Slova, kterými se píše záznam

Horní a dolní mez

Žádný kanál nesmí překročit 0.9: z přezkumu dokumentu nelze získat jistotu a model, který by dosáhl 1.0, by ji deklaroval. Opačným směrem může jediný nález stanovit dolní mez kanálu — trvalý hardwarový identifikátor, který poskytovatel uchovává, stanovuje dolní mez uchovávání, kterou žádný audit nemůže zvýšit.

Kanál breakdown.channels

Jedna z cest, kterými by mohl být uživatel identifikován, s pravděpodobností mezi 0 a 1. Každý záznam poskytovatele uvádí všech osm kanálů spolu s poli, která do nich vstupují, takže lze výpočet ověřit, nikoli jen deklarovat.

Neznámo usability.state

Výrok o výzkumu, nikoli o poskytovateli, na kterékoli z obou os. Verdikt no_data v oblasti zabezpečení znamená, že bylo zveřejněno příliš málo údajů, aby bylo možné záznam zařadit: tento verdikt má 0 z 77, žádný seznam je nezařazuje do žebříčku a každý z nich si ponechává svůj záznam. Pokud je usability.state nastaveno na no_data, údaj o použitelnosti představuje dolní hranici, nikoli umístění — bylo zveřejněno příliš málo údajů, aby bylo možné říci, kde se poskytovatel skutečně nachází. V této pozici je 10 z 77. Zůstávají v registru i v každém filtru, jsou označeni, nikoli skryti.

Skóre použitelnosti

Od 0 do 100 z dvanácti vážených polí — mimo jiné pokrytí, cena, bezplatný tarif, obcházení blokací, protokoly, nouzový vypínač, zařízení, streamování a P2P. Jde o vážený průměr polí, která mají hodnotu, takže poskytovatel není penalizován za pole, které nikdo nevyplnil u žádného poskytovatele. Nikdy se neprůměruje se skóre zabezpečení a nikdy neposune poskytovatele před jiného s vyšším skóre; rozhoduje pouze o tom, který ze dvou záznamů se stejným skóre zabezpečení bude uveden jako první.

Skóre zabezpečení

0 až 100 a jediná hodnota, kterou žebříček sleduje. Vychází z osmi rizikových kanálů, z nichž každý vyjadřuje pravděpodobnost, že tato konkrétní trasa identifikuje uživatele, kombinovaných podle vzorce 100 × ∏(1 − risk). Vysoké riziko v kterémkoli kanálu samo o sobě srazí skóre celého produktu; malá rizika se mírně kumulují, místo aby se zaokrouhlením ztratila.

Třída služby service_class

Co je to za druh služby; uvádí se u každého skóre, protože jedno bez druhého nemá význam: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 z 77 jsou komerční VPN a decentralized je v současnosti prázdné.

Verdikt a pět pásem verdict

Označení převzaté přímo z celého čísla skóre zabezpečení, takže poskytovatel nemůže mít označení, které neodpovídá jeho číslu: silné 75 a více, přijatelné 55–74, slabé 35–54, nedostatečné 15–34, nedoporučené méně než 15.

Architektura

Kdo provozuje exit? Obvykle to nic nestojí a někdy to rozhoduje o celém záznamu: služba, která směruje provoz přes zařízení nesouvisejících třetích stran, s sebou v tomto ohledu nese riziko, které nedokážou vyvážit žádné sebelepší zásady v jiných oblastech.

Hygiena

Jaké identifikační údaje se průběžně shromažďují a lze klienta vůbec ověřit? Deset drobných polí — servery pouze v RAM, sdílení IP adres, registrace bez e-mailu, anonymní platba, DNS v tunelu, SDK třetích stran, vlastnictví serverů, open source, reprodukovatelná sestavení a penetrační testy. Jednotlivě mají malou váhu, společně jsou zastropovaná a spolehlivě ukazují, zda tomu někdo věnuje pozornost.

Integrita

Byl poskytovatel přistižen při tom, že říká jedno a dělá druhé? Doložené lži, mezery mezi marketingem a zjištěními auditu, neprůhledné vlastnictví, dosavadní působení skupiny vlastníka a způsob financování bezplatného tarifu. Drobné marketingové signály — tvrzení o absolutní anonymitě, nabídky doživotního předplatného, pokrytí dostupné pouze na partnerských webech — každý přidává trochu.

Jurisdikce

Může někdo vynutit něco, co existuje, aniž by do toho poskytovatel mohl mluvit? Vychází se z toho, kde je společnost registrována a kde se nachází její skutečný vlastník — mandát vůči vlastníkovi má menší váhu než mandát vůči společnosti, ale stále se započítává.

Logy

Existuje záznam, který spojuje provoz s konkrétní osobou, a kdo jej prověřil? Kanál s nejvyšší váhou v modelu. Zohledňuje pole uchovávání, identifikátor zařízení a vše kolem auditu, co by je potvrdilo nebo zpochybnilo — kategorii auditora, standard ověření, způsob zveřejnění zprávy a to, zda se rozsah týkal celé flotily, nebo pouze vzorku.

Mlčení

Deset let, miliony uživatelů a nic v záznamech? Poskytovatel se skutečným vystavením riziku — roky provozu × rozsah uživatelské základny × nepříznivé jurisdikce — bez zabavení, soudního záznamu a zprávy o transparentnosti tím není prokázaně bezúhonný. Nízké vystavení riziku zde nic nestojí; vysoké vystavení riziku s prázdným spisem něco málo stojí.

Nevědomost

Kolik z toho nikdo nedoložil? Kanál, který stanovuje cenu našich vlastních slepých míst podle toho, jak velká část záznamu chybí. Právě proto se neprověřený poskytovatel v žebříčku ocitá pod prozkoumaným, a ne vedle něj.

Přístup přináší úlevu: udržovaný warrant canary, aktuální zpráva o transparentnosti s uvedenými čísly, incident zveřejněný bez prodlení nebo fyzické stažení ze země, která zavedla mandát k uchovávání dat. Nic z toho není tvrzení o uchovávání dat — každý z těchto kroků je chování, které by se obtížně předstíralo.

Zveřejnění

Předal už někdy něco? Jediný kanál založený výhradně na událostech, nikoli na zásadách: zabavení, při nichž byla získána data, soudní záznamy o vynuceném vydání a historie zveřejnění. Zveřejnění obsahu se blíží důvodu k vyřazení; samotná data o účtu mají výrazně nižší váhu.

Dělené tunelování U09_split_tunneling

Odesílání některých aplikací tunelem a jiných mimo něj. Praktické, ale zároveň jde o rozhodnutí, co zůstane vystavené — proto patří na osu použitelnosti, nikoli zabezpečení.

DNS uvnitř tunelu C06_own_dns_in_tunnel

Zda dotazy na překlad názvů vyřizují uvnitř tunelu vlastní resolvery poskytovatele. Pokud unikají k výchozímu resolveru sítě, pozorovatel se dozví o každém webu, který navštívíte, aniž by kdy viděl váš provoz.

Identifikátor zařízení C12_device_identifier

Trvalý identifikátor na vašem zařízení, který sám poskytovatel uchovává, od identifikátoru omezeného na aplikaci přes resetovatelný reklamní identifikátor až po trvalý identifikátor hardwaru. Toto je pole, kvůli kterému může být čistý verdikt bez logů bezpředmětný: o vašem provozu nebylo nic zapsáno, a přesto vás lze identifikovat jménem.

Kanár příkazu s mlčenlivostí P07_warrant_canary

Zveřejněné prohlášení, že nebyl přijat žádný příkaz s mlčenlivostí, aktualizované podle stanoveného harmonogramu tak, aby jeho nepřítomnost předala zprávu, kterou provozovatel nesmí sdělit. Užitečné je pouze tehdy, pokud se udržuje: stale a removed se zaznamenávají samostatně a kanár, který se potichu přestal aktualizovat, není neutrální událost.

Mandát na uchovávání dat C09, C10, C11

Národní požadavek, podle kterého musí provozovatelé VPN uchovávat uživatelské záznamy. Některé země uvedené v registru takový požadavek ukládají. Význam má na dvou místech: v zemi, kde je společnost registrována, a v zemích, v nichž má její flotila servery — jde o odlišné otázky s odlišnými důsledky.

Nouzový vypínač U08_kill_switch

Blokuje provoz, když tunel vypadne, místo aby jej potichu pustil přes běžné připojení. Zabraňuje selhání, kterého si během jeho trvání nikdo nevšimne.

P2P exit nody C00_architecture

Architektura, v níž provoz odchází přes zařízení jiných uživatelů namísto serverů provozovatele, obvykle výměnou za bezplatný tarif. Exit nikdo neprovozuje, což je zároveň celá podstata i celý problém — a znamená to, že provoz někoho jiného může odcházet přes vás.

Protokoly U07_protocols

Seznam všech tunelovacích protokolů, které klient podporuje. Toto pole dříve obsahovalo jediný nejrychlejší protokol; od schématu 3.4.0 obsahuje všechny, takže je vidět i ten nejslabší. WireGuard je malý, rychlý a moderní; OpenVPN je starší, pomalejší a stále se dodává téměř všude; L2TP, PPTP a SSTP jsou zastaralé a nabídka kteréhokoli z nich je to, co označuje C13_weakest_protocol a stanovuje minimální hodnotu protokolu. Názvy dodavatelů — NordLynx, Lightway, Hydra, Chameleon — označují implementace, nikoli protokoly; NordLynx se počítá jako WireGuard, protože jím také je.

Reprodukovatelné sestavení V13_reproducible_builds

Zda může kdokoli z veřejně dostupného zdrojového kódu znovu sestavit zveřejněnou aplikaci a získat binární soubor shodný po jednotlivých bajtech. Otevřený zdrojový kód ukazuje, co kód dělá; reprodukovatelná sestavení potvrzují, že kód odpovídá tomu, co skutečně spouštíte.

Rozsah auditu V04_scope_servers

Zda audit pokryl celou flotilu, nebo jen její vzorek. Stanovisko o neuchovávání logů založené na vzorku se týká serverů, které auditorovi byly předloženy. Model rozdíl zohledňuje, místo aby obojí označoval jako „auditované“.

Sdílené a dedikované IP adresy C03_ip_sharing

Sdílená exit adresa ukrývá mnoho uživatelů za jednou IP adresou — právě množství lidí je částečně důvodem, proč VPN používáte. Dedikovaná IP adresa patří jen vám — hodí se lépe pro služby, které blokují sdílené rozsahy, ale hůře slouží účelu, kvůli kterému VPN používáte.

Servery pouze s RAM C02_ram_only

Servery běžící z volatilní paměti bez disku, takže při zabavení nezůstane nic, co přežilo odpojení napájení. Snadno se deklarují, ale obtížně ověřují, a proto pole rozlišuje yes_verified od yes_declared.

Uchovávání dat s vazbou C01_linkable_retention

Jaký záznam existuje, který by mohl propojit provoz s konkrétní osobou — zjišťuje se to z dostupných důkazů, nikoli z toho, co poskytovatel uvádí o svém uchovávání dat. Pět odpovědí seřazených podle toho, jakou představují cenu: none_linkable, aggregates_only, session_metadata, source_ip, activity.

Země se servery U02_server_countries

Země, v nichž poskytovatel skutečně uvádí výstupní umístění — jde o seznam, nikoli číslo. Pokud poskytovatel žádný seznam nezveřejňuje, pole je neznámo, nikoli doplněné z jeho marketingových tvrzení, takže každý počet, který zde vidíte, je délkou něčeho, co si můžete ověřit. 27 z 77 nezveřejňují žádný seznam; 41, kteří jej zveřejňují, dohromady pokrývají 180 zemí.

Zpráva o transparentnosti P05_transparency_report

Pravidelný přehled počtu obdržených žádostí a toho, na kolik z nich bylo odpovězeno poskytnutím údajů. Hodnotí se jeho aktuálnost a to, zda uvádí číselné údaje — zároveň se ověřuje jeho věrohodnost, protože nulový počet žádostí ve velkém měřítku po celé roky je tvrzení o realitě, nikoli o zásadách.