Reference
Hver værdi på en udbyders post har en status, en oprindelse, en dato og et lag for belægget, før den har et tal. Denne side definerer det hele samt de otte kanaler, som sikkerhedsscoren er bygget op af, og den underliggende VPN-terminologi.
01
En post er ikke en tabel af svar. Det er en tabel af svar, hver med hvad den hviler på og hvornår nogen sidst bekræftede det — hvilket er, hvorfor et felt kan være udfyldt og stadig være næsten intet værd for scoren.
9 opslagsord
Centrale mangler key_gaps
Skriftlig tekst, der beskriver, hvad der ikke er dokumenteret, og hvad der skulle til for at afklare det — en lavere sikkerhed end markedsføringen antyder, en konklusion, der hviler på én læsning af et dokument, eller et felt, der med vilje er holdt åbent. Det er modvægten til ét tal og vises sammen med scoren i stedet for at være skjult bag et link.
Feltidentifikator C01, U07, V04
Det permanente navn på et spørgsmål. Bogstavet angiver dets blok — C funktionalitet, M virksomhedsforhold, P pres og håndhævelse, V verifikation, X integritet, U brugervenlighed — og nummeret genbruges aldrig. Identifikatorer står ved siden af hver værdi i et post, så en rettelse kan angive præcis ét felt.
Fuldstændighed completeness
Hvor stor en andel af de felter, der kunne være besvaret, der faktisk blev besvaret. Det er en egenskab ved undersøgelsen, ikke en ros af udbyderen — et tyndt post og et dårligt post ser helt forskellige ud, og det er dette tal, der adskiller dem.
Kildelag level
Hvor meget en kilde tæller. A er et primært dokument — en auditrapport, en retsprotokol, en gennemsigtighedsrapport — og tæller fuldt ud. B tæller med 0.85, C med 0.7, og D, udbyderens egen markedsføring, med 0.35. Registeret bygger på 580 kilder på lag A, 3.200 på lag B, 289 på lag C og 26 på lag D.
Materiel hash material_hash
Et fingeraftryk af de felter, der faktisk kan ændre en score. Hvis en genimport efterlader hashen uændret, er der ikke sket nogen materiel ændring, og postens opdateringsdato ændres heller ikke. Det forhindrer en side i at hævde, at den er aktuel, uden belæg for det.
Med score scored
Om nogen kanal eller brugervenlighedsscoren overhovedet bruger dette felt. 1.001 af de 6.160 registrerede felter er uden score — reelle fakta, der ikke ændrer noget tal. Uden denne markering kan en læser ikke skelne dem fra de felter, der afgør en vurdering.
Oprindelse origin
Hvor en værdi stammer fra. document betyder, at et dokument er blevet læst, derived betyder, at en regel har beregnet værdien ud fra andre felter, og asserted betyder, at udbyderen siger det, og at ingen har kontrolleret det. Der findes ingen fjerde oprindelse: En værdi har enten en kildehenvisning bag sig, er beregnet ud fra værdier, der har det, eller bygger på udbyderens ord.
Registeret indeholder 3.285 dokumenterede værdier over for 2.875 hævdede værdier, og 460 af disse hævelser vedrører et felt, der faktisk er afklaret. De opbevares på samme måde og vægtes meget forskelligt: En uprøvet fordelagtig påstand bevæger sig tilbage mod markedets udgangspunkt, mens en indrømmelse, der taler imod egne interesser, beholder sin fulde vægt.
Pr. as_of
Den dag, hvor værdien sidst blev bekræftet — ikke den dag, hvor siden blev oprettet. Hvert felt har sin egen gyldighedsperiode, før det skal kontrolleres igen: 30 dage for priser, 90 dage for serverantal og historik over håndhævelsessager, 180 dage for arkitektur og opbevaring, 365 dage for audits og virksomhedsoplysninger.
Status state
En af known, unknown, not_applicable. Det skelner mellem at vi har et svar, at ingen har offentliggjort et og at spørgsmålet ikke er relevant her. På tværs af registret er 42% af sikkerhedsfelterne unknown — 2.143 af 5.159 — og det er et faktum om markedets offentliggørelse snarere end om vores indsats.
02
To tal, aldrig gennemsnitsberegnet. Sikkerhed afgør rækkefølgen alene; brugervenlighed trykkes ved siden af og afgør intet andet end en uafgjort.
7 opslagsord
Brugervenlighedsscore
0 til 100 baseret på tolv vægtede felter — herunder dækning, pris, gratisniveau, omgåelse, protokoller, kill switch, enheder, streaming og P2P. Det er et vægtet gennemsnit af de felter, der har en værdi, så en udbyder ikke straffes for et felt, som ingen har udfyldt for nogen. Den beregnes aldrig som gennemsnit sammen med sikkerhed og løfter aldrig en udbyder over en udbyder med en bedre score; det eneste, den afgør, er, hvilken af to poster med den samme sikkerhedsscore der står først.
Ingen data usability.state
En erklæring om undersøgelsen snarere end om udbyderen på en af de to akser. En no_data-sikkerhedsvurdering betyder, at der er offentliggjort for lidt til at placere posten: 0 af de 77 har en sådan, ingen liste rangerer dem, og hver af dem beholder sin side. Når usability.state er no_data, er brugervenlighedsscoren en bund snarere end en placering — der er offentliggjort for lidt til at sige, hvor udbyderen faktisk befinder sig. 10 af de 77 er i den situation. De bliver i registret og i alle filtre, markeret i stedet for skjult.
Kanal breakdown.channels
En kanal, hvorigennem en bruger kan identificeres, med en sandsynlighed mellem 0 og 1. Hvert udbyderpost viser alle otte sammen med de felter, der ligger til grund for dem, så beregningen kan efterprøves i stedet for blot at blive hævdet.
Loft og bund
Ingen kanal må overstige 0.9: En dokumentgennemgang kan ikke give sikkerhed, og en model, der når 1.0, ville hævde det. I den anden retning kan et enkelt fund fastsætte en kanal nedefra — en vedvarende hardwareidentifikator, som udbyderen opbevarer, sætter en bund for opbevaringen, som intet audit kan hæve.
Sikkerhedsscore
0 til 100, og det er det eneste, rangeringen følger. Den bygger på otte risikokanaler, som hver især angiver sandsynligheden for, at netop denne rute identificerer brugeren, kombineret som 100 × ∏(1 − risk). En høj risiko på en enkelt kanal trækker alene hele produktet ned; små risici lægger sig blidt sammen i stedet for at forsvinde ved afrunding.
Tjenesteklasse service_class
Hvilken type tjeneste dette er, angivet sammen med hver score, fordi de to ikke giver mening hver for sig: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 af 77 er kommercielle VPN-tjenester, og decentralized er i øjeblikket tom.
Vurdering og de fem niveauer verdict
Et ord, der aflæses direkte af sikkerhedstallet, så en udbyder ikke kan få en betegnelse, der ikke stemmer overens med tallet: stærk 75 og derover, acceptabel 55–74, svag 35–54, utilstrækkelig 15–34, ikke anbefalet under 15.
03
Hver enkelt er et spørgsmål, og hver besvares ud fra navngivne felter. Opdelingen på en udbyderside viser, hvad hver kanal kostede, og hvorfor.
8 opslagsord
Arkitektur
Hvem driver exitten? Det koster som regel ikke noget og afgør lejlighedsvis hele posten: En tjeneste, der dirigerer trafik gennem uvedkommende tredjeparters enheder, indebærer her en risiko, som ingen mængde god politik på andre områder kan opveje.
Hygiejne
Hvilket identificerende materiale indsamles undervejs, og kan klienten overhovedet kontrolleres? Ti små felter — servere, der kun bruger RAM, IP-deling, tilmelding uden e-mail, anonym betaling, DNS i tunnelen, tredjeparts-SDK'er, ejerskab af servere, open source, reproducerbare builds, penetrationstests. Hver for sig billige, med et samlet loft, og en pålidelig indikation af, om nogen følger med.
Integritet
Er udbyderen blevet taget i at sige ét og gøre noget andet? Dokumenterede løgne, forskelle mellem markedsføring og auditresultater, uigennemsigtigt ejerskab, ejergruppens historik og hvordan gratisniveauet finansieres. Små markedsføringssignaler — påstande om absolut anonymitet, fremstød for livstidsabonnementer, dækning, der kun findes på affiliatesider — bidrager hver især en smule.
Jurisdiktion
Kan nogen gennemtvinge det, der findes, uden at udbyderen får noget at skulle have sagt? Tag udgangspunkt i, hvor virksomheden er registreret, og hvor den reelle ejer befinder sig — et påbud rettet mod ejeren tæller mindre end et påbud rettet mod virksomheden, men det tæller.
Opbevaring
Findes der en post, der knytter trafik til en person, og hvem kontrollerede det? Den tungeste kanal i modellen. Den læser feltet for opbevaring, enhedsidentifikatoren og alt om auditen, der kunne bekræfte eller svække den — revisorkategori, erklæringsstandard, hvordan rapporten blev offentliggjort, og om omfanget var hele flåden eller en stikprøve.
Tavshed
Ti år, millioner af brugere og intet i registret? En udbyder med reel eksponering — år i drift × antal brugere × fjendtlige jurisdiktioner — og uden beslaglæggelse, retsprotokol eller gennemsigtighedsrapport er dermed ikke dokumenteret ren. Lav eksponering koster ikke noget her; høj eksponering med en tom sag koster lidt.
Udlevering
Har den allerede udleveret noget? Den eneste kanal, der udelukkende bygger på hændelser frem for politikker: beslaglæggelser, hvor data blev indhentet, retsdokumenter om tvangsudlevering og historik over udleveringer. Udlevering af indhold ligger tæt på diskvalifikation; kontodata alene tillægges langt mindre vægt.
Uvidenhed
Hvor meget af dette er ikke blevet dokumenteret? Den kanal, der vægter vores egne blinde vinkler, drevet af hvor meget af posten der mangler. Det er grunden til, at en uudforsket udbyder rangerer under en undersøgt udbyder i stedet for side om side med den.
En stærk holdning udløser lempelse: en vedligeholdt warrant canary, en opdateret transparensrapport med tal, en hændelse, der offentliggøres hurtigt, eller en fysisk tilbagetrækning fra et land, der har indført et påbud om logning. Ingen af delene er en påstand om logning — hver af dem er adfærd, der ville være besværlig at forfalske.
04
Ordene bag feltidentifikatorerne — hvad hver enkelt reelt kræver af en udbyder, og hvorfor svaret koster, hvad det koster.
15 opslagsord
Auditomfang V04_scope_servers
Om et audit dækkede hele flåden eller en stikprøve af den. En vurdering af ingen logning baseret på en stikprøve er en erklæring om de servere, som auditoren fik vist. Modellen prissætter forskellen i stedet for at behandle begge som “auditerede”.
Delt tunnelering U09_split_tunneling
At sende nogle programmer gennem tunnelen og andre udenom den. Praktisk, og et valg om, hvad der forbliver eksponeret — derfor hører det til på brugervenlighedsaksen snarere end sikkerhedsaksen.
Delte og dedikerede IP-adresser C03_ip_sharing
En delt exit-adresse placerer mange brugere bag én IP-adresse, hvilket netop er en del af formålet med en VPN. En dedikeret IP-adresse er kun din — bedre til tjenester, der blokerer delte intervaller, dårligere til det, du kom for.
DNS inde i tunnelen C06_own_dns_in_tunnel
Om navneopslag løses af udbyderens egne resolvere inde i tunnelen. Hvis de lækker til netværkets standardresolver, får en observatør kendskab til alle de websteder, du besøger, uden nogensinde at se din trafik.
Enhedsidentifikator C12_device_identifier
En vedvarende identifikator på din enhed, som udbyderen selv har, fra et app-specifikt id over et nulstilleligt reklame-id til et vedvarende hardware-id. Dette er det felt, der kan gøre en ren rapport om ingen logning irrelevant: Der blev ikke skrevet noget ned om din trafik, og du kan alligevel identificeres ved navn.
Gennemsigtighedsrapport P05_transparency_report
En periodisk optælling af modtagne anmodninger og af, hvor mange der blev besvaret med data. Vurderes ud fra, om den er aktuel og indeholder tal — og krydstjekkes for sandsynlighed, eftersom nul anmodninger i stor skala over flere år er en påstand om verden, ikke om politik.
Kanariefugl for tavshedspålæg P07_warrant_canary
En offentliggjort erklæring om, at der ikke er modtaget noget hemmeligt påbud, og som opdateres efter en fast plan, så dens fravær formidler det budskab, som operatøren har forbud mod at sende. Kun nyttig, hvis den vedligeholdes: stale og removed registreres separat, og en kanariefugl, der ubemærket er holdt op med at blive opdateret, er ikke en neutral hændelse.
Kill switch U08_kill_switch
Blokerer trafik, når tunnelen afbrydes, i stedet for stille og roligt at sende den ud via den almindelige forbindelse. Den fejl, den forhindrer, er den, ingen opdager, mens den opstår.
Linkbar opbevaring C01_linkable_retention
Hvilket post findes, som kan knytte trafik til en person — vurderet ud fra det foreliggende belæg og ikke ud fra, hvad en udbyder siger om sin logføring. Fem svar, ordnet efter den omkostning, de indebærer: none_linkable, aggregates_only, session_metadata, source_ip, activity.
Logningspåbud C09, C10, C11
Et nationalt krav om, at VPN-udbydere opbevarer brugerdata. Nogle af landene i registret har et sådant påbud. Det har betydning to steder: i det land, hvor virksomheden er registreret, og i de lande, hvor dens flåde har servere — forskellige spørgsmål med forskellige konsekvenser.
P2P-exitnoder C00_architecture
En arkitektur, hvor trafikken går ud via andre brugeres enheder i stedet for udbyderens servere, som regel til gengæld for et gratis niveau. Ingen driver exiten, hvilket både er hele idéen og hele problemet — og det betyder, at andres trafik kan gå ud via dig.
Protokoller U07_protocols
Alle tunnelprotokoller, som en klient understøtter, angivet som en liste. Feltet blev tidligere brugt til at angive den hurtigste af dem; siden schema 3.4.0 indeholder det dem alle, hvilket gør den svageste synlig. WireGuard er lille, hurtig og moderne; OpenVPN er ældre, langsommere og leveres stadig med næsten overalt; L2TP, PPTP og SSTP er ældre protokoller, og det at tilbyde en af dem er det, som C13_weakest_protocol navngiver, og som protokolbunden prissætter. Leverandørnavne — NordLynx, Lightway, Hydra, Chameleon — er implementeringer snarere end protokoller; NordLynx tæller som WireGuard, hvilket er, hvad det er.
Reproducerbare builds V13_reproducible_builds
Om nogen kan genopbygge den offentliggjorte app ud fra den offentliggjorte kildekode og få en binærfil, der er identisk byte for byte. Open source viser, hvad koden gør; reproducerbare builds viser, at koden er den, du kører.
Servere, der kun bruger RAM C02_ram_only
Servere, der kører fra flygtig hukommelse uden disk, så en beslaglæggelse ikke giver noget, der overlevede strømafbrydelsen. Billigt at hævde og svært at verificere, og derfor skelner feltet mellem yes_verified og yes_declared.
Serverlande U02_server_countries
De lande, som en udbyder faktisk angiver som værende hjemsted for en exitplacering — listen, ikke et tal. Hvis en udbyder ikke offentliggør nogen liste, er feltet ukendt i stedet for at blive udfyldt ud fra markedsføringen, så enhver optælling, du ser her, er længden på noget, du kan kontrollere. 27 af de 77 offentliggør slet ingen liste; de 41, der gør, dækker tilsammen 180 lande.