Slik vurderer du en gratis VPN uten å stole på annonsen

Ingenting på en prisside forteller deg hvem som kan se trafikken din. Svaret ligger i eierregistre, oppbevaringstabeller og innstillingene til klienten du faktisk installerer, og å lese dem ordentlig tar en ettermiddag. Et merke der det står 'anonym' navngir ingen observatør, så det er ingenting å kontrollere. De fem gjennomgangene nedenfor gjør annonsen om til påstander du kan teste én om gangen.

Hvem som faktisk driver utgangen

Begynn med den juridiske enheten og landet hvis domstoler kan tvinge den. En kontaktside som bare tilbyr et skjema på nettet, er ikke en kontaktvei; du vil ha en postadresse eller et registreringsnummer du kan slå opp. Navngitte frivillige og en forhandler bak en postboks er begge mulige ordninger, men de svikter ulikt når en betalingstvist eller en forespørsel om fjerning kommer. Skriv ned hvilken av dem du har med å gjøre før noe installeres.

Klassifiser deretter utrullingen du slutter deg til. En kommersiell kampanjeutgang, en frivillig node fra en offentlig katalog og en arbeidsgiverport som ikke koster deg noe, er tre forskjellige avtaler, og parten som avgjør hvem som får koble til, er ikke den samme i hver av dem.

Klassifiseringen forutsier feilen du vil møte: en annonsefinansiert tjeneste kan strupe eller injisere, en frivillig node kan forsvinne over natten, og en arbeidsport kan logge alt etter policy. Ingen av disse utfallene vises i et serverantall. Å avgjøre hvilken risiko du kan leve med, er det egentlige valgtrinnet.

Fire datakategorier det er verdt å kreve

Be om at policyen deles i fire: nettleseraktivitet, tilkoblingsmetadata, kontoopplysninger og diagnostikk. En side som lover ingen logger uten disse inndelingene, har ikke fortalt deg hva den lagrer. Tilkoblingsmetadata er den delen de fleste operatører beholder, fordi en misbruksklage kommer med adresse og tidsstempel vedlagt. En operatør som innrømmer å beholde dem i en oppgitt periode, er lettere å vurdere enn en som benekter alt. Les oppbevaringsvinduet for hver kategori og prosessen som følger en juridisk forespørsel.

Revisjonspåstander trenger samme behandling. Les omfanget, revisoren og datoen, og spør deretter hva rapporten dekker: en gjennomgang av en klientapplikasjon sier lite om hvordan en server er konfigurert, og en rapport fra flere år tilbake beskriver en tjeneste som har endret seg siden. Hvis disse detaljene mangler, behandle merket som markedsføring.

Vedlikehold du kan se utenfra

Programvare som har sluttet å motta oppdateringer, er et sikkerhetsproblem uansett hvilken protokoll som er trykt på den. Se etter en utgivelseskanal med daterte oppføringer og en dokumentert måte å rapportere en sårbarhet på, for begge er billige å publisere og vanskelige å forfalske i årevis.

En protokolletikett beskriver én komponent av veien, ikke parten i den andre enden. WireGuard kan være oppdatert og likevel ende hos en operatør som fører en detaljert tilkoblingslogg, og det samme gjelder OpenVPN eller hva som helst annet. Vurder klientbyggingen du blir bedt om å installere, og oppdateringsveien bak den, og vurder deretter operatøren som et eget spørsmål. Etiketten forteller hvordan bytes pakkes inn, ikke hvem som pakker dem ut.

Bevis ruten og nødstopperen

Installer profilen i klienten du faktisk kommer til å bruke, koble den til, og se hva maskinen tror om sin egen trafikk. På Linux svarer tre kommandoer på det meste av spørsmålet:

curl -s https://ifconfig.me
ip route get 1.1.1.1
wg show

Den første skriver ut adressen et eksternt nettsted ser, som skal være utgangen du valgte; den andre viser dev wg0 når standardruten er fanget opp; den tredje rapporterer et håndtrykk målt i sekunder. En rute som fortsatt peker på eth0, eller et håndtrykk som er timer gammelt, betyr at tunnelen ikke frakter det du antar.

Gjenta adresseoppslaget etter at du har tatt grensesnittet ned med sudo wg-quick down wg0. Hvis forespørselen går ut på tid, ble trafikken blokkert mens tunnelen manglet, og det er nettopp det en nødstopper skal gjøre; hvis den returnerer hjemme-ISP-adressen din, var ingenting beskyttet. Sjekk også rutedekningen til klienten, for en delt tunnel som utelukker destinasjonene du bryr deg om, er et annet produkt enn det annonserte. Begge svarene hører hjemme i notatene dine, ved siden av utdataene som ga dem.

Hemmeligheter, hull og en beslutning i én setning

En profilfil eller en kontopålogging er en nøkkel til en nettverksposisjon, så behandle den som enhver annen hemmelighet. Ikke lim den inn i et støtteforum, ikke bruk passordet på nytt andre steder, og tilbakekall den når du slutter å bruke tjenesten. Hvis dokumentasjonen aldri forklarer hvem som finansierer tjenesten eller hvor lenge opplysninger oppbevares, skriv det ned som et åpent spørsmål. Et uforklart hull er et faktum om operatøren, ikke en grunn til å finne opp en sjenerøs forklaring.

EFFs veiledning for å velge en VPN stiller de samme spørsmålene fra brukerens side og er et bedre utgangspunkt enn en sammenligningstabell. Når gjennomgangene er ferdige, prøv å formulere valget ditt i én setning: hvem som driver det, hva de beholder og hva du testet. Hvis den setningen trenger en påstand du ikke kunne bekrefte, er beslutningen ikke ferdig. Et gratis verktøy sletter ikke et personvernproblem; i beste fall gir det problemet videre til en operatør du valgte med åpne øyne. Ta vare på notatene, for en policy kan endre seg lenge før du merker det.