Vad skickar egentligen analysinställningen i en VPN-app?
Analysreglaget täcker ett annat dataflöde än tunneln. Läs kategorierna, identifierarna och mottagarna innan integritetssidan går in på det.
Din tunnel är krypterad, integritetssidan talar om inga loggar, och appen levererar fortfarande ett diagnostikbibliotek som rapporterar vilka skärmar du öppnar. Det är olika dataflöden med olika policyer. En anslutningslogg registrerar vart tunneln gick; en analyshändelse registrerar hur du använde appen. Att läsa den ena och anta att den täcker den andra är precis det misstag inställningen bjuder in till.
Vad reglaget vanligtvis styr
De flesta klienter skiljer frivillig rapportering från den behandling en tjänst inte kan drivas utan. Reglaget styr vanligtvis kraschrapporter, användningshändelser och prestandamätningar, medan autentisering, fakturering och missbruksförebyggande fortsätter oavsett dess läge.
Kraschrapporter innehåller en stackspårning, enhetsmodell, OS-version och appversion. Användningshändelser namnger skärmar och funktioner, ibland med varaktighet. Prestandahändelser registrerar anslutningstider, protokollval och felkoder. Supportdiagnostik är en fjärde kategori, vanligtvis manuellt startad och kan samla loggar och konfiguration.
Avsändaren är inte alltid varumärket på ikonen. Ett SDK inbyggt i appen kan skicka till sin egen slutpunkt, och en kraschtjänst kan vara ett separat företag. Därför är mottagarlistan i meddelandet lika viktig som reglagets etikett.
Fälten som gör en rapport identifierande
Kategorin ensam avgör inte integritetsfrågan; identifieraren kopplad till händelsen gör det. En rapport som verkar harmlös kan bli en historik när samma installations-ID visas i varje rad.
| Report type | Typical fields | Why it can identify |
|---|---|---|
| Crash | Stack trace, device model, OS, app version, install ID | The install ID links crashes over months |
| Usage | Screen names, feature events, session length | Builds a behavior profile even without content |
| Performance | Connect duration, protocol, error code | Network conditions can fingerprint a connection |
| Support bundle | Logs, configuration, sometimes addresses | May contain endpoints and timestamps you did not intend to share |
Kontokoppling är den starkaste sammanfogningsnyckeln, eftersom den förvandlar en enhetshistorik till en personhistorik. En IP-adress är personuppgift i många jurisdiktioner även när rapporten inte innehåller något namn, och en stabil identifierare kan överleva ominstallationer på vissa plattformar.
Aggregering är inte anonymisering när den råa identifieraren stannar hos avsändaren. Om ett meddelande hävdar anonym statistik, leta efter metoden: vad som kastas, i vilket steg, och om mottagaren kan koppla händelser igen.
Vem tar emot rapporten
Följ mottagarna i stället för varumärket. Apputvecklaren kan driva slutpunkten eller licensiera varumärket till en annan operatör; analysleverantören och kraschtjänsten är ytterligare parter. Integritetsmeddelandet bör namnge dessa roller och kategorierna som var och en tar emot. Mozillas integritetsmeddelande för prenumerationer skiljer kontouppgifter från tekniska och diagnostiska kategorier, och det är den typen av uppdelning du bör leta efter.
Lagring fastställs vid varje steg. En utvecklare kan hålla händelser under en kort period medan analysleverantören håller dem längre enligt sin egen policy, och ett supportpaket som skickats via e-post kan överleva båda. Fråga vilken part som har uppgifterna, inte bara vilken part som samlade in dem.
Gränsöverskridande överföring hör till samma granskning. En diagnostisk slutpunkt i en annan region skapar en överföring som tunnelns kryptering inte påverkar, eftersom rapporten aldrig reste genom tunneln.
Vad det gör och inte gör att stänga av
Att stänga av reglaget stoppar framtida frivilliga rapporter. Det återkallar inte redan skickade rapporter och raderar dem inte hos mottagaren. Radering är en separat begäran inom leverantörens dataprocess, och den kan kräva kontots identifierare i stället för enhetsinställningen.
Väsentlig behandling fortsätter också. Inloggning, prenumerationsförnyelse, bedrägerikontroller och tjänstens hälsa kan loggas på annan grund, och operativsystemet har egna krasch- och analysfunktioner som appreglaget aldrig styrde. Kontrollera inställningen på OS-nivå om målet är att stoppa enhetsdiagnostik.
Använd inställningen medvetet för felsökning: aktivera diagnostik, återskapa felet, samla paketet, stäng sedan av rapporteringen och radera paketet när ärendet stängs. Manuella bilagor förtjänar samma granskning som automatiska, eftersom en loggfil kan innehålla mer än analyshändelsen någonsin gjorde.
Jämför meddelandet med det som lämnar enheten
Du kan se destinationer utan att dekryptera innehåll. På macOS och Linux visar anslutningslistor vilka fjärradresser klienten talar med:
sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclientTLS döljer nyttolasten, så utdata bevisar en destination och en grov tidsangivelse, inte fälten inuti. Det räcker ändå för att kontrollera ett påstående: om meddelandet namnger en analysmottagare och appen också kontaktar en domän som inte listats, fråga om det innan du accepterar policyn som den är.
Skriv ned kategorierna du accepterar, identifierarna kopplade till dem och mottagarna som har dem. Den korta anteckningen är mer användbar än en mental anteckning när appen uppdaterar sitt SDK eller leverantören byter ägare.