Forklaring
„Uafhængigt auditeret“ kan beskrive meget forskellige former for arbejde. Denne side gennemgår audittyperne, hvad hver af dem kan vise, og hvilke spørgsmål du bør stille, før en audit ændrer dit syn på en udbyder.
En audit viser, at en navngiven part på et bestemt tidspunkt har undersøgt et afgrænset sæt systemer og rapporteret, hvad den fandt. Det er nyttigt, men langt snævrere end formuleringen „uafhængigt auditeret“ på en forside antyder.
Før en audit ændrer dit syn på en udbyder, skal du vide, hvilken type det var, hvad den omfattede, hvornår den fandt sted, og om du kan læse rapporten.
| Type | Hvad den kan vise | Hvad den ikke kan vise |
|---|---|---|
| Audit af logfrihed | Systemerne inden for afgrænsningen var ikke opsat til at opbevare de pågældende poster under gennemgangen | Hvad der sker uden for den periode eller på de systemer |
| Klient- eller kodeaudit | Sikkerhedsfejl i den app eller kode, der blev gennemgået | Hvordan serverne drives, eller hvad virksomheden opbevarer |
| Infrastrukturaudit | Hvordan de undersøgte servere og systemer er konfigureret | Om ikke-undersøgte servere svarer til dem |
| Penetrationstest | Hvad testerne kunne trænge ind i inden for de aftalte grænser | At intet andet kunne brydes, eller noget om logning |
| Certificering | At en virksomheds processer opfylder en navngiven standard inden for en angiven afgrænsning | Noget om din trafik, medmindre afgrænsningen omfatter den |
En påstand kan være sand og stadig besvare et andet spørgsmål end dit. En fejlfri gennemgang af en app siger intet om, hvorvidt en virksomhed kan knytte en session til en person.
En audit rapporterer om en periode, der er afsluttet. Konfigurationen kan ændres dagen efter, at auditorerne går, uden at noget i rapporten vil vise det.
Den afhænger også af, hvad virksomheden viser. Auditorer kan undersøge systemer og stille medarbejdere spørgsmål, men de har begrænsede muligheder for at finde noget, der er bygget til at forblive skjult for dem. Udbyderen betaler normalt også for arbejdet og aftaler dets afgrænsning. Intet af dette gør audits værdiløse, men det gør dem til én type belæg blandt andre.
Andet belæg kan komme fra hændelser, som udbyderen ikke selv har arrangeret, f.eks. en beslaglagt server eller en retskendelse, der ikke frembragte noget. De er sjældne, og de beskriver også kun ét tidspunkt.
Registret behandler en audit som belæg med egenskaber: hvem der udførte den, hvilken standard den blev udført efter, hvor meget af den der blev offentliggjort, og hvor gammel den er. Spørgsmålene og metoden beskriver, hvor meget hver af disse faktorer tæller, og hvordan den vægt forældes over tid.
Et post angiver kilden til den audit, der ligger bag hver værdi, og angiver dens dato, så du selv kan åbne kilden. For de mange udbydere, der ikke har noget at henvise til, angiver posten også det, og scoren afspejler det.
Den viser, hvad auditorerne fandt på systemerne inden for afgrænsningen i den periode, de undersøgte dem. Den kan ikke vise, hvad der skete før eller siden, eller på systemer, de ikke undersøgte. Det er godt belæg, men det er stadig ikke et bevis.
Som regel udbyderen. Det gør ikke arbejdet værdiløst, eftersom et auditfirma selv har sit omdømme på spil, men udbyderen vælger firmaet, aftaler afgrænsningen og beslutter ofte, hvor meget af rapporten du får at se.
Ikke nødvendigvis. Fraværet af en audit betyder, at ingen uafhængig part har kontrolleret udbyderen, så du er afhængig af udbyderens ord. Risikoen kan være lav eller høj, og uden belæg kan du ikke afgøre hvilken.
Næste
Hver forklaring slutter med at navngive de sider, der ejer det, den kun berørte.
Offentlig Wi-Fi er mindre farligt, end reklamerne siger, fordi HTTPS allerede beskytter det meste af det, du sender. En VPN skjuler stadig, hvilke websteder du besøger, og nogle reelle risici påvirkes ikke af den.
Et DNS-læk opstår, når din VPN transporterer din trafik, men navneopslagene går uden om den, så dit netværk kan se, hvilke websteder du besøger. Denne side gennemgår, hvorfor det sker, og hvordan du kan kontrollere det.
En kill switch stopper din trafik, når VPN-tunnelen falder ud, så den ikke kan fortsætte ubeskyttet, uden at du opdager det. Kill switches dækker forskellige ting, og forskellene afgør, hvornår en faktisk hjælper.
Begge sender en forespørgsel fra en anden adresse. En VPN sender normalt al trafikken fra din enhed gennem forbindelsen og krypterer den; en proxy håndterer normalt én app og krypterer måske slet ikke. Sådan finder du ud af, hvilken du bruger.
Det har mange ikke. En VPN løser nogle få specifikke problemer godt og gør ikke noget ved resten, så svaret afhænger af, hvilket problem du har. Denne side gennemgår de almindelige.
En VPN beder dig stole på én virksomhed. Tor deler din forbindelse mellem tre relæer, så ingen af dem alene kan se både, hvem du er, og hvor du er på vej hen. De løser forskellige problemer, og ingen af dem erstatter den anden.
Hvad der sker med en datapakke mellem din enhed og et websted, når en VPN er slået til: håndtrykket, tunnelen, navneopslaget og exit. Hvert trin forklarer også én måde, en VPN kan svigte på.
I det meste af verden er det lovligt at bruge en VPN. En kort liste over lande begrænser, licenserer eller blokerer dem, og hvad du gør gennem en, er et separat spørgsmål overalt. Denne side er et overblik over det, ikke juridisk rådgivning.
Det koster penge at drive en VPN hver måned, så en gratis VPN betales af noget. Denne side beskriver, hvad det som regel er, hvad der er gået galt i praksis, og hvordan man skelner mellem en prøve og en forretningsmodel.
En VPN beskytter ét stykke af forbindelsen: fra din enhed til dens server. Denne side gennemgår alt uden for det stykke, fra din browser og dine konti til malware, en afbrudt tunnel og påstandene i reklamerne.
Ét krypteret hop mellem din enhed og internettet. Denne side er udgangspunktet for afsnittet: hvad hoppet gør, hvem det skjuler dig for, hvem det i stedet giver indblik til, og hvilke af løfterne om det der holder, når de møder mekanismen.
Ikke en forklaring, men selve modellen, til en læser, der er nået til enden af denne side og vil vide, hvordan vurderingen foretages.
Hvad registeret ved om dette marked som helhed, og hvad det ikke ved — hvert tal fra indekset, ingen fra en undersøgelse.