Hvad sender en VPN-apps analyseindstilling egentlig?
Analyseknappen dækker en anden dataflow end tunnelen. Læs kategorierne, identifikatorerne og modtagerne, før privatlivssiden når dertil.
Din tunnel er krypteret, privatlivssiden taler om ingen logfiler, og appen leverer stadig et diagnostikbibliotek, der rapporterer, hvilke skærme du åbner. Det er forskellige dataflows med forskellige politikker. En forbindelseslog registrerer, hvor tunnelen gik hen; en analyseevent registrerer, hvordan du brugte appen. At læse den ene og antage, at den dækker den anden, er netop den fejl, indstillingen inviterer til.
Hvad knappen normalt styrer
De fleste klienter adskiller valgfri rapportering fra den behandling, en tjeneste ikke kan fungere uden. Knappen styrer typisk crashrapporter, brugshændelser og ydelsesmålinger, mens godkendelse, fakturering og misbrugsforebyggelse fortsætter uanset dens position.
Crashrapporter indeholder et stakspor, enhedsmodel, OS-version og appversion. Brugshændelser navngiver skærme og funktioner, nogle gange med varigheder. Ydelseshændelser registrerer forbindelsestider, protokolvalg og fejlkoder. Supportdiagnostik er en fjerde kategori, normalt startet manuelt og i stand til at samle logfiler og konfiguration.
Afsenderen er ikke altid mærket på ikonet. Et SDK indbygget i appen kan sende til sit eget endepunkt, og en crashservice kan være en separat virksomhed. Derfor er modtagerlisten i meddelelsen lige så vigtig som knappens etiket.
Felterne, der gør en rapport identificerende
Kategorien alene afgør ikke privatlivsspørgsmålet; identifikatoren knyttet til hændelsen gør. En rapport, der virker harmløs, kan blive en historik, når det samme installations-ID optræder i hver række.
| Report type | Typical fields | Why it can identify |
|---|---|---|
| Crash | Stack trace, device model, OS, app version, install ID | The install ID links crashes over months |
| Usage | Screen names, feature events, session length | Builds a behavior profile even without content |
| Performance | Connect duration, protocol, error code | Network conditions can fingerprint a connection |
| Support bundle | Logs, configuration, sometimes addresses | May contain endpoints and timestamps you did not intend to share |
En kontotilknytning er den stærkeste samlingsnøgle, fordi den gør en enhedshistorik til en personhistorik. En IP-adresse er personoplysninger i mange jurisdiktioner, selv når rapporten ikke indeholder et navn, og en stabil identifikator kan overleve geninstallationer på nogle platforme.
Aggregering er ikke anonymisering, når den rå identifikator bliver hos afsenderen. Hvis en meddelelse hævder anonym statistik, så find metoden: hvad der kastes væk, på hvilket trin, og om modtageren kan knytte hændelser sammen igen.
Hvem modtager rapporten
Følg modtagerne frem for mærket. Appudvikleren kan drive endepunktet eller licensere mærket til en anden operatør; analyseleverandøren og crashservicen er yderligere parter. Privatlivsmeddelelsen bør navngive disse roller og de kategorier, hver af dem modtager. Mozillas privatlivsmeddelelse for abonnementer adskiller kontooplysninger fra tekniske og diagnostiske kategorier, og det er den slags opdeling, man skal lede efter.
Opbevaring fastsættes ved hvert led. En udvikler kan holde hændelser i et kort vindue, mens analyseleverandøren holder dem længere under sin egen politik, og en supportpakke sendt via e-mail kan leve længere end begge. Spørg, hvilken part der har dataene, ikke kun hvilken part der indsamlede dem.
Grænseoverskridende overførsel hører til i samme gennemgang. Et diagnostisk endepunkt i en anden region skaber en overførsel, som tunnelens kryptering ikke påvirker, fordi rapporten aldrig rejste gennem tunnelen.
Hvad det gør, og hvad det ikke gør, at slå det fra
At slå knappen fra stopper fremtidige valgfri rapporter. Det tilbagekalder ikke allerede sendte rapporter og sletter dem ikke hos modtageren. Sletning er en særskilt anmodning under udbyderens dataproces, og den kan kræve kontoidentifikatoren i stedet for enhedsindstillingen.
Væsentlig behandling fortsætter også. Login, abonnementsfornyelse, svindelkontroller og tjenestens tilstand kan logges på et andet grundlag, og operativsystemet har sine egne crash- og analysefaciliteter, som appens knap aldrig styrede. Tjek OS-indstillingen, hvis målet er at stoppe enhedsdiagnostik.
Brug indstillingen bevidst til fejlfinding: aktivér diagnostik, genskab fejlen, indsaml pakken, og slå derefter rapportering fra og slet pakken, når sagen er lukket. Manuelle vedhæftede filer fortjener samme gennemgang som automatiske, fordi en logfil kan indeholde mere, end analyseeventen nogensinde gjorde.
Sammenlign meddelelsen med det, der forlader enheden
Du kan se destinationer uden at dekryptere indhold. På macOS og Linux viser forbindelseslister, hvilke fjernadresser klienten taler med:
sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclientTLS skjuler nyttelasten, så outputtet beviser en destination og en grov timing, ikke felterne indeni. Det er stadig nok til at kontrollere en påstand: hvis meddelelsen nævner én analysemodtager, og appen også kontakter et ikke-oplistet domæne, så spørg om det, før du accepterer politikken som den er.
Skriv kategorierne ned, som du accepterer, identifikatorerne knyttet til dem og modtagerne, der har dem. Den korte note er mere brugbar end en mental note, når appen opdaterer sit SDK, eller udbyderen skifter ejer.