Sõnavara, milles kirje koostatakse

Andmed puuduvad usability.state

Uurimust puudutav väide, mitte teenusepakkuja kohta käiv väide, kummalgi teljel. no_data-märgisega turvahinnang tähendab, et kirje paigutamiseks on avaldatud liiga vähe teavet: 0 teenusepakkujal 77-st on see märge, ükski nimekiri ei paiguta neid pingeritta ja igaühel säilib oma leht. Kui usability.state on no_data, on kasutusmugavuse näit paigutuse asemel alumine piir — avaldatud on liiga vähe teavet, et öelda, kus teenusepakkuja tegelikult paikneb. 10 teenusepakkujat 77-st on sellises olukorras. Nad jäävad registrisse ja igasse filtrisse, märgistatuna, mitte peidetuna.

Hinnang ja viis vahemikku verdict

Turvaskoori täisarvust otse loetav sõna, et teenusepakkuja ei saaks kasutada oma numbriga vastuolus olevat nimetust: tugev 75 ja rohkem, vastuvõetav 55–74, nõrk 35–54, ebapiisav 15–34, ei soovitata alla 15.

Kanal breakdown.channels

Üks viis, mille kaudu võidakse kasutaja tuvastada ja millega kaasneb tõenäosus vahemikus 0 kuni 1. Iga teenusepakkuja kirje esitab kõik kaheksa kanalit koos nende aluseks olevate väljadega; tänu sellele saab arvutust kontrollida, mitte lihtsalt väita.

Kasutusmugavuse skoor

0 kuni 100 kaheteistkümne kaalutud välja põhjal — nende seas katvus, hind, tasuta pakett, piirangutest möödahiilimine, protokollid, tapilüliti, seadmed, voogedastus ja P2P. See on väärtust sisaldavate väljade kaalutud keskmine, seega ei karistata teenusepakkujat välja eest, mida keegi pole ühegi teenusepakkuja puhul täitnud. Seda ei arvestata kunagi koos turvaga ning see ei tõsta teenusepakkujat kunagi suurema skooriga teenusepakkujast ettepoole; ainus asi, mille see otsustab, on see, kumb kahest sama turvaskooriga kirjest on nimekirjas eespool.

Teenuseklass service_class

Mis tüüpi asi see on; see kuvatakse iga skoori juures, sest need kaks on eraldi võetuna tähenduseta: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 77 on kommerts-VPN-id ja decentralized on praegu tühi.

Turvaskoor

0 kuni 100, ja ainus näitaja, mille järgi pingerida koostatud on. See arvutatakse kaheksast riskikanalist, millest igaüks väljendab tõenäosust, et just see marsruut kasutaja tuvastab, ning need ühendatakse valemiga 100 × ∏(1 − risk). Mis tahes ühe kanali suur risk tõmbab kogu toote skoori iseenesest alla; väikesed riskid kogunevad sujuvalt, mitte ei ümardata neid lihtsalt ära.

Ülemine ja alumine piir

Ükski kanal ei tohi ületada väärtust 0.9: dokumendi ülevaatest ei saa kindlust, mida pole võimalik tõendada, ning 1.0-ni jõudev mudel väidaks seda. Teises suunas võib üksainus leid seada kanalile altpoolt piiri — teenusepakkuja valduses olev püsiv riistvaraidentifikaator seab säilitamisele alampiiri, mida ükski audit ei saa tõsta.

Arhitektuur

Kes väljumispunkti haldab? Tavaliselt ei maksa see midagi ja otsustab mõnikord kogu kirje: teenus, mis suunab liikluse omavahel mitteseotud kolmandate isikute seadmete kaudu, kätkeb siin riski, mida ükskõik kui hea mujal rakendatav poliitika ei suuda korvata.

Ausus

Kas teenusepakkuja on jäänud vahele sellega, et räägib üht, aga teeb teist? Dokumenteeritud valed, lahknevused turundusväidete ja auditi tulemuste vahel, omandistruktuuri läbipaistmatus, omanikugrupi varasem tegevus ja see, kuidas tasuta paketti rahastatakse. Väikesed turunduslikud vihjed — absoluutse anonüümsuse väited, eluaegsete tellimuste pealesurumine, katvus, mida leidub ainult partnerveebisaitidel — annavad igaüks veidi juurde.

Hügieen

Millist tuvastavat teavet kogutakse möödaminnes ja kas klienti saab üldse kontrollida? Kümme väikest välja — ainult RAM-il töötavad serverid, IP-de jagamine, registreerumine ilma e-posti aadressita, anonüümne makse, tunnelis olev DNS, kolmandate osapoolte SDK-d, serverite omandisuhe, avatud lähtekood, reprodutseeritavad järgud, pentestid. Igaüks neist on eraldi väikese kaaluga, nende kogumõju on piiratud ja need annavad usaldusväärse pildi sellest, kas keegi pöörab tähelepanu.

Jurisdiktsioon

Kas keegi saab sundida olemasolevat välja andma, ilma et teenusepakkujal oleks võimalust kaasa rääkida? Vaadake, kus ettevõte on registreeritud ja kus asub selle tegelik kasusaaja — omaniku suhtes kehtiv kohustus on vähem kaalukas kui ettevõtte suhtes kehtiv kohustus, kuid see läheb siiski arvesse.

Säilitamine

Kas on olemas kirje, mis seostab liikluse isikuga, ja kes seda kontrollis? Mudeli kõige kaalukam kanal. See vaatab säilitamise välja, seadme identifikaatorit ja kõike auditi kohta, mis kinnitaks seda väidet või seaks selle kahtluse alla — audiitori kategooria, tõendusstandard, aruande avaldamise viis ning see, kas ulatus hõlmas kogu serveriparki või valimit.

Teadmatus

Kui suur osa sellest on jäänud tõendamata? Kanal, mis hindab meie enda pimedate kohtade maksumust ja mille määrab ära see, kui suur osa kirjest on puudu. Seetõttu paikneb uurimata teenusepakkuja pingeridades uuritud teenusepakkujast allpool, mitte tema kõrval.

Hoiak võib tuua leevendust: ajakohasena hoitud warrant canary, värske numbriliste andmetega läbipaistvusaruanne, viivitamata avalikustatud juhtum või füüsiline lahkumine riigist, mis kehtestas logimise kohustuse. Ükski neist ei ole väide logimise kohta — igaüks on käitumine, mida oleks ebamugav võltsida.

Vaikus

Kümme aastat, miljonid kasutajad ja kirjes pole midagi? Teenusepakkuja, kelle tegelik kokkupuude riskiga — tegevusaastad × kasutajate arv × ebasõbralikud jurisdiktsioonid — ning kelle kohta pole teada ei serverite arestimist, kohtutoimikuid ega läbipaistvusaruannet, ei ole seetõttu tõendatult puhas. Vähene kokkupuude riskiga ei maksa siin midagi; suur kokkupuude tühja toimikuga maksab veidi.

Väljastamine

Kas see on juba midagi üle andnud? Ainus kanal, mis põhineb täielikult sündmustel, mitte poliitikatel: arestimised, mille käigus andmed saadi, kohtudokumendid sundkorras väljastamise kohta ja väljastamise ajalugu. Sisu väljastamine on peaaegu välistav asjaolu; ainuüksi kontoandmete väljastamist hinnatakse palju madalamalt.

Ainult RAM-il töötavad serverid C02_ram_only

Serverid, mis töötavad ainult muutmälus ja millel pole ketast, mistõttu konfiskeerimisel ei leita midagi, mis oleks toite väljalülitamise üle elanud. Seda on odav väita ja raske kontrollida, mistõttu eristab väli yes_verified väärtusest yes_declared.

Auditi ulatus V04_scope_servers

Kas audit hõlmas kogu serveriparki või selle valimit. Valimi põhjal antud logivaba hinnang käib nende serverite kohta, mida audiitorile näidati. Mudel arvestab seda erinevust eraldi, selle asemel et käsitleda mõlemat lihtsalt “auditeerituna”.

DNS tunnelis C06_own_dns_in_tunnel

Kas nimelahendused teeb tunnelis teenusepakkuja enda DNS-lahendaja. Kui need lekivad võrgu vaikimisi DNS-lahendajasse, saab vaatleja teada iga saidi, mida külastate, ilma et ta teie liiklust kunagi näeks.

Jagatud ja pühendatud IP-aadressid C03_ip_sharing

Jagatud väljumisaadress paigutab paljud kasutajad ühe IP taha — see ongi osaliselt see rahvamass, milleks VPN mõeldud on. Pühendatud IP kuulub ainult teile — see on parem teenuste jaoks, mis blokeerivad jagatud vahemikke, kuid halvem selle jaoks, mille pärast VPN-i kasutama tulite.

Jagatud tunneldus U09_split_tunneling

Mõne rakenduse liikluse suunamine läbi tunneli ja teiste liikluse suunamine sellest mööda. Mugav, kuid tähendab otsust selle kohta, mis jääb avatuks — seepärast paikneb see kasutusmugavuse, mitte turvalisuse teljel.

Käsukanaar P07_warrant_canary

Avaldatud teatis, et salajast korraldust ei ole saadud, mida ajakohastatakse kindla ajakava järgi, nii et selle puudumine edastab sõnumi, mida käitajal on keelatud saata. Kasulik ainult siis, kui seda järjepidevalt hallatakse: stale ja removed märgitakse eraldi ning vaikselt peatunud kanaar ei ole neutraalne sündmus.

Katkestuskaitse U08_kill_switch

Blokeerib liikluse, kui tunnel katkeb, selle asemel et lasta liiklusel vaikselt tavalise ühenduse kaudu väljuda. See hoiab ära tõrke, mida selle toimumise ajal keegi ei märka.

Läbipaistvusaruanne P05_transparency_report

Saadud taotluste ja andmetega vastatud taotluste perioodiline loendus. Skoori määramisel vaadatakse, kas aruanne on värske ja sisaldab arve — ning kontrollitakse ristkontrolliga selle usutavust, sest aastate jooksul suure kasutajate arvuga teenuse puhul null taotlust on väide tegelikkuse, mitte poliitika kohta.

Logide säilitamise kohustus C09, C10, C11

Riiklik kohustus, mille kohaselt peavad VPN-operaatorid kasutajakirjeid säilitama. Mõnes registris olevas riigis on selline kohustus kehtestatud. See on oluline kahes kohas: riigis, kus ettevõte on registreeritud, ja riikides, kus selle serveripargis on serverid — need on eri küsimused, millel on erinevad tagajärjed.

P2P-väljumispunktid C00_architecture

Arhitektuur, mille puhul liiklus väljub teiste kasutajate seadmete, mitte teenusepakkuja serverite kaudu, tavaliselt tasuta paketi vastutasuks. Väljumispunkti ei halda keegi, mis on ühtaegu kogu lahendus ja kogu probleem — ning see tähendab, et kellegi teise liiklus võib väljuda sinu kaudu.

Protokollid U07_protocols

Kõik tunneldusprotokollid, mida klient kasutab, loendina. Varem kasutati seda välja ainsa kiireima protokolli edastamiseks; alates skeemist 3.4.0 sisaldab see neid kõiki, mistõttu tuleb nähtavale ka kõige nõrgem. WireGuard on väike, kiire ja nüüdisaegne; OpenVPN on vanem ja aeglasem, kuid seda pakutakse endiselt peaaegu kõikjal; L2TP, PPTP ja SSTP on pärandprotokollid ning ühe sellise pakkumine on see, mida C13_weakest_protocol nimetab ja mis määrab protokolli alampiirid. Tootjate nimed — NordLynx, Lightway, Hydra, Chameleon — on pigem teostused kui protokollid; NordLynx loetakse WireGuardi alla, mille teostus see on.

Reprodutseeritavad järgud V13_reproducible_builds

Kas igaüks saab avaldatud lähtekoodi põhjal avaldatud rakenduse uuesti järku panna ja saada bait-baidilt identse binaari. Avatud lähtekood näitab, mida kood teeb; reprodutseeritavad järgud näitavad, et kood on seesama, mida käitate.

Seadme identifikaator C12_device_identifier

Püsiv tunnus teie seadmes, mida hoiab teenusepakkuja ise ja mis võib olla rakendusepõhine identifikaator, lähtestatav reklaamiidentifikaator või püsiv riistvaraidentifikaator. See on väli, mis võib laitmatu logivaba aruande mõttetuks muuta: teie liikluse kohta ei pandud midagi kirja, kuid teid saab sellest hoolimata nimepidi tuvastada.

Seostatav säilitamine C01_linkable_retention

Milline kirje on olemas, mis võiks liikluse isikuga seostada — küsimus puudutab olemasolevaid tõendeid, mitte seda, mida teenusepakkuja oma logimise kohta ütleb. Viis vastust nende maksumuse järjekorras: none_linkable, aggregates_only, session_metadata, source_ip, activity.

Serveririigid U02_server_countries

Riigid, mida teenusepakkuja tegelikult loetleb väljumispunktide asukohana — nimekiri, mitte arv. Kui teenusepakkuja nimekirja ei avalda, on väli teadmata, mitte turundusmaterjalide põhjal täidetud, seega on iga siin esitatud arv millegi kontrollitava pikkus. 27 teenusepakkujat 77-st ei avalda üldse nimekirja; 41, kes seda teevad, hõlmavad üheskoos 180 riiki.