Securitywatch: backstabbing, disinformation og dårlig journalistik: tilstanden i VPN-industrien

Jeg gennemgår VPN'er til PCMag, og det betyder, at jeg bruger en masse tid på at forsøge at forklare folk, at jeg faktisk ikke er en betalt shill eller aktivt arbejder imod andres sikkerhed. Hvorfor? Fordi kulturen omkring VPN'er og hvordan nogle af disse produkter markedsføres er blevet utroligt giftig.

Lad mig først sige, at mine interaktioner med VPN-leverandører stort set har været positive. Jeg tror virkelig, at de fleste leverandører i VPN-rummet virkelig fremstiller det bedste produkt, de kan, og prøver at gøre det rigtigt af deres kunder. Ikke desto mindre har jeg set blinker af dårlig opførsel, store og små, i hele branchen.

Bekæmpelse af beskidt

Fra min erfaring med VPN'er kan jeg med sikkerhed sige, at der er en kultur for sabotage og paranoia blandt nogle leverandører. Anonyme dumps af forbandede oplysninger om en VPN-leverandør får skylden på en anden VPN-leverandør. Tip kommer ind, der antyder, at virksomhedsejerskabet er bundet til den russiske mafia eller anden kriminel handling. Kommentatorer opretholder et VPN-gennemgangswebsted som et eksempel på retfærdighed, mens andre siger, at det samme sted i hemmelighed drives af en VPN-leverandør med en dagsorden. Når der er så meget desinformation og kontradisinformation (som også kan være desinformation) er det umuligt at fortælle, hvem der siger sandheden.

Neil Rubenking har arbejdet på PCMag, så længe jeg har levet, og jeg spurgte ham, om han havde set noget lignende, der dækker antivirusprodukter. Det har han ikke. Disse virksomheder sniper lejlighedsvis mod hinanden og beskyldes undertiden for snyderi, men de store aktører er smarte nok til at indse, at deres marked som helhed afhænger af deres opfattelse som pålidelige spillere.

Der er desuden en hel branche med at holde antivirus-leverandører ansvarlige. AMTSO (Anti-Malware Testing Standards Organization), hvoraf Rubenking er medlem af et rådgivende bestyrelsesmedlem, har fastlagt retningslinjer og frigivet værktøjer, så enhver kan verificere, at deres antivirus-software gør noget . Der er også en industri med antivirus-testere som AV-Test, AV Comparatives og andre, der ikke kun verificerer, at disse produkter fungerer, men faktisk kvantificerer, hvor godt de fungerer. Andre forskere leverer live feeds af malware, som Rubenking kan bruge til at verificere på egen hånd, at antivirus-software faktisk gør, hvad det lover.

Den slags samfund eksisterer endnu ikke for VPN'er. Det er heller ikke særlig let at verificere, om VPN'er faktisk gør noget. Hvordan kan vi fortælle, at en VPN faktisk forhindrer en internetudbyder eller en hacker i at finde ud af, hvem du er, eller opfanger din trafik? Hvordan kan vi bekræfte, at hver eneste af virksomhedens servere og apps er konfigureret korrekt? Hvordan kan vi være sikre på, at virksomheden ikke sælger vores data eller indsprøjter annoncer i vores webtrafik? Selv det at kontrollere, at et givet VPN-produkt faktisk krypterer din trafik, er vanskeligt og tidskrævende.

Her er et andet eksempel: I slutningen af ​​april kørte Registeret en historie om usædvanlig trafik fra NordVPN, der lignede botnet-trafik. Virksomheden har leveret forskellige forklaringer, for det meste kogende ned til, at det forventes adfærd designet til at skjule brugeraktiviteter. Det giver mening, men mulighederne for at verificere dette krav er begrænsede. Hvordan ved jeg, at beskyldningerne ikke kommer fra et andet VPN-selskab med en dagsorden? Når tilliden udhules, stilles der også spørgsmålstegn ved grundlæggende antagelser.

Hvordan skete dette?

VPN'er er ikke nye i det mindste, men i det meste af den registrerede historie blev de brugt i en virksomhedsmæssig sammenhæng, ikke en forbruger. Den store undtagelse var politiske dissidenter, der opererer i lande med restriktive internetpolitikker. Så pludselig dukkede snesevis af nye spillere op og skubbede deres produkter hårdere end nogensinde. Denne masseudbredelse og den tvivlsomme praksis, der fulgte, er resultatet af unikke kræfter, der er på linje.

For det første tilbød streamingtjenester som Netflix et overbevisende alternativ til piratkopiering af film og tv-shows. Når folk fandt ud af, at de kunne bruge en VPN til at låse op for endnu mere legal-ish indhold ved at forfalske deres placering, ville alle have et. Jeg har faktisk data til at sikkerhedskopiere dette. I henhold til PCMags undersøgelser bruger de fleste mennesker en VPN til at få adgang til streamingindhold online. Ifølge nogle i VPN-branchen kan dette være den reelle årsag til, at folk køber VPN'er, og alt andet er bare vinduesdressing for at give det en luft af legitimitet.

For det andet har den globale stigning i politik til højre-højre ansporet interessen for VPN'er. Folk på steder, der normalt ikke var bekymrede for privatlivets fred eller censur, havde pludselig grund til at få en VPN. Specielt i USA har sammenbruddet af vores netneutralitetsregler, internetudbydere, der tjener penge på brugeraktivitet, og en generel bekymring over overvågning i en verden efter Snowden ikke hjulpet.

For det tredje er det endelig penge. At starte et lille VPN-firma er sammenligneligt billigt. Takket være cloud-servere og open source VPN-protokoller er det ret let at spinde op et par servere. Helvede, jeg lavede min egen VPN, og det var måske 30 minutters arbejde. Nu havde minen kun en server og ikke de tusinder af servere flere steder, der tilbydes af større spillere, men den lave barriere for adgang har bestemt gjort det lettere for dårlige skuespillere at komme ind på markedet.

Problemet for VPN-iværksættere bygger ikke produktet, det får folk til at købe det. Det er her affiliate marketing kommer ind. Wikipedia definerer affiliate marketing det bedste: "hvor en virksomhed belønner et eller flere tilknyttede virksomheder for hver besøgende eller kunde, der er bragt af tilknyttede selskabs egen marketingindsats." Hvis du nogensinde har spekuleret på, hvorfor der er 10 millioner websteder med webadresser, der er en kombination af "VPN" og "Review", eller hvorfor hvert websted fra CNet til Wirecutter er begyndt at gennemgå VPN'er, er det på grund af affiliate marketing.

Som nævnt ovenfor etablerede PCMags moderselskab j2 Global netop en forbindelse til VPN-markedet med køb af IPVanish og StrongVPN i sidste måned. Og ligesom CNET, Wirecutter, Tech Radar, The Verge og mange flere, deltager PCMag selv også i et tilknyttet handelsprogram. Men vores analytikere (det er mig) er lønmodtagere og modtager ikke en nedskæring af penge genereret af vores anmeldelser. Derudover holdes vi bevidst uvidende om forretningsforhold mellem vores arbejdsgivere og leverandører og har en streng politik med redaktionel integritet. Det betyder, at jeg tester VPN'er i vid udstrækning, jeg offentliggør anmeldelser med ratings baseret på faktiske testresultater, og at og mine redaktører støtter mine fund og forsvarer dem, uanset leverandørens indflydelse. Nogle gange er virksomheder ikke enige i vores anmeldelser, ofte er det en katalysator for dem at forbedre deres produkter.

Det er ikke nødvendigvis sandt for andre websteder, og en god del af VPN-gennemgangswebstederne ser ud til at være tilknyttede marketingfarme med tvivlsomme bekymringer for redaktionel integritet. Ved at indsende SEO-optimeret indhold transporterer disse websider øjebølger til sider og rækker tilknyttede kontanter.

For at være klar: der er gode VPN-anmeldelser derude fra websteder som PCMag, der stoler på deres ry for autoritet. Andre er bare tomme stillinger, der pedler med slurvede analyser, eller værst af alt, måske rent pay-for-play. Tilknyttede programmer kan aktivere dårlig opførsel. I tilfælde af VPN'er gør dette det endnu sværere at sile gennem de modstridende oplysninger om et givet produkt.

Vi fik en sus af rådne inden for denne branche for nylig, da min kollega Michael Kan undersøgte TheBestVPN.com. Dette sted, ledet af en person med et stadigt skiftende sæt navne, søgte aggressivt backlinks fra andre websteder for at flytte op på søgerangeringer, hvilket igen fik webstedet flere besøgende og flere tilknyttede dollars. Hans indsats var enormt vellykket, idet han besteg søgeresultaterne og tjente links, selv fra PCMag. Nu ved vi ikke, om indholdet, der er produceret på TheBestVPN (eller nogen af ​​dets andre inkarnationer), er falske, men det ser ikke godt ud, hvis ejeren (og måske den eneste medarbejder) ikke kan sætte sit navn på værket eller forsvare det når vi stiller spørgsmål.

Tillid men bekræft

Forbrugerjournalistik står over for dette problem hele tiden. Kun sælgeren ved, hvad deres processer virkelig er, og det forbliver sandt, medmindre information lækker, retshåndhævelse bliver involveret, eller intelligente og pålidelige tredjepart verificerer. Jeg tror, ​​VPN-virksomheder ved dette, og det har hjulpet spredningen af ​​både legitime og falske VPN-produkter.

I mit eget arbejde har min løsning været at spørge VPN-virksomheder direkte om deres praksis og politik. Jo, de kan lyve for mig (og nogle gør det nok), men hvis de er nødt til at lyve, kan de blive fanget liggende. Det, vi har brug for nu, er et middel til at gøre det.

• De bedste VPN-tjenester for 2019 De bedste VPN-tjenester for 2019
• Privatlivsfejl, der er inkluderet i gratis VPN-apps på Google Play Privatlivsfejl, der indgår i gratis VPN-apps på Google Play
• Hvordan et VPN-gennemgangssted dominerer Google-søgning med en fidus Hvordan et VPN-gennemgangssted dominerer Google-søgning med en fidus

Der er en mulighed her for VPN-virksomheder til at ordne deres egen branche. Hvis de største aktører mødtes, enige om et sæt tekniske og etiske principper og leverede metoder til at verificere disse principper, ville næsten alle disse problemer forsvinde. Jeg tror, ​​at industrien er tættere på denne fremtid, da flere og flere virksomheder ansætter tredjeparts-testere til at revidere deres produkter og offentliggøre resultaterne offentligt.

Det er tid til at rydde op i branchen

Jeg frygter, at forvirringen og vitriolen omkring VPN'er vil gøre markedet uholdbart. Alle virksomheder, men især sikkerhedsfirmaer, skal stole på, at kunderne tror, ​​at de er gode aktører. Deres omdømme er deres forretning. Når kunder ikke længere har tillid til et produkt, bruger de ikke det, og når de ikke har tillid til en branche, opgiver de det. Overvej antivirusfirmaer igen. Overgrebsmæssig praksis og slurvet teknik gennem 90'erne førte til en offentlighed, der var mistænksom over for hele denne produktkategori - og det med rette. Da offentligheden havde mest brug for beskyttelse, kunne branchen ikke imødekomme disse forventninger og betalte en tung pris. Der er stadig mennesker derude, der køber "antivirusselskaberne faktisk laver virussen" skole for sammensværgelse.

Tilsvarende, når VPN-virksomheder direkte eller indirekte finansierer falske gennemgangssider, genererer forkert information og er afhængige af opacitet til at sælge deres produkter, forgifter de brønden af ​​forbrugertillid. Efterhånden som atmosfæren omkring VPN'er bliver mere giftige, vil flere kunder blive frustrerede og opgive helt. Og det er en skam, for i internettiden er alle brug for en VPN. I stedet for at løbe ned til bunden, er industrien nødt til at gøre det nu, før det er for sent.