Dlaczego darmowe VPN-y są ryzykowne

Kto płaci za darmowy VPN

Ktoś płaci zawsze. Dostawca VPN wynajmuje serwery w wielu krajach, kupuje pasmo tranzytowe, opłaca deweloperów i wsparcie, ponosi prowizje sklepów z aplikacjami. Dla popularnej usługi składa się to na poważny, powtarzalny koszt, który nie znika dlatego, że przycisk pobierania mówi „za darmo”.

Płatny dostawca pokrywa to subskrypcjami, co utrzymuje proste bodźce: Ty płacisz pieniędzmi, dostajesz tunel, a interesem dostawcy jest zatrzymanie Cię jako klienta. Darmowy dostawca bez subskrypcji musi znaleźć przychód gdzie indziej — a jedynym aktywem, jakie posiada, są jego użytkownicy, ich ruch i ich urządzenia.

Jak darmowe aplikacje VPN naprawdę zarabiają

Modele biznesowe stojące za darmowymi aplikacjami VPN są dobrze poznane i większość z nich stoi w bezpośrednim konflikcie z prywatnością. Aplikacja siedzi w idealnym punkcie obserwacyjnym wszystkiego, co robisz w sieci — i to właśnie ten punkt obserwacyjny jest sprzedawanym produktem.

Żaden z tych modeli nie wymaga, by aplikacja była technicznie zepsuta. Tunel może działać dokładnie tak, jak w reklamie, podczas gdy logowanie odbywa się po cichu po stronie serwera, gdzie nie masz jak tego zobaczyć.

• Sprzedaż zapisów przeglądania i połączeń brokerom danych i reklamodawcom
• Wstrzykiwanie reklam lub skryptów śledzących do stron i aplikacji, z których korzystasz
• Odsprzedaż łącza Twojego urządzenia w ramach sieci proxy, tak że ruch obcych ludzi wychodzi przez Twój adres IP
• Dokładanie zewnętrznych SDK zbierających lokalizację, identyfikatory urządzenia i listy aplikacji
• Dosprzedaż płatnego planu przy jednoczesnej monetyzacji darmowych użytkowników dowolnym z powyższych sposobów

Co raz po raz znajdują raporty bezpieczeństwa

Niezależni badacze analizujący darmowe aplikacje VPN hurtowo znajdują wciąż te same kategorie problemów: polityki prywatności zezwalające na udostępnianie danych o ruchu stronom trzecim, wbudowane trackery firm reklamowych, żądania uprawnień, których tunel nie potrzebuje, a w niektórych przypadkach — całkowity brak działającego szyfrowania.

Innym powracającym ustaleniem jest nieprzejrzysta struktura właścicielska. Wiele darmowych aplikacji o różnych nazwach i logotypach prowadzi do tych samych kilku firm, więc użytkownik porównujący opcje w sklepie z aplikacjami może w istocie wybierać między szyldami jednego operatora.

Szczegóły różnią się między raportami, ale wzorzec jest na tyle stabilny, by traktować go jako założenie domyślne: darmowy VPN bez jasnego źródła przychodów należy uznawać za monetyzujący swoich użytkowników, dopóki nie wykaże, że jest inaczej.

Ryzyko jest większe niż reklamy

Aplikacja naszpikowana reklamami jest irytująca; skompromitowany tunel jest niebezpieczny. Aplikacja VPN działa z możliwością widzenia i przekierowywania całego ruchu urządzenia. Jeśli operator jest niedbały albo złośliwy, tę pozycję można wykorzystać do wyławiania danych logowania na połączeniach spoza HTTPS, przekierowywania Cię na łudząco podobne strony albo do instalacji certyfikatu głównego, który łamie ochronę przed inspekcją TLS.

Porzucenie to cichsze ryzyko. Darmowe aplikacje to często projekty poboczne: tunel dalej chodzi na starym oprogramowaniu serwerowym ze znanymi lukami, nikt nie odpowiada na zgłoszenia bezpieczeństwa, a aplikacja po cichu zmienia właściciela, gdy pierwotny deweloper ją sprzedaje. Nie miałbyś jak zauważyć, że nowy właściciel ma wobec Twoich danych inne plany.

Przy płatnej usłudze przynajmniej znasz strukturę bodźców i masz kontrahenta rozliczanego przez płacących klientów. Aurora na przykład publikuje, co loguje, a czego nie, i daje 14-dniowe okno zwrotu — więc wypróbowanie nic nie kosztuje, ale nie jest finansowane Twoimi danymi.

Kiedy darmowy VPN jest naprawdę w porządku

Darmowe nie znaczy automatycznie: przekręt. Ograniczony czasowo okres próbny płatnej usługi jest darmowy właśnie dlatego, że dostawca liczy, iż część użytkowników wykupi subskrypcję; ekonomia jest przejrzysta. To samo dotyczy ograniczonego darmowego planu — z limitem transferu albo mniejszą liczbą lokalizacji — oferowanego przez operatora, którego infrastrukturę wyraźnie finansują płacący klienci.

Cechą rozpoznawczą jest widoczna odpowiedź na pytanie o pieniądze. Jeśli dostawca mówi wprost, że darmowi użytkownicy dostają kawałek płatnej infrastruktury w ramach marketingu, jego bodźce są zbieżne z Twoimi. Jeśli usługa obiecuje nielimitowane darmowe pasmo na zawsze i nigdy nie tłumaczy swoich przychodów — nie są.

Jak sprawdzić, na czym zarabia darmowa usługa

Nie musisz być badaczem bezpieczeństwa, żeby zrobić podstawowy test węchu. Dziesięć minut czytania mówi większość tego, co istotne, bo monetyzacja musi być gdzieś ujawniona — zwykle w polityce prywatności, w uprawnieniach albo we własnym marketingu firmy skierowanym do reklamodawców.

Żadne z tych sprawdzeń nie wymaga specjalnych narzędzi, a dostawca, który obleje dwa lub więcej z nich, powiedział Ci już dość. Odejdź; alternatyw nie brakuje.

• Przeczytaj politykę prywatności pod kątem słów: sprzedajemy, udostępniamy, partnerzy, reklama, podmioty powiązane — w odniesieniu do danych o ruchu lub użytkowaniu
• Sprawdź, o jakie uprawnienia prosi aplikacja; tunel potrzebuje dostępu do sieci, a nie do Twoich kontaktów czy dokładnej lokalizacji
• Ustal, kto jest właścicielem firmy, gdzie jest zarejestrowana i czy ten sam właściciel prowadzi wiele podobnych aplikacji
• Poszukaj niezależnego audytu bezpieczeństwa albo opublikowanej weryfikacji no-logs
• Nieufnie patrz na nielimitowane darmowe pasmo; pasmo to najdroższa rzecz, jaką kupuje dostawca VPN
• Wybieraj okres próbny lub okno zwrotu płatnej usługi zamiast wiecznie darmowej niewiadomej