Proč jsou bezplatné VPN riskantní

Kdo platí za bezplatnou VPN

Vždy platí někdo. Poskytovatel VPN si pronajímá servery v mnoha zemích, nakupuje tranzitní přenosovou kapacitu, platí vývojáře a podporu a hradí poplatky obchodům s aplikacemi. U populární služby to dává dohromady značné pravidelné náklady, které nezmizí jen proto, že na tlačítku ke stažení stojí „zdarma“.

Placený poskytovatel je pokrývá z předplatného, a motivace tak zůstává jednoduchá: vy zaplatíte, dostanete tunel a poskytovatel má zájem na tom, aby si vás jako zákazníka udržel. Bezplatný poskytovatel bez předplatného si musí najít příjmy jinde – a jediné, co má, jsou jeho uživatelé, jejich provoz a jejich zařízení.

Jak bezplatné VPN aplikace skutečně vydělávají

Obchodní modely bezplatných VPN aplikací jsou dobře známé a většina z nich je v přímém rozporu s ochranou soukromí. Aplikace má ideální pozici k tomu, aby sledovala všechno, co online děláte – a právě tento pozorovací bod je produktem, který se prodává.

Žádný z těchto modelů nevyžaduje, aby aplikace technicky nefungovala. Tunel může fungovat přesně tak, jak je inzerováno, zatímco logování probíhá potichu na straně serveru, kam nevidíte.

• Prodej záznamů o prohlížení a připojení zprostředkovatelům dat a inzerentům
• Vkládání reklam nebo sledovacích skriptů do stránek a aplikací, které používáte
• Přeprodej připojení vašeho zařízení v rámci proxy sítě, takže provoz cizích lidí vystupuje přes vaši IP adresu
• Přibalování SDK třetích stran, které sbírají polohu, identifikátory zařízení a seznamy aplikací
• Nabízení placeného tarifu a zároveň monetizace bezplatných uživatelů kterýmkoli z výše uvedených způsobů

Co opakovaně zjišťují bezpečnostní zprávy

Nezávislí výzkumníci, kteří hromadně analyzují bezplatné VPN aplikace, narážejí stále na stejné kategorie problémů: zásady ochrany osobních údajů, které povolují sdílení dat o provozu s třetími stranami, zabudované trackery reklamních společností, požadavky na oprávnění, která tunel nepotřebuje, a v některých případech vůbec žádné funkční šifrování.

Dalším opakovaným zjištěním je neprůhledné vlastnictví. Řada bezplatných aplikací s různými názvy a logy vede ke stejné hrstce firem, takže uživatel, který porovnává možnosti v obchodě s aplikacemi, může ve skutečnosti vybírat mezi nastrčenými značkami jediného provozovatele.

Konkrétní detaily se liší od zprávy ke zprávě, ale vzorec je natolik stabilní, že si zaslouží být výchozím předpokladem: u bezplatné VPN bez jasného zdroje příjmů je třeba předpokládat, že monetizuje své uživatele, dokud neprokáže opak.

Riziko je větší než jen reklamy

Aplikace přecpaná reklamami je otravná; kompromitovaný tunel je nebezpečný. VPN aplikace běží s oprávněním vidět a přesměrovávat veškerý provoz vašeho zařízení. Pokud je provozovatel nedbalý nebo má zlé úmysly, lze tuto pozici zneužít ke sběru přihlašovacích údajů na spojeních bez HTTPS, k přesměrování na napodobeniny stránek nebo k instalaci kořenového certifikátu, který prolomí ochranu proti inspekci TLS.

Tišším rizikem je opuštění projektu. Bezplatné aplikace jsou často vedlejší projekty: tunel dál běží na starém serverovém softwaru se známými zranitelnostmi, na bezpečnostní hlášení nikdo neodpovídá a aplikace bez upozornění změní majitele, když ji původní vývojář prodá. Nemáte jak zjistit, že nový vlastník má s vašimi daty jiné plány.

U placené služby alespoň znáte strukturu motivací a máte protistranu, která se zodpovídá platícím zákazníkům. Aurora například zveřejňuje, co loguje a co ne, a nabízí 14denní lhůtu pro vrácení peněz – vyzkoušet ji vás tedy nic nestojí, ale není financovaná vašimi daty.

Kdy je bezplatná VPN skutečně v pořádku

Zdarma neznamená automaticky podvod. Časově omezená zkušební verze placené služby je zdarma právě proto, že poskytovatel očekává, že si část uživatelů předplatné pořídí; ekonomika je průhledná. Stejné to je s omezeným bezplatným tarifem — s limitem přenesených dat nebo méně lokalitami — od provozovatele, jehož infrastrukturu zjevně financují platící zákazníci.

Rozpoznávacím znakem je viditelná odpověď na otázku, z čeho služba žije. Pokud poskytovatel otevřeně říká, že bezplatní uživatelé dostávají kus placené infrastruktury jako marketing, jsou jeho motivace v souladu s vašimi. Pokud služba slibuje neomezená bezplatná data navždy a nikdy nevysvětlí, odkud bere příjmy, v souladu nejsou.

Jak zjistit, z čeho bezplatná služba vydělává

Na základní kontrolu nemusíte být bezpečnostní výzkumník. Deset minut čtení vám prozradí většinu toho, na čem záleží, protože způsob zpeněžení musí být někde uveden — obvykle v zásadách ochrany soukromí, v oprávněních aplikace nebo v marketingu, kterým se firma sama chlubí inzerentům.

Žádná z těchto kontrol nevyžaduje speciální nástroje a poskytovatel, který neprojde dvěma nebo více z nich, vám řekl dost. Odejděte; alternativ je víc než dost.

• Přečtěte si v zásadách ochrany soukromí, zda se v souvislosti s provozem nebo údaji o používání objevují slova prodávat, sdílet, partneři, reklama a affiliate partneři
• Zkontrolujte, jaká oprávnění si aplikace žádá; tunel potřebuje přístup k síti, ne k vašim kontaktům nebo přesné poloze
• Zjistěte, kdo firmu vlastní, kde je registrovaná a zda tentýž vlastník neprovozuje mnoho podobných aplikací
• Vyhledejte nezávislý bezpečnostní audit nebo zveřejněné ověření politiky nulových logů
• Buďte podezřívaví vůči neomezeným bezplatným datům; šířka pásma je to nejdražší, co poskytovatel VPN nakupuje
• Dejte přednost zkušební době nebo lhůtě pro vrácení peněz u placené služby před trvale bezplatnou neznámou