Что на самом деле значит «без логов»

Споры о логировании обычно возникают оттого, что двое вкладывают в это слово разное. Есть как минимум четыре разные категории, и политика, которая их не разделяет, говорит немногое.

Записи активности

К каким сайтам, адресам или именам обращалась учётная запись и когда. Именно эту категорию имеют в виду, когда спрашивают о логах, и именно её отсутствие действительно что-то значит.

Записи подключений

Что учётная запись подключалась, с какого адреса, в какое время, на какой срок и сколько данных передала. В отсутствие записей активности они всё равно позволяют сопоставлять события во времени и часто хранятся для планирования ёмкости или разбора злоупотреблений.

Записи об учётной записи

Всё, что понадобилось для её создания и выставления счетов: адрес электронной почты, платёжный идентификатор, история покупок. Сервис, продающий подписки, неизбежно что-то из этого хранит, и никакая политика не может честно утверждать обратное.

Агрегированные и эксплуатационные данные

Суммы, счётчики и частота ошибок, не относимые к конкретному человеку. Суммарный трафик по учётной записи попадает в неудобную середину: он необходим для любой системы квот и кое-что говорит об объёме использования, не говоря о его содержании.

Читайте политику конфиденциальности, а не главную страницу. На главной — лозунг, в политике — обязательства, и разрыв между ними сам по себе показателен.

1. 1

   Ищите явный перечень, а не прилагательное

   Политика, заслуживающая доверия, называет категории, которые не хранит: активность сёрфинга, DNS-запросы, адреса назначения, содержимое трафика. «Мы уважаем вашу приватность» не обязывает ни к чему.

2. 2

   Посмотрите, в чём она признаётся

   Политика, перечисляющая то, что она всё же хранит — почту учётной записи, платёжный идентификатор, суммарный трафик, — полезнее той, что намекает, будто не хранит вообще ничего.

3. 3

   Найдите сроки хранения

   «Удаляется, когда перестаёт быть необходимым» — это не срок. Конкретное число дней — обязательство, которое можно проверить.

4. 4

   Обратите внимание на юрисдикцию

   Место регистрации компании определяет, какие органы и в каком порядке могут потребовать раскрытия. Это юридическое ограничение, и никакое техническое заявление его не отменяет.

5. 5

   Ищите независимую проверку

   Аудит названной фирмой, с указанием объёма проверки и даты, содержательно лучше непроверенного утверждения. Он подтверждает, что было верно в те дни, когда аудиторы смотрели, — гарантия реальная, но ограниченная.

• «Мы не логируем вашу активность», за которым следует исключение для «улучшения сервиса» или «целей безопасности», достаточно широкое, чтобы покрыть что угодно.
• «Шифрование военного уровня» вместо заявления о хранении. Это описание шифра, которым пользуются все, и оно ничего не говорит о том, что хранится.
• Заявление о «без логов» на главной странице без соответствующего обязательства где-либо в политике конфиденциальности.
• Упоминание аудита без названия фирмы, объёма проверки или даты.
• Бесплатный сервис без заявленной бизнес-модели. Ёмкость стоит денег, и если за неё платит не подписка, то платит что-то другое.

Ни один из этих признаков сам по себе не доказывает недобросовестности. Вместе они дают разумное основание для скепсиса, и всё это можно проверить за несколько минут.

Обещание стоит ровно столько, сколько стоит то, что мешает его нарушить. Некоторые структурные свойства работают лучше любых заверений.

• Данные, которые никогда не собирались, нельзя ни раскрыть, ни потерять при утечке, ни истребовать. Минимизация — единственная гарантия, не зависящая от того, продолжит ли оператор вести себя добросовестно.
• Короткие сроки хранения ограничивают, как далеко в прошлое может дотянуться любое принудительное раскрытие.
• Разделение идентификации учётной записи и обработки трафика означает, что ни одна из систем сама по себе не отвечает на вопрос, кто что делал.
• Опубликованные и датированные изменения политики позволяют увидеть, что обещали в конкретный момент, а не только то, что обещают сейчас.

Реалистичная позиция такова: пользование любым провайдером означает некоторое доверие к нему, поскольку он неизбежно находится там, откуда видны ваши адресаты. Разумная цель — выбрать того, кто устроил всё так, чтобы доверять приходилось как можно меньше, и понимать, что именно вы ему доверяете.