יוטה והקונגרס מציעים להסדיר את השימוש ב-VPN: מה ה-VPN שלך מסתיר ומה כדאי לשאול את הספק

אם אתה משתמש ב-VPN (שירות שמעביר את התעבורה שלך במנהרה מוצפנת דרך שרת מתווך), כנראה כבר נתקלת באתר שביקש ממך "לכבות את ה-VPN" או פשוט לא נטען. בשבועות האחרונים פורסמו בארצות הברית שתי הצעות להסדרה הנוגעות ל-VPN. הראשונה עוסקת באתרים, והשנייה בספקי ה-VPN עצמם. שתיהן עוזרות להבין מה VPN עושה בפועל ומה עוד כדאי לבדוק.

מה התפרסם

יוטה: אתרים יידרשו לזהות מי מסתיר את מיקומו. הרשות להגנת הצרכן במחלקת המסחר של מדינת יוטה פרסמה הצעת תקנות (R152-78B) ליישום החוק SB 73. התקנות עוסקות באחריותם של אתרים שמפרסמים תוכן המוגדר כמזיק לקטינים, וכוללות חובה לאמת גיל. לפי התגובה הרשמית שהגיש ארגון זכויות הדיגיטל EFF, ההצעה מחייבת אתרים כאלה להפעיל "מערכת סבירה מבחינה מסחרית לזיהוי הסוואת מיקום". בפועל, הם יידרשו לנסות לזהות גולשים מיוטה גם כשהם מחוברים דרך VPN. לפי EFF, הסימנים המוזכרים בהצעה כוללים את זמן התגובה של החיבור (latency, הזמן שנדרש למידע לעבור הלוך ושוב), את אזור הזמן המוגדר במכשיר או בדפדפן, ו"נתונים רלוונטיים אחרים" שהמכשיר שולח.

EFF טוען שמבחינה טכנית אי אפשר לעמוד בדרישה. לדבריו, לאתר אין דרך אמינה לדעת אם חיבור VPN מגיע מסולט לייק סיטי, מסיאטל או משנגחאי. לכן אתרים עלולים להישאר עם שתי אפשרויות בלבד: להפסיק לפעול ביוטה או לחסום את כל משתמשי ה-VPN, בכל מקום. הארגון מזהיר גם שהסימנים המוצעים אינם אמינים. זמן התגובה, למשל, מושפע מקליטה סלולרית חלשה או מעומס ברשת. עוד הוא מזהיר שאתרים ייאלצו לאסוף מידע על המכשירים של כל המבקרים, ושמידע שנאסף לאימות גיל ומיקום עלול להישמר זמן רב. לפי EFF, חוק הפרטיות של יוטה שאליו מפנות התקנות מאפשר לעסקים לטפל בבקשת מחיקה בתוך 90 יום.

הקונגרס: חסימה דרך ספק ה-VPN. לפי פוסט של EFF, חבר הקונגרס דארל עיסא הגיש את הצעת החוק American Copyright Protection Act ‏(ACPA, ‏H.R. 10364). לפי ההצעה, בעל זכויות יוצרים יוכל לבקש מבית משפט להכריז על אתר זר כ"אתר פיראטיות זר". לאחר מכן יוכל לבקש צווים שיחייבו ספקי אינטרנט, ספקי DNS (השירות שמתרגם שם אתר לכתובת המספרית שלו), ובמפורש גם ספקי VPN, לנקוט "צעדים סבירים מבחינה מסחרית" כדי למנוע ממשתמשים בארצות הברית לגשת לאתר. EFF מציין שהצעה דומה מהשנה שעברה החריגה ספקים שמספקים שירותי VPN בלבד. ההצעה החדשה מבטלת את ההחרגה הזאת. לדבריו, היא גם מרחיבה את ההגדרה של אתר פיראטיות. ההכרזה עלולה להתקבל בלי שהאתר הנאשם יתייצב להתגונן. EFF מכיר בכך שההצעה כוללת כמה מנגנוני הגנה, ובהם הודעה לספקים, ערבות כספית ואפשרות לבקש את ביטול ההכרזה. עם זאת, לדעתו מנגנונים אלה אינם פותרים את הבעיה הבסיסית.

בסיקור התקשורתי צוין תאריך מסוים להגשת ההצעה. בפוסט של EFF תאריך ההגשה אינו מצוין, ולכן לא נציין אותו כאן.

מה זה אומר עבורך

הכתובת מוגנת, אבל כדאי להכיר גם את שאר הפרטים. כתובת IP היא המספר שמזהה את החיבור שלך ברשת. בדרך כלל היא חושפת את המדינה, את האזור ואת ספק האינטרנט שלך. VPN מחליף אותה בכתובת של השרת שאליו אתה מחובר. כך אתרים רואים את כתובת השרת במקום את הכתובת שלך. לצד הכתובת, הדפדפן והמכשיר שולחים לאתרים פרטים נוספים, כמו הגדרות השפה וסוג הדפדפן. השילוב של פרטים כאלה נקרא לפעמים "טביעת אצבע דיגיטלית". לפי EFF, ההצעה של יוטה מונה סימנים מהסוג הזה, ובהם אזור הזמן וזמן התגובה של החיבור. רבות מההגדרות האלה נמצאות בשליטתך, ולכן כדאי להכיר אותן ולבדוק אותן מדי פעם.

סימנים כאלה עלולים להטעות. זה יכול לקרות, למשל, כשגולשים ברכבת עם קליטה חלשה, כשנמצאים בחופשה ולא מעדכנים את השעון, או כשמתחברים דרך רשת עמוסה. להערכת EFF, אתרים שלא יוכלו להבחין בין גולש מיוטה לגולש מתל אביב עלולים לבחור בדרך הקלה ולחסום את כל משתמשי ה-VPN. כלומר, תקנה במדינה אמריקאית אחת עלולה להשפיע גם עליך. סביר להניח שבקשות "כבה את ה-VPN" וחסימות שגויות יתרבו. במצבים כאלה אנשים מכבים את ההגנה כשהם מחוברים לרשת של מלון או של שדה תעופה, רק כדי להמשיך לגלוש. כדאי להימנע מכך.

זיהוי דורש איסוף מידע. כדי לזהות משתמשי VPN, אתר צריך לבדוק יותר מידע על כל מבקר, ולא רק על משתמשי VPN. EFF מזהיר שמידע כזה, לצד נתוני אימות גיל, עלול להצטבר ולהפוך למטרה לפריצות ולדליפות. לפני שמוסרים לאתר מסמך מזהה או פרטים אישיים, כדאי לשאול כמה זמן הם יישמרו ומה יקרה להם לאחר מכן.

הספק עצמו עלול לסנן אתרים. ההצעה הפדרלית פועלת בדרך אחרת. היא לא מנסה לזהות אותך, אלא לחייב את הספק שדרכו אתה גולש לחסום אתרים לפי צו. לפי נתונים ש-EFF מצטט, מנגנוני חסימה דומים באירופה פגעו גם באתרים לגיטימיים. באיטליה נחסמו 510 אתרים שאינם קשורים לשידורים, ובהם אתר של מנזר ופלטפורמת רפואה מרחוק. בספרד נחסמו יותר מ-550 אלף דומיינים בזמן שידורי כדורגל. לכן, לצד השאלה "האם ה-VPN מסתיר אותי", כדאי לשאול גם מה הספק מסנן, מכוח איזו סמכות, והאם הוא מדווח לך על כך.

המשותף לשתי ההצעות. שתיהן מתייחסות ל-VPN כמכשול שצריך לעקוף או כשירות שאפשר לחייב להשתתף בחסימה, ולא ככלי אבטחה בסיסי. אין צורך להיבהל: מדובר בהצעה לתקנות ובהצעת חוק, ולא בחובות קיימות. עם זאת, כדאי להבין את ההשלכות עכשיו, לפני שהן יתחילו להשפיע על השימוש היומיומי. לבעלי עסקים קטנים יש לכך משמעות גם בעבודה השוטפת: עובד שמתחבר מרחוק דרך VPN עלול להיתקל בחסימה שגויה בשירות שהעסק תלוי בו.

מה אפשר לעשות כבר עכשיו

• בדוק מה אתרים רואים. היכנס לעמוד מה כתובת ה-IP שלי עם ה-VPN ובלעדיו, וודא שהכתובת אכן מתחלפת.
• הכר את הגדרות המכשיר. לצד הכתובת, אתרים יכולים לבדוק גם פרטים שהדפדפן והמכשיר שולחים. עבור מדי פעם על הגדרות הפרטיות בדפדפן ובמכשיר כדי לדעת מה הם משתפים.
• החלט מראש איך לפעול במקרה של חסימה. אם אתר דורש לכבות את ה-VPN כשאתה מחובר לרשת ציבורית, עדיף לחכות עד שתתחבר לרשת שאתה סומך עליה. בינתיים, השאר את ההגנה פעילה.
• צמצם את המידע שאתה מוסר לאימות גיל. לפני העלאת מסמך מזהה, חפש את הצהרת האתר על שמירת מידע ומחיקתו. אם אין הצהרה כזו, שקול היטב אם להמשיך.
• שאל את ספק ה-VPN שאלות ישירות: האם השרת והכתובת משותפים או ייעודיים? אילו נתונים נשמרים, ולכמה זמן? מה הספק חוסם, והאם רשימת החסימות גלויה לך? היכן החברה רשומה, ומי הבעלים שלה? האם הספק מפרסם הצהרה על בקשות ממשלתיות לנתונים?
• לעסקים: ודא שיש לעובדים דרך חלופית ומאובטחת לגשת למערכות חיוניות במקרה של חסימה שגויה.

איך nuVPN עוזר

• שרת וכתובת IP משלך. ב-nuVPN כל לקוח במסלול ייעודי מקבל שרת פרטי וכתובת IP קבועה שרק הוא משתמש בה. אתרים רואים את כתובת השרת שלך, והכתובת האמיתית שלך נשארת מוסתרת. הכתובת נקייה ויציבה, ומשמשת רק אותך.
• DNS בתוך המנהרה. כל שאילתות ה-DNS עוברות במנהרה המוצפנת, כך שספק האינטרנט שלך לעולם לא רואה באילו אתרים אתה מבקר.
• מה נשמר, בפירוט. עמוד השקיפות מציג רשימה סגורה של הנתונים ש-nuVPN שומרת: כתובת אימייל ופרטי חשבון; סך התעבורה היומי לצורך חיוב, שנמחק אוטומטית אחרי 90 יום; וסטטוס תשלום מספק הסליקה. מדיניות ה-No-logs נאכפת בקוד, ולא מסתכמת בהצהרת מדיניות. כך היסטוריית הגלישה, שאילתות ה-DNS ותוכן התעבורה שלך נשארים שלך.
• סינון גלוי. הגנת nuDefend, הכלולה בכל מסלול, חוסמת אתרי פישינג, נוזקות והונאות מוכרים, וגם כתובות של תוקפים מוכרים. כלים לגיטימיים כמו Google Analytics ממשיכים לעבוד כרגיל. באזור האישי מוצג מספר האיומים שנחסמו עבורך.
• מי עומד מאחורי השירות. nuVPN מופעלת על ידי חברה פרטית ישראלית, הרשומה מאז 2017. החברה נמצאת בבעלות מלאה של המייסד שלה, מהנדס רשתות ואבטחה. בעמוד השקיפות מתפרסם גם Warrant canary, שנבדק לאחרונה ב-19 באוגוסט 2026. ההצהרה מציינת שנכון לתאריך זה לא התקבלו בקשות ממשלתיות לנתוני משתמשים. אם ההצהרה תיעלם, כדאי לשאול על כך.

השורה התחתונה

הצעת התקנות ביוטה מנסה לזהות אותך באמצעות פרטים שהמכשיר שולח. הצעת החוק הפדרלית מנסה לחייב את הספק שלך לסנן אתרים. שתיהן עדיין בגדר הצעות, ואין צורך להיבהל. VPN מגן על הכתובת שלך ומצפין את התעבורה. לצד זאת, כדאי להכיר את הפרטים שהמכשיר שולח, להשאיר את ההגנה פעילה ברשת ציבורית גם כשנתקלים בחסימה, ולבחור ספק שמסביר במפורש מה הוא שומר ומה הוא מסנן.