveniente físicamente  de un país diferente al que dice conectarse, en el caso de ExpressVPN para quienes se conectan a Argentina, Bolivia, Colombia y otros de la zona, lo hacen por medio del servidor físico en Brasil, bajo una IP de dicha localización que se espera; por el lado de Europa mayormente se conectan a Paises bajos y en Asia a Hong Kong y Singapur.

Por ejemplo, si elige usar ExpressVPN para conectarse a Indonesia, el tráfico de su red se enrutará a través de un servidor en Singapur y se le asignará una dirección IP de Indonesia para que su tráfico parezca provenir de Indonesia.

Lo anterior descrito es un detalle importante a tener en cuenta, si lo hace ExpressVPN que es de las VPNs de renombre, con un porcentaje tan alto, ¿qué será del resto de VPNs? Por el lado de ProtonVPN qué es la cual uso en la actualidad, he de decir que tienen un apartado muy detallado de esto y en Latinoamérica nos suelen conectar a Islandia (en el caso de Colombia de ejemplo), el resto va por Suiza, Suecia e Islandia. Es un detalle (disculpe la redundancia) fundamental a tener en cuenta, imagine el caso hipotético de X VPN qué prometa conectarte a… qué sé yo, México y su servidor físicamente este en Estados Unidos ¡RED FLAG!

En fin… otro artículo más que tenía represado desde diciembre del año pasado y de hecho, tengo pendiente otro artículo similar con respecto al caso de Riseup, veré si lo saco o lo descarto, ya que es muy similar a este, aunque con una trama de película.