Bahasa penulisan sebuah berkas

Batas atas dan batas bawah

Tidak ada saluran yang boleh melebihi 0.9: kepastian tidak dapat diperoleh dari peninjauan dokumen, dan model yang mencapai 1.0 berarti mengklaim kepastian tersebut. Sebaliknya, satu temuan dapat menetapkan batas bawah saluran — pengenal perangkat keras yang persisten dan disimpan oleh penyedia menetapkan batas bawah retensi yang tidak dapat dinaikkan oleh audit mana pun.

Kelas layanan service_class

Jenis layanan ini, dicantumkan bersama setiap skor karena keduanya tidak bermakna jika dipisahkan: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 dari 77 adalah VPN komersial, dan decentralized saat ini kosong.

Putusan dan lima kisaran verdict

Istilah yang dibaca langsung dari bilangan bulat keamanan, sehingga penyedia tidak dapat memiliki label yang tidak sesuai dengan angkanya: kuat 75 ke atas, dapat diterima 55–74, lemah 35–54, tidak memadai 15–34, tidak direkomendasikan di bawah 15.

Saluran breakdown.channels

Satu jalur yang dapat digunakan untuk mengidentifikasi pengguna, dengan probabilitas antara 0 dan 1. Setiap berkas penyedia mencantumkan kedelapan saluran beserta bidang yang menjadi dasar perhitungannya, sehingga perhitungannya dapat diperiksa, bukan sekadar dinyatakan.

Skor keamanan

Dari 0 hingga 100, dan satu-satunya hal yang menjadi dasar peringkat. Skor ini dibangun dari delapan saluran risiko, yang masing-masing merupakan probabilitas bahwa rute tertentu ini mengidentifikasi pengguna, lalu digabungkan sebagai 100 × ∏(1 − risk). Risiko besar pada salah satu saluran saja menurunkan skor seluruh produk; risiko kecil terakumulasi secara bertahap, bukan dibulatkan hingga hilang.

Skor kegunaan

0 sampai 100 dari dua belas bidang berbobot — di antaranya cakupan, harga, paket gratis, kemampuan mengatasi pemblokiran, protokol, sakelar pemutus, perangkat, streaming, dan P2P. Ini adalah rata-rata berbobot dari bidang yang memiliki nilai, sehingga penyedia tidak dirugikan karena suatu bidang belum diisi untuk siapa pun. Ini tidak pernah dirata-ratakan dengan skor keamanan dan tidak pernah menaikkan peringkat penyedia di atas penyedia dengan skor yang lebih tinggi; satu-satunya hal yang ditentukan adalah berkas mana dari dua berkas dengan skor keamanan yang sama yang dicantumkan lebih dulu.

Tidak ada data usability.state

Pernyataan tentang penelitian, bukan tentang penyedia, pada salah satu dari kedua sumbu. Putusan no_data keamanan berarti terlalu sedikit yang dipublikasikan untuk menempatkan berkas: 0 dari 77 memilikinya, tidak ada daftar yang memeringkatnya, dan masing-masing tetap memiliki halamannya. Jika usability.state adalah no_data, angka kegunaan tersebut merupakan batas bawah, bukan penempatan — terlalu sedikit yang dipublikasikan untuk mengetahui posisi penyedia yang sebenarnya. 10 dari 77 berada dalam posisi itu. Mereka tetap berada dalam daftar dan setiap filter, ditandai, bukan disembunyikan.

Arsitektur

Siapa yang mengoperasikan titik keluar? Biasanya tidak dikenai biaya apa pun, dan sesekali menentukan keseluruhan berkas: layanan yang merutekan lalu lintas melalui perangkat milik pihak ketiga yang tidak terkait menanggung risiko di sini yang tidak dapat diimbangi oleh kebijakan baik apa pun di tempat lain.

Integritas

Pernahkah penyedia ini ketahuan mengatakan satu hal tetapi melakukan hal lain? Kebohongan yang terdokumentasi, celah antara pemasaran dan temuan audit, ketidakjelasan kepemilikan, rekam jejak grup pemilik, serta cara tier gratis dibiayai. Petunjuk kecil dalam pemasaran — klaim anonimitas mutlak, dorongan untuk berlangganan seumur hidup, cakupan yang hanya ada di situs afiliasi — masing-masing turut menambah sedikit.

Kebersihan

Materi pengenal apa yang dikumpulkan secara tidak langsung, dan apakah klien sama sekali dapat diperiksa? Sepuluh bidang kecil — server hanya RAM, berbagi IP, pendaftaran tanpa email, pembayaran anonim, DNS di dalam terowongan, SDK pihak ketiga, kepemilikan server, sumber terbuka, build yang dapat direproduksi, dan uji penetrasi. Masing-masing murah, nilainya dibatasi jika digabungkan, dan menjadi petunjuk andal untuk mengetahui apakah ada yang benar-benar memperhatikannya.

Keheningan

Sepuluh tahun, jutaan pengguna, dan tidak ada catatan sama sekali? Penyedia dengan paparan nyata — bertahun-tahun beroperasi × skala pengguna × yurisdiksi yang tidak bersahabat — dan tanpa penyitaan, catatan pengadilan, maupun laporan transparansi, tidak serta-merta terbukti bersih. Paparan rendah tidak memerlukan biaya apa pun di sini; paparan tinggi dengan berkas kosong tetap menimbulkan sedikit biaya.

Ketidaktahuan

Seberapa banyak dari hal ini yang tidak dipastikan oleh siapa pun? Saluran yang memberi harga pada titik buta kita sendiri, ditentukan oleh seberapa banyak bagian berkas yang hilang. Inilah alasan penyedia yang tidak diteliti berada di bawah penyedia yang diteliti dalam peringkat, bukan sejajar dengannya.

Sikap mendatangkan kelonggaran: warrant canary yang terus dipelihara, laporan transparansi terbaru yang memuat angka, insiden yang segera diungkapkan, atau penarikan fisik dari negara yang memberlakukan mandat pencatatan. Tak satu pun merupakan klaim tentang pencatatan — masing-masing adalah perilaku yang akan sulit dipalsukan.

Pengungkapan

Apakah penyedia sudah pernah menyerahkan sesuatu? Ini satu-satunya saluran yang sepenuhnya dibangun berdasarkan peristiwa, bukan kebijakan: penyitaan yang menghasilkan perolehan data, catatan pengadilan tentang penyerahan yang diwajibkan, serta riwayat pengungkapan. Pengungkapan isi hampir menjadi alasan diskualifikasi; data akun saja dinilai jauh lebih rendah.

Retensi

Apakah ada berkas yang menghubungkan lalu lintas dengan seseorang, dan siapa yang memeriksanya? Saluran dengan bobot terbesar dalam model ini. Saluran ini membaca bidang retensi, pengenal perangkat, serta semua hal tentang audit yang dapat mengonfirmasi atau melemahkan klaim tersebut — kategori auditor, standar assurance, cara laporan dipublikasikan, dan apakah cakupannya mencakup seluruh armada atau hanya sampel.

Yurisdiksi

Bisakah seseorang memaksa penyerahan apa yang ada tanpa penyedia diberi kesempatan untuk menyampaikan pendapat? Lihat dari tempat perusahaan terdaftar dan tempat pemilik manfaatnya berada — mandat atas pemilik memiliki bobot lebih rendah daripada mandat atas perusahaan, tetapi tetap diperhitungkan.

Build yang dapat direproduksi V13_reproducible_builds

Apakah siapa pun dapat membangun ulang aplikasi yang dipublikasikan dari kode sumber yang dipublikasikan dan menghasilkan biner yang identik hingga ke setiap byte. Sumber terbuka menunjukkan apa yang dilakukan kode tersebut; build yang dapat direproduksi menunjukkan bahwa kode tersebut adalah kode yang sedang Anda jalankan.

Cakupan audit V04_scope_servers

Apakah audit mencakup seluruh armada atau hanya sampelnya. Pernyataan tanpa pencatatan log atas suatu sampel hanya berlaku untuk server yang diperlihatkan kepada auditor. Model ini memperhitungkan perbedaan tersebut, bukan memperlakukan keduanya sebagai “diaudit”.

Canary surat perintah P07_warrant_canary

Pernyataan yang dipublikasikan bahwa tidak ada perintah rahasia yang diterima, diperbarui sesuai jadwal sehingga ketiadaannya menyampaikan pesan yang dilarang disampaikan oleh operator. Hanya berguna jika dipelihara: stale dan removed dicatat secara terpisah, dan canary yang diam-diam berhenti bukanlah peristiwa netral.

DNS di dalam terowongan C06_own_dns_in_tunnel

Apakah pencarian nama diselesaikan oleh resolver milik penyedia sendiri di dalam terowongan. Jika pencarian tersebut bocor ke resolver bawaan jaringan, pengamat dapat mengetahui setiap situs yang Anda kunjungi tanpa pernah melihat lalu lintas Anda.

IP bersama dan khusus C03_ip_sharing

Alamat titik keluar bersama menempatkan banyak pengguna di balik satu IP, dan kerumunan seperti itulah yang sebagian menjadi alasan penggunaan VPN. IP khusus hanya untuk Anda — lebih baik untuk layanan yang memblokir rentang IP bersama, tetapi lebih buruk untuk hal yang menjadi alasan Anda menggunakan VPN.

Laporan transparansi P05_transparency_report

Penghitungan berkala atas permintaan yang diterima dan berapa banyak di antaranya yang dijawab dengan data. Dinilai berdasarkan kemutakhiran dan pencantuman angka — serta diperiksa silang dari sisi kewajaran, karena tidak adanya permintaan dalam skala besar selama bertahun-tahun merupakan klaim tentang keadaan dunia, bukan tentang kebijakan.

Mandat retensi C09, C10, C11

Persyaratan nasional yang mewajibkan operator VPN menyimpan catatan pengguna. Beberapa negara yang ada dalam daftar memberlakukannya. Hal ini penting di dua tempat: negara tempat perusahaan terdaftar, dan negara tempat armadanya memiliki server — pertanyaan berbeda dengan konsekuensi berbeda.

Negara server U02_server_countries

Negara-negara yang benar-benar dicantumkan oleh penyedia sebagai negara yang memiliki lokasi titik keluar — daftarnya, bukan angkanya. Jika penyedia tidak memublikasikan daftar, bidang ini tidak diketahui, bukan diisi berdasarkan materi pemasarannya, jadi setiap jumlah yang Anda lihat di sini adalah jumlah entri dalam sesuatu yang dapat Anda periksa. 27 dari 77 sama sekali tidak memublikasikan daftar; 41 yang memublikasikannya mencakup 180 negara secara keseluruhan.

Node titik keluar P2P C00_architecture

Arsitektur ketika lalu lintas keluar melalui perangkat pengguna lain, bukan server milik operator, biasanya sebagai imbalan atas paket gratis. Tidak ada pihak yang mengoperasikan titik keluar tersebut, yang merupakan keseluruhan tawaran sekaligus keseluruhan masalah — dan ini berarti lalu lintas milik orang lain dapat keluar melalui perangkat Anda.

Pemutus koneksi U08_kill_switch

Memblokir lalu lintas saat tunnel terputus, alih-alih diam-diam membiarkannya keluar melalui koneksi biasa. Kegagalan yang dicegahnya adalah kegagalan yang tidak disadari siapa pun saat sedang terjadi.

Pengenal perangkat C12_device_identifier

Pengenal persisten pada perangkat Anda yang disimpan oleh penyedia itu sendiri, mulai dari ID dalam cakupan aplikasi, lalu ID iklan yang dapat diatur ulang, hingga ID perangkat keras yang persisten. Inilah bidang yang dapat membuat laporan tanpa pencatatan log yang bersih menjadi tidak relevan: tidak ada yang dicatat tentang lalu lintas Anda, tetapi Anda tetap dapat diidentifikasi.

Protokol U07_protocols

Setiap protokol tunneling yang digunakan client, dalam bentuk daftar. Bidang ini sebelumnya memuat satu protokol yang paling cepat; sejak schema 3.4.0, bidang ini memuat semuanya, sehingga protokol yang paling lemah dapat terlihat. WireGuard berukuran kecil, cepat, dan modern; OpenVPN lebih lama, lebih lambat, dan masih disediakan oleh hampir semua penyedia; L2TP, PPTP, dan SSTP adalah protokol lama, dan penyediaan salah satunya adalah yang dinamai C13_weakest_protocol serta menjadi dasar harga protokol. Nama vendor — NordLynx, Lightway, Hydra, Chameleon — adalah implementasi, bukan protokol; NordLynx dihitung sebagai WireGuard karena memang demikian.

Retensi yang dapat dikaitkan C01_linkable_retention

Berkas apa yang ada yang dapat mengaitkan lalu lintas dengan seseorang — ditentukan berdasarkan bukti yang tersedia, bukan berdasarkan apa yang dikatakan penyedia tentang pencatatannya. Lima jawaban, diurutkan berdasarkan biaya yang ditimbulkannya: none_linkable, aggregates_only, session_metadata, source_ip, activity.

Server hanya RAM C02_ram_only

Server yang berjalan dari memori volatil tanpa disk, sehingga penyitaan tidak menghasilkan apa pun yang tetap tersimpan setelah daya diputus. Mudah diklaim dan sulit diverifikasi, sehingga bidang ini membedakan yes_verified dari yes_declared.

Tunneling terpisah U09_split_tunneling

Mengirim sebagian aplikasi melalui tunnel dan aplikasi lainnya di luar tunnel. Praktis, sekaligus merupakan keputusan tentang apa yang tetap terekspos — itulah sebabnya fitur ini ditempatkan pada sumbu kegunaan, bukan keamanan.