Sikkerhetsvakt: backstabbing, desinformasjon og dårlig journalistikk: tilstanden til VPN-bransjen

Jeg vurderer VPN-er for PCMag, og det betyr at jeg bruker mye tid på å prøve å forklare folk at jeg faktisk ikke er en betalt krangel eller jobber aktivt mot andres sikkerhet. Hvorfor? Fordi kulturen rundt VPN-er og hvordan noen av disse produktene markedsføres har blitt utrolig giftig.

La meg først si at interaksjonen min med VPN-leverandører stort sett har vært positiv. Jeg tror virkelig at de fleste leverandører på VPN-plassen virkelig lager det beste produktet de kan, og prøver å gjøre det riktig av kundene sine. Likevel har jeg sett glimt av dårlig oppførsel, store og små, i hele bransjen.

Fighting Dirty

Fra min erfaring med VPN-er kan jeg med sikkerhet si at det er en kultur for sabotasje og paranoia blant noen leverandører. Anonyme dumps med fordømmende informasjon om en VPN-leverandør får skylden på en annen VPN-leverandør. Tips kommer inn, som antyder at selskapseierskapet er bundet til den russiske mafiaen, eller annen kriminell operasjon. Kommentatorer holder opp et VPN-vurderingssted som et eksempel på rettslighed, mens andre sier at det samme nettstedet er hemmelig drevet av en VPN-leverandør med en agenda. Når det er så mye desinformasjon og motdisinformasjon (som også kan være desinformasjon), er det umulig å si hvem som forteller sannheten.

Neil Rubenking har jobbet for PCMag så lenge jeg har levd, og jeg spurte ham om han hadde sett noe lignende som dekker antivirusprodukter. Det har han ikke. Disse selskapene sniper av og til mot hverandre, og blir noen ganger beskyldt for juks, men de store aktørene er smarte nok til å innse at stabiliteten i markedet som helhet avhenger av deres oppfatning som pålitelige spillere.

Dessuten er det en hel bransje med å holde antivirusleverandører ansvarlige. AMTSO (Anti-Malware Testing Standards Organization), som Rubenking er medlem av Advisory Board, har satt retningslinjer og gitt ut verktøy slik at hvem som helst kan bekrefte at antivirusprogramvaren deres gjør noe . Det finnes også en industri av antivirus-testere som AV-Test, AV Comparatives og andre som ikke bare verifiserer at disse produktene fungerer, men faktisk beregner hvor bra de fungerer. Andre forskere gir live feeds av skadelig programvare som Rubenking kan bruke til å verifisere på egen hånd at antivirusprogramvare faktisk gjør det den lover.

Den slags fellesskap eksisterer ennå ikke for VPN-er. Det er heller ikke spesielt lett å verifisere om VPN-er faktisk gjør noe. Hvordan kan vi fortelle at en VPN faktisk forhindrer en ISP eller en hacker fra å finne ut hvem du er eller avskjære trafikken din? Hvordan kan vi bekrefte at hver eneste av selskapets servere og apper er riktig konfigurert? Hvordan kan vi være sikre på at selskapet ikke selger dataene våre eller injiserer annonser i nettrafikken vår? Selv å sjekke at et gitt VPN-produkt faktisk krypterer trafikken er vanskelig og tidkrevende.

Her er et annet eksempel: I slutten av april kjørte registeret en historie om uvanlig trafikk fra NordVPN som så ut som botnet-trafikk. Selskapet har gitt forskjellige forklaringer, hovedsakelig kokt ned til at det forventes atferd designet for å skjule brukeraktiviteter. Det er fornuftig, men alternativene for å bekrefte kravet er begrenset. Hvordan vet jeg at beskyldningene i seg selv ikke kommer fra et annet VPN-selskap med en agenda? Når tillit blir erodert, blir også grunnleggende forutsetninger stilt spørsmål.

Hvordan skjedde dette?

VPN-er er ikke nye i det minste, men for det meste av den innspilte historien ble de brukt i bedriftssammenheng, ikke forbruker. Det store unntaket var politiske dissidenter som opererte i land med restriktiv internettpolitikk. Så plutselig dukket flere titalls nye spillere opp og presset produktene hardere enn noen gang. Denne masseutbredelsen, og den tvilsomme praksisen som fulgte, er resultatet av unike krefter som samkjører hverandre.

For det første tilbød strømmetjenester som Netflix et overbevisende alternativ til piratkopiering av filmer og TV-serier. Når folk fant ut at de kunne bruke en VPN for å låse opp enda mer legal-ish innhold ved å forfalske deres beliggenhet, ville alle ha et. Jeg har faktisk data for å sikkerhetskopiere dette. I følge PCMags undersøkelser bruker de fleste en VPN for å få tilgang til streaming av innhold på nettet. I følge noen i VPN-bransjen kan dette være den virkelige grunnen til at folk kjøper VPN-er, og alt annet er bare vindusdressing for å gi det en luft av legitimitet.

For det andre har den globale økningen av høyresidens politikk ansporet interesse for VPN-er. Folk på steder som vanligvis ikke var opptatt av personvern eller sensur, hadde plutselig grunn til å få VPN. Spesielt i USA har ikke sammenbruddet av våre regler for nøytral nøytralitet, Internett-leverandører som tjener penger på brukeraktivitet og en generell bekymring for overvåkning i en verden etter Snowden, ikke hjulpet.

For det tredje er det til slutt penger. Å starte et lite VPN-selskap er sammenlignelig billig. Takket være skyservere og open source VPN-protokoller er det ganske enkelt å spinne opp noen få servere. Helvete, jeg lagde min egen VPN og det var arbeidet på kanskje 30 minutter. Nå hadde min bare en server og ikke de tusenvis av servere på flere lokasjoner som ble tilbudt av store aktører, men den lave barrieren for innreise har absolutt gjort det lettere for dårlige aktører å komme inn i markedet.

Problemet for VPN-gründere bygger ikke produktet, det får folk til å kjøpe det. Det er her tilknyttet markedsføring kommer inn. Wikipedia definerer tilknyttet markedsføring som det beste: "der en virksomhet belønner ett eller flere tilknyttede selskaper for hver besøkende eller kunde brakt av tilknyttet selskapets egen markedsføringstiltak." Hvis du noen gang har lurt på hvorfor det er 10 millioner nettsteder med nettadresser som er en kombinasjon av "VPN" og "Review", eller hvorfor hvert nettsted fra CNet til Wirecutter har begynt å gjennomgå VPN-er, det er på grunn av tilknyttet markedsføring.

Som nevnt over, etablerte morselskapet j2 Global til PCMag nettopp en forbindelse til VPN-markedet med kjøpet av IPVanish og StrongVPN forrige måned. Og i likhet med CNET, Wirecutter, Tech Radar, The Verge og mange flere, deltar PCMag selv også i et tilknyttet handelsprogram. Men analytikerne våre (det er meg) er funksjonærer og mottar ikke kutt på noen penger generert av våre anmeldelser. I tillegg blir vi med vilje uvitende om forretningsordninger mellom våre arbeidsgivere og leverandører, og har en streng policy for redaksjonell integritet. Det betyr at jeg tester VPN-er omfattende, jeg publiserer anmeldelser med rangeringer basert på faktiske testresultater, og at og redaktørene mine støtter funnene mine og forsvarer dem, uavhengig av leverandørpåvirkning. Noen ganger er selskaper ikke enige i våre anmeldelser, ofte er det en katalysator for dem å forbedre produktene sine.

Det er ikke nødvendigvis sant for andre nettsteder, og en god del av VPN-vurderingssidene ser ut til å være tilknyttede markedsføringsfarmer med tvilsomme bekymringer for redaksjonell integritet. Ved å legge ut SEO-optimalisert innhold skytter disse nettstedene øyeboller til sider og rister inn tilknyttede kontanter.

For å være tydelig: det er gode VPN-anmeldelser der ute fra nettsteder som PCMag som stoler på sitt rykte for autoritet. Andre er bare tomme innlegg som tråkker med slurvete analyser, eller, verst av alt, kanskje rent betal-for-spill. Tilknyttede programmer kan aktivere dårlig oppførsel. Når det gjelder VPN-er, gjør dette det enda vanskeligere å sile gjennom motstridende informasjon om et gitt produkt.

Vi fikk en piff av råta i denne bransjen nylig da min kollega Michael Kan undersøkte TheBestVPN.com. Dette nettstedet, ledet av en person med et stadig skiftende sett med navn, søkte aggressivt tilbakekoblinger fra andre nettsteder for å flytte opp i søkerangeringene, som igjen fikk nettstedet flere besøkende og flere tilknyttede dollar. Hans innsats var enormt vellykket, og klatret i søkeresultatene og tjente lenker til og med fra PCMag. Nå, vi vet ikke om innholdet som produseres på TheBestVPN (eller noen av dets andre inkarnasjoner) er falskt, men det ser ikke bra ut hvis eieren (og kanskje eneansatt) ikke kan sette navnet sitt på verket eller forsvare det når vi stiller spørsmål.

Stol på, men bekreft

Forbrukerjournalistikk står overfor dette problemet hele tiden. Bare leverandøren vet hva prosessene deres egentlig er, og det forblir sant med mindre informasjon lekker ut, lovhåndhevelse blir involvert eller intelligente og pålitelige tredjeparter verifiserer. Jeg tror VPN-selskaper vet dette, og det har hjulpet spredningen av både legitime og falske VPN-produkter.

I mitt eget arbeid har løsningen min vært å spørre VPN-selskaper direkte om deres praksis og retningslinjer. Jada, de kan lyve for meg (og noen gjør nok det), men hvis de må lyve, kan de bli fanget liggende. Det vi trenger nå, er et middel til å gjøre det.

• De beste VPN-tjenestene for 2019 De beste VPN-tjenestene for 2019
• Personvernfeil tilgjengelig i gratis VPN-apper på Google Play Personvernfeil knyttet til gratis VPN-apper på Google Play
• Hvordan et VPN-vurderingssted dominerer Google-søk med en svindel Hvordan et VPN-vurderingssted dominerer Google-søk med en svindel

Her er det en mulighet for VPN-selskaper å fikse sin egen bransje. Hvis de største aktørene kom sammen, gikk med på et sett av tekniske og etiske prinsipper og ga metodologier for å verifisere disse prinsippene, ville nesten alle disse problemene forsvinne. Jeg tror bransjen nærmer seg fremtiden, ettersom flere og flere selskaper ansetter tredjeparts-testere for å revidere produktene sine og offentliggjøre resultatene.

Det er på tide å rydde opp i bransjen

Jeg frykter at forvirring og vitriol rundt VPN-er vil gjøre markedet uholdbart. Alle selskaper, men spesielt sikkerhetsselskaper, må stole på at kunder tror at de er gode aktører. Deres omdømme er deres virksomhet. Når kunder ikke lenger stoler på et produkt, bruker de ikke det, og når de ikke stoler på en bransje, forlater de det. Vurder antivirusfirmaer igjen. Overgrepsmessig praksis og slurvete prosjektering gjennom 90-tallet førte til en offentlighet som var mistenkelig over hele denne kategorien produkter - og med rette. Da det offentlige trengte mest beskyttelse, klarte ikke industrien å imøtekomme disse forventningene og betalte en tung pris. Det er fremdeles folk der ute som kjøper "antivirusbedriftene faktisk lager virusene" -skolen for konspirasjon.

Tilsvarende, når VPN-selskaper direkte eller indirekte finansierer falske vurderingsnettsteder, genererer feilinformasjon og er avhengige av uklarhet for å selge produktene sine, forgifter de brønnen for forbrukernes tillit. Etter hvert som atmosfæren rundt VPN-er blir mer giftig, vil flere kunder bli frustrerte og gi fra seg helt. Og det er synd, for i internetttiden trenger alle en VPN. I stedet for å løpe til bunns, må industrien melde seg nå, før det er for sent.