Log dei proxy e privacy

Che cosa può vedere un proxy quando ti colleghi a un sito HTTPS

Considera un'asta di esempio: la tua applicazione invia un'offerta di 180 € a https://bid.example/lot/218/bids. Con un normale tunnel proxy, HTTPS protegge lo scambio tra l'applicazione e il sito utilizzando il protocollo di sicurezza TLS. Il fornitore può vedere l'IP del client che si collega, la destinazione bid.example:443 e l'ora della connessione; può anche misurare il volume di dati trasferiti. L'URL completo, il lotto selezionato, l'azione del client, l'importo dell'offerta, i cookie e la risposta dell'asta rimangono all'interno di HTTPS. Con una corretta verifica del certificato e senza intercettazione, il fornitore non può leggerli.

Il dominio può essere rivelato prima dell'inizio dello scambio cifrato. HTTP CONNECT indica normalmente host e porta di destinazione. SOCKS5 può ricevere un nome di dominio oppure un indirizzo IP; se l'applicazione chiede al proxy di collegarsi tramite nome di dominio, il proxy apprende quel nome. Il solo IP di destinazione non identifica necessariamente un sito specifico, perché più siti possono condividerlo.

Con HTTP in chiaro è diverso: intestazioni, percorso della pagina e contenuto sono accessibili a un proxy che trasporta la richiesta. SOCKS5 non aggiunge cifratura a uno scambio applicativo altrimenti non cifrato. HTTPS tramite SOCKS5 mantiene la protezione HTTPS; HTTP tramite SOCKS5 rimane leggibile.

Il sito stesso riceve la richiesta decifrata. Può leggere i dati di accesso, i cookie e i campi dei moduli che gli invii e riconoscere un account esistente dopo un cambio di IP proxy. HTTPS protegge i dati durante il transito; non li nasconde al destinatario previsto.

Perché alcuni fornitori di proxy richiedono di installare un certificato

Alcuni fornitori richiedono ai clienti di considerare attendibile il proprio certificato radice per determinati servizi che ispezionano il traffico HTTPS. Questo requisito proviene dal fornitore, non dal sito visitato, e non si applica a tutti i proxy. ProxyCompass non richiede ai clienti di installare il proprio certificato radice.

Con un normale tunnel HTTPS, il proxy non può leggere il contenuto di richieste e risposte. Se un servizio deve controllare i dati inviati, applicarvi regole o analizzare le risposte dei siti, deve poter accedere a quei contenuti. L'ispezione HTTPS fornisce tale accesso: il servizio decifra il traffico che lo attraversa.

Un certificato radice è un documento digitale usato da un'applicazione come base per considerare attendibili altri certificati. Aggiungere il certificato del fornitore all'insieme di quelli attendibili consente all'applicazione di accettare certificati dei siti emessi da quel fornitore. In modalità di ispezione, il proxy presenta uno di questi certificati al posto del certificato originale del sito. Senza la corrispondente attendibilità, la normale verifica del certificato non riesce.

Il proxy stabilisce due connessioni cifrate separate: una con la tua applicazione e una con il sito. Tra le due può leggere richieste e risposte. Nell'esempio dell'asta, questo rende visibili l'indirizzo completo https://bid.example/lot/218/bids, il numero del lotto, l'offerta inviata di 180 €, i cookie e la risposta che accetta l'offerta. Il fornitore può vedere che cosa fa realmente il client sul sito.

Questo requisito dipende dal prodotto, dalla modalità e dal metodo di accesso specifici. Può comparire in servizi che automatizzano l'accesso ai siti o quando l'analisi del traffico è attivata in un gestore di proxy. La sola etichetta «residenziale» o «datacenter» non indica se si applichi. A volte basta fornire il certificato a un singolo script; installarlo per l'intero sistema non è necessario.

Installare un certificato non instrada, di per sé, tutto il traffico attraverso il fornitore. L'accesso descritto qui si verifica quando le richieste passano da un servizio con l'ispezione attivata. Anche un certificato usato soltanto per verificare l'indirizzo HTTPS del proxy stesso non significa che il contenuto della connessione al sito di destinazione venga decifrato.

Poter leggere i dati e salvarli nei log sono questioni separate. Il certificato aiuta a spiegare chi può accedere al contenuto della connessione, ma non dice nulla sui periodi di conservazione o sull'accesso del personale. Nemmeno disattivare la verifica dei certificati nasconde i dati a un servizio che li decifra.

Le API di scraping e i browser remoti ricevono il contenuto

Con un'API di scraping affidi al servizio un compito: aprire questo URL e restituire la pagina o i dati estratti. Il servizio crea una propria connessione al sito e riceve la risposta in forma leggibile. Può farlo senza chiederti di installare un certificato, perché è il client che recupera la pagina.

Un browser ospitato dal fornitore funziona sulle macchine di quest'ultimo. Pagine, cookie e sessioni del browser vengono elaborati lì, anche se la connessione che usi per controllare il browser è cifrata. A seconda del prodotto, il compito può comprendere URL completi, intestazioni personalizzate, cookie, dati dei moduli e istruzioni per interagire con una pagina.

Questo accesso è necessario per svolgere il compito. Non dimostra che ogni pagina venga archiviata o che i dipendenti leggano abitualmente i risultati dei clienti. Significa però che contano le regole del prodotto sulla gestione di attività e risultati: una promessa riferita ai normali tunnel proxy potrebbe non coprire l'API o il browser ospitato.

Per un'azienda, le informazioni sensibili possono essere un elenco di prodotti monitorati, una sequenza di ricerche o un insieme di obiettivi di ricerca. Anche quando tutte le pagine di origine sono pubbliche, la raccolta e il modo in cui viene usata possono rivelare un progetto commerciale.

Che cosa può comparire nei log dei proxy

Un fornitore può conservare diversi tipi di registrazioni. Non devono necessariamente essere archiviate insieme: una connessione può rimandare a un numero di account, mentre indirizzo email, ordine e pagamento si trovano in altri sistemi.

Queste sono categorie possibili, non un elenco che ogni fornitore raccoglie necessariamente. Un servizio può elaborare un valore per aprire una connessione senza conservarlo. Può anche mantenere un contatore complessivo del traffico senza conservare una registrazione permanente di ogni destinazione.

L'IP del client in un log è l'indirizzo del dispositivo o dell'intermediario che si collega direttamente al proxy. Con una connessione diretta è solitamente l'IP pubblico del cliente; con un altro intermediario davanti, può essere l'indirizzo di quell'intermediario.

Che cosa copre effettivamente una dichiarazione no-log

«Non conserviamo il contenuto del tuo traffico» può coesistere con registrazioni di domini di destinazione, orari delle connessioni e utilizzo. «Conserviamo soltanto i totali di utilizzo» descrive una modalità diversa. Una breve etichetta no-log non indica quale di queste promesse stia facendo il fornitore.

Leggi la dichiarazione in relazione ai dati e al prodotto indicati. Esclude il contenuto delle pagine, i registri delle singole connessioni, la cronologia delle destinazioni o tutti e tre? Copre soltanto il funzionamento normale oppure anche la registrazione diagnostica? Che cosa rimane nei sistemi di account, pagamenti, assistenza e gestione degli abusi?

Una dichiarazione di utilizzo della sola RAM descrive un metodo di conservazione. Non indica se le informazioni vengano inviate a un altro sistema prima che la memoria sia svuotata. Allo stesso modo, la conservazione cifrata protegge le registrazioni da determinati tipi di accesso non autorizzato; non significa che il fornitore non possa leggerle.

Etichette come privato, dedicato o Élite non rispondono a queste domande. Descrivono altre proprietà del proxy. Un sito di verifica dell'IP può esaminare la richiesta che arriva a quel sito, ma non può verificare le pratiche interne del fornitore sulla registrazione dei log.

Come i log aiutano con guasti, fatturazione e segnalazioni di abuso

I registri delle connessioni possono distinguere un errore di autenticazione da una destinazione che non ha risposto. I totali di utilizzo aiutano a spiegare una quota di traffico consumata. Un cambiamento improvviso negli schemi delle connessioni può anche rivelare uno script difettoso o un utilizzo inatteso di un account.

Una distinzione utile è quella tra una connessione proxy riuscita e una richiesta al sito riuscita. Una risposta CONNECT positiva conferma l'apertura di un tunnel. Al suo interno, il sito può comunque restituire un CAPTCHA o un codice HTTP 403. Un tunnel ordinario non legge quella risposta cifrata, quindi il risultato della connessione e quello del sito osservato dall'applicazione possono differire.

Il sito di destinazione ha un altro punto di vista. Se riceve tentativi di indovinare le password, può segnalare le richieste, l'IP del proxy, l'ora e altri dettagli della connessione. Se il fornitore dispone di registrazioni corrispondenti sufficienti, può associare la segnalazione all'account cliente utilizzato per quelle connessioni. Apprendere il percorso di una richiesta dal reclamo del sito non significa che il fornitore abbia decifrato il traffico HTTPS originale.

Un IP proxy condiviso non impedisce questa associazione. Registrazioni dettagliate possono collegare una connessione autenticata del cliente alla connessione effettuata verso il sito. Orari precisi, compresi i millisecondi quando registrati, porte e destinazione aiutano a distinguere connessioni simultanee. Anche IP a rotazione possono rimanere collegati allo stesso account. Cambiare o condividere un indirizzo non cancella i registri del fornitore.

Per quanto tempo rimangono le registrazioni

Log delle connessioni, fatture, ticket di assistenza e risultati dello scraping possono avere periodi di conservazione diversi. Una politica utile spiega tali periodi per categoria oppure indica le condizioni usate per decidere per quanto tempo sia necessaria ciascuna categoria.

La cronologia visibile in un pannello non coincide necessariamente con l'intero periodo di conservazione. Se l'interfaccia mostra soltanto l'attività recente, indica che cosa puoi visualizzare lì. Non stabilisce quando vengano cancellati registri interni, documenti degli incidenti o copie di backup.

Chiudere un account non elimina necessariamente ogni registrazione associata. I dati di fatturazione o degli incidenti possono rimanere quando esiste un motivo legittimo per conservarli. Anche la cancellazione dai sistemi attivi e la scadenza delle copie di backup possono seguire tempistiche diverse.

Sostituire il nome di un cliente con un ID account non rende anonime le registrazioni se l'azienda mantiene il collegamento tra quell'ID e il cliente. La domanda pertinente è se le informazioni rimanenti possano ancora essere collegate a un account o a una persona.

Chi può accedere alle informazioni

L'esistenza dei log e il permesso di leggerli sono questioni diverse. L'assistenza può aver bisogno degli errori di connessione, l'amministrazione dei dati di pagamento e il team di sicurezza delle informazioni su un incidente. L'informativa sulla privacy dovrebbe spiegare accesso e condivisione; i controlli di sicurezza dovrebbero limitare l'accesso alle persone che ne hanno bisogno.

Un rivenditore e l'azienda che gestisce la rete proxy possono conservare parti diverse della registrazione. Anche gestori dei pagamenti, aziende di hosting e piattaforme di assistenza possono trattare dati specifici. Verifica quali aziende siano coinvolte e quali informazioni ricevano.

Il paese di un IP proxy non determina, di per sé, dove vengano conservati i dati dei clienti o quali norme giuridiche si applichino al fornitore. Contano anche l'azienda contraente, le sue modalità di trattamento e la legge applicabile. Un fornitore può essere tenuto a comunicare le informazioni conservate alle autorità in base a un obbligo giuridico vincolante. Le condizioni applicabili vanno lette nella sua politica; non esiste una sola regola mondiale per ogni servizio proxy.

Scegliere le condizioni di privacy adatte al tuo lavoro

Per un progetto che deve mantenere il contenuto delle pagine all'interno della propria applicazione, la distinzione tra un normale tunnel HTTPS e un servizio gestito di recupero delle pagine è importante. Un tunnel può mantenere i contenuti illeggibili all'intermediario, pur esponendo i metadati della connessione. Un'API gestita può ridurre il lavoro di sviluppo a tuo carico, ma riceve il compito e il risultato.

Possono contare anche i metadati delle destinazioni. Un elenco di domini, gli orari delle visite e il loro volume possono rivelare quali aziende o mercati stia studiando un team. Decidi se queste informazioni siano sensibili prima di considerare la cifratura dei contenuti una protezione sufficiente per il progetto.

Infine, considera che cosa invii tu stesso all'assistenza. Un file di configurazione o una cattura di rete può contenere password dei proxy, token di accesso, cookie e corpi delle richieste che non sono mai comparsi nei log del traffico del fornitore. Rimuovi i segreti non pertinenti prima di condividere materiale diagnostico.

Prima di iniziare il lavoro, chiarisci che cosa può leggere il prodotto scelto, che cosa conserva, quando vengono eliminate quelle registrazioni e chi può riceverle. Questi dettagli rendono un'informativa sulla privacy utile per un'attività reale.