Язык записи

Балл безопасности

От 0 до 100 — это единственный показатель, по которому строится рейтинг. Он рассчитывается на основе восьми каналов риска, каждый из которых представляет собой вероятность того, что именно этот маршрут позволит идентифицировать пользователя; итог вычисляется по формуле 100 × ∏(1 − risk). Большой риск по любому одному каналу сам по себе тянет весь продукт вниз; небольшие риски мягко складываются, а не округляются до нуля.

Балл удобства

От 0 до 100 по двенадцати взвешенным полям — среди них охват, цена, бесплатный тариф, обход блокировок, протоколы, аварийное отключение, устройства, стриминг и P2P. Это среднее с весами по полям, для которых указано значение, поэтому провайдер не получает штраф за поле, которое ни для кого не заполнено. Этот балл никогда не усредняется с баллом безопасности и не поднимает провайдера выше провайдера с более высоким баллом; он определяет только то, какая из двух записей с одинаковым баллом безопасности будет указана первой.

Вердикт и пять уровней безопасности verdict

Слово, напрямую считываемое с целого числа балла безопасности, поэтому провайдер не может получить обозначение, не соответствующее его числу: надёжный — 75 и выше, приемлемый — 55–74, слабый — 35–54, недостаточный — 15–34, нерекомендуемый — ниже 15.

Верхний и нижний пределы

Ни один канал не может превышать 0.9: достоверность нельзя установить по анализу документов, а модель, достигшая 1.0, заявляла бы, что она установлена. С другой стороны, одно доказательство может установить для канала нижний предел — постоянный аппаратный идентификатор, хранящийся у провайдера, задаёт нижний предел хранения данных, который не может повысить ни один аудит.

Канал breakdown.channels

Один из каналов, по которым можно идентифицировать пользователя; для него указывается вероятность от 0 до 1. Каждая запись провайдера содержит все восемь каналов и поля, на основе которых они рассчитаны, поэтому расчёт можно проверить, а не принимать на веру.

Класс сервиса service_class

К какому типу относится сервис; этот параметр указывается вместе с каждым баллом, поскольку по отдельности они не имеют смысла: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. Коммерческими VPN-сервисами являются 59 из 77, а decentralized в настоящее время не используется.

Нет данных usability.state

Это утверждение об исследовании, а не о провайдере, по любой из двух осей. Вердикт no_data по безопасности означает, что опубликовано слишком мало данных, чтобы определить место записи: у 0 из 77 такой вердикт, ни один список не включает их в рейтинг, и у каждой сохраняется своя страница. Если значение usability.state равно no_data, показатель удобства является нижней границей, а не позицией — опубликовано слишком мало данных, чтобы определить фактическое положение провайдера. В таком положении находятся 10 из 77. Они остаются в реестре и отображаются в каждом фильтре, будучи помеченными, а не скрытыми.

Архитектура

Кто управляет точкой выхода? Обычно это ничего не стоит, а иногда определяет всю запись: сервис, направляющий трафик через устройства не связанных с ним третьих лиц, несёт здесь риск, который не компенсировать никакими хорошими положениями политики в других областях.

Гигиена

Какие идентифицирующие данные собираются попутно и можно ли вообще проверить клиент? Десять небольших полей — серверы, работающие только в ОЗУ, совместное использование IP-адресов, регистрация без электронной почты, анонимная оплата, DNS в туннеле, сторонние SDK, владелец серверов, открытый исходный код, воспроизводимые сборки и пентесты. По отдельности их вклад невелик, вместе он ограничен, зато они надёжно показывают, уделяет ли кто-нибудь этому внимание.

Добросовестность

Были ли случаи, когда провайдер говорил одно, а делал другое? Документированная ложь, расхождения между маркетинговыми заявлениями и результатами аудита, непрозрачность структуры владения, история группы владельца и то, как финансируется бесплатный тариф. Небольшие маркетинговые сигналы — заявления о полной анонимности, продвижение пожизненных подписок, покрытие, существующее только на сайтах партнёров, — каждый понемногу снижает оценку.

Молчание

Десять лет, миллионы пользователей — и ничего не зафиксировано? Провайдер с реальной подверженностью риску — годы работы × масштаб пользовательской базы × юрисдикции с враждебным отношением — без изъятия, судебных записей и отчёта о прозрачности ещё не считается доказанно чистым. Низкая подверженность риску здесь ничего не стоит; высокая подверженность при пустом досье обходится недорого.

Неведение

Насколько многое здесь осталось неустановленным? Это канал, который оценивает наши собственные слепые зоны; его значение определяется тем, насколько неполна запись. Именно поэтому непроверенный провайдер оказывается в рейтинге ниже изученного, а не рядом с ним.

За добросовестное поведение полагается послабление: поддерживаемая канарейка ордеров, свежий отчёт о прозрачности с цифрами, своевременное сообщение об инциденте или фактический уход из страны, введшей предписание о ведении журналов. Ни одно из них не является заявлением о ведении журналов — каждое представляет собой поведение, которое было бы трудно подделать.

Раскрытие данных

Передавал ли он уже что-либо? Единственный канал, полностью основанный на событиях, а не на политиках: изъятия, при которых были получены данные, судебные записи о принудительной выдаче, история раскрытия. Раскрытие содержимого почти ведёт к дисквалификации; одни данные аккаунта имеют значительно меньший вес.

Хранение

Есть ли запись, связывающая трафик с человеком, и кто это проверил? Самый весомый канал в модели. Он учитывает поле хранения, идентификатор устройства и всё, что касается аудита и могло бы подтвердить или опровергнуть это — категорию аудитора, стандарт подтверждения, способ публикации отчёта, а также то, охватывалась ли проверкой вся сеть или только выборка.

Юрисдикция

Может ли кто-либо потребовать выдачи того, что существует, не оставив провайдеру возможности высказаться? Ориентируйтесь на место регистрации компании и местонахождение её бенефициарного владельца — предписание в отношении владельца имеет меньший вес, чем предписание в отношении компании, но всё же имеет значение.

DNS внутри туннеля C06_own_dns_in_tunnel

Выполняется ли разрешение имён собственными резолверами провайдера внутри туннеля. Если эти запросы утекают к используемому по умолчанию резолверу сети, наблюдатель узнает о каждом посещённом вами сайте, ни разу не увидев ваш трафик.

Kill switch U08_kill_switch

Блокирует трафик при обрыве туннеля вместо того, чтобы незаметно выпускать его через обычное соединение. Сбой, который он предотвращает, — это тот, который никто не замечает во время его возникновения.

P2P-точки выхода C00_architecture

Архитектура, в которой трафик выходит через устройства других пользователей, а не через серверы оператора, обычно в обмен на бесплатный тариф. Точкой выхода не управляет никто — в этом и заключается вся суть предложения и вся проблема — а значит, через вас может выходить чужой трафик.

Воспроизводимые сборки V13_reproducible_builds

Возможность для любого человека пересобрать опубликованное приложение из опубликованного исходного кода и получить побайтно идентичный бинарный файл. Открытый исходный код показывает, что делает код; воспроизводимые сборки показывают, что именно этот код запущен.

Идентификатор устройства C12_device_identifier

Постоянный идентификатор вашего устройства, которым располагает сам провайдер: от идентификатора в пределах приложения через сбрасываемый рекламный идентификатор до постоянного аппаратного идентификатора. Это поле способно свести на нет безупречный отчёт об отсутствии журналов: о вашем трафике ничего не было записано, но вас всё равно можно идентифицировать.

Канарейка ордера P07_warrant_canary

Опубликованное заявление о том, что секретное предписание не получено; оно обновляется по расписанию, поэтому его отсутствие передаёт сообщение, которое оператору запрещено отправлять. Имеет смысл только при поддержании в актуальном состоянии: stale и removed фиксируются отдельно, а канарейка, которую незаметно перестали обновлять, не является нейтральным событием.

Общие и выделенные IP-адреса C03_ip_sharing

Общий адрес точки выхода объединяет множество пользователей за одним IP-адресом — именно для такой анонимности отчасти и нужен VPN. Выделенный IP-адрес принадлежит только вам — это лучше для сервисов, блокирующих общие диапазоны, но хуже для того, ради чего вы пришли.

Отчёт о прозрачности P05_transparency_report

Периодический подсчёт полученных запросов и того, на какое количество из них ответили, предоставив данные. Оценивается, насколько отчёт актуален и содержит ли числовые данные — а также проверяется его правдоподобие, поскольку отсутствие запросов в массовом масштабе на протяжении многих лет — это утверждение о положении дел в мире, а не о политике.

Охват аудита V04_scope_servers

Проводился ли аудит всего парка серверов или только его выборки. Заключение об отсутствии журналов по выборке относится к серверам, которые аудитор мог проверить. Методология учитывает эту разницу в баллах, а не считает оба варианта «прошедшими аудит».

Предписание о хранении данных C09, C10, C11

Национальное требование, обязывающее операторов VPN хранить записи пользователей. Некоторые страны, указанные в реестре, вводят такое требование. Оно имеет значение в двух случаях: для страны, в которой зарегистрирована компания, и для стран, где у неё расположены серверы её сети — это разные вопросы с разными последствиями.

Протоколы U07_protocols

Все протоколы туннелирования, которые поддерживает клиент, в виде списка. Изначально поле содержало только самый быстрый из них; начиная со схемы 3.4.0 оно содержит все протоколы, благодаря чему становится виден самый слабый. WireGuard — компактный, быстрый и современный протокол; OpenVPN старше, медленнее и по-прежнему поддерживается почти повсеместно; L2TP, PPTP и SSTP — устаревшие протоколы, и наличие одного из них обозначается в C13_weakest_protocol и определяет минимальный балл по протоколам. Названия продуктов — NordLynx, Lightway, Hydra, Chameleon — обозначают реализации, а не протоколы; NordLynx учитывается как WireGuard, чем он и является.

Раздельное туннелирование U09_split_tunneling

Направление одних приложений через туннель, а других — в обход него. Это удобно, но при этом приходится решать, что останется открытым — поэтому функция относится к оси удобства, а не безопасности.

Серверы только с оперативной памятью C02_ram_only

Серверы, работающие из энергозависимой памяти без диска, поэтому при изъятии на них не обнаружится ничего, что сохранилось после отключения питания. Это легко заявить и трудно проверить, поэтому поле различает yes_verified и yes_declared.

Страны серверов U02_server_countries

Страны, которые провайдер действительно перечисляет как имеющие точку выхода — список, а не число. Если провайдер не публикует список, поле считается неизвестным, а не заполняется по его маркетинговым материалам; поэтому любое указанное здесь количество — это длина списка, который можно проверить. Из 77 провайдеров 27 вообще не публикуют список; у 41 провайдеров, которые его публикуют, в общей сложности указаны 180 стран.

Хранение данных, позволяющее связать трафик с человеком C01_linkable_retention

Какая запись существует и может связать трафик с человеком — это определяется по имеющимся доказательствам, а не по тому, что провайдер говорит о своём хранении данных. Пять вариантов, расположенных в порядке возрастания затрат: none_linkable, aggregates_only, session_metadata, source_ip, activity.