Le parole con cui è scritta una scheda

Canale breakdown.channels

Un percorso attraverso il quale un utente potrebbe essere identificato, con una probabilità compresa tra 0 e 1. Ogni scheda del fornitore riporta tutti e otto i canali, con i campi che li hanno alimentati: è questo a rendere i calcoli verificabili anziché semplicemente dichiarati.

Classe di servizio service_class

Di che tipo di servizio si tratta, riportato insieme a ogni punteggio perché i due elementi non hanno significato separatamente: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 dei 77 sono VPN commerciali e decentralized è attualmente vuoto.

Nessun dato usability.state

Una dichiarazione sulla ricerca, non sul fornitore, per uno dei due assi. Un verdetto no_data di sicurezza indica che è stato pubblicato troppo poco per collocare la scheda: 0 dei 77 ne riportano uno, nessuna lista li include in classifica e ciascuno conserva la propria pagina. Quando usability.state è no_data, il punteggio di usabilità è una soglia anziché una collocazione — è stato pubblicato troppo poco per stabilire dove si collochi effettivamente il fornitore. 10 dei 77 si trovano in questa posizione. Restano nel registro e in ogni filtro, contrassegnati anziché nascosti.

Punteggio di sicurezza

Da 0 a 100, ed è l’unico elemento seguito dalla classifica. È calcolato a partire da otto canali di rischio, ciascuno dei quali rappresenta la probabilità che questo particolare percorso identifichi l’utente, combinati come 100 × ∏(1 − risk). Un rischio elevato in un solo canale fa diminuire da solo il punteggio dell’intero prodotto; i rischi ridotti si accumulano gradualmente, anziché essere eliminati dall’arrotondamento.

Punteggio di usabilità

Da 0 a 100, sulla base di dodici campi ponderati — tra cui copertura, prezzo, piano gratuito, elusione dei blocchi, protocolli, kill switch, dispositivi, streaming e P2P. È una media ponderata dei campi che hanno un valore, quindi un fornitore non viene penalizzato per un campo che nessuno ha compilato per alcun fornitore. Il punteggio di usabilità non viene mai mediato con quello di sicurezza e non fa mai superare a un fornitore uno con un punteggio migliore; l'unica cosa che stabilisce è quale delle due schede con lo stesso punteggio di sicurezza viene elencata per prima.

Tetto e soglia

Nessun canale può superare 0.9: da un esame dei documenti non è possibile accertare la certezza, e un modello che raggiungesse 1.0 la starebbe dichiarando. In direzione opposta, una singola constatazione può fissare dal basso un canale — un identificatore hardware persistente conservato dal fornitore stabilisce una soglia per la conservazione che nessun audit può innalzare.

Verdetto e le cinque fasce verdict

Una parola ricavata direttamente dal numero intero di sicurezza, così che un fornitore non possa avere un'etichetta in disaccordo con il suo numero: forte 75 e oltre, accettabile 55–74, debole 35–54, insufficiente 15–34, non raccomandato sotto 15.

Architettura

Di solito non costa nulla e talvolta decide l'intera scheda: un servizio che instrada il traffico attraverso i dispositivi di terze parti estranee comporta, sotto questo profilo, un rischio che nessuna buona politica adottata altrove può compensare.

Conservazione

Esiste una scheda che collega il traffico a una persona, e chi l’ha verificata? È il canale con il peso maggiore nel modello. Legge il campo della conservazione, l’identificativo del dispositivo e tutto ciò che riguarda l’audit e che potrebbe confermare o smentire la scheda — la categoria dell’auditor, lo standard di assurance, le modalità di pubblicazione del rapporto, e se l’ambito comprendeva l’intera flotta o un campione.

Divulgazione

Ha già consegnato qualcosa? L'unico canale costruito interamente sugli eventi anziché sulle policy: sequestri in cui sono stati ottenuti dati, atti giudiziari relativi a consegne coatte, storico delle divulgazioni. La divulgazione di contenuti è quasi squalificante; i soli dati dell'account hanno un peso molto inferiore.

Giurisdizione

Si può imporre qualcosa che esiste già, senza che il fornitore abbia voce in capitolo? Si tiene conto del luogo in cui la società è registrata e di quello in cui si trova il suo proprietario effettivo — un obbligo imposto al proprietario conta meno di uno imposto alla società, ma conta comunque.

Igiene

Quali dati identificativi vengono raccolti incidentalmente, e il client può essere verificato? Dieci piccoli campi — server che usano solo RAM, condivisione degli IP, registrazione senza email, pagamento anonimo, DNS nel tunnel, SDK di terze parti, proprietà dei server, codice open source, build riproducibili e pentest. Presi singolarmente incidono poco, ma insieme sono soggetti a un tetto e offrono un'indicazione affidabile di quanto qualcuno presti attenzione.

Ignoranza

Quanto di tutto questo non è stato accertato da nessuno? Il canale che attribuisce un costo ai nostri punti ciechi, in base a quanto della scheda manca. È il motivo per cui un fornitore non esaminato si colloca sotto uno sottoposto ad analisi, anziché accanto a esso.

La condotta porta a una riduzione della penalità: un warrant canary mantenuto, un rapporto sulla trasparenza recente e corredato di numeri, un incidente divulgato tempestivamente o il ritiro fisico da un Paese che ha imposto un obbligo di conservazione dei dati. Nessuno di questi elementi è un'affermazione sulla conservazione dei dati — ciascuno è un comportamento difficile da simulare.

Integrità

È stato colto a dire una cosa e a farne un'altra? Le menzogne documentate, le lacune tra il marketing e i risultati degli audit, l'opacità della proprietà, lo storico del gruppo proprietario e il modo in cui viene finanziato il piano gratuito. Anche piccoli segnali di marketing — dichiarazioni di anonimato assoluto, offerte di abbonamenti a vita, una copertura che esiste solo sui siti affiliati — contribuiscono ciascuno in minima parte.

Silenzio

Dieci anni, milioni di utenti e nulla agli atti? Un fornitore con un'esposizione reale — anni di attività × scala degli utenti × giurisdizioni ostili — e senza sequestri, atti giudiziari o rapporti sulla trasparenza non è per questo dimostrato irreprensibile. Una bassa esposizione qui non costa nulla; un'esposizione elevata con un fascicolo vuoto costa qualcosa.

Ambito dell’audit V04_scope_servers

Indica se un audit ha riguardato l’intera flotta o solo un campione. Un giudizio di assenza di log basato su un campione riguarda i server mostrati all’auditor. Il modello attribuisce un valore alla differenza invece di trattare entrambi i casi come «sottoposti ad audit».

Build riproducibili V13_reproducible_builds

Indica se chiunque può ricostruire l'app pubblicata a partire dal codice sorgente pubblicato e ottenere un binario identico byte per byte. Il codice open source dice cosa fa il codice; le build riproducibili dicono che il codice è quello in esecuzione.

Canarino del mandato P07_warrant_canary

Una dichiarazione pubblicata secondo cui non è stato ricevuto alcun ordine segreto, aggiornata con una cadenza prestabilita affinché la sua assenza trasmetta il messaggio che l'operatore non può inviare. È utile solo se mantenuta: stale e removed vengono registrati separatamente, e il fatto che un canarino smetta discretamente di essere aggiornato non è un evento neutro.

Conservazione collegabile C01_linkable_retention

Quale scheda esiste che potrebbe collegare il traffico a una persona — una domanda posta alle prove agli atti, non a ciò che un fornitore dichiara sulla propria conservazione dei log. Cinque risposte, in ordine di costo: none_linkable, aggregates_only, session_metadata, source_ip, activity.

DNS all'interno del tunnel C06_own_dns_in_tunnel

Se le risoluzioni dei nomi vengono effettuate dai resolver propri del fornitore all'interno del tunnel. Se trapelano verso il resolver predefinito della rete, un osservatore scopre ogni sito che visiti senza vedere mai il tuo traffico.

Identificativo del dispositivo C12_device_identifier

Un identificativo persistente del dispositivo, conservato direttamente dal fornitore, che va da un ID limitato all'app, passando per un ID pubblicitario reimpostabile, fino a un ID hardware persistente. È questo il campo che può rendere irrilevante un rapporto pulito sull'assenza di log: non è stato annotato nulla sul tuo traffico, eppure puoi essere identificato per nome.

IP condivisi e dedicati C03_ip_sharing

Un indirizzo di uscita condiviso mette molti utenti dietro un unico IP, e in parte è proprio questo il motivo per usare una VPN. Un IP dedicato è solo tuo — migliore per i servizi che bloccano gli intervalli condivisi, peggiore per lo scopo per cui usi una VPN.

kill switch U08_kill_switch

Blocca il traffico quando il tunnel si interrompe, invece di lasciarlo passare silenziosamente attraverso la connessione ordinaria. Il guasto che previene è quello che nessuno nota mentre si verifica.

Nodi di uscita P2P C00_architecture

Un'architettura in cui il traffico esce attraverso i dispositivi di altri utenti anziché dai server del fornitore, di solito in cambio di un piano gratuito. Nessuno gestisce il nodo di uscita, e questo è al tempo stesso l'intera premessa e l'intero problema — e significa che il traffico di qualcun altro potrebbe uscire dal tuo dispositivo.

Obbligo di conservazione dei dati C09, C10, C11

Un obbligo nazionale che impone ai gestori VPN di conservare i dati degli utenti. Alcuni dei Paesi presenti nel registro ne impongono uno. È rilevante in due casi: il Paese in cui la società è registrata e i Paesi in cui il suo parco di server è situato — questioni diverse, con conseguenze diverse.

Paesi delle posizioni di uscita U02_server_countries

I paesi che un fornitore elenca effettivamente come sedi di una posizione di uscita — l'elenco, non un numero. Quando un fornitore non pubblica alcun elenco, il campo è sconosciuto anziché essere compilato sulla base del suo marketing, perciò qualsiasi numero visualizzato qui corrisponde alla lunghezza di qualcosa che si può verificare. 27 dei 77 non pubblicano alcun elenco; i 41 che lo fanno coprono complessivamente 180 paesi.

Protocolli U07_protocols

Ogni protocollo di tunnelling supportato da un client, presentato come lista. In precedenza il campo riportava quello singolo più veloce; dalla versione dello schema 3.4.0 riporta tutti i protocolli, rendendo visibile quello più debole. WireGuard è compatto, veloce e moderno; OpenVPN è più datato, più lento e viene ancora distribuito quasi ovunque; L2TP, PPTP e SSTP sono protocolli obsoleti, e offrirne uno è ciò che C13_weakest_protocol denomina e su cui si basa la soglia del protocollo. I nomi dei fornitori — NordLynx, Lightway, Hydra, Chameleon — sono implementazioni, non protocolli; NordLynx viene conteggiato come WireGuard, che è ciò che è.

Rapporto sulla trasparenza P05_transparency_report

Un conteggio periodico delle richieste ricevute e di quante hanno ricevuto risposta con dati. Valutato in base all’aggiornamento e alla presenza di numeri — e verificato sotto il profilo della plausibilità, poiché zero richieste su vasta scala per anni è un’affermazione sul mondo, non sulla politica.

Server con sola RAM C02_ram_only

Server che funzionano da memoria volatile senza disco, quindi un sequestro non lascia nulla che sia sopravvissuto all'interruzione dell'alimentazione. Facile da dichiarare e difficile da verificare: per questo il campo distingue yes_verified da yes_declared.

Split tunnelling U09_split_tunneling

Inviare alcune applicazioni attraverso il tunnel e instradare le altre al di fuori. È comodo, ma comporta decidere che cosa rimane esposto — per questo rientra nell'asse dell'usabilità, non in quello della sicurezza.