Що насправді надсилає налаштування аналітики в застосунку VPN?
Перемикач аналітики охоплює інший потік даних, ніж тунель. Прочитайте категорії, ідентифікатори та одержувачів, перш ніж сторінка конфіденційності розповість про це.
Ваш тунель зашифровано, сторінка конфіденційності говорить про відсутність журналів, а застосунок усе одно постачається з бібліотекою діагностики, яка повідомляє, які екрани ви відкриваєте. Це різні потоки даних з різними політиками. Журнал з'єднання фіксує, куди пішов тунель; подія аналітики фіксує, як ви користувалися застосунком. Прочитати одне й припустити, що воно охоплює інше, — саме та помилка, до якої запрошує налаштування.
Чим перемикач зазвичай керує
Більшість клієнтів відокремлюють необов'язкову звітність від обробки, без якої сервіс не може працювати. Перемикач зазвичай керує звітами про збої, подіями використання та вимірюваннями продуктивності, тоді як автентифікація, білінг і запобігання зловживанням тривають незалежно від його положення.
Звіти про збої містять трасування стека, модель пристрою, версію операційної системи та версію застосунку. Події використання називають екрани й функції, іноді з тривалістю. Події продуктивності фіксують час з'єднання, вибір протоколу та коди помилок. Діагностика підтримки — четверта категорія, зазвичай запускається вручну й може об'єднати журнали та конфігурацію.
Відправник не завжди бренд на іконці. SDK, вбудований у застосунок, може надсилати на власну кінцеву точку, а сервіс звітів про збої може бути окремою компанією. Тому список одержувачів у повідомленні такий самий важливий, як підпис перемикача.
Поля, які роблять звіт ідентифікуючим
Сама категорія не вирішує питання конфіденційності; його вирішує ідентифікатор, прив'язаний до події. Звіт, який виглядає безпечним, може стати історією, коли той самий ідентифікатор встановлення з'являється в кожному рядку.
| Report type | Typical fields | Why it can identify |
|---|---|---|
| Crash | Stack trace, device model, OS, app version, install ID | The install ID links crashes over months |
| Usage | Screen names, feature events, session length | Builds a behavior profile even without content |
| Performance | Connect duration, protocol, error code | Network conditions can fingerprint a connection |
| Support bundle | Logs, configuration, sometimes addresses | May contain endpoints and timestamps you did not intend to share |
Прив'язка до облікового запису — найсильніший ключ об'єднання, бо перетворює історію пристрою на історію людини. IP-адреса є персональними даними в багатьох юрисдикціях навіть тоді, коли звіт не містить імені, а стабільний ідентифікатор на деяких платформах переживає перевстановлення.
Агрегація не є анонімізацією, якщо необроблений ідентифікатор залишається у відправника. Якщо повідомлення заявляє про анонімну статистику, шукайте метод: що відкидається, на якому етапі й чи може одержувач знову пов'язати події.
Хто отримує звіт
Стежте за одержувачами, а не за брендом. Розробник застосунку може керувати кінцевою точкою або ліцензувати бренд іншому оператору; постачальник аналітики та сервіс звітів про збої — додаткові сторони. Повідомлення про конфіденційність має назвати ці ролі та категорії, які отримує кожна з них. Повідомлення Mozilla про конфіденційність підписок відокремлює дані облікового запису від технічних і діагностичних категорій, і саме такого розділення варто шукати.
Термін зберігання визначається на кожному етапі. Розробник може тримати події недовго, тоді як постачальник аналітики тримає їх довше за власною політикою, а пакет підтримки, надісланий електронною поштою, може пережити обох. Питайте, яка сторона тримає дані, а не лише яка їх зібрала.
Транскордонне передавання належить до того самого огляду. Діагностична кінцева точка в іншому регіоні створює передавання, на яке шифрування тунелю не впливає, бо звіт ніколи не проходив через тунель.
Що робить і чого не робить вимкнення
Вимкнення перемикача зупиняє майбутні необов'язкові звіти. Воно не відкликає вже надіслані звіти й не видаляє їх в одержувача. Видалення — окремий запит у межах процесу обробки даних постачальника, і для нього може знадобитися ідентифікатор облікового запису, а не налаштування пристрою.
Основна обробка також триває. Вхід, поновлення підписки, перевірки на шахрайство та стан сервісу можуть журналюватися на іншій підставі, а операційна система має власні засоби для збоїв і аналітики, якими перемикач застосунку ніколи не керував. Перевірте налаштування на рівні операційної системи, якщо мета — зупинити діагностику пристрою.
Для усунення неполадок використовуйте налаштування свідомо: увімкніть діагностику, відтворіть збій, зберіть пакет, потім вимкніть звітність і видаліть пакет, коли заявку закрито. Вручну долучені файли заслуговують на такий самий огляд, як автоматичні, бо файл журналу може містити більше, ніж коли-небудь містила подія аналітики.
Порівняйте повідомлення з тим, що залишає пристрій
Ви можете бачити призначення, не розшифровуючи вміст. У macOS і Linux списки з'єднань показують, з якими віддаленими адресами спілкується клієнт:
sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclientTLS приховує корисне навантаження, тому вивід доводить призначення й приблизний час, а не поля всередині. Цього все ж достатньо, щоб перевірити твердження: якщо повідомлення називає одного одержувача аналітики, а застосунок також звертається до домену, якого немає в списку, запитайте про це, перш ніж приймати політику як є.
Запишіть категорії, які ви приймаєте, прив'язані до них ідентифікатори та одержувачів, які їх тримають. Цей короткий запис корисніший за нотатку в пам'яті, коли застосунок оновлює свій SDK або постачальник змінює власника.