두 점수의 산출 방식

R08_unknown_pricing채널 6개constraint스키마의 모든 위험 및 바닥값 표

산술 규칙으로서의 무죄 추정

프로바이더에 대한 판정에만 적용되며, 공개된 채널 사전 정보로 작성된 불명(C01 = prior_0.550)에는 절대 적용되지 않음. 이는 판정이 아니라 기본 비율임. 그 외에는 해당 필드에서 risk(unknown) <= 0.50 x risk(확인된 최악의 값)이며 그 값과 같아질 수 없음; caught lie는 항상 빈 값보다 우선함; 거짓말 축과 모든 사건 필드에서 risk(unknown) = 0.000; 빈 값의 전체 가격은 한 번, 무지 상태에서, 그것이 우리 것이라고 표시된 곳에서 지불됨

R09_channel_combination채널 8개noisy_or8개 필드 읽음

8개 채널이 하나의 숫자가 되는 방식

score = 100 x 여덟 채널에 대한 product(1 - min(0.90, r_c)); 일괄 하한이나 상한 없음; S18은 아홉 번째 채널이 아니라 무결성 내부에 들어간다

R10_disclosure_decay공개decaymax4개 필드 읽음

불리한 사건에도 경과 시간이 적용됨

disclosure = P01, P02 및 P03 중 해당 필드 자체의 감쇠 후 가격의 최댓값 — 한 경로는 최악의 값으로 취하고, 절대 합성하지 않는다. 하나의 압수에 대한 세 가지 코딩은 하나의 압수이기 때문이다. 동일한 사건에 대한 P12_case_history 항목의 날짜에 decay(plateau=12, half_life=60, floor=0.35)를 적용하며, 일치 여부는 항목에 적힌 발생 내용으로 판단한다 — P01은 seizure에, P03은 court_order, subpoena 또는 mandate_order에 대응시킨다 — 그리고 결과로는 절대 판단하지 않는다. 아무것도 산출하지 않은 사건도 여전히 판정을 날짜화하는 사건이기 때문이다. P02는 결과로 일치시킨다. 이 경우 결과가 사실이기 때문이다. 그러한 항목이 없는 불리한 사건은 감쇠되지 않은 값을 유지한다. 확인된 공개가 영구적으로 레코드에 남기 때문에, 관행 곡선의 형태는 더 높은 하한을 둔다. 여기서는 관행 근거의 0.15에 비해 0.35다

R11_evidence_voiding보존공개무결성gate1개 필드 읽음

지배권 변경은 이전되는 것을 초기화함

M16 이전 날짜의 근거는 현재 소유자에 연결되지 않는다: 감사는 시리즈 보너스를 잃고, 공개 사건은 R10 하한으로 내려가며, 자매 판정은 전혀 이전되지 않는다

R12_report_plausibility무결성무지threshold5개 필드 읽음

투명성 보고서는 그 내용만큼의 가치가 있음

P09 = 0이고 P08이 params.min_requests를 초과하며, 레코드가 공개할 개인별 레코드가 존재함을 확인할 때 P06 = zero_implausible — 보존 심각도가 params.min_retention 이상인 경우. 사용자 규모만으로 판단하면 그 목적의 반대를 처벌하게 된다. 수치를 공개하고 부여된 것이 없다고 보고한 프로바이더는 거짓말쟁이로 불린 반면, 아무것도 공개하지 않은 프로바이더는 아무런 대가도 치르지 않았다. 부여된 것이 0이라는 것은 자체 레코드에 부여할 무언가를 보유한다고 적힌 프로바이더에 대해서만 믿기 어렵다. 확인된 로그 없음 판정에 대해서는 예상되는 답이며, 모델은 한 채널에서 인정한 것을 다른 채널에서 믿지 않아서는 안 된다. 이것이 발동하면 P05의 태세 완화는 0.00으로 설정되고 무결성은 params.route의 경로를 얻는다

R13_derived_jurisdiction관할권noisy_ormax6개 필드 읽음

의무 필드는 판정되지 않고 도출됨

C10 = M06 in MANDATE_COUNTRIES; C11 = M11 in MANDATE_COUNTRIES; M11 = M06이면 둘은 하나의 상황이 되며 관할권은 C10, C11, P11의 최댓값을 취한다. 절대로 noisy-OR를 사용하지 않는다. 플릿 노출은 max(C09b, P04)로 들어가며, 이는 회사 경로와 별개의 경로다. 수기 재정의에는 자체 출처가 필요하며, 그렇게 공개된다

R14_disclosure_rate공개threshold2개 필드 읽음

데이터를 산출한 요청의 비율

P08이 params.min_requests에 도달하면 rate = P09 / P08; risk = params.weight x rate; 관할권 간 비교 가능성이 낮으므로 rate 옆에 공개한다 — 한 국가에서 요청은 법원 명령이고 다른 국가에서는 서신일 수 있다

R15_free_tier_flag채널 없음flag2개 필드 읽음

무료 요금제도 어떤 방식으로든 비용이 지불됨

params에 명시된 모든 필드가 각 필드에 대해 params가 나열한 값 중 하나를 가지면 S22 = flagged, 그렇지 않으면 none; 어느 축에서도 점수를 변경하지 않는다 — 두 입력은 이미 있어야 할 곳에서 각각 가격이 반영되어 있으며, 두 입력의 결합에 가격을 매기는 것은 두 축이 존재하는 이유인 평균화를 거부하지 않는 것이기 때문이다

R16_opaque_at_mass_scale무결성threshold2개 필드 읽음

불투명성은 더 많은 사람을 포괄할수록 악화됨

X03 = 불투명하고 M08 = 대규모인 경우 -> 불투명한 경우 X03 자체 가격 대신 params.at_mass_scale

R17_location_notice관할권derivation3개 필드 읽음

의무 국가가 제공되는 경우 실제로 그곳에 있는 것

C09 = MANDATE_COUNTRIES에 나타나는 U02 국가로, 파생되며 수동 입력되지 않음. C09만으로는 아무것도 부과하지 않으며 완전성 분모에서도 제외됨: 그러한 국가에 출구를 제공한다는 사실만으로는 아무것도 말해 주지 않고, 독자가 선택한 위치에 대해 공개됨. 부과되는 것은 C09b이며, C09가 비어 있지 않을 때 물어볼 가치가 있는 유일한 질문 — 하드웨어가 실제로 해당 의무 아래에 있는지, 아니면 위치는 가상이고 하드웨어는 다른 곳에 있는지임. C09가 비어 있으면 C09b는 n/a이며, P04와 max로 결합됨: 의무 아래에 존재한다는 하나의 상황이 두 번 코딩됨

R18_audit_gate보존gatemax2개 필드 읽음

감사가 취하는 보존 분기

V11은 보존을 명시함 -> params.credence_stated의 명시된 구간; V01 = yes_*이고 V11이 침묵함 -> params.credence_silent x subject_factor의 침묵 구간(대상이 확인되지 않은 경우 params.subject_default), 그리고 어떤 구간도 params.credence_max를 초과하지 않음; 그 외에는 문서 근거가 전혀 없음; 선택된 구간의 심각도 = max(C01_linkable_retention, V11_audit_findings), noisy-OR는 사용하지 않음 — 하나의 상황을 두 번 코딩해도 누적해서는 안 됨(R04와 같음)

R19_audit_decay보존decay1개 필드 읽음

구성이 계속 바뀜

decay(params.decay) — 매듭 없이 개월 단위로 연속적임

R20_practice_ages보존decaymax1개 필드 읽음

문서화된 모든 사건에는 자체 날짜가 있음

P12의 outcome = nothing_produced인 각 이벤트는 자체 날짜에 대해 decay(practice, 자체 날짜)에 기여함; 필드의 practice 값은 이벤트들의 합이 아니라 이벤트 전체에 대한 max임; 여러 압수를 하나로 합쳤던 P01 및 P03의 단일 날짜 해석을 대체함

R21_circumvention_decayusabilitydecay1개 필드 읽음

차단이 근거보다 빠르게 진행됨

U06 = 필드 자체의 기준일로부터 12개월이 넘으면 입증된 점수를 자체 신고로 처리함; 레코드는 이미 모든 필드에 날짜를 지정하므로, 연령은 값에 기록하는 대신 그 날짜에서 읽음; 진실성이 만료되는 유일한 필드이므로 decay가 적용되는 유일한 사용성 필드임

R22_completeness무지constraint모든 필드의 완전성 열

분모가 세는 것

completeness = 예인 실질 필드; 해당 없음은 분모에서 제외되고, 불명은 분모에 남음; 신원 필드, 모델 출력, 중복 레이블 및 사용성 필드는 모두 제외됨 — 사용성 커버리지는 S16으로 별도 보고됨

R23_credence_defaults보존constraint스키마의 모든 요인 표

읽지 않은 근거는 점수에 반영되지 않음

R08의 반대편이며, 의도적으로 R08과 대칭이 아니다. factor(unknown) <= 해당 필드에서 실제 근거의 가장 약한 단계이며, 공개 거부를 인코딩하는 모든 값(V06 unnamed, V02 none)보다 엄격히 높다. 아무도 읽지 않은 감사를 액면 그대로 인정하면 구매한 보고서가 점수로 세탁된다. 우리의 무지를 프로바이더의 거부인 것처럼 부과하는 것은 반대의 오류다. 검증되지 않은 근거를 인정하지 않는 것은 고발이 아니다 — 프로바이더는 판정이 아니라 사전확률, 즉 시장의 기본 비율로 돌아간다

R24_retention_composition보존productmax14개 필드 읽음

보존 하위 채널이 하나의 숫자가 되는 방식

네 개의 하위 채널은 평균을 내지 않음. credence.paper = R18이 선택한 구간(명시됨: credence_stated; 침묵함: credence_silent x subject_factor) x 해당 구간 자체의 .conf의 source_credence x audit_decay(R19) x publication_factor x engagement_factor(확고성 x 표준 x 보증 강도) x 명시된 구간의 scope_factor x R11이 시리즈를 유지할 때의 series_bonus이며, credence_max로 상한을 둠. credence.practice = 날짜가 있는 nothing_produced 이벤트 전체에 대한 practice_credence x practice_decay(R20)의 max임. credence = min(credence_max, max(paper, practice) + secondary_weight x min(paper, practice)) — 두 종류의 근거가 하나보다 강하지만, 어떤 양의 근거도 확실성에 도달하지 못함. severity = R18에 따른 max(C01, V11)이며, 어느 쪽도 확인되지 않으면 prior임. retention = credence x severity + (1 - credence) x max(severity, prior): 시장 기준률로의 회귀는 상향만 가능하므로, 자신에게 불리한 인정은 표면값을 유지함. retention.floor = max(retention, C12 하한:)을 마지막에 적용함. 터널에 범위가 한정된 감사로는 앱의 사실을 해소할 수 없기 때문임

R25_integrity_composition무결성noisy_or14개 필드 읽음

무결성 경로가 하나의 숫자가 되는 방식

무결성 = 발동하는 경로에 대해 (1 - route)의 곱을 1에서 뺀 값: 거짓말 축(R04), 소유자 투명성(대규모에서는 R16), 소유 그룹의 이력, 수익화와 그룹이 판매하는 것을 결합한 항목(R03), 사고 처리, 절대적 주장, 평생 이용권 홍보, 매입된 보도(R01), 믿기 어려운 보고 경로(R12), 스토어 신고 공백(R28), disclosure_rate_weight x rate(R14), 클러스터 전염(R02, S18). 경로는 별개의 확인 사항이므로 누적된다. 한 가지 상황을 두 번 코드화한 쌍은 각자의 규칙 안에서 이미 max로 합쳐졌으므로 여기서 다시 합치지 않는다

R26_hygiene_composition위생capped_sum12개 필드 읽음

위생 필드가 하나의 숫자가 되는 방식

위생 = min(params.cap, 여기로 라우팅된 각 위험의 가격 합). 보안 축에서 유일한 가산 채널이다. 여기에는 하나의 확인 사항이 결과를 결정하는 것이 아니라, 작은 독립적 누수가 누적되며, cap은 사소한 수집이 쌓여 공개로 읽히는 것을 막는다. 목록 필드는 가장 저렴한 구성원 하나의 가치만 가진다 — 익명 결제 수단 하나면 충분하다 — 구성원에 가격이 매겨지지 않으면 자체 불명 가격으로 대체된다. C13_weakest_protocol은 여기서 파생되는 가산 항목(R32)이다. 실제로 사용 중인 레거시 전송 방식은 지나가며 수집되는 한 가지 요소일 뿐, 결과를 결정하는 확인 사항이 아니다

R27_report_concealment무결성max2개 필드 읽음

요청이 보장될 정도의 규모에서 공개에 관한 침묵

중간 또는 대규모 규모의 프로바이더는 확실히 요청을 받으므로, 수치가 확인됨 상태에서 없는 것은 우리 조사의 공백이 아니라 프로바이더에 관한 사실이다. P05 = none은 0.150, fresh_no_numbers는 0.100 — 중요한 수치 하나를 누락한 공개 보고서는 이 현상의 가장 날카로운 형태다 — stale은 0.050이다. 확인됨 상태의 값에서만 발동한다. 불명은 여기서 아무것도 부과하지 않고, 우리 자신이 살펴보지 않은 경우가 속하는 무지에서 가격이 매겨진다. R12의 반대편이다. 하나는 믿기 어려운 수치에 가격을 매기고, 이것은 어떤 수치도 없는 상태에 가격을 매긴다

R28_store_declaration_gap무결성max1개 필드 읽음

스토어 선언과 프로바이더가 스토어에 제공한 정책의 대조

필수 스토어 양식은 프로바이더가 자사 앱에 관해 서명한 자체 진술이므로, 양식이 신고하는 내용은 양식이 스토어에 가리키는 프로바이더 자체의 정책에도 나타나야 한다. 한 방향으로만 읽는다. 앱은 서비스의 부분집합이므로, 정책보다 적게 신고하는 양식은 범위로 설명되며 아무것도 부과하지 않는다. 반면 양식이 신고했는데 정책에는 전혀 언급되지 않은 범주는 그러한 변명이 없다. 공개되지 않은 범주가 드러내는 내용에 따라 등급을 매긴다. 식별자 또는 진단은 0.150, 행동 — 앱 활동, 설치된 앱, 위치 또는 광고 목적 — 은 0.300, 무로그 주장이 부인하는 바로 그 수집을 신고한 경우는 0.450이다. 두 스토어는 수집을 서로 다르게 정의하므로 Apple 양식과 Google 양식의 차이 자체는 확인 사항이 아니다. 스토어 간 가장 큰 공백을 적용한다

R29_session_state보존constraint2개 필드 읽음

연결은 연결의 레코드가 아님

C01은 세션이 끝난 뒤에도 프로바이더가 사람과 연결할 수 있는 대상을 평가한다. 터널이 열려 있는 동안에만 존재하는 상태 — 서버가 패킷을 라우팅하고 기기 한도를 시행하기 위해 보유하는 원본 IP, 계정 ID, 연결 시각 — 는 연결 자체이지 그 기록이 아니다. 이를 보존으로 가격을 매기면 VPN 작동 방식을 설명한 프로바이더에 비용을 부과하게 된다. 더 나쁜 점은 아무 말도 하지 않는 것보다 더 많이 부과한다는 것이다. 이 필드의 공란은 시장 사전확률 0.550이고 source_ip는 0.750이므로, 15분 버퍼에 대한 정직한 설명이 침묵보다 더 비싸다. 이 예외는 좁아야 하며, 그렇지 않으면 모든 프로바이더가 쓰는 문장이 된다. 프로바이더 자체 문서가 세션 종료에 연결된 삭제 기간을 명시하고 그 기간이 24시간 이하인 경우에만 적용된다 — 가장 짧은 달력 단위이며, 서비스에 필요한 어떤 종료 처리보다 길고 로그가 유지되는 어떤 순환 주기보다 짧다. 신고되지 않은 기간은 보존이다. 달력 기간 — 7일, 30일, 순환 주기 — 은 어떻게 표현되든 보존이다. 설계상 세션보다 오래 지속되기 때문이다. 해당 기간이 지난 뒤 프로바이더가 보존하는 것은 무엇이든 자체 등급의 가치가 있으며, 이 예외는 프로바이더의 주장만 읽는다. 감사에서 데이터가 존재한다고 확인된 경우 R18은 이미 그 확인 사항을 주장보다 높은 곳에 둔다

R30_usability_foundationusabilitythreshold모든 사용성 필드의 가중치 열

사용성 점수가 표에 얼마나 의존하는가

사용성 합계는 읽을 수 있었던 가중치로 나눈다. 누구도 확인하지 않은 필드는 0점으로 처리하지 않고 분모에서 제외한다. 적용 범위는 품질이 아니기 때문이다. 그 대가는 점수가 자체 기반을 볼 수 없다는 것이다. 가장 무거운 필드를 읽지 못한 열도, 채워진 열과 같은 형태의 수치를 낸다. S21 = 읽은 가중치 / 실제 가중치이며, 실제 가중치는 가중치가 부여된 모든 사용성 필드에서 n/a인 필드를 뺀 것이다. usability_foundation_floor 미만에서는 S20 = no_data이다. 표 상태의 절반도 안 되는 정보에 기대는 수치는 어떤 필드가 채워졌는지가 아니라 제품이 무엇을 하는지를 나타낸다. 이 축에는 무지 채널이 없으므로 기준선은 보안 기준선보다 엄격하다. 보안은 점수 안의 공란에 비용을 부과하지만 사용성은 공란에 아무 곳에서도 비용을 부과하지 않는다. 보안 점수와 마찬가지로 점수는 no_data 상태에서도 계속 공개된다. 공개되지 않은 수치는 확인할 수 없다.

R32_protocol_floor위생derivationmax1개 필드 읽음

여전히 제공되는 가장 약한 전송 방식

C13_weakest_protocol은 C13 자체 표의 위험 순서에 따른 U07_protocols 내 최악의 프로토콜이며, 로드 시 파생되고 직접 입력되지 않는다 — R17이 U02에서 C09를 파생하는 것과 같은 형태다. 이는 R26_hygiene_composition에 하나의 가산 항목으로 들어가며, 그곳의 모든 항목과 마찬가지로 위생 채널 cap의 제한을 받는다. 최신 전송 방식만 제공하는 플릿에서는 이 필드가 이름이 아니라 not_applicable이다. 0.000보다 높은 프로토콜 가격이 없으면 지적할 약한 제공 항목이 없기 때문이다. 동률 해소 순서에 따라 좋은 항목 중 가장 덜 좋은 것을 고르면 아무도 하지 않은 확인 사항을 공개하게 된다. 이 필드는 PPTP와 L2TP가 아직 사용 중인 저가 구간을 위해 유지된다. proprietary 가격은 공급업체가 자체 프로토콜을 작성한 데 대한 비용이 아니다. 그 프로토콜이 약한지 알 수 없는 데 대한 가격이다. 이것이 vendor_open에 비용이 없는 이유다. 소스가 공개되고 독립적으로 검토된 공급업체 전송 방식은 평가할 수 있으며, 평가 내용 어디에도 그것이 약하다고 쓰여 있지 않다. 그럼에도 비용을 부과하면 이미 해소된 무지에 가격을 매기게 되고, 소스를 공개하는 것을 공개하지 않는 것보다 더 비싸게 만든다.

R33_exit_conduct아키텍처max2개 필드 읽음

출구가 운반하는 트래픽에 하는 처리

아키텍처 = max(C00_architecture의 가격, C14_traffic_modification의 가격). 출구를 누가 운영하는지와 출구가 통과하는 내용에 무엇을 하는지는 하나의 질문이다 — 터널의 반대편이 어느 쪽에 있는지에 관한 질문이다 — 그리고 하나의 나쁜 답이 이를 결정하므로, 이 채널은 두 가격의 합이 아니라 더 높은 가격을 취한다. 낯선 사람들이 운영하는 출구가 헤더까지 다시 작성한다고 해서 어느 한쪽보다 두 배 나쁜 것은 아니다. 그것은 그 정도로 나쁘다. headers_injected(0.300)는 통과하는 트래픽에 추가된 세션 식별자 또는 그 밖의 헤더이며, 모든 목적지에 사용자 이름을 넘긴다. content_injected(0.500)는 페이지에 배치된 스크립트, 광고 또는 기타 자료다. tls_interception(0.750)은 출구가 암호화된 세션을 여는 것이다. none은 그렇게 명시한 문서에서 읽어내야 하는데, 그런 문서는 드물다. 따라서 unknown은 C00과 같은 시장 사전확률을 가지며 나머지는 무지 채널이 처리한다.