Các thuật ngữ dùng trong một hồ sơ

Điểm bảo mật

Từ 0 đến 100, và là yếu tố duy nhất mà bảng xếp hạng dựa vào. Điểm số này được xây dựng từ tám kênh rủi ro, mỗi kênh là xác suất tuyến kết nối cụ thể này nhận diện người dùng, kết hợp theo 100 × ∏(1 − risk). Rủi ro lớn ở bất kỳ kênh nào cũng tự kéo điểm số của toàn bộ sản phẩm xuống; các rủi ro nhỏ cộng dồn một cách nhẹ nhàng thay vì bị làm tròn mất.

Điểm tiện dụng

Từ 0 đến 100, được tính từ mười hai trường có trọng số — trong đó có độ phủ, giá, gói miễn phí, khả năng vượt kiểm duyệt, giao thức, công tắc ngắt kết nối, thiết bị, streaming và P2P. Đây là giá trị trung bình có trọng số của các trường có giá trị, vì vậy nhà cung cấp không bị trừ điểm cho một trường mà chưa ai điền cho bất kỳ nhà cung cấp nào. Điểm này không bao giờ được tính trung bình với điểm bảo mật và cũng không bao giờ đưa nhà cung cấp vượt lên trên một nhà cung cấp có điểm số tốt hơn; tác dụng duy nhất của nó là quyết định hồ sơ nào trong hai hồ sơ có cùng điểm bảo mật được liệt kê trước.

Kênh breakdown.channels

Một con đường mà qua đó người dùng có thể bị nhận diện, mang xác suất từ 0 đến 1. Mỗi hồ sơ nhà cung cấp đều hiển thị cả tám kênh cùng với các trường tạo nên chúng, nhờ đó phép tính có thể được kiểm tra thay vì chỉ được tự khẳng định.

Kết luận và năm dải verdict

Một thuật ngữ được đọc trực tiếp từ điểm số bảo mật dạng số nguyên, để nhà cung cấp không thể mang một nhãn trái với con số của mình: mạnh từ 75 trở lên, chấp nhận được 55–74, yếu 35–54, không đủ 15–34, không khuyến nghị dưới 15.

Không có dữ liệu usability.state

Một nhận định về nghiên cứu chứ không phải về nhà cung cấp, trên một trong hai trục. Kết luận no_data về bảo mật có nghĩa là dữ liệu đã công bố quá ít để xếp hồ sơ vào một vị trí: 0 trong số 77 thuộc trường hợp này, không danh sách nào xếp hạng họ và mỗi hồ sơ vẫn được giữ lại. Khi usability.state là no_data, điểm tiện dụng là một mức sàn chứ không phải một vị trí xếp hạng — dữ liệu đã công bố quá ít để xác định nhà cung cấp thực sự đang ở đâu. 10 trong số 77 ở vị trí đó. Họ vẫn nằm trong sổ đăng ký và mọi bộ lọc, được đánh dấu thay vì bị ẩn đi.

Loại dịch vụ service_class

Loại hình của đối tượng này, được hiển thị cùng mọi điểm số vì hai thứ không có ý nghĩa khi tách rời: commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 trong số 77 là VPN thương mại, và decentralized hiện đang để trống.

Mức trần và mức sàn

Không kênh nào có thể vượt quá 0.9: không thể xác lập độ chắc chắn từ việc rà soát tài liệu, và một mô hình đạt 1.0 sẽ tự khẳng định điều đó. Ở chiều ngược lại, một phát hiện đơn lẻ có thể ấn định giới hạn dưới của một kênh — mã nhận dạng phần cứng lâu dài do nhà cung cấp lưu giữ sẽ đặt mức sàn cho việc lưu giữ dữ liệu mà không cuộc kiểm toán nào có thể nâng lên.

Khu vực pháp lý

Có thể buộc cung cấp những gì đang tồn tại mà nhà cung cấp không có quyền lên tiếng không? Hãy xem xét nơi công ty đăng ký và nơi chủ sở hữu hưởng lợi cư trú — một nghĩa vụ pháp lý áp lên chủ sở hữu có trọng lượng thấp hơn nghĩa vụ áp lên công ty, nhưng vẫn có tác động.

Kiến trúc

Ai vận hành điểm thoát? Thường không tốn chi phí gì, và đôi khi quyết định toàn bộ hồ sơ: một dịch vụ định tuyến lưu lượng qua thiết bị của các bên thứ ba không liên quan phải đối mặt với rủi ro ở đây mà không chính sách tốt đến đâu ở nơi khác cũng có thể bù đắp được.

Lưu giữ dữ liệu

Có tồn tại hồ sơ liên kết lưu lượng truy cập với một cá nhân hay không, và ai đã kiểm tra? Đây là kênh có trọng số lớn nhất trong mô hình. Kênh này đọc trường lưu giữ dữ liệu, mã định danh thiết bị và mọi thông tin về cuộc kiểm toán có thể xác nhận hoặc bác bỏ điều đó — loại kiểm toán viên, tiêu chuẩn đảm bảo, cách báo cáo được công bố, và phạm vi kiểm toán bao phủ toàn bộ hệ thống hay chỉ một mẫu.

Sự im lặng

Mười năm, hàng triệu người dùng, nhưng không có gì trong hồ sơ? Một nhà cung cấp có mức độ phơi nhiễm thực tế — số năm hoạt động × quy mô người dùng × các khu vực pháp lý bất lợi — nhưng không có vụ thu giữ, hồ sơ tòa án hay báo cáo minh bạch nào thì không vì thế mà được chứng minh là không có vấn đề. Mức độ phơi nhiễm thấp không bị trừ điểm ở đây; mức độ phơi nhiễm cao nhưng hồ sơ trống sẽ bị trừ một ít.

Thiếu hiểu biết

Bao nhiêu điều trong số này chưa ai xác lập? Đây là kênh tính đến những điểm mù của chính chúng ta, dựa trên mức độ hồ sơ còn thiếu. Đó là lý do một nhà cung cấp chưa được kiểm chứng bị xếp hạng thấp hơn một nhà cung cấp đã được nghiên cứu, thay vì được xếp ngang hàng với họ.

Cách hành xử giúp giảm nhẹ: một warrant canary được duy trì, một báo cáo minh bạch mới với các số liệu, một sự cố được công bố kịp thời, hoặc việc rút hoạt động thực tế khỏi một quốc gia đã áp đặt nghĩa vụ lưu giữ dữ liệu. Không điều nào trong số đó là một tuyên bố về việc lưu giữ dữ liệu — mỗi điều là một hành vi khó giả mạo mà không bị phát hiện.

Tiết lộ

Nhà cung cấp đã từng giao nộp dữ liệu chưa? Đây là kênh duy nhất hoàn toàn dựa trên các sự kiện thay vì chính sách: những vụ thu giữ trong đó dữ liệu đã được thu thập, hồ sơ tòa án về việc buộc phải cung cấp dữ liệu, và lịch sử tiết lộ. Nội dung bị tiết lộ gần như là yếu tố loại trừ; chỉ riêng dữ liệu tài khoản có mức quy đổi thấp hơn nhiều.

Tính liêm chính

Nhà cung cấp này có từng bị phát hiện nói một đằng, làm một nẻo không? Những lời nói dối đã được ghi nhận, khoảng trống giữa hoạt động tiếp thị và kết quả kiểm toán, sự thiếu minh bạch về quyền sở hữu, hồ sơ hoạt động của nhóm sở hữu và cách gói miễn phí được tài trợ. Những dấu hiệu nhỏ trong hoạt động tiếp thị — các tuyên bố tự khẳng định về tính ẩn danh tuyệt đối, việc thúc đẩy gói thuê bao trọn đời, phạm vi phủ sóng chỉ tồn tại trên các trang liên kết — mỗi điều đều góp thêm một chút.

Vệ sinh

Những dữ liệu nhận dạng nào được thu thập trong quá trình sử dụng, và liệu có thể kiểm tra ứng dụng khách hay không? Mười trường nhỏ — máy chủ chỉ dùng RAM, chia sẻ IP, đăng ký không cần email, thanh toán ẩn danh, DNS trong đường hầm, SDK bên thứ ba, quyền sở hữu máy chủ, mã nguồn mở, bản dựng tái lập được, kiểm thử thâm nhập. Mỗi mục riêng lẻ có trọng số thấp, tổng đóng góp bị giới hạn, nhưng cùng cung cấp một dấu hiệu đáng tin cậy về việc liệu có ai thực sự chú ý hay không.

Bản dựng có thể tái lập V13_reproducible_builds

Khả năng bất kỳ ai cũng có thể dựng lại ứng dụng đã công bố từ mã nguồn đã công bố và tạo ra tệp nhị phân giống hệt nhau đến từng byte. Mã nguồn mở cho biết mã thực hiện điều gì; bản dựng có thể tái lập cho biết mã đó chính là mã bạn đang chạy.

Báo cáo minh bạch P05_transparency_report

Bản thống kê định kỳ về các yêu cầu đã nhận và số yêu cầu được trả lời kèm dữ liệu. Được tính điểm dựa trên tính cập nhật và việc có nêu số liệu hay không — đồng thời được đối chiếu về tính hợp lý, vì việc không có yêu cầu nào ở quy mô lớn trong nhiều năm là một tuyên bố về thực tế, không phải về chính sách.

Các điểm thoát P2P C00_architecture

Kiến trúc trong đó lưu lượng đi ra thông qua thiết bị của người dùng khác thay vì máy chủ của nhà vận hành, thường để đổi lấy một gói miễn phí. Không ai vận hành điểm thoát này; đó vừa là bản chất của mô hình vừa là vấn đề cốt lõi — và điều đó có nghĩa là lưu lượng của người khác có thể đi ra thông qua bạn.

Các quốc gia có máy chủ U02_server_countries

Các quốc gia mà nhà cung cấp thực sự liệt kê là có điểm thoát — tức danh sách, không phải một con số. Khi nhà cung cấp không công bố danh sách, trường này được xem là chưa xác định thay vì lấy thông tin từ nội dung tiếp thị của họ, vì vậy mọi con số bạn thấy ở đây đều là số lượng của một thứ có thể kiểm chứng. 27 trong số 77 nhà cung cấp hoàn toàn không công bố danh sách; 41 nhà cung cấp còn lại bao quát tổng cộng 180 quốc gia.

Công tắc ngắt kết nối U08_kill_switch

Chặn lưu lượng khi đường hầm bị ngắt thay vì âm thầm để lưu lượng đi qua kết nối thông thường. Nó ngăn sự cố mà không ai nhận ra trong lúc sự cố đang xảy ra.

DNS trong đường hầm C06_own_dns_in_tunnel

Liệu các truy vấn phân giải tên có được các bộ phân giải riêng của nhà cung cấp xử lý bên trong đường hầm hay không. Nếu chúng bị rò rỉ tới bộ phân giải mặc định của mạng, một bên quan sát có thể biết mọi trang web bạn truy cập mà không cần nhìn thấy lưu lượng của bạn.

Giao thức U07_protocols

Danh sách mọi giao thức tạo đường hầm mà ứng dụng khách sử dụng. Trường này từng chỉ chứa giao thức nhanh nhất; từ schema 3.4.0, trường chứa tất cả các giao thức, nhờ đó giao thức yếu nhất được hiển thị. WireGuard nhỏ gọn, nhanh và hiện đại; OpenVPN cũ hơn, chậm hơn nhưng vẫn được cung cấp gần như ở mọi nơi; L2TP, PPTP và SSTP là các giao thức cũ, và việc cung cấp một trong số đó chính là điều C13_weakest_protocol ghi nhận cũng như điều đặt mức giá sàn cho giao thức. Tên của nhà cung cấp — NordLynx, Lightway, Hydra, Chameleon — là các bản triển khai thay vì giao thức; NordLynx được tính là WireGuard, vì đó chính là bản chất của nó.

IP dùng chung và IP chuyên dụng C03_ip_sharing

Một địa chỉ điểm thoát dùng chung đưa nhiều người dùng ra ngoài qua cùng một IP, đúng với một phần mục đích của VPN. IP chuyên dụng chỉ dành riêng cho bạn — phù hợp hơn với các dịch vụ chặn những dải IP dùng chung, nhưng lại bất lợi cho mục đích bạn dùng VPN ngay từ đầu.

Lưu giữ dữ liệu có thể liên kết C01_linkable_retention

Hồ sơ nào tồn tại có thể liên kết lưu lượng với một người — câu hỏi đặt ra cho bằng chứng hiện có, thay vì cho những gì nhà cung cấp nói về việc ghi nhật ký của mình. Năm câu trả lời, theo thứ tự chi phí tăng dần: none_linkable, aggregates_only, session_metadata, source_ip, activity.

Mã nhận dạng thiết bị C12_device_identifier

Một mã định danh được lưu giữ lâu dài trên thiết bị của bạn mà chính nhà cung cấp nắm giữ, trải từ mã định danh chỉ dùng trong phạm vi ứng dụng, qua mã quảng cáo có thể đặt lại, đến mã định danh phần cứng được lưu giữ lâu dài. Đây là trường có thể khiến một báo cáo sạch về việc không lưu nhật ký trở nên không còn ý nghĩa: không có gì về lưu lượng của bạn được ghi lại, nhưng bạn vẫn có thể bị định danh.

Máy chủ chỉ dùng RAM C02_ram_only

Máy chủ chạy bằng bộ nhớ tạm thời, không có ổ đĩa, nên việc thu giữ không thu được gì còn tồn tại sau khi ngắt nguồn. Dễ tự công bố nhưng khó xác minh, vì vậy trường này phân biệt yes_verified với yes_declared.

Nghĩa vụ pháp lý về lưu giữ dữ liệu C09, C10, C11

Yêu cầu cấp quốc gia buộc các nhà vận hành VPN lưu giữ hồ sơ người dùng. Một số khu vực pháp lý trong hồ sơ áp đặt nghĩa vụ này. Điều đó có ý nghĩa ở hai khía cạnh: quốc gia nơi công ty đăng ký và các quốc gia có máy chủ trong mạng lưới của công ty — hai câu hỏi khác nhau với những hệ quả khác nhau.

Phạm vi kiểm toán V04_scope_servers

Một cuộc kiểm toán bao quát toàn bộ hệ thống máy chủ hay chỉ một mẫu trong đó. Kết luận không lưu giữ dữ liệu dựa trên một mẫu chỉ là tuyên bố về những máy chủ mà kiểm toán viên được cho xem. Mô hình tính đến sự khác biệt này thay vì coi cả hai trường hợp đều là “đã kiểm toán”.

Phân tách đường truyền U09_split_tunneling

Đưa một số ứng dụng đi qua đường hầm và các ứng dụng khác đi bên ngoài đường hầm. Thuận tiện, đồng thời là một quyết định về những gì vẫn bị lộ — đó là lý do tính năng này thuộc trục tiện dụng thay vì trục bảo mật.

Tín hiệu lệnh bí mật P07_warrant_canary

Một tuyên bố đã công bố rằng chưa nhận được lệnh bí mật nào, được cập nhật theo lịch để việc không xuất hiện của tuyên bố đó truyền đi thông điệp mà đơn vị vận hành bị cấm gửi. Chỉ hữu ích nếu được duy trì: stale và removed được ghi nhận riêng, còn một tín hiệu âm thầm ngừng cập nhật không phải là một sự kiện trung tính.