ถ้อยคำที่ใช้เขียนบันทึก

คะแนนการใช้งาน

ตั้งแต่ 0 ถึง 100 จากฟิลด์ถ่วงน้ำหนักสิบสองรายการ — รวมถึงความครอบคลุม ราคา แผนใช้งานฟรี การหลบเลี่ยงการบล็อก โปรโตคอล คิลสวิตช์ อุปกรณ์ การสตรีม และ P2P เป็นค่าเฉลี่ยถ่วงน้ำหนักของฟิลด์ที่มีค่า ดังนั้นผู้ให้บริการจึงไม่ถูกลงโทษจากฟิลด์ที่ไม่มีใครกรอกข้อมูลให้ผู้ให้บริการรายใดเลย คะแนนนี้ ไม่เคยนำไปเฉลี่ยกับคะแนนความปลอดภัย และไม่เคยทำให้ผู้ให้บริการถูกจัดไว้เหนือผู้ให้บริการที่ได้คะแนนดีกว่า สิ่งเดียวที่คะแนนนี้ใช้ตัดสินคือ บันทึกใดจะอยู่ก่อนในกรณีที่บันทึกสองรายการมีคะแนนความปลอดภัย เท่ากัน

คะแนนความปลอดภัย

0 ถึง 100 และเป็นสิ่งเดียวที่การจัดอันดับยึดตาม คะแนนนี้สร้างจากช่องความเสี่ยง 8 ช่อง โดยแต่ละช่องคือความน่าจะเป็นที่เส้นทางนี้จะระบุตัวผู้ใช้ได้ แล้วนำมารวมกันเป็น 100 × ∏(1 − risk) ความเสี่ยงที่สูงในช่องใดช่องหนึ่งจะฉุดคะแนนของผลิตภัณฑ์ทั้งหมดลงได้ด้วยตัวมันเอง ส่วนความเสี่ยงเล็ก ๆ จะค่อย ๆ สะสม แทนที่จะถูกปัดทิ้ง

คำตัดสินและแถบทั้งห้า verdict

ถ้อยคำที่อ่านได้โดยตรงจากจำนวนเต็มความปลอดภัย เพื่อไม่ให้ผู้ให้บริการมีป้ายกำกับที่ไม่ตรงกับตัวเลขของตน: แข็งแกร่ง 75 ขึ้นไป, ยอมรับได้ 55–74, อ่อน 35–54, ไม่เพียงพอ 15–34, ไม่แนะนำ ต่ำกว่า 15.

ช่อง breakdown.channels

วิธีหนึ่งที่อาจใช้ระบุตัวผู้ใช้ได้ โดยมีความน่าจะเป็นอยู่ระหว่าง 0 ถึง 1 ทุกบันทึกของผู้ให้บริการแสดงช่องทั้งแปด พร้อมฟิลด์ที่ใช้คำนวณช่องเหล่านั้น จึงทำให้ตรวจสอบการคำนวณได้ ไม่ใช่เพียงอาศัยคำกล่าวอ้าง

ประเภทบริการ service_class

สิ่งนี้เป็นบริการประเภทใด โดยจะแสดงพร้อมกับคะแนนทุกคะแนน เพราะทั้งสองอย่างไม่มีความหมายเมื่อแยกจากกัน: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized 59 ของ 77 เป็น VPN เชิงพาณิชย์ และขณะนี้ decentralized ยังว่างอยู่

เพดานและพื้น

ไม่มีช่องใดอาจเกิน 0.9 ได้: การตรวจสอบเอกสารไม่อาจให้ความแน่นอนได้ และแบบจำลองที่ไปถึง 1.0 ก็จะเป็นการกล่าวอ้างความแน่นอนนั้นเอง ในทางกลับกัน ข้อค้นพบเพียงข้อเดียวอาจกำหนดค่าขั้นต่ำของช่องได้ — ตัวระบุฮาร์ดแวร์แบบถาวรที่ผู้ให้บริการเก็บไว้จะกำหนดเพดานขั้นต่ำให้กับการเก็บข้อมูล ซึ่งไม่มีการตรวจสอบใดเพิ่มให้สูงขึ้นได้

ไม่มีข้อมูล usability.state

ข้อความนี้กล่าวถึงงานวิจัย ไม่ใช่ผู้ให้บริการ และใช้ได้กับทั้งสองแกน คำตัดสิน no_data ด้าน ความปลอดภัย หมายความว่ามีการเผยแพร่น้อยเกินกว่าจะจัดวางบันทึกได้: ผู้ให้บริการ 0 จาก 77 รายมีคำตัดสินนี้ ไม่มีรายการใดจัดอันดับผู้ให้บริการเหล่านี้ และแต่ละรายยังคงมีหน้าของตนเอง ในกรณีที่ usability.state เป็น no_data ตัวเลขการใช้งานจะเป็น ค่าขั้นต่ำ แทนการระบุตำแหน่ง — มีการเผยแพร่น้อยเกินกว่าจะระบุได้ว่าผู้ให้บริการอยู่ตรงไหนจริง ๆ ผู้ให้บริการ 10 จาก 77 รายอยู่ในสถานะดังกล่าว ผู้ให้บริการเหล่านี้ยังคงอยู่ในทำเนียบและตัวกรองทุกแบบ โดยมีการทำเครื่องหมายไว้แทนที่จะซ่อนไว้

การเก็บข้อมูล

มีบันทึกที่เชื่อมโยงข้อมูลการรับส่งกับบุคคลหรือไม่ และใครเป็นผู้ตรวจสอบ ช่องที่มีน้ำหนักมากที่สุดในแบบจำลอง ช่องนี้พิจารณาฟิลด์การเก็บข้อมูล ตัวระบุอุปกรณ์ และรายละเอียดทั้งหมดเกี่ยวกับการตรวจสอบที่จะยืนยันหรือบั่นทอนข้ออ้างนั้น — ประเภทผู้ตรวจสอบ มาตรฐานการให้ความเชื่อมั่น วิธีเผยแพร่รายงาน และขอบเขตครอบคลุมเซิร์ฟเวอร์ทั้งหมดหรือเป็นเพียงตัวอย่าง

การเปิดเผยข้อมูล

เคยส่งมอบข้อมูลบางอย่างไปแล้วหรือไม่? ช่องเดียวที่สร้างขึ้นจากเหตุการณ์โดยสิ้นเชิง ไม่ใช่นโยบาย ได้แก่ การยึดข้อมูลที่นำไปสู่การได้ข้อมูล บันทึกของศาลเกี่ยวกับการบังคับให้ส่งมอบข้อมูล และประวัติการเปิดเผยข้อมูล เนื้อหาที่เปิดเผยเกือบเป็นเหตุให้ตัดสิทธิ์ ส่วนข้อมูลบัญชีเพียงอย่างเดียวมีน้ำหนักต่ำกว่ามาก

เขตอำนาจศาล

ใครสามารถบังคับให้ส่งมอบสิ่งที่มีอยู่ได้ โดยที่ผู้ให้บริการไม่มีสิทธิ์มีส่วนตัดสินใจ? ให้พิจารณาจากประเทศที่บริษัทจดทะเบียนและเขตอำนาจศาลที่เจ้าของผู้รับประโยชน์อยู่ — ข้อบังคับที่มีผลต่อเจ้าของมีน้ำหนักน้อยกว่าข้อบังคับที่มีผลต่อบริษัท แต่ก็ยังนับรวมอยู่

ความเงียบ

สิบปี ผู้ใช้หลายล้านคน และไม่มีอะไรอยู่ในบันทึกเลยหรือ? ผู้ให้บริการที่มีการเปิดรับความเสี่ยงจริง — ปีที่ดำเนินงาน × ขนาดฐานผู้ใช้ × เขตอำนาจศาลที่เป็นปรปักษ์ — แต่ไม่มีการยึด ไม่มีบันทึกของศาล และไม่มีรายงานความโปร่งใส ไม่ได้หมายความว่าพิสูจน์แล้วว่าปราศจากมลทิน การเปิดรับความเสี่ยงต่ำไม่เสียคะแนนในที่นี้ ส่วนการเปิดรับความเสี่ยงสูงแต่แฟ้มข้อมูลว่างเปล่าจะเสียคะแนนเล็กน้อย

ความซื่อตรง

เคยถูกตรวจพบว่าพูดอย่างหนึ่งแต่ทำอีกอย่างหรือไม่? คำโกหกที่มีหลักฐาน ช่องว่างระหว่างการตลาดกับผลการตรวจสอบ ความไม่โปร่งใสของเจ้าของ ประวัติของกลุ่มเจ้าของ และวิธีชำระค่าใช้จ่ายของแพ็กเกจฟรี สัญญาณเล็ก ๆ จากการตลาด — คำกล่าวอ้างเรื่องการไม่เปิดเผยตัวตนโดยสมบูรณ์ การผลักดันการสมัครสมาชิกตลอดชีพ การรองรับที่มีอยู่เฉพาะบนเว็บไซต์พันธมิตร — แต่ละอย่างล้วนมีส่วนเพิ่มเล็กน้อย

ความไม่รู้

มีเรื่องนี้มากเพียงใดที่ไม่มีใครยืนยัน? ช่องที่ให้คะแนนจุดบอดของเราเอง โดยขับเคลื่อนจากปริมาณข้อมูลในบันทึกที่ไม่ทราบ เป็นเหตุผลที่ผู้ให้บริการซึ่งไม่ได้รับการตรวจสอบจึงอยู่ต่ำกว่าผู้ให้บริการที่มีการค้นคว้า ไม่ใช่อยู่เคียงข้างกัน

พฤติกรรมที่แสดงออกช่วยให้ได้รับการผ่อนปรน: warrant canary ที่ดูแลให้เป็นปัจจุบัน รายงานความโปร่งใสฉบับล่าสุดพร้อมตัวเลข การเปิดเผยเหตุการณ์อย่างทันท่วงที หรือการถอนการดำเนินงานจริงออกจากประเทศที่กำหนดข้อบังคับให้มีการเก็บข้อมูล ไม่มีข้อใดเป็นคำกล่าวอ้างเรื่องการเก็บข้อมูล — แต่ละข้อเป็นพฤติกรรมที่คงเป็นเรื่องกระอักกระอ่วนหากจะแสร้งทำ

สถาปัตยกรรม

ใครเป็นผู้ดำเนินการทางออก? โดยปกติไม่ต้องเสียค่าใช้จ่าย และบางครั้งก็เป็นตัวตัดสินบันทึกทั้งหมด: บริการที่กำหนดเส้นทางการรับส่งข้อมูลผ่านอุปกรณ์ของบุคคลที่สามที่ไม่เกี่ยวข้องกัน ย่อมมีความเสี่ยงในด้านนี้ ซึ่งไม่ว่านโยบายส่วนอื่นจะดีเพียงใดก็ไม่อาจชดเชยได้

สุขอนามัย

มีการเก็บข้อมูลที่ใช้ระบุตัวตนใดบ้างโดยไม่ได้ตั้งใจ และสามารถตรวจสอบไคลเอนต์ได้เลยหรือไม่? ฟิลด์เล็ก ๆ สิบรายการ — เซิร์ฟเวอร์ที่ใช้ RAM เท่านั้น การแชร์ IP การสมัครโดยไม่ใช้อีเมล การชำระเงินแบบไม่เปิดเผยตัวตน DNS ในอุโมงค์ SDK ของบุคคลที่สาม ความเป็นเจ้าของเซิร์ฟเวอร์ โอเพนซอร์ส บิลด์ที่สร้างซ้ำได้ และการทดสอบเจาะระบบ แต่ละรายการมีต้นทุนในการตรวจสอบต่ำ เมื่อนำมารวมกันจะมีเพดานคะแนน และเป็นภาพสะท้อนที่เชื่อถือได้ว่ามีใครใส่ใจเรื่องนี้หรือไม่

DNS ภายในอุโมงค์ C06_own_dns_in_tunnel

การค้นหาชื่อถูกแก้ไขโดยตัวแก้ไขชื่อของผู้ให้บริการเองภายในอุโมงค์หรือไม่ หากข้อมูลรั่วไหลไปยังตัวแก้ไขชื่อเริ่มต้นของเครือข่าย ผู้สังเกตการณ์จะทราบทุกเว็บไซต์ที่คุณเข้าชมโดยไม่เคยเห็นการรับส่งข้อมูลของคุณเลย

IP แบบใช้ร่วมกันและ IP แบบเฉพาะ C03_ip_sharing

ที่อยู่ทางออกแบบใช้ร่วมกันทำให้ผู้ใช้จำนวนมากอยู่หลัง IP เดียวกัน ซึ่งการรวมผู้ใช้ไว้เป็นกลุ่มก็เป็นเหตุผลส่วนหนึ่งที่ใช้ VPN ส่วน IP แบบเฉพาะมีเพียงคุณที่ใช้งานได้ — เหมาะกว่าสำหรับบริการที่บล็อกช่วง IP แบบใช้ร่วมกัน แต่แย่กว่าสำหรับจุดประสงค์ที่คุณใช้ VPN

การเก็บข้อมูลที่เชื่อมโยงได้ C01_linkable_retention

มีบันทึกใดอยู่บ้างที่อาจเชื่อมโยงข้อมูลการรับส่งกับบุคคลได้ — พิจารณาจากหลักฐานที่มีอยู่ ไม่ใช่จากสิ่งที่ผู้ให้บริการกล่าวเกี่ยวกับการบันทึกข้อมูลของตน มีคำตอบห้าประการ เรียงตามต้นทุนที่ต้องจ่าย: none_linkable, aggregates_only, session_metadata, source_ip, activity

การแยกอุโมงค์ U09_split_tunneling

การส่งแอปพลิเคชันบางรายการผ่านอุโมงค์ และส่งรายการอื่นอ้อมอุโมงค์ สะดวก และเป็นการตัดสินใจว่าจะให้สิ่งใดเปิดเผยอยู่ — จึงอยู่บนแกนการใช้งาน ไม่ใช่แกนความปลอดภัย

ขอบเขตการตรวจสอบ V04_scope_servers

การตรวจสอบครอบคลุมโครงข่ายเซิร์ฟเวอร์ทั้งหมดหรือเพียงตัวอย่างบางส่วน ความเห็นว่าไม่มีการเก็บบันทึกข้อมูลซึ่งอ้างอิงจากตัวอย่าง เป็นคำกล่าวถึงเซิร์ฟเวอร์ที่ผู้ตรวจสอบได้รับให้ตรวจดู แบบจำลองนำความแตกต่างนี้มาคิด แทนที่จะถือว่าทั้งสองกรณีเป็นการ “ตรวจสอบแล้ว”

ข้อบังคับการเก็บข้อมูล C09, C10, C11

ข้อกำหนดระดับประเทศที่บังคับให้ผู้ให้บริการ VPN เก็บบันทึกผู้ใช้ ประเทศบางแห่งในทำเนียบมีข้อบังคับนี้ โดยมีความสำคัญในสองส่วน ได้แก่ ประเทศที่บริษัทจดทะเบียน และประเทศที่กลุ่มเซิร์ฟเวอร์ของบริษัทตั้งอยู่ — เป็นคนละประเด็นและมีผลลัพธ์แตกต่างกัน

คิลสวิตช์ U08_kill_switch

บล็อกการรับส่งข้อมูลเมื่อทันเนลหลุด แทนที่จะปล่อยให้ข้อมูลออกไปผ่านการเชื่อมต่อปกติโดยไม่มีใครสังเกต การขัดข้องที่ฟีเจอร์นี้ป้องกันคือเหตุการณ์ที่ไม่มีใครสังเกตเห็นขณะกำลังเกิดขึ้น

เซิร์ฟเวอร์ที่ใช้ RAM เท่านั้น C02_ram_only

เซิร์ฟเวอร์ที่ทำงานจากหน่วยความจำชั่วคราวโดยไม่มีดิสก์ ดังนั้นการยึดเซิร์ฟเวอร์จึงไม่พบสิ่งใดที่ยังคงอยู่หลังตัดไฟ กล่าวอ้างได้ง่ายแต่ตรวจสอบได้ยาก จึงเป็นเหตุให้ฟิลด์นี้แยก yes_verified ออกจาก yes_declared

ตัวระบุอุปกรณ์ C12_device_identifier

ตัวระบุถาวรบนอุปกรณ์ของคุณที่ผู้ให้บริการเป็นผู้ถือไว้เอง โดยมีตั้งแต่ id ที่ผูกกับแอป ไปจนถึง id โฆษณาที่รีเซ็ตได้ และ id ฮาร์ดแวร์ถาวร ฟิลด์นี้อาจทำให้รายงานไม่เก็บบันทึกที่ชัดเจนหมดความสำคัญไป เพราะแม้จะไม่มีการบันทึกข้อมูลเกี่ยวกับทราฟฟิกของคุณไว้เลย แต่ก็ยังระบุตัวบุคคลได้อยู่ดี

แถลงการณ์ยืนยันว่าไม่มีคำสั่งลับ P07_warrant_canary

คำแถลงที่เผยแพร่ว่าไม่ได้รับคำสั่งลับใด ๆ โดยอัปเดตตามกำหนดเวลา เพื่อให้ การหายไป ของคำแถลงสื่อสารข้อความที่ผู้ดำเนินการถูกห้ามไม่ให้ส่ง มีประโยชน์ก็ต่อเมื่อมีการดูแลให้เป็นปัจจุบันเท่านั้น: stale และ removed จะบันทึกแยกกัน และการที่แถลงการณ์นี้หยุดอัปเดตไปอย่างเงียบ ๆ ไม่ใช่เหตุการณ์ที่เป็นกลาง

บิลด์ที่ทำซ้ำได้ V13_reproducible_builds

การที่ใครก็ตามสามารถสร้างแอปที่เผยแพร่ขึ้นใหม่จากซอร์สโค้ดที่เผยแพร่ และได้ไบนารีที่เหมือนกันทุกไบต์หรือไม่ โอเพนซอร์สบอกว่าโค้ดทำอะไร ส่วนบิลด์ที่ทำซ้ำได้บอกว่าโค้ดนั้นคือโค้ดที่กำลังใช้งานอยู่

ประเทศที่มีทางออก U02_server_countries

ประเทศที่ผู้ให้บริการระบุเป็นรายการว่ามีทางออกอยู่จริง — เป็นรายการ ไม่ใช่จำนวน หากผู้ให้บริการไม่เผยแพร่รายการใดเลย ฟิลด์นี้จะเป็นไม่ทราบ แทนที่จะเติมข้อมูลจากการตลาดของผู้ให้บริการ ดังนั้นจำนวนที่คุณเห็นที่นี่จึงเป็นความยาวของสิ่งที่คุณตรวจสอบได้ 27 จาก 77 รายไม่เผยแพร่รายการเลย ส่วน 41 รายที่เผยแพร่ครอบคลุม 180 ประเทศรวมกัน

โปรโตคอล U07_protocols

โปรโตคอลการทำอุโมงค์ทุกแบบที่ไคลเอนต์รองรับ แสดงเป็นรายการ ฟิลด์นี้เคยใช้เก็บโปรโตคอลเดียวที่เร็วที่สุด แต่ตั้งแต่ schema 3.4.0 เป็นต้นมา ฟิลด์นี้เก็บไว้ทั้งหมด ซึ่งทำให้เห็นโปรโตคอลที่อ่อนที่สุดได้ WireGuard มีขนาดเล็ก รวดเร็ว และทันสมัย ส่วน OpenVPN เก่ากว่า ช้ากว่า และยังมีให้ใช้งานอยู่เกือบทุกแห่ง ขณะที่ L2TP, PPTP และ SSTP เป็นโปรโตคอลรุ่นเก่า และการมีโปรโตคอลใดโปรโตคอลหนึ่งไว้ให้บริการคือสิ่งที่ C13_weakest_protocol ใช้เรียกและเป็นตัวกำหนดราคาขั้นต่ำตามโปรโตคอล ชื่อผู้จำหน่าย — NordLynx, Lightway, Hydra, Chameleon — เป็นการนำโปรโตคอลไปใช้งาน ไม่ใช่โปรโตคอลเอง NordLynx นับเป็น WireGuard ซึ่งตรงกับสิ่งที่เป็น

รายงานความโปร่งใส P05_transparency_report

การนับจำนวนคำขอที่ได้รับเป็นระยะ รวมถึงจำนวนคำขอที่ได้รับการตอบกลับพร้อมข้อมูล ให้คะแนนตามความเป็นปัจจุบันและการระบุตัวเลข — และตรวจสอบเทียบกับความเป็นไปได้ เนื่องจากการกล่าวอ้างว่าไม่มีคำขอเลยในระดับวงกว้างตลอดหลายปี เป็นคำกล่าวอ้างเกี่ยวกับโลกความเป็นจริง ไม่ใช่นโยบาย

โหนดทางออกแบบ P2P C00_architecture

สถาปัตยกรรมที่ทราฟฟิกออกผ่านอุปกรณ์ของผู้ใช้รายอื่นแทนที่จะเป็นเซิร์ฟเวอร์ของผู้ให้บริการ โดยทั่วไปเพื่อแลกกับการใช้งานระดับฟรี ไม่มีใครควบคุมทางออก ซึ่งเป็นทั้งแก่นของข้อเสนอนี้และต้นตอของปัญหาทั้งหมด — และนั่นหมายความว่าทราฟฟิกของผู้อื่นอาจออกผ่านอุปกรณ์ของคุณ