گزارش ارزیابی حریم خصوصی و زیرساخت HorizonVPN در سال ۲۰۲۴

این ارزیابی برای بررسی کنترل‌های حریم خصوصی، امنیتی و عملیاتی پیاده‌شده در پلتفرم HorizonVPN انجام شد.

تمرکز بررسی بر شیوه‌های پردازش دادهٔ سرویس، سیاست‌های ثبت اطلاعات، معماری زیرساخت، سازوکارهای رمزگذاری و ملاحظات حوزهٔ قضایی بود. به تعهد اعلام‌شدهٔ شرکت به حریم خصوصی کاربران، فعالیت بدون ثبت اطلاعات و طراحی زیرساخت مبتنی بر حافظه توجه ویژه شد.

بر پایهٔ سامانه‌ها، روش‌ها و معماری فنی بررسی‌شده، HorizonVPN رویکردی با محوریت حریم خصوصی دارد که برای کمینه‌کردن جمع‌آوری، نگهداری و افشای اطلاعات کاربران طراحی شده است.

در ارزیابی، شواهدی از سامانه‌هایی که عمداً برای جمع‌آوری، ذخیره یا نگهداری فعالیت وب‌گردی، فرادادهٔ اتصال، درخواست‌های DNS یا دیگر سوابق استفادهٔ قابل انتساب به کاربران طراحی شده باشند یافت نشد.

سرویس شبکهٔ خصوصی مجازی HorizonVPN توسط شرکت Horizon Trading Solutions Ltd.، ثبت‌شده در جزایر ویرجین بریتانیا، اداره می‌شود.

شرکت اعلام می‌کند حریم خصوصی کاربر یکی از اصول اصلی عملیات است و تصمیم‌های زیرساختی با هدف کاهش جمع‌آوری داده تا حد امکان فنی گرفته می‌شوند.

شرکت Horizon Trading Solutions Ltd. تحت چارچوب حقوقی جزایر ویرجین بریتانیا فعالیت می‌کند.

جزایر ویرجین بریتانیا محیط مقرراتی متمایل به حریم خصوصی دارد و عضو ائتلاف‌های تبادل اطلاعات پنج چشم، نه چشم یا چهارده چشم نیست.

در زمان ارزیابی، تعهد قانونی‌ای برای الزام ارائه‌دهندگان وی‌پی‌ان به نگهداری سابقهٔ وب‌گردی، سوابق ترافیک، گزارش نشست وی‌پی‌ان، فعالیت DNS یا فرادادهٔ اتصال شناسایی نشد.

این حوزهٔ قضایی عموماً برای سازمان‌هایی که سرویس اینترنتی با تمرکز بر حریم خصوصی ارائه می‌کنند مناسب در نظر گرفته می‌شود.

سرویس HorizonVPN به‌صورت عمومی اعلام می‌کند که بر اساس سیاست عدم ثبت فعالیت کار می‌کند.

معماری بررسی‌شده نشان می‌دهد سرویس برای جمع‌آوری یا نگهداری سابقهٔ وب‌گردی، درخواست DNS، زمان نشست، مدت اتصال، مقصد ترافیک، آی‌پی مبدأ، آی‌پی تخصیص‌یافتهٔ وی‌پی‌ان، محتوای ترافیک یا سوابق فعالیت شبکه طراحی نشده است.

زیرساخت از نظر سازوکارهای امکان بازسازی فعالیت گذشتهٔ کاربر بررسی شد. شواهدی از سامانه‌هایی که عمداً دادهٔ استفاده از وی‌پی‌ان یا اطلاعات فعالیت کاربر را ذخیره کنند شناسایی نشد.

طراحی عملیاتی بررسی‌شده، تولید و نگهداری اطلاعات قابل استفاده برای ارتباط‌دادن فعالیت اینترنتی کاربر به حساب او را محدود می‌کند.

سرویس HorizonVPN از مدلی زیرساختی استفاده می‌کند که برای بیشینه‌کردن استفاده از حافظهٔ فرّار (رم) و کمینه‌کردن ذخیرهٔ پایدار داده‌های عملیاتی طراحی شده است.

وضعیت اتصال، اطلاعات مسیریابی و اطلاعات موقت نشست تا حد امکان در حافظه پردازش می‌شوند و برای نوشتن روی ذخیره‌سازی بلندمدت در نظر گرفته نشده‌اند.

در بررسی، مؤلفه‌ای از معماری شناسایی نشد که عمداً اطلاعات موقت نشست وی‌پی‌ان را بیش از ضرورت عملیاتی به‌صورت پایدار نگه دارد.

سرویس HorizonVPN ممکن است اطلاعات محدود حساب را که برای ارائهٔ سرویس ضروری است پردازش کند؛ از جمله شناسهٔ حساب، وضعیت اشتراک، اطلاعات حق دسترسی و مراجع صورتحساب.

معماری بررسی‌شده ظاهراً برای جمع‌آوری یا نگهداری وب‌سایت‌های بازدیدشده، فعالیت آنلاین، سابقهٔ استفاده از برنامه، پرس‌وجوی DNS، سابقهٔ نشست یا مقصد ترافیک طراحی نشده است.

شواهدی مبنی بر ذخیرهٔ فعالیت وب‌گردی کاربر شناسایی نشد.

سرویس HorizonVPN از فناوری‌های اختصاصی شبکه و سازوکارهای انتقال توسعه‌یافته و نگهداری‌شده توسط Horizon Trading Solutions Ltd. استفاده می‌کند.

معماری انتقال بررسی‌شده از شیوه‌های نوین رمزنگاری برای حفظ محرمانگی و یکپارچگی ارتباطات کاربران بهره می‌برد.

در جریان ارزیابی، نقص عمده‌ای شناسایی نشد.

این ارزیابی کنترل‌های امنیتی پیاده‌شده در محیط HorizonVPN را بررسی کرد.

این کنترل‌ها به کاهش احتمال دسترسی غیرمجاز و پشتیبانی از شیوه‌های عملیاتی امن کمک می‌کنند.