Что на самом деле отправляет настройка аналитики в приложении VPN?
Переключатель аналитики охватывает другой поток данных, чем туннель. Прочитайте категории, идентификаторы и получателей, прежде чем страница конфиденциальности расскажет об этом.
Ваш туннель зашифрован, страница конфиденциальности говорит об отсутствии журналов, а приложение всё равно поставляется с библиотекой диагностики, которая сообщает, какие экраны вы открываете. Это разные потоки данных с разными политиками. Журнал соединения фиксирует, куда ушёл туннель; событие аналитики фиксирует, как вы использовали приложение. Прочитать одно и предположить, что оно охватывает другое, — именно та ошибка, к которой приглашает настройка.
Чем переключатель обычно управляет
Большинство клиентов отделяют необязательную отчётность от обработки, без которой сервис не может работать. Переключатель обычно управляет отчётами о сбоях, событиями использования и измерениями производительности, а аутентификация, биллинг и предотвращение злоупотреблений продолжаются независимо от его положения.
Отчёты о сбоях содержат трассировку стека, модель устройства, версию операционной системы и версию приложения. События использования называют экраны и функции, иногда с длительностью. События производительности фиксируют время подключения, выбор протокола и коды ошибок. Диагностика поддержки — четвёртая категория, обычно запускается вручную и может объединить журналы и конфигурацию.
Отправитель не всегда бренд на иконке. SDK, встроенный в приложение, может отправлять на собственную конечную точку, а сервис отчётов о сбоях может быть отдельной компанией. Поэтому список получателей в уведомлении так же важен, как и подпись переключателя.
Поля, которые делают отчёт идентифицирующим
Одна категория не решает вопрос конфиденциальности; его решает идентификатор, привязанный к событию. Отчёт, который кажется безобидным, может стать историей, когда один и тот же идентификатор установки появляется в каждой строке.
| Report type | Typical fields | Why it can identify |
|---|---|---|
| Crash | Stack trace, device model, OS, app version, install ID | The install ID links crashes over months |
| Usage | Screen names, feature events, session length | Builds a behavior profile even without content |
| Performance | Connect duration, protocol, error code | Network conditions can fingerprint a connection |
| Support bundle | Logs, configuration, sometimes addresses | May contain endpoints and timestamps you did not intend to share |
Привязка к учётной записи — самый сильный ключ объединения, потому что превращает историю устройства в историю человека. IP-адрес является персональными данными во многих юрисдикциях даже тогда, когда в отчёте нет имени, а стабильный идентификатор на некоторых платформах переживает переустановку.
Агрегация не является анонимизацией, если необработанный идентификатор остаётся у отправителя. Если уведомление заявляет об анонимной статистике, ищите метод: что отбрасывается, на каком этапе и может ли получатель снова связать события.
Кто получает отчёт
Следите за получателями, а не за брендом. Разработчик приложения может управлять конечной точкой или лицензировать бренд другому оператору; поставщик аналитики и сервис отчётов о сбоях — дополнительные стороны. Уведомление о конфиденциальности должно называть эти роли и категории, которые получает каждая из них. Уведомление Mozilla о конфиденциальности подписок отделяет данные учётной записи от технических и диагностических категорий, и именно такого разделения стоит искать.
Срок хранения определяется на каждом этапе. Разработчик может хранить события недолго, тогда как поставщик аналитики хранит их дольше по своей политике, а пакет поддержки, отправленный по электронной почте, может пережить обоих. Спрашивайте, какая сторона хранит данные, а не только какая их собрала.
Трансграничная передача относится к тому же обзору. Диагностическая конечная точка в другом регионе создаёт передачу, на которую шифрование туннеля не влияет, потому что отчёт никогда не проходил через туннель.
Что делает и чего не делает отключение
Отключение переключателя останавливает будущие необязательные отчёты. Оно не отзывает уже отправленные отчёты и не удаляет их у получателя. Удаление — отдельный запрос в рамках процесса обработки данных поставщика, и для него может потребоваться идентификатор учётной записи, а не настройка устройства.
Основная обработка тоже продолжается. Вход, продление подписки, проверки на мошенничество и состояние сервиса могут журналироваться на другом основании, а у операционной системы есть собственные средства для сбоев и аналитики, которыми переключатель приложения никогда не управлял. Проверьте настройку на уровне операционной системы, если цель — остановить диагностику устройства.
Для устранения неполадок используйте настройку осознанно: включите диагностику, воспроизведите сбой, соберите пакет, затем отключите отчётность и удалите пакет, когда заявка закрыта. Прикреплённые вручную файлы заслуживают такого же обзора, как автоматические, потому что файл журнала может содержать больше, чем когда-либо содержало событие аналитики.
Сравните уведомление с тем, что покидает устройство
Вы можете видеть назначения, не расшифровывая содержимое. В macOS и Linux списки соединений показывают, с какими удалёнными адресами общается клиент:
sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclientTLS скрывает полезную нагрузку, поэтому вывод доказывает назначение и примерное время, а не поля внутри. Этого всё же достаточно, чтобы проверить утверждение: если уведомление называет одного получателя аналитики, а приложение также обращается к не указанному домену, спросите об этом, прежде чем принимать политику как есть.
Запишите категории, которые вы принимаете, привязанные к ним идентификаторы и получателей, которые их хранят. Эта короткая запись полезнее заметки в памяти, когда приложение обновляет свой SDK или поставщик меняет владельца.