Речи којима је запис написан

Безбедносни резултат

Од 0 до 100, и једино што ранг-листа прати. Заснива се на осам канала ризика, од којих сваки представља вероватноћу да ова конкретна рута идентификује корисника, комбинованих као 100 × ∏(1 − risk). Велики ризик на било ком појединачном каналу сам по себи обара резултат целог производа; мали ризици се постепено сабирају, уместо да се заокруживањем изгубе.

Горња и доња граница

Ниједан канал не сме да пређе 0.9: извесност није доступна на основу прегледа документа, а модел који достигне 1.0 то би тврдио. У супротном смеру, један налаз може да постави доњу границу канала — трајни хардверски идентификатор који провајдер задржава поставља доњу границу за задржавање података коју ниједна ревизија не може да подигне.

Закључак и пет опсега verdict

Реч која се непосредно чита из безбедносног целог броја, тако да провајдер не може имати ознаку која се не слаже са његовим бројем: јак 75 и више, прихватљив 55–74, слаб 35–54, недовољан 15–34, непрепоручљив мање од 15.

Канал breakdown.channels

Један пут којим би корисник могао бити идентификован, са вероватноћом између 0 и 1. Сваки запис провајдера приказује свих осам, заједно са пољима на основу којих су израчунати, што аритметику чини проверљивом, а не само тврдњом.

Класа услуге service_class

Каква је ово врста услуге, приказује се уз сваки резултат јер једно без другог нема смисла: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 од 77 су комерцијални VPN-ови, а decentralized тренутно нема уноса.

Нема података usability.state

Изјава о истраживању, а не о провајдеру, на било којој од две осе. no_data безбедносни закључак значи да је објављено премало података да би се запис позиционирао: 0 од 77 имају такав закључак, ниједна ранг-листа их не рангира, а сваки од њих задржава своју страницу. Када је usability.state подешен на no_data, резултат употребљивости представља доњу границу, а не позицију — објављено је премало података да би се рекло где се провајдер заправо налази. 10 од 77 налази се у таквом положају. Остају у регистру и у сваком филтеру, означени, а не скривени.

Резултат употребљивости

Од 0 до 100 на основу дванаест пондерисаних поља — међу њима су покривеност, цена, бесплатни ниво, заобилажење блокада, протоколи, прекидач везе, уређаји, стриминг и P2P. То је пондерисана средња вредност за поља која имају вредност, па провајдер није кажњен ако нико ни за једног провајдера није попунио неко поље. Никада се не усредњава са безбедносним резултатом и никада не поставља провајдера испред оног са бољим резултатом; једино одређује који ће од два записа са истим безбедносним резултатом бити наведен први.

Архитектура

Ко управља излазном тачком? Обично не кошта ништа, а понекад одлучује о целом запису: услуга која усмерава саобраћај кроз уређаје неповезаних трећих лица овде носи ризик који ниједна добра политика на другим местима не може да надокнади.

Задржавање

Постоји ли запис који повезује саобраћај са особом и ко га је проверио? Најтежи канал у моделу. Чита поље задржавања, идентификатор уређаја и све о ревизији што би то потврдило или довело у питање — категорију ревизора, стандард уверења, начин на који је извештај објављен, као и да ли је обухват била целокупна флота или узорак.

Интегритет

Да ли је провајдер ухваћен да говори једно, а ради друго? Документоване лажи, празнине између маркетиншких тврдњи и налаза ревизије, непрозирност власништва, досадашњи резултати власничке групе и начин на који се финансира бесплатни ниво. Ситни маркетиншки сигнали — тврдње о апсолутној анонимности, инсистирање на доживотним претплатама, покривеност која постоји само на партнерским сајтовима — сваки од њих додаје понешто.

Јурисдикција

Може ли неко да наложи предају онога што постоји, а да провајдер нема право гласа? Полазите од места регистрације компаније и места где се налази њен стварни власник — мандат усмерен на власника има мању тежину од мандата усмереног на компанију, али се рачуна.

Непознавање

Колико тога нико није утврдио? Канал који одређује цену наших сопствених слепих тачака, вођен тиме колики део записа је непознат. Због тога неиспитани провајдер на ранг-листи стоји испод истраженог, а не поред њега.

Доследно поступање доноси олакшицу: одржаван канаринац за налоге, свеж извештај о транспарентности са бројевима, инцидент обелодањен без одлагања или физичко повлачење из земље која је увела мандат за евидентирање података. Ниједно од тога није тврдња о евидентирању података — свако је понашање које би било тешко лажирати.

Обелодањивање

Да ли је већ нешто предао? Једини канал који се у потпуности заснива на догађајима, а не на политикама: заплене током којих су прибављени подаци, судски списи о принудној предаји, историја обелодањивања. Обелодањени садржај је готово дисквалификујући; само подаци о налогу носе знатно мању тежину.

Ћутање

Десет година, милиони корисника и ништа у запису? Провајдер са стварном изложеношћу — године рада × обим корисничке базе × непријатељске јурисдикције — без заплене, судског записа и извештаја о транспарентности није тиме доказано безбедан. Ниска изложеност овде не кошта ништа; висока изложеност уз празан досије кошта мало.

Хигијена

Који се идентификациони подаци успут прикупљају и да ли се клијент уопште може проверити? Десет малих поља — сервери који користе само RAM, дељење IP адреса, регистрација без имејла, анонимно плаћање, DNS у тунелу, SDK-ови трећих страна, власништво над серверима, отворени изворни код, поновљиве израде и пенетрациони тестови. Појединачно носе мало, заједно имају ограничен допринос, али поуздано показују да ли ико обраћа пажњу.

DNS unutar tunela C06_own_dns_in_tunnel

Da li se DNS upiti obrađuju preko sopstvenih resolvera provajdera unutar tunela. Ako procure do podrazumevanog resolvera mreže, posmatrač saznaje svaku veb-lokaciju koju posećujete, a da nikada ne vidi vaš saobraćaj.

P2P излазни чворови C00_architecture

Архитектура у којој саобраћај излази преко уређаја других корисника, а не преко сервера оператера, обично у замену за бесплатни пакет. Нико не управља излазном тачком, што је истовремено цела понуда и цео проблем — а то значи да туђи саобраћај може излазити преко вас.

Дељене и наменске IP адресе C03_ip_sharing

Дељена излазна адреса ставља много корисника иза једне IP адресе, што је делимично и сврха VPN-а. Наменска IP адреса припада само вама — боља је за услуге које блокирају дељене опсеге, али гора за оно због чега сте дошли.

Задржавање података који омогућавају повезивање C01_linkable_retention

Који запис постоји и могао би да повеже саобраћај са особом — питање које се поставља на основу доступних доказа, а не на основу онога што провајдер каже о свом евидентирању. Пет одговора, поређаних према томе колико коштају: none_linkable, aggregates_only, session_metadata, source_ip, activity.

Земље сервера U02_server_countries

Земље које провајдер заиста наводи као земље са излазном тачком — листа, а не број. Када провајдер не објави листу, поље је непознато, а не попуњено на основу његовог маркетинга, па је сваки број који овде видите дужина нечега што можете да проверите. 27 од 77 провајдера уопште не објављују листу; преосталих 41 заједно покривају 180 земаља.

Идентификатор уређаја C12_device_identifier

Трајни идентификатор на вашем уређају који сам провајдер поседује, у распону од идентификатора ограниченог на апликацију, преко идентификатора за оглашавање који може да се ресетује, до трајног хардверског идентификатора. Ово је поље због којег уредан извештај о непостојању евиденција може да постане небитан: ништа није забележено о вашем саобраћају, а вас је ипак могуће идентификовати.

Извештај о транспарентности P05_transparency_report

Периодични преглед примљених захтева и броја захтева на које је одговорено достављањем података. Процењује се да ли је ажуран и садржи бројеве — а подаци се унакрсно проверавају ради уверљивости, јер нула захтева у масовним размерама током више година представља тврдњу о стварном свету, а не о политици.

Канаринац за налоге P07_warrant_canary

Објављена изјава да није примљен ниједан тајни налог, која се ажурира према распореду тако да њено одсуство преноси поруку коју је оператеру забрањено да пошаље. Корисна је само ако се одржава: stale и removed евидентирају се одвојено, а канаринац који је тихо престао да се објављује није неутралан догађај.

Мандат за задржавање података C09, C10, C11

Национални захтев да оператери VPN услуга задржавају корисничке записе. Неке од земаља у регистру имају такав захтев. Он је важан на два места: у земљи у којој је компанија регистрована и у земљама у којима њена мрежа има сервере — различита питања са различитим последицама.

Обухват ревизије V04_scope_servers

Да ли је ревизија обухватила целокупну флоту или њен узорак. Закључак о непостојању евиденција на основу узорка односи се на сервере који су ревизору показани. Модел вреднује ту разлику, уместо да оба случаја третира као “ревидирана”.

Подељено тунеловање U09_split_tunneling

Слање неких апликација кроз тунел, а других мимо њега. Практично је, али подразумева одлуку о томе шта остаје изложено — због чега спада у осу употребљивости, а не безбедности.

Прекидач везе U08_kill_switch

Блокира саобраћај када се тунел прекине, уместо да га неприметно пропусти преко уобичајене везе. Спречава квар који нико не примећује док се дешава.

Протоколи U07_protocols

Сваки протокол тунеловања који клијент користи, наведен у облику листе. Ово поље је раније садржало само најбржи протокол; од шеме 3.4.0 садржи све протоколе, па је видљив и онај најслабији. WireGuard је мали, брз и модеран; OpenVPN је старији и спорији, али се и даље нуди готово свуда; L2TP, PPTP и SSTP су застарели, а понуда било ког од њих јесте оно што C13_weakest_protocol именује и што одређује најнижи резултат за протокол. Називи добављача — NordLynx, Lightway, Hydra, Chameleon — представљају имплементације, а не протоколе; NordLynx се рачуна као WireGuard, што и јесте.

Репродуктивне компилације V13_reproducible_builds

Да ли било ко може поново да изгради објављену апликацију из објављеног изворног кода и добије бинарну датотеку идентичну до последњег бајта. Отворени код показује шта код ради; репродуктивне компилације показују да је код исти као онај који покрећете.

Сервери који раде само из RAM меморије C02_ram_only

Сервери који раде из волатилне меморије, без диска, тако да се приликом заплене не може наћи ништа што је преживело искључивање напајања. Лако је то тврдити, а тешко проверити, због чега поље разликује yes_verified од yes_declared.