Woher der Sicherheits-Score stammt
Acht Kanäle, jeder stellt dem veröffentlichten Datensatz eine Frage und liest einen benannten Satz von Feldern, um sie zu beantworten. Sie multiplizieren sich, statt sich zu addieren — der Faktor neben einem Kanal ist das, was nach dem gefundenen Druck übrig bleibt, und ein geöffneter Kanal zeigt jedes gelesene Feld, so wie es gespeichert ist. Wie das Modell funktioniert
Sicherheitsfelder
67 55 davon fließen in einen Kanal ein
Belegt
43 8 bleiben unknown, 16 nicht zutreffend
Vollständigkeit
82% der Anteil, den das Modell gewichten konnte
Quellenangaben
55 über 16 Dokumente hinweg
Jeder Wert trägt in sich, worauf er beruht, und das Modell gewichtet die vier Ebenen unterschiedlich. Zuerst das Gewicht, dann wie viele Quellenangaben dieses Datensatzes auf dieser Ebene liegen:
B gewichtet 0,85 · 38 hierC gewichtet 0,70 · 17 hier
Die Gewichte stammen aus methodology.json selbst; eine im Artefakt selbst gesehene Behauptung zählt mehr als dieselbe Behauptung aus zweiter Hand. Das Datum am Ende einer Zeile ist der Tag, an dem dieser Wert zuletzt gelesen wurde.
Ein Kanal bepreist nicht jedes Feld, das er liest. Die, die er bepreist hat, sind an ihrem Rand markiert und tragen, was sie beigetragen haben; alles andere wurde gelesen und hat nichts gekostet. Nur ein Kanal, der sich Feld für Feld zusammensetzt, kann überhaupt ein Feld markieren — die übrigen bepreisen sich anhand der Parameter, die über ihren Zeilen stehen.
Bei diesem Datensatz noch offen.
Speicherdauer, von niemandem überprüft. Es wurde nie ein unabhängiges Audit in Auftrag gegeben (V01=no, basierend auf dem Konsens unter den Testern und dem Fehlen einer entsprechenden Ankündigung von AirVPN und nicht auf einer primären Zurückweisung durch AirVPN) — C01 zur Speicherdauer stützt sich vollständig auf den eigenen Datenschutzhinweis des Anbieters, der nie von einer externen Partei überprüft wurde.
Kein Transparenzbericht, kein Warrant Canary. Auf airvpn.org konnte weder ein Transparenzbericht zu behördlichen/rechtlichen Anfragen noch ein Warrant Canary gefunden werden (P05, P07 unknown) — die Website veröffentlicht zwar regelmäßig „Mission“-Berichte, diese behandeln jedoch Spenden an NGOs und keine Anfragen von Strafverfolgungsbehörden, sodass sie P05 nicht belegen.
der Rest dessen, was offen ist — 309 weitere Wörter
Was die Forenbeiträge zeigen. Forenbeiträge zeigen, dass Nutzer AirVPN wiederholt um ein Warrant Canary gebeten haben, ohne dass Mitarbeiter bestätigt hätten, dass ein solches existiert. Das ist zwar ein Indiz, aber keine primäre Zurückweisung, daher bleibt P07 unknown statt „none“.
Anzahl, die niemand veröffentlicht. Die Anzahl der Anfragen/Datenübergaben ist folglich ebenfalls unbekannt (P08, P09), und die Gesamtzahl der Abonnenten wird nie offengelegt (M08 unknown) — AirVPN veröffentlicht nur einen Live-Zähler der gleichzeitig verbundenen Nutzer, keine Gesamtzahl registrierter Nutzer oder Abonnenten, sodass Schweigen/Unkenntnis hier tatsächlich Gewicht haben.
Builds und Pentests. Reproduzierbare Builds sind auf der eigenen Build-from-Source-Seite von AirVPN nicht dokumentiert (eddie.website/support/build/), und es konnte kein gezielter Pentest des Clients oder der Infrastruktur gefunden werden (V13, V14 unknown). Umfang des Kill Switch und Verhalten des Split-Tunneling stammen aus einem Testbericht eines Dritten und nicht aus der eigenen Dokumentation von AirVPN (U08, U09 mit Konfidenz C), weil die relevanten FAQ-Seiten über das Routing der Website nicht direkt erreichbar waren (sie werden über JavaScript dargestellt und lieferten bei einem einfachen Abruf nur ein Ladegerüst zurück).
Abdeckung außerhalb der Affiliates. Die Presseberichterstattung beschränkt sich nicht auf Affiliates: BleepingComputer, ein etabliertes Medium außerhalb der Liste der Affiliate-Aggregatoren, hat einen unabhängigen Testbericht mit eigenem Hinweis auf die Affiliate-Offenlegung veröffentlicht, statt auf Affiliate-Verzeichnisse beschränkt zu sein (X08=no). Im selben Testbericht wurde außerdem festgestellt, dass AirVPN bei jedem getesteten Streamingdienst scheiterte — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — weshalb U12b_streaming_works nun no statt des zuvor geltenden, aus addictivetips.com stammenden partial lautet, nachdem dieser Host als unzulässig eingestuft wurde.
Der Jahrespreis. U04b_price_yearly=4,08 ist der effektive monatliche Preis in EUR des Einjahresplans (49 EUR/Jahr) auf airvpn.org/buy/, bei der Verlängerung unverändert wie bei jeder AirVPN-Laufzeit.
Das Wortzeichen. AirVPN stellt sein Wortzeichen ausschließlich als PNG (/static/img/logo/web_header.png, logo_horiz.png) bereit und hat keine Presse- oder Markenseite, daher bleibt logos/airvpn.svg gemäß AUDITOR.md §1 leer, statt eine Rastergrafik nachzuzeichnen.
Zum Datensatz als Ganzes.
AirVPN ist ein Einzelunternehmen ("AirVPN di Paolo Brini"), eingetragen in Perugia, Italy, und verweigert Einwohnern Italiens ausdrücklich den Dienst (auf jeder Seitenfußzeile und in den Terms of Service §1 angegeben) — der praktische Effekt ist, dass die eigene Heimjurisdiktion es nicht dazu zwingen kann, die Daten der eigenen ansässigen Kunden zu protokollieren, dies ist jedoch kein Beleg für eine weitergehende Ausnahme von Logging-Vorgaben.
AirVPN veröffentlicht Preise ausschließlich in EUR (airvpn.org/buy/): 7,00 EUR/Monat, 49 EUR/Jahr (4,08 EUR/Monat), bei Verlängerung unverändert. U04_price_monthly (8,11) beträgt 7,00 EUR/Monat und U04b_price_yearly (56,74) beträgt den Gesamtpreis von 49 EUR/Jahr, beide umgerechnet in USD zum Kurs 1,158 EUR/USD — dem Kurs, den Mullvad auf seiner eigenen Preisseite für dasselbe Datum veröffentlicht, wo 5 EUR mit 5,79 USD angegeben werden — daher Konfidenz C und eine zweite Quelle für den Kurs. Mehrjahrespläne sinken auf nur 2,75 EUR/Monat.
der Rest dessen, was offen ist — 122 weitere Wörter
Ein bemerkenswerter Datenpunkt aus der Praxis: Öffentliche Protokolle vor US-Bundesgerichten in United States v. Klyushin (D. Mass., Akte 61629108, Dokumente #183 und #217, gefunden über CourtListener/RECAP) zeigen, dass ein Pen-Register der Strafverfolgungsbehörden direkt beim Hosting-Unternehmen (DediPath) und nicht bei AirVPN eingerichtet wurde, um die IP eines AirVPN-Servers von Jan.–Feb. 2020 zu überwachen; die eigenen Mitarbeiter von AirVPN bestätigten in ihrem Forum, dass das Unternehmen keine Kenntnis von der Überwachung und keine Beteiligung daran hatte und dass das Gerät außerhalb der eigenen Systeme von AirVPN installiert werden musste.
Dies ist in P12_case_history als Ereignis court_order/nothing_produced erfasst, mit Quellenangabe aus der eigenen Forumsbestätigung von AirVPN (nicht aus den PACER-PDFs selbst, die automatisierte Abrufe mit 403 beantworteten und nur über eine sekundäre Zusammenfassung gelesen wurden).
SpeicherdauerGibt es einen Datensatz, der Datenverkehr mit einer Person verknüpft, und wer hat das geprüft?13 Felder gelesen · 9 nicht zutreffend · 34,9 Punkte Druck×0,651
Zusammengesetzt statt addiert: ein Ausgangswert von 0.55 auf dem Zweig none, verschoben durch das, was das Papier sagt (0.0), und durch das, was die Praxis zeigt (0.3875), mit einer Glaubwürdigkeit von 0.3875 aus dem Audit und 0.35 aus der Art, wie der Anbieter sich beteiligt hat, gegen eine Schwere von 0.03 für das, was tatsächlich gespeichert wird.
Berechnet
×0,368 eines makellosen Datensatzes Vollständigkeit 82%
Woher der Abzug stammt: Speicherdauer. Das ist der Kanal, in dem sich das Risiko dieses Datensatzes konzentriert — für sich allein senkt er einen makellosen Datensatz auf ×0,651, und sein Balken oben ist bis dorthin gefüllt.
Die Exponierung ist erfasst als medium, der Integritätsstatus als clean.
Im Vergleich zum Rest des Registers liegt dieser Datensatz am weitesten oben bei Integrität — ×1,000 gegenüber einem Registerdurchschnitt von ×0,658 — und am weitesten unten bei Schweigen, ×0,760 gegenüber ×0,927.
Jede Zeile oben ist ein Feld des veröffentlichten Datensatzes, und jede davon kann angefochten werden: Jede Zeile trägt Melden, oder ein Anliegen zum Datensatz als Ganzes vorbringen. Eine Korrektur mit einer Quelle dahinter wird am selben Tag umgesetzt, und wenn sie den Score verändert, verändert sie den Rang.
