Słowa, którymi opisuje się rekord

Brak danych usability.state

Stwierdzenie dotyczące badań, a nie dostawcy, na którejkolwiek z osi. Werdykt no_data dotyczący bezpieczeństwa oznacza, że opublikowano zbyt mało informacji, by umieścić rekord: 0 z 77 dostawców ma taki werdykt, żadna lista ich nie szereguje, a każdy z nich zachowuje swoją stronę. Gdy usability.state ma wartość no_data, wynik użyteczności jest dolną granicą, a nie umiejscowieniem — opublikowano zbyt mało informacji, by stwierdzić, gdzie faktycznie znajduje się dostawca. W takiej sytuacji znajduje się 10 z 77 dostawców. Pozostają w rejestrze i na każdej liście filtrów — są oznaczone, a nie ukryte.

Górny i dolny limit

Żaden kanał nie może przekroczyć 0.9: przegląd dokumentów nie daje pewności, a model osiągający 1.0 deklarowałby jej istnienie. W drugą stronę pojedyncze ustalenie może wyznaczyć kanał od dołu — trwały identyfikator sprzętowy przechowywany przez dostawcę wyznacza dolny limit retencji, którego żaden audyt nie może podnieść.

Kanał breakdown.channels

Jeden ze sposobów identyfikacji użytkownika, któremu przypisuje się prawdopodobieństwo od 0 do 1. Każdy rekord dostawcy przedstawia wszystkie osiem kanałów wraz z polami, które posłużyły do ich wyliczenia, dzięki czemu obliczenia można sprawdzić, zamiast opierać się wyłącznie na deklaracji.

Klasa usługi service_class

Określa rodzaj usługi; jest wyświetlana przy każdym wyniku, ponieważ te dwa elementy nie mają sensu osobno: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. Komercyjne VPN-y stanowią 59 spośród 77, a decentralized jest obecnie puste.

Werdykt i pięć przedziałów verdict

Określenie odczytywane wprost z liczby całkowitej wyniku bezpieczeństwa, dzięki czemu dostawca nie może otrzymać oznaczenia niezgodnego z jego wynikiem: silny 75 i więcej, akceptowalny 55–74, słaby 35–54, niewystarczający 15–34, niezalecany poniżej 15.

Wynik bezpieczeństwa

Od 0 do 100 — i jedyna podstawa rankingu. Wynik jest budowany z ośmiu kanałów ryzyka, z których każdy oznacza prawdopodobieństwo, że dana trasa pozwoli zidentyfikować użytkownika; łączy się je jako 100 × ∏(1 − risk). Duże ryzyko w dowolnym kanale samo w sobie obniża wynik całej usługi; małe ryzyka kumulują się łagodnie, zamiast być zaokrąglane w dół.

Wynik użyteczności

Od 0 do 100 na podstawie dwunastu ważonych pól — między innymi zasięgu, ceny, darmowego planu, obchodzenia blokad, protokołów, wyłącznika awaryjnego, liczby urządzeń, streamingu i P2P. Jest to średnia ważona dla pól, dla których podano wartość, więc dostawca nie jest karany za pole, którego nikt nie uzupełnił dla żadnego dostawcy. Wynik użyteczności nigdy nie jest uśredniany z wynikiem bezpieczeństwa i nigdy nie pozwala dostawcy wyprzedzić dostawcy z lepszym wynikiem; decyduje wyłącznie o tym, który z dwóch rekordów z takim samym wynikiem bezpieczeństwa zostanie wymieniony jako pierwszy.

Architektura

Kto obsługuje węzeł wyjściowy? Zwykle nic to nie kosztuje, a czasem przesądza o całym rekordzie: usługa kierująca ruch przez urządzenia niepowiązanych osób trzecich wiąże się tutaj z ryzykiem, którego nie zrekompensują żadne dobre zasady w pozostałych obszarach.

Higiena

Jakie dane pozwalające zidentyfikować użytkownika są zbierane przy okazji i czy klienta w ogóle da się sprawdzić? Dziesięć drobnych pól — serwery korzystające wyłącznie z pamięci RAM, współdzielenie adresów IP, rejestracja bez adresu e-mail, anonimowe płatności, DNS w tunelu, pakiety SDK firm trzecich, własność serwerów, otwarte oprogramowanie, kompilacje odtwarzalne i pentesty. Każde z osobna ma niewielką wagę, razem podlegają limitowi i wiarygodnie pokazują, czy ktokolwiek przykłada do tego wagę.

Jurysdykcja

Czy można nakazać udostępnienie tego, co istnieje, bez możliwości wypowiedzenia się przez dostawcę? Uwzględnij miejsce rejestracji spółki oraz miejsce, w którym znajduje się jej beneficjent rzeczywisty — obowiązek nałożony na właściciela ma mniejsze znaczenie niż obowiązek nałożony na spółkę, ale nadal ma znaczenie.

Milczenie

Dziesięć lat, miliony użytkowników i niczego w dokumentacji? Dostawca o rzeczywistej ekspozycji — lata działalności × skala użytkowników × wrogie jurysdykcje — bez zajęcia, akt sądowych ani raportu przejrzystości nie jest tym samym dowiedziony jako nieskazitelny. Niska ekspozycja nic tu nie kosztuje; wysoka ekspozycja przy pustej dokumentacji kosztuje niewiele.

Niewiedza

Ile z tych kwestii nie zostało przez nikogo potwierdzonych? To kanał, który określa koszt naszych własnych ślepych punktów, zależny od tego, jak wiele informacji w rekordzie pozostaje nieznanych. To dlatego dostawca, którego nie zbadano, zajmuje w rankingu niższe miejsce niż dostawca zbadany, a nie miejsce obok niego.

Działania dostawcy mogą złagodzić ten wynik: utrzymywany kanarek nakazów, aktualny raport przejrzystości zawierający liczby, szybkie ujawnienie incydentu albo fizyczne wycofanie się z kraju, który nałożył obowiązek retencyjny. Żadne z nich nie jest deklaracją dotyczącą logów — każde jest działaniem, którego sfałszowanie byłoby kłopotliwe.

Retencja

Czy istnieje rekord, który łączy ruch z konkretną osobą, i kto go sprawdził? To kanał o największej wadze w modelu. Analizuje pole retencji, identyfikator urządzenia oraz wszystkie informacje o audycie, które mogłyby to potwierdzić lub podważyć — kategorię audytora, standard atestacyjny, sposób opublikowania raportu, a także to, czy zakres obejmował całą flotę, czy tylko próbkę.

Rzetelność

Czy przyłapano go na mówieniu jednego i robieniu drugiego? Udokumentowane kłamstwa, luki między przekazem marketingowym a ustaleniami audytu, nieprzejrzystość własności, dotychczasowa działalność grupy właścicielskiej oraz sposób finansowania bezpłatnej oferty. Drobne sygnały marketingowe — twierdzenia o absolutnej anonimowości, nakłanianie do subskrypcji dożywotnich, dostępność istniejąca wyłącznie na stronach afiliacyjnych — każdy z nich ma niewielkie znaczenie.

Ujawnienie

Czy dostawca już coś przekazał? Jedyny kanał zbudowany w całości na zdarzeniach, a nie zasadach: zajęcia, podczas których uzyskano dane, akta sądowe dotyczące przymusowego przekazania oraz historia ujawnień. Ujawnienie treści jest niemal dyskwalifikujące; samo ujawnienie danych konta ma znacznie niższą wagę.

DNS w tunelu C06_own_dns_in_tunnel

Czy zapytania o nazwy są rozwiązywane przez własne resolvery dostawcy wewnątrz tunelu. Jeśli trafiają do domyślnego resolvera sieci, obserwator dowiaduje się o każdej odwiedzanej witrynie, nie widząc przy tym przesyłanego ruchu.

Identyfikator urządzenia C12_device_identifier

Trwały identyfikator na urządzeniu, który przechowuje sam dostawca — od identyfikatora ograniczonego do aplikacji, przez resetowalny identyfikator reklamowy, po trwały identyfikator sprzętowy. To pole może sprawić, że rzetelny raport o braku logów przestaje mieć znaczenie: niczego nie zapisano o Twoim ruchu, a mimo to można Cię zidentyfikować.

Kanarek nakazów P07_warrant_canary

Opublikowane oświadczenie, że nie otrzymano tajnego nakazu, aktualizowane zgodnie z harmonogramem, tak aby jego brak przekazywał komunikat, którego operatorowi nie wolno wysłać. Ma sens tylko wtedy, gdy jest utrzymywane: stale i removed są rejestrowane osobno, a kanarek, który po cichu przestał być aktualizowany, nie jest neutralnym zdarzeniem.

Kraje serwerów U02_server_countries

Kraje, które dostawca faktycznie wymienia jako miejsca, w których ma węzeł wyjściowy — lista, nie liczba. Jeśli dostawca nie publikuje żadnej listy, pole pozostaje nieznane, zamiast być uzupełniane na podstawie jego materiałów marketingowych, więc każda widoczna tutaj liczba oznacza długość listy, którą można sprawdzić. 27 z 77 nie publikuje żadnej listy; pozostałych 41 obejmuje łącznie 180 krajów.

Obowiązek retencyjny C09, C10, C11

Krajowy obowiązek nakazujący operatorom VPN przechowywanie danych użytkowników. Niektóre z krajów ujętych w rejestrze nakładają taki obowiązek. Ma on znaczenie w dwóch miejscach: w kraju, w którym zarejestrowana jest firma, oraz w krajach, w których jej flota ma serwery — są to różne kwestie, niosące różne konsekwencje.

Powtarzalne kompilacje V13_reproducible_builds

Czy każdy może ponownie zbudować opublikowaną aplikację na podstawie opublikowanego kodu źródłowego i uzyskać plik binarny identyczny bajt po bajcie. Otwarte oprogramowanie pokazuje, co robi kod; powtarzalne kompilacje pokazują, że kod jest tym, co uruchamiasz.

Protokoły U07_protocols

Każdy protokół tunelowania obsługiwany przez klienta, przedstawiony jako lista. To pole służyło do przechowywania jednego, najszybszego protokołu; od schematu 3.4.0 zawiera wszystkie, dzięki czemu widoczny jest również najsłabszy. WireGuard jest niewielki, szybki i nowoczesny; OpenVPN jest starszy, wolniejszy i nadal oferowany niemal wszędzie; L2TP, PPTP i SSTP to protokoły starszej generacji, a oferowanie któregoś z nich jest tym, co określa C13_weakest_protocol i wyznacza dolny próg wyniku za protokół. Nazwy dostawców — NordLynx, Lightway, Hydra, Chameleon — oznaczają implementacje, a nie protokoły; NordLynx jest liczone jako WireGuard, bo nim właśnie jest.

Raport przejrzystości P05_transparency_report

Okresowe zestawienie otrzymanych żądań oraz liczby tych, na które odpowiedziano, przekazując dane. Ocenia się je pod kątem aktualności i tego, czy zawiera dane liczbowe — a także weryfikuje pod względem wiarygodności, ponieważ zero żądań na masową skalę przez całe lata to twierdzenie o rzeczywistości, a nie o polityce.

Retencja umożliwiająca powiązanie C01_linkable_retention

Jaki rekord istnieje, który mógłby powiązać ruch z osobą — pytanie kierowane do zgromadzonych dowodów, a nie do tego, co dostawca mówi o swoim logowaniu. Pięć odpowiedzi, w kolejności rosnącego kosztu: none_linkable, aggregates_only, session_metadata, source_ip, activity.

Serwery tylko z pamięcią RAM C02_ram_only

Serwery działające wyłącznie z pamięci ulotnej, bez dysku, więc ich zajęcie nie ujawni niczego, co przetrwałoby odcięcie zasilania. Łatwo to zadeklarować, a trudno zweryfikować, dlatego to pole rozróżnia yes_verified od yes_declared.

Tunelowanie dzielone U09_split_tunneling

Przesyłanie części aplikacji przez tunel, a pozostałych z jego pominięciem. Wygodne rozwiązanie i decyzja o tym, co pozostaje ujawnione — dlatego funkcja ta należy do osi użyteczności, a nie bezpieczeństwa.

Węzły wyjściowe P2P C00_architecture

Architektura, w której ruch wychodzi przez urządzenia innych użytkowników, a nie przez serwery operatora, zwykle w zamian za bezpłatny wariant. Nikt nie obsługuje węzła wyjściowego, co jest zarazem istotą całej oferty i całym problemem — oznacza to, że ruch kogoś innego może wychodzić przez twoje urządzenie.

Współdzielone i dedykowane adresy IP C03_ip_sharing

Współdzielony adres wyjściowy umieszcza wielu użytkowników za jednym adresem IP — właśnie po to częściowo korzysta się z VPN. Dedykowany adres IP należy wyłącznie do Ciebie — lepiej sprawdza się w usługach blokujących współdzielone zakresy, ale gorzej służy temu, po co korzystasz z VPN.

Wyłącznik awaryjny U08_kill_switch

Blokuje ruch, gdy tunel zostaje przerwany, zamiast po cichu przepuszczać go przez zwykłe połączenie. Zapobiega awarii, której nikt nie zauważa, gdy do niej dochodzi.

Zakres audytu V04_scope_servers

Czy audyt objął całą flotę, czy tylko jej próbę. Opinia o braku logów dotycząca próby jest stwierdzeniem na temat serwerów, które pokazano audytorowi. Model uwzględnia tę różnicę, zamiast traktować oba przypadki jako “objęte audytem”.