Därför är gratis-VPN riskabla

Vem betalar för en gratis-VPN?

Någon betalar alltid. En VPN-leverantör hyr servrar i många länder, köper transitbandbredd, betalar utvecklare och support och täcker avgifter till appbutikerna. För en populär tjänst blir det en rejäl återkommande kostnad som inte försvinner bara för att det står gratis på nedladdningsknappen.

En betalleverantör täcker detta med prenumerationer, vilket håller incitamenten enkla: du betalar pengar, du får en tunnel, och leverantörens intresse är att behålla dig som kund. En gratisleverantör utan prenumerationer måste hitta intäkter någon annanstans, och den enda tillgång den har är sina användare, deras trafik och deras enheter.

Så tjänar gratis-VPN-appar egentligen pengar

Affärsmodellerna bakom gratis-VPN-appar är väl kända, och de flesta står i direkt konflikt med din integritet. Appen sitter i en perfekt position för att se allt du gör online, och det är just den observationspunkten som är produkten som säljs.

Ingen av dessa modeller kräver att appen är tekniskt trasig. Tunneln kan fungera precis som utlovat medan loggningen sker i det tysta på serversidan, där du inte har någon möjlighet att se den.

• Försäljning av surf- och anslutningsloggar till datamäklare och annonsörer
• Insprutning av annonser eller spårningsskript i de sidor och appar du använder
• Vidareförsäljning av din enhets uppkoppling som en del av ett proxynätverk, så att främlingars trafik går ut via din IP-adress
• Inbakade tredjeparts-SDK:er som samlar in plats, enhetsidentifierare och applistor
• Merförsäljning av en betalnivå samtidigt som gratisanvändarna tjänas pengar på via något av ovanstående

Vad säkerhetsrapporterna hittar gång på gång

Oberoende forskare som analyserar gratis-VPN-appar i stor skala hittar ofta samma typer av problem om och om igen: integritetspolicyer som tillåter delning av trafikdata med tredje part, inbäddade spårare från annonsföretag, begäranden om behörigheter som en tunnel inte behöver, och i vissa fall ingen fungerande kryptering alls.

Ett annat återkommande fynd är oklart ägande. Många gratisappar med olika namn och logotyper leder tillbaka till samma fåtal företag, så en användare som jämför alternativ i en appbutik kan i själva verket välja mellan olika fasader för en och samma operatör.

Detaljerna varierar från rapport till rapport, men mönstret är så stabilt att det bör vara grundantagandet: en gratis-VPN utan tydlig intäktskälla bör antas tjäna pengar på sina användare tills den visar motsatsen.

Risken är större än annonser

En app fullproppad med annonser är irriterande; en komprometterad tunnel är farlig. En VPN-app kör med möjligheten att se och omdirigera all trafik från din enhet. Om operatören är slarvig eller illvillig kan den positionen missbrukas för att stjäla inloggningsuppgifter på anslutningar utan HTTPS, för att skicka dig till falska kopior av sidor eller för att installera ett rotcertifikat som sätter TLS-skydden ur spel.

Övergivna appar är en tystare risk. Gratisappar är ofta sidoprojekt: tunneln fortsätter köra på gammal serverprogramvara med kända sårbarheter, ingen svarar på säkerhetsrapporter, och appen byter ägare i det tysta när den ursprungliga utvecklaren säljer den. Du skulle inte ha någon möjlighet att märka att den nya ägaren har andra planer för din data.

Med en betaltjänst vet du åtminstone hur incitamenten ser ut och har en motpart som är ansvarig inför betalande kunder. Aurora, till exempel, publicerar vad som loggas och inte loggas och erbjuder 14 dagars återbetalningsrätt, så att prova kostar ingenting – men finansieras inte av din data.

När en gratis-VPN faktiskt är okej

Gratis är inte automatiskt en bluff. En tidsbegränsad provperiod för en betaltjänst är gratis just för att leverantören räknar med att en del användare ska teckna en prenumeration; ekonomin är transparent. Detsamma gäller en begränsad gratisnivå — med trafiktak eller färre platser — från en operatör vars betalande kunder tydligt finansierar infrastrukturen.

Det som skiljer dem åt är ett öppet svar på frågan om pengarna. Om leverantören säger rakt ut att gratisanvändare får en bit av den betalda infrastrukturen som marknadsföring, så ligger deras intressen i linje med dina. Om tjänsten lovar obegränsad gratis bandbredd för alltid och aldrig förklarar hur den tjänar pengar, så gör de inte det.

Så kontrollerar du vad en gratistjänst tjänar pengar på

Du behöver inte vara säkerhetsforskare för att göra ett enkelt lukttest. Tio minuters läsning säger dig det mesta som spelar roll, eftersom intäktsmodellen måste redovisas någonstans — oftast i integritetspolicyn, i behörigheterna eller i företagets egen marknadsföring riktad till annonsörer.

Ingen av de här kontrollerna kräver några särskilda verktyg, och en leverantör som faller på två eller fler av dem har sagt tillräckligt. Gå vidare; det råder ingen brist på alternativ.

• Läs integritetspolicyn och leta efter orden sälja, dela, partner, annonsering och samarbetspartner i samband med trafik- eller användningsdata
• Kontrollera vilka behörigheter appen ber om; en tunnel behöver nätverksåtkomst, inte dina kontakter eller din exakta position
• Ta reda på vem som äger företaget, var det är registrerat och om samma ägare driver många liknande appar
• Sök efter en oberoende säkerhetsgranskning eller en publicerad verifiering av no-logs-policyn
• Var misstänksam mot obegränsad gratis bandbredd; bandbredd är det dyraste en VPN-leverantör köper
• Välj hellre en betaltjänsts provperiod eller ångerrätt än en permanent gratis okänd aktör