Wat verstuurt de analyse-instelling van een VPN-app nu echt?
De analyseschakelaar dekt een andere datastroom dan de tunnel. Lees de categorieën, identificatoren en ontvangers voordat de privacypagina erop ingaat.
Je tunnel is versleuteld, de privacypagina spreekt over geen logboeken, en de app levert nog steeds een diagnostiekbibliotheek mee die meldt welke schermen je opent. Dat zijn verschillende datastromen met verschillende beleidsregels. Een verbindingslog legt vast waar de tunnel heen ging; een analysegebeurtenis legt vast hoe je de app gebruikte. Het ene lezen en aannemen dat het het andere dekt, is precies de fout waartoe de instelling uitnodigt.
Wat de schakelaar meestal regelt
De meeste clients scheiden optionele rapportage van de verwerking zonder welke een dienst niet kan werken. De schakelaar regelt meestal crashrapporten, gebruiksgebeurtenissen en prestatiemetingen, terwijl authenticatie, facturering en misbruikpreventie doorgaan ongeacht zijn positie.
Crashrapporten bevatten een stacktracering, apparaatmodel, besturingssysteemversie en appversie. Gebruiksgebeurtenissen noemen schermen en functies, soms met duur. Prestatiegebeurtenissen registreren verbindingstijden, protocolkeuzes en foutcodes. Ondersteuningsdiagnostiek is een vierde categorie, meestal handmatig geactiveerd en in staat om logboeken en configuratie te bundelen.
De afzender is niet altijd het merk op het pictogram. Een SDK die in de app is ingebouwd, kan naar zijn eigen eindpunt sturen, en een crashdienst kan een apart bedrijf zijn. Daarom is de ontvangerslijst in de kennisgeving net zo belangrijk als het label van de schakelaar.
De velden die een rapport identificerend maken
De categorie alleen beslist de privacyvraag niet; de identificator die aan de gebeurtenis hangt, doet dat. Een rapport dat onschuldig lijkt, kan een geschiedenis worden wanneer dezelfde installatie-ID in elke rij staat.
| Report type | Typical fields | Why it can identify |
|---|---|---|
| Crash | Stack trace, device model, OS, app version, install ID | The install ID links crashes over months |
| Usage | Screen names, feature events, session length | Builds a behavior profile even without content |
| Performance | Connect duration, protocol, error code | Network conditions can fingerprint a connection |
| Support bundle | Logs, configuration, sometimes addresses | May contain endpoints and timestamps you did not intend to share |
Koppeling aan een account is de sterkste verbindingssleutel, omdat die een apparaatgeschiedenis in een persoonsgeschiedenis verandert. Een IP-adres is in veel rechtsgebieden een persoonsgegeven, zelfs wanneer het rapport geen naam bevat, en een stabiele identificator kan op sommige platforms herinstallaties overleven.
Aggregatie is geen anonimisering wanneer de ruwe identificator bij de afzender blijft. Als een kennisgeving anonieme statistieken claimt, zoek dan de methode: wat wordt weggegooid, in welke fase, en of de ontvanger gebeurtenissen opnieuw kan koppelen.
Wie het rapport ontvangt
Volg de ontvangers in plaats van het merk. De app-ontwikkelaar kan het eindpunt beheren of het merk aan een andere operator licenseren; de analyseleverancier en de crashdienst zijn extra partijen. De privacyverklaring zou deze rollen moeten noemen en de categorieën die elk ontvangt. Mozilla's privacyverklaring voor abonnementen scheidt accountgegevens van technische en diagnostische categorieën, en dat is het soort splitsing dat je moet zoeken.
Bewaring wordt bij elke stap vastgesteld. Een ontwikkelaar kan gebeurtenissen kort bewaren terwijl de analyseleverancier ze langer bewaart volgens zijn eigen beleid, en een ondersteuningsbundel die per e-mail is verzonden, kan beide overleven. Vraag welke partij de gegevens heeft, niet alleen welke ze heeft verzameld.
Grensoverschrijdende overdracht hoort bij dezelfde beoordeling. Een diagnostisch eindpunt in een andere regio creëert een overdracht waarop de versleuteling van de tunnel geen invloed heeft, omdat het rapport nooit door de tunnel reisde.
Wat uitschakelen doet en niet doet
De schakelaar uitzetten stopt toekomstige optionele rapporten. Het roept al verzonden rapporten niet terug en verwijdert ze niet bij de ontvanger. Verwijdering is een afzonderlijk verzoek binnen het dataproces van de provider, en daarvoor kan de accountidentificator nodig zijn in plaats van de apparaatinstelling.
Essentiële verwerking gaat ook door. Inloggen, abonnementsvernieuwing, fraudercontroles en dienstgezondheid kunnen op een andere grondslag worden gelogd, en het besturingssysteem heeft zijn eigen crash- en analysevoorzieningen die de app-schakelaar nooit bestuurde. Controleer de instelling op besturingssysteemniveau als het doel is apparaatdiagnostiek te stoppen.
Gebruik de instelling bewust voor probleemoplossing: schakel diagnostiek in, reproduceer de fout, verzamel de bundel, schakel daarna rapportage uit en verwijder de bundel zodra het ticket is gesloten. Handmatige bijlagen verdienen dezelfde beoordeling als automatische, omdat een logbestand meer kan bevatten dan de analysegebeurtenis ooit bevatte.
Vergelijk de kennisgeving met wat het apparaat verlaat
Je kunt bestemmingen zien zonder inhoud te ontsleutelen. Op macOS en Linux tonen verbindingslijsten met welke externe adressen de client praat:
sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclientTLS verbergt de payload, dus de uitvoer bewijst een bestemming en een ruwe timing, niet de velden erin. Dat is toch genoeg om een bewering te controleren: als de kennisgeving één analyseontvanger noemt en de app ook een niet-vermelde domein benadert, vraag ernaar voordat je het beleid voor waar aanneemt.
Noteer de categorieën die je accepteert, de identificatoren die eraan hangen en de ontvangers die ze hebben. Die korte notitie is nuttiger dan een mentale notitie wanneer de app zijn SDK bijwerkt of de provider van eigenaar verandert.