Co naprawdę wysyła ustawienie analityki w aplikacji VPN?

Twój tunel jest szyfrowany, strona prywatności mówi o braku dzienników, a aplikacja nadal zawiera bibliotekę diagnostyczną, która raportuje, jakie ekrany otwierasz. To różne przepływy danych z różnymi zasadami. Dziennik połączenia zapisuje, dokąd poszedł tunel; zdarzenie analityki zapisuje, jak korzystałeś z aplikacji. Przeczytanie jednego i założenie, że obejmuje drugie, to dokładnie ten błąd, do którego zachęca ustawienie.

Czym przełącznik zwykle steruje

Większość klientów oddziela opcjonalne raportowanie od przetwarzania, bez którego usługa nie może działać. Przełącznik zwykle reguluje raporty o awariach, zdarzenia użytkowania i pomiary wydajności, podczas gdy uwierzytelnianie, rozliczenia i zapobieganie nadużyciom trwają niezależnie od jego położenia.

Raporty o awariach zawierają ślad stosu, model urządzenia, wersję systemu operacyjnego i wersję aplikacji. Zdarzenia użytkowania nazywają ekrany i funkcje, czasem z czasem trwania. Zdarzenia wydajności rejestrują czasy połączenia, wybory protokołu i kody błędów. Diagnostyka pomocy technicznej to czwarta kategoria, zwykle uruchamiana ręcznie i mogąca zebrać dzienniki oraz konfigurację.

Nadawca nie zawsze jest marką na ikonie. SDK osadzony w aplikacji może wysyłać do własnego punktu końcowego, a usługa awarii może być osobną firmą. Dlatego lista odbiorców w powiadomieniu jest tak samo ważna jak etykieta przełącznika.

Pola, które czynią raport identyfikującym

Sama kategoria nie rozstrzyga kwestii prywatności; rozstrzyga ją identyfikator dołączony do zdarzenia. Raport, który wygląda nieszkodliwie, może stać się historią, gdy ten sam identyfikator instalacji pojawia się w każdym wierszu.

Powiązanie z kontem to najsilniejszy klucz łączenia, ponieważ zamienia historię urządzenia w historię osoby. Adres IP jest danymi osobowymi w wielu jurysdykcjach, nawet gdy raport nie zawiera nazwiska, a stabilny identyfikator może przetrwać reinstalację na niektórych platformach.

Agregacja nie jest anonimizacją, gdy surowy identyfikator pozostaje po stronie nadawcy. Jeśli powiadomienie twierdzi, że statystyki są anonimowe, poszukaj metody: co jest odrzucane, na jakim etapie i czy odbiorca może ponownie połączyć zdarzenia.

Kto otrzymuje raport

Śledź odbiorców, a nie markę. Twórca aplikacji może obsługiwać punkt końcowy lub licencjonować markę innemu operatorowi; dostawca analityki i usługa awarii to dodatkowe strony. Powiadomienie o prywatności powinno wymieniać te role i kategorie, które otrzymuje każda z nich. Powiadomienie o prywatności subskrypcji Mozilli oddziela dane konta od kategorii technicznych i diagnostycznych, i właśnie takiego podziału warto szukać.

Przechowywanie jest ustalane na każdym etapie. Twórca może trzymać zdarzenia krótko, podczas gdy dostawca analityki trzyma je dłużej zgodnie z własną polityką, a pakiet pomocy wysłany e-mailem może przetrwać oba. Pytaj, która strona ma dane, nie tylko która je zebrała.

Przekazywanie transgraniczne należy do tej samej analizy. Diagnostyczny punkt końcowy w innym regionie tworzy przekazanie, na które szyfrowanie tunelu nie ma wpływu, ponieważ raport nigdy nie podróżował przez tunel.

Co robi, a czego nie robi wyłączenie

Wyłączenie przełącznika zatrzymuje przyszłe opcjonalne raporty. Nie wycofuje już wysłanych raportów i nie usuwa ich u odbiorcy. Usunięcie to osobne żądanie w procesie danych dostawcy, i może wymagać identyfikatora konta zamiast ustawienia urządzenia.

Przetwarzanie niezbędne również trwa. Logowanie, odnowienie subskrypcji, kontrole oszustw i stan usługi mogą być rejestrowane na innej podstawie, a system operacyjny ma własne funkcje awarii i analityki, którymi przełącznik aplikacji nigdy nie sterował. Sprawdź ustawienie na poziomie systemu operacyjnego, jeśli celem jest zatrzymanie diagnostyki urządzenia.

Do rozwiązywania problemów używaj ustawienia świadomie: włącz diagnostykę, odtwórz usterkę, zbierz pakiet, następnie wyłącz raportowanie i usuń pakiet, gdy zgłoszenie zostanie zamknięte. Ręcznie dołączone pliki zasługują na taki sam przegląd jak automatyczne, ponieważ plik dziennika może zawierać więcej, niż kiedykolwiek zawierało zdarzenie analityki.

Porównaj powiadomienie z tym, co opuszcza urządzenie

Możesz zobaczyć miejsca docelowe bez odszyfrowywania treści. W systemach macOS i Linux listy połączeń pokazują, z jakimi zdalnymi adresami rozmawia klient:

sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclient

TLS ukrywa ładunek, więc wynik dowodzi miejsca docelowego i przybliżonego czasu, a nie pól w środku. To jednak wystarcza, by sprawdzić twierdzenie: jeśli powiadomienie wymienia jednego odbiorcę analityki, a aplikacja kontaktuje się także z niewymienioną domeną, zapytaj o to, zanim przyjmiesz politykę taką, jaka jest.

Zapisz kategorie, które akceptujesz, powiązane z nimi identyfikatory i odbiorców, którzy je mają. Ta krótka notatka jest przydatniejsza niż notatka w pamięci, gdy aplikacja aktualizuje swoje SDK lub dostawca zmienia właściciela.