Jak ocenić darmowy VPN, nie ufając reklamie

Nic na stronie z cenami nie mówi, kto może oglądać Twój ruch. Odpowiedź tkwi w rejestrach własności, tabelach retencji i ustawieniach klienta, który naprawdę instalujesz, a ich poprawne odczytanie zajmuje popołudnie. Odznaka z napisem 'anonimowy' nie wskazuje żadnego obserwatora, więc nie ma czego sprawdzać. Pięć poniższych kroków zamienia reklamę w twierdzenia, które możesz sprawdzać po kolei.

Kto naprawdę obsługuje wyjście

Zacznij od podmiotu prawnego i kraju, którego sądy mogą go zmusić. Strona kontaktowa oferująca wyłącznie formularz internetowy nie jest drogą kontaktu; chcesz adresu pocztowego albo numeru rejestracyjnego, który możesz sprawdzić. Wymienieni z nazwy wolontariusze i odsprzedawca za skrzynką pocztową to dwa możliwe rozwiązania, ale zawodzą inaczej, gdy pojawi się spór o płatność lub żądanie usunięcia. Zapisz, z którym z nich masz do czynienia, zanim cokolwiek zostanie zainstalowane.

Następnie sklasyfikuj wdrożenie, do którego dołączasz. Komercyjne wyjście promocyjne, węzeł ochotniczy z publicznego katalogu i brama pracodawcy, która nic Cię nie kosztuje, to trzy różne umowy, a strona decydująca o tym, kto może się połączyć, nie jest w każdej z nich ta sama.

Klasyfikacja przewiduje awarię, na którą trafisz: usługa finansowana z reklam może ograniczać przepustowość albo wstrzykiwać treści, węzeł ochotniczy może zniknąć z dnia na dzień, a brama służbowa może zgodnie z polityką rejestrować wszystko. Żaden z tych skutków nie pojawia się w liczbie serwerów. Decyzja, z jakim ryzykiem możesz żyć, jest właściwym krokiem wyboru.

Cztery kategorie danych, których warto żądać

Poproś o podział polityki na cztery części: aktywność przeglądania, metadane połączenia, dane konta i diagnostyka. Strona, która obiecuje brak logów bez tych podziałów, nie powiedziała Ci, co przechowuje. Metadane połączenia to część, którą zachowuje większość operatorów, bo skarga o nadużycie przychodzi z adresem i znacznikiem czasu. Operator, który przyznaje, że przechowuje je przez określony czas, jest łatwiejszy do oceny niż ten, który zaprzecza wszystkiemu. Przeczytaj okres retencji dla każdej kategorii i procedurę po żądaniu prawnym.

Twierdzenia audytowe wymagają takiego samego podejścia. Przeczytaj zakres, audytora i datę, a potem zapytaj, co obejmuje raport: przegląd aplikacji klienckiej mówi niewiele o tym, jak skonfigurowany jest serwer, a raport sprzed kilku lat opisuje usługę, która od tego czasu się zmieniła. Jeśli tych szczegółów brakuje, traktuj odznakę jak marketing.

Konserwacja widoczna z zewnątrz

Oprogramowanie, które przestało otrzymywać aktualizacje, jest problemem bezpieczeństwa niezależnie od tego, jaki protokół jest na nim wydrukowany. Szukaj kanału wydań z datowanymi wpisami i udokumentowanego sposobu zgłaszania podatności, bo jedno i drugie jest tanie do opublikowania i trudne do sfałszowania przez lata.

Etykieta protokołu opisuje jeden element ścieżki, a nie stronę na drugim końcu. WireGuard może być aktualny i mimo to kończyć się u operatora, który prowadzi szczegółowy dziennik połączeń, i to samo dotyczy OpenVPN czy czegokolwiek innego. Oceń kompilację klienta, którą każą Ci zainstalować, oraz ścieżkę aktualizacji za nią, a potem oceń operatora jako osobne pytanie. Etykieta mówi, jak bajty są pakowane, a nie kto je rozpakowuje.

Udowodnij trasę i wyłącznik awaryjny

Zainstaluj profil w kliencie, którego naprawdę będziesz używać, połącz go i zobacz, co maszyna sądzi o własnym ruchu. W Linuxie trzy polecenia odpowiadają na większość pytania:

curl -s https://ifconfig.me
ip route get 1.1.1.1
wg show

Pierwsze wypisuje adres, który widzi zdalna witryna, i to powinno być wybrane przez Ciebie wyjście; drugie pokazuje dev wg0 kiedy trasa domyślna zostaje przechwycona; trzecie raportuje uścisk dłoni mierzony w sekundach. Trasa, która nadal wskazuje na eth0, albo uścisk dłoni sprzed godzin, oznacza, że tunel nie przenosi tego, co zakładasz.

Powtórz wyszukiwanie adresu po opuszczeniu interfejsu poleceniem sudo wg-quick down wg0. Jeśli żądanie kończy się przekroczeniem czasu, ruch był blokowany, gdy tunelu nie było, i dokładnie to powinien robić wyłącznik awaryjny; jeśli zwraca adres Twojego domowego dostawcy, nic nie było chronione. Sprawdź też pokrycie tras klienta, bo tunel dzielony, który wyłącza istotne dla Ciebie cele, jest innym produktem niż reklamowany. Obie odpowiedzi należą do Twoich notatek, obok danych wyjściowych, które je dały.

Sekrety, luki i decyzja w jednym zdaniu

Plik profilu lub dane logowania do konta to klucz do pozycji w sieci, więc traktuj je jak każdy inny sekret. Nie wklejaj ich na forum pomocy, nie używaj ponownie hasła gdzie indziej i unieważnij je, gdy przestaniesz korzystać z usługi. Jeśli dokumentacja nigdy nie wyjaśnia, kto finansuje usługę albo jak długo przechowywane są zapisy, zapisz to jako otwarte pytanie. Niewyjaśniona luka jest faktem o operatorze, a nie powodem do wymyślania życzliwego wyjaśnienia.

Przewodnik EFF po wyborze VPN zadaje te same pytania ze strony użytkownika i jest lepszym punktem wyjścia niż tabela porównawcza. Gdy kroki są gotowe, spróbuj ująć swój wybór w jednym zdaniu: kto to prowadzi, co zachowują i co sprawdziłeś. Jeśli to zdanie wymaga twierdzenia, którego nie mogłeś zweryfikować, decyzja nie jest gotowa. Darmowe narzędzie nie usuwa problemu prywatności; w najlepszym razie przekazuje problem operatorowi, którego wybrałeś z otwartymi oczami. Zachowaj notatki, bo polityka może się zmienić znacznie wcześniej, niż to zauważysz.