Referência
Cada valor numa ficha de fornecedor tem um estado, uma origem, uma data e um nível da fonte antes de ter uma pontuação. Esta página define tudo isso, além dos oito canais que compõem a pontuação de segurança e do vocabulário de VPN subjacente.
01
Uma ficha não é uma tabela de respostas. É uma tabela de respostas, cada uma com aquilo em que se apoia e quando foi confirmada pela última vez — e é por isso que um campo pode estar preenchido e ainda valer quase nada para a pontuação.
9 termos
À data de as_of
O dia em que o valor foi confirmado pela última vez — não o dia em que a página foi criada. Cada campo tem o seu próprio prazo antes de ser necessária uma nova verificação: 30 dias para os preços, 90 para o número de servidores e o histórico de aplicação da lei, 180 para a arquitetura e a retenção, 365 para as auditorias e os factos sobre a empresa.
Completude completeness
Que proporção dos campos que poderiam ter sido respondidos o foi. É uma propriedade da investigação, não um elogio ao fornecedor — uma ficha escassa e uma ficha má não se parecem em nada, e este é o número que as distingue.
Estado state
Um de known, unknown, not_applicable. Distingue temos uma resposta de ninguém publicou uma e de a pergunta não se aplica aqui. Em todo o registo, 42% dos campos de segurança são unknown — 2.143 de 5.159 — e isso é um facto sobre a divulgação do mercado, não sobre o nosso esforço.
Grau da fonte level
Quanto pesa uma fonte. A é um documento primário — um relatório de auditoria, um registo judicial, um relatório de transparência — e conta integralmente. B conta 0.85, C 0.7 e D, o marketing do próprio fornecedor, 0.35. O registo baseia-se em 580 fontes de grau A, 3.200 de grau B, 289 de grau C e 26 de grau D.
Hash material material_hash
Uma impressão digital dos campos que podem efetivamente alterar uma pontuação. Se uma reimportação deixar o hash onde estava, nada de material mudou e a data de atualização da ficha também não muda. É isso que impede uma página de alegar uma atualidade que não conquistou.
Identificador do campo C01, U07, V04
O nome permanente de uma pergunta. A letra indica o respetivo bloco — C capacidade, M factos da empresa, P pressão e aplicação, V verificação, X integridade, U usabilidade — e o número nunca é reutilizado. Os identificadores são apresentados junto de cada valor numa ficha, para que uma correção possa identificar exatamente um campo.
Origem origin
De onde veio um valor. document significa que foi lido um documento, derived significa que uma regra o calculou a partir de outros campos e asserted significa que o fornecedor o afirma e ninguém o verificou. Não existe uma quarta origem: um valor ou tem uma citação que o sustenta, ou foi calculado a partir de valores que a têm, ou assenta na palavra do fornecedor.
O registo contém 3.285 valores documentados contra 2.875 valores afirmados, e 460 dessas afirmações assentam num campo que está efetivamente comprovado. São armazenados da mesma forma e ponderados de maneira muito diferente: uma alegação favorável não examinada regride para o pressuposto de mercado, enquanto uma admissão contra o próprio interesse mantém todo o seu peso.
Pontuado scored
Se algum canal ou a pontuação de usabilidade utiliza este campo. 1.001 dos 6.160 campos registados não são pontuados — factos reais que não alteram nenhuma pontuação. Sem esta indicação, o leitor não tem forma de os distinguir daqueles que determinam um veredicto.
Principais lacunas key_gaps
Texto corrido que identifica o que não foi comprovado e o que permitiria esclarecê-lo — um nível de garantia inferior ao que o marketing dá a entender, uma conclusão baseada numa única leitura de um documento, um campo deixado deliberadamente em aberto. É o contrapeso a um único número e é apresentado juntamente com a pontuação, em vez de ficar oculto atrás de um link.
02
Dois números, nunca calculados em média. A segurança decide a ordem sozinha; a usabilidade é impressa ao lado e só resolve um empate.
7 termos
Canal breakdown.channels
Uma via pela qual um utilizador poderia ser identificado, com uma probabilidade entre 0 e 1. Cada ficha de fornecedor apresenta os oito canais, com os campos que lhes deram origem, o que torna o cálculo verificável, em vez de se basear apenas numa afirmação.
Classe de serviço service_class
Que tipo de serviço é este, apresentado com cada pontuação porque os dois elementos não têm significado separadamente: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 dos 77 são VPNs comerciais, e decentralized está atualmente vazio.
Pontuação de segurança
De 0 a 100, e a única coisa seguida pela classificação. É calculada a partir de oito canais de risco, cada um correspondente à probabilidade de esta rota específica identificar o utilizador, combinados como 100 × ∏(1 − risk). Um risco elevado em qualquer canal faz, por si só, baixar a pontuação de todo o produto; os riscos pequenos acumulam-se gradualmente, em vez de serem eliminados pelo arredondamento.
Pontuação de usabilidade
De 0 a 100, com base em doze campos ponderados — entre eles, cobertura, preço, plano gratuito, evasão, protocolos, interruptor de emergência, dispositivos, streaming e P2P. É uma média ponderada dos campos que têm um valor, pelo que um fornecedor não é penalizado por um campo que ninguém preencheu para nenhum fornecedor. Nunca é calculada em média com a segurança e nunca coloca um fornecedor à frente de outro com uma pontuação superior; a única coisa que decide é qual das duas fichas com a mesma pontuação de segurança aparece primeiro na lista.
Sem dados usability.state
Uma afirmação sobre a investigação, e não sobre o fornecedor, em qualquer um dos dois eixos. Um veredicto de no_data de segurança significa que há dados publicados insuficientes para classificar a ficha: 0 dos 77 têm um, nenhuma lista os ordena e cada um mantém a sua página. Quando usability.state é no_data, o valor de usabilidade é um limite inferior, e não uma posição — foram publicados dados insuficientes para dizer onde o fornecedor realmente se situa. 10 dos 77 estão nessa posição. Permanecem no registo e em todos os filtros, assinalados em vez de ocultados.
Teto e piso
Nenhum canal pode exceder 0.9: a certeza não pode ser estabelecida por uma análise documental, e um modelo que chegasse a 1.0 estaria a afirmá-la. Na outra direção, uma única constatação pode fixar o limite inferior de um canal — um identificador de hardware persistente mantido pelo fornecedor estabelece um piso para a retenção que nenhuma auditoria pode elevar.
Veredicto e os cinco escalões verdict
Uma designação lida diretamente a partir do número inteiro de segurança, para que um fornecedor não possa ter um rótulo que discorde do seu número: forte 75 ou mais, aceitável 55–74, fraco 35–54, insuficiente 15–34, não recomendado abaixo de 15.
03
Cada um é uma pergunta, e cada uma é respondida a partir de campos nomeados. O detalhamento numa página de fornecedor mostra o que cada canal custou e porquê.
8 termos
Arquitetura
Quem opera a saída? Normalmente, não custa nada e, por vezes, decide toda a ficha: um serviço que encaminha tráfego através de dispositivos de terceiros sem relação com o serviço acarreta aqui um risco que nenhuma quantidade de boas políticas noutras áreas consegue compensar.
Divulgação
Já entregou alguma coisa? O único canal construído inteiramente com base em acontecimentos, e não em políticas: apreensões em que foram obtidos dados, registos judiciais de produção coerciva, histórico de divulgações. A divulgação de conteúdo é quase desqualificante; só os dados da conta têm um peso muito menor.
Higiene
Que dados identificativos são recolhidos incidentalmente e é sequer possível verificar o cliente? Dez pequenos campos — servidores exclusivamente em RAM, partilha de IP, registo sem e-mail, pagamento anónimo, DNS no túnel, SDKs de terceiros, propriedade dos servidores, código aberto, compilações reproduzíveis e testes de intrusão. Individualmente baratos, com um limite conjunto e uma leitura fiável sobre se alguém está a prestar atenção.
Ignorância
Quanto disto não foi comprovado por ninguém? Este é o canal que mede os nossos próprios pontos cegos, determinado pela quantidade de informação em falta na ficha. É por isso que um fornecedor não examinado fica abaixo de um fornecedor investigado, em vez de ficar a seu lado.
A conduta funciona como atenuante: um canário de mandados mantido atualizado, um relatório de transparência recente com números, um incidente divulgado prontamente ou a retirada física de um país que impôs um mandato de registos. Nenhum deles é uma alegação sobre registos — cada um é um comportamento difícil de falsificar.
Integridade
Foi apanhado a dizer uma coisa e a fazer outra? Mentiras documentadas, lacunas entre o marketing e as conclusões das auditorias, opacidade quanto à propriedade, o histórico do grupo proprietário e a forma como o escalão gratuito é financiado. Pequenos sinais de marketing — alegações de anonimato absoluto, promoções de subscrições vitalícias, cobertura que existe apenas em sites afiliados — acrescentam todos um pouco.
Jurisdição
Pode alguém obrigar à entrega do que existe sem que o fornecedor tenha uma palavra a dizer? Considere o local onde a empresa está registada e onde se encontra o seu proprietário efetivo — um mandato dirigido ao proprietário vale menos do que um dirigido à empresa, mas conta.
Retenção
Existe algum registo que associe o tráfego a uma pessoa e quem o verificou? O canal com maior peso no modelo. Lê o campo da retenção, o identificador do dispositivo e tudo o que disser respeito à auditoria que a confirmaria ou poria em causa — categoria do auditor, norma de garantia, forma como o relatório foi publicado e se o âmbito abrangia toda a frota ou apenas uma amostra.
Silêncio
Dez anos, milhões de utilizadores e nada na ficha? Um fornecedor com uma exposição real — anos de operação × escala de utilizadores × jurisdições hostis — e sem apreensão, registo judicial ou relatório de transparência não fica, por isso, comprovadamente isento. Uma exposição baixa não custa nada aqui; uma exposição elevada com uma ficha vazia custa um pouco.
04
Os termos por trás dos identificadores de campo — o que cada um realmente exige de um fornecedor, e porque é que a resposta custa o que custa.
15 termos
Âmbito da auditoria V04_scope_servers
Se uma auditoria abrangeu toda a frota ou apenas uma amostra. Um parecer de ausência de registos sobre uma amostra é uma declaração sobre os servidores que foram apresentados ao auditor. O modelo atribui um custo à diferença, em vez de tratar ambos como “auditados”.
Canário de mandado P07_warrant_canary
Uma declaração publicada de que não foi recebida qualquer ordem secreta, atualizada segundo um calendário para que a sua ausência transmita a mensagem que o operador está proibido de enviar. Só é útil se for mantida: stale e removed são registados separadamente, e um canário que deixa silenciosamente de ser atualizado não é um acontecimento neutro.
Compilações reproduzíveis V13_reproducible_builds
Se qualquer pessoa consegue recompilar a aplicação publicada a partir do código-fonte publicado e obter um binário idêntico byte a byte. O código aberto mostra o que o código faz; as compilações reproduzíveis mostram que o código é aquele que está a ser executado.
Divisão de túnel U09_split_tunneling
Enviar algumas aplicações pelo túnel e fazer com que outras o contornem. É conveniente, mas implica decidir o que permanece exposto — por isso, integra o eixo da usabilidade, e não o da segurança.
DNS dentro do túnel C06_own_dns_in_tunnel
Se as pesquisas de nomes são resolvidas pelos próprios resolvedores do fornecedor dentro do túnel. Se forem encaminhadas para o resolvedor predefinido da rede, um observador fica a saber todos os sites que visita sem nunca ver o seu tráfego.
Identificador do dispositivo C12_device_identifier
Um identificador persistente no seu dispositivo que o próprio fornecedor detém, desde um ID limitado à aplicação, passando por um ID de publicidade redefinível, até um ID persistente de hardware. Este é o campo que pode tornar irrelevante um relatório claro de ausência de registos: nada foi registado sobre o seu tráfego e, ainda assim, é possível identificá-lo pelo nome.
Interruptor de emergência U08_kill_switch
Bloqueia o tráfego quando o túnel cai, em vez de o deixar sair silenciosamente pela ligação normal. A falha que impede é aquela que ninguém nota enquanto está a acontecer.
IPs partilhados e dedicados C03_ip_sharing
Um endereço de saída partilhado coloca muitos utilizadores atrás do mesmo IP, criando a multidão que é, em parte, o objetivo de uma VPN. Um IP dedicado é só seu — melhor para serviços que bloqueiam intervalos partilhados, pior para aquilo que o trouxe à VPN.
Mandato de retenção C09, C10, C11
Um requisito nacional que obriga os operadores de VPN a conservar registos dos utilizadores. Alguns dos países constantes do registo impõem esse requisito. É relevante em dois casos: no país onde a empresa está registada e nos países onde a sua frota tem servidores — questões diferentes, com consequências diferentes.
Nós de saída P2P C00_architecture
Uma arquitetura em que o tráfego sai através dos dispositivos de outros utilizadores, em vez de sair pelos servidores do operador, geralmente em troca de um plano gratuito. Ninguém opera a saída, o que é simultaneamente toda a proposta e todo o problema — e significa que o tráfego de outra pessoa pode sair através do seu dispositivo.
Países dos servidores U02_server_countries
Os países que um fornecedor enumera efetivamente como tendo uma saída — a lista, não um número. Quando um fornecedor não publica qualquer lista, o campo é desconhecido, em vez de ser preenchido com base no seu marketing; assim, qualquer contagem que veja aqui corresponde ao tamanho de algo que pode verificar. 27 dos 77 não publicam qualquer lista; os 41 que o fazem abrangem, entre si, 180 países.
Protocolos U07_protocols
Cada protocolo de túnel que um cliente suporta, apresentado sob a forma de lista. O campo era usado para conter apenas o mais rápido; desde o esquema 3.4.0, contém todos, tornando visível o mais fraco. WireGuard é pequeno, rápido e moderno; OpenVPN é mais antigo, mais lento e continua a ser disponibilizado praticamente em todo o lado; L2TP, PPTP e SSTP são protocolos antigos, e disponibilizar um deles é o que C13_weakest_protocol identifica e o que define os preços mínimos dos protocolos. Os nomes dos fornecedores — NordLynx, Lightway, Hydra, Chameleon — são implementações, não protocolos; NordLynx conta como WireGuard, que é aquilo que é.
Relatório de transparência P05_transparency_report
Uma contagem periódica dos pedidos recebidos e de quantos foram respondidos com dados. É pontuado com base na atualidade e na inclusão de números — e verificado quanto à plausibilidade, uma vez que zero pedidos em escala massiva ao longo de anos é uma afirmação sobre o mundo, não sobre a política.
Retenção associável C01_linkable_retention
Que ficha existe que poderia associar tráfego a uma pessoa — uma pergunta feita com base nas provas disponíveis, e não no que um fornecedor afirma sobre a sua retenção de registos. Cinco respostas, por ordem do custo que implicam: none_linkable, aggregates_only, session_metadata, source_ip, activity.
Servidores exclusivamente em RAM C02_ram_only
Servidores que funcionam a partir de memória volátil, sem disco, pelo que uma apreensão não revela nada que tenha sobrevivido ao corte de energia. Fácil de alegar e difícil de verificar, razão pela qual o campo distingue yes_verified de yes_declared.