Securitywatch: backstabbing, дезинформация и плохая журналистика: состояние индустрии VPN

Я проверяю VPN для PCMag, и это означает, что я трачу много времени, пытаясь объяснить людям, что я на самом деле не оплачиваемый шил или не работаю против безопасности других. Почему? Потому что культура вокруг VPN и то, как некоторые из этих продуктов продаются, стали невероятно токсичными.

Позвольте мне сначала сказать, что в целом мои взаимодействия с поставщиками VPN были положительными. Я искренне верю, что большинство вендоров в области VPN действительно делают лучший продукт, который они могут, и пытаются поступить правильно со своими клиентами. И все же я видел вспышки плохого поведения, большого и маленького, по всей отрасли.

Борьба с Грязными

Исходя из моего опыта работы с VPN, я могу с уверенностью сказать, что среди некоторых поставщиков существует культура саботажа и паранойи. Анонимные свалки с проклятой информацией об одном поставщике VPN обвиняются в другом поставщике VPN. Приходят подсказки, предполагающие, что корпоративная собственность связана с российской мафией или другой преступной операцией. Комментаторы считают один сайт обзора VPN примером честности, в то время как другие говорят, что тот же сайт тайно управляется поставщиком VPN с повесткой дня. Когда существует такая большая дезинформация и контр-дезинформация (которая также может быть дезинформацией), невозможно сказать, кто говорит правду.

Нил Рубенкинг работает в PCMag столько, сколько я жив, и я спросил его, видел ли он что-нибудь подобное, касающееся антивирусных продуктов. Он не имеет. Эти компании иногда обижают друг друга, а иногда обвиняют в мошенничестве, но основные игроки достаточно умны, чтобы понять, что стабильность их рынка в целом зависит от их восприятия как заслуживающих доверия игроков.

Более того, существует целая индустрия привлечения к ответственности производителей антивирусных программ. AMTSO (Организация стандартов тестирования на вредоносное ПО), членом которой является Рубенкинг, является консультативным советом, установившим руководящие принципы и выпущенные инструменты, чтобы каждый мог проверить, что их антивирусное программное обеспечение что- то делает. Также существует индустрия антивирусных тестеров, таких как AV-Test, AV Comparatives и другие, которые не только проверяют, работают ли эти продукты, но и количественно определяют, насколько хорошо они работают. Другие исследователи предоставляют прямые трансляции вредоносных программ, которые Рубенкинг может использовать, чтобы самостоятельно убедиться, что антивирусное программное обеспечение действительно выполняет то, что обещает.

Такое сообщество еще не существует для VPN. Также не очень легко проверить, что VPN действительно что-то делает. Как мы можем сказать, что VPN фактически мешает интернет-провайдеру или хакеру выяснить, кто вы или перехватывает ваш трафик? Как мы можем проверить, что каждый из серверов и приложений компании настроен правильно? Как мы можем быть уверены, что компания не продает наши данные и не внедряет рекламу в наш веб-трафик? Даже проверка того, что данный VPN-продукт на самом деле шифрует ваш трафик, трудна и отнимает много времени.

Вот еще один пример: в конце апреля Регистр опубликовал историю о необычном трафике, поступающем из NordVPN, который выглядел как трафик ботнета. Компания предоставила различные объяснения, в основном сводящиеся к тому, что это ожидаемое поведение, предназначенное для сокрытия действий пользователей. Это имеет смысл, но варианты проверки этого требования ограничены. Кроме того, откуда мне знать, что обвинения не исходят от другой VPN-компании с повесткой дня? Когда доверие подрывается, ставятся под сомнение даже основные предположения.

Как это случилось?

Виртуальные частные сети не новы ни в малейшей степени, но для большей части записанной истории они использовались в корпоративном контексте, а не в потребительском. Большим исключением были политические диссиденты, действующие в странах с ограничительной интернет-политикой. Затем внезапно появились десятки новых игроков, которые продвигали свои продукты сильнее, чем когда-либо. Это массовое распространение и последовавшие за этим сомнительные практики являются результатом объединения уникальных сил.

Во-первых, потоковые сервисы, такие как Netflix, предложили убедительную альтернативу пиратским фильмам и телевизионным шоу. Как только люди узнали, что они могут использовать VPN для разблокировки еще более легального контента путем подмены своего местоположения, все захотели. У меня действительно есть данные, чтобы подтвердить это. Согласно опросам PCMag, большинство людей используют VPN для доступа к потоковому контенту в Интернете. По мнению некоторых в индустрии VPN, это может быть реальной причиной, по которой люди покупают VPN, а все остальное - просто оформление витрин, чтобы придать ему вид легитимности.

Во-вторых, глобальный рост ультраправой политики вызвал интерес к VPN. Люди в местах, которые обычно не беспокоились о конфиденциальности или цензуре, внезапно получили причину для получения VPN. В частности, в США не помог крах наших правил сетевого нейтралитета, интернет-провайдеры, монетизирующие активность пользователей, и общая озабоченность по поводу наблюдения в мире после Сноудена.

В-третьих, наконец, деньги. Создание небольшой VPN-компании сравнительно дешево. Благодаря облачным серверам и протоколам VPN с открытым исходным кодом, раскрутить несколько серверов довольно легко. Черт, я сделал свой собственный VPN, и это заняло около 30 минут. Теперь у меня был только один сервер, а не тысячи серверов в разных местах, предлагаемых крупными игроками, но низкий барьер для входа определенно облегчил выход плохих игроков на рынок.

Проблема для предпринимателей VPN заключается не в создании продукта, а в том, чтобы люди покупали его. Вот где вступает партнерский маркетинг. Википедия определяет партнерский маркетинг наилучшим образом: «в котором бизнес вознаграждает одного или нескольких филиалов за каждого посетителя или клиента, привлеченного своими собственными маркетинговыми усилиями партнера». Если вы когда-нибудь задумывались, почему существует 10 миллионов сайтов с URL-адресами, которые представляют собой некоторую комбинацию «VPN» и «Просмотр» или почему каждый сайт от CNet до Wirecutter начал проверять VPN, это из-за аффилированного маркетинга.

Как упоминалось выше, материнская компания PCMag j2 Global только что установила соединение с рынком VPN, купив IPVanish и StrongVPN в прошлом месяце. Как и CNET, Wirecutter, Tech Radar, The Verge и многие другие, PCMag также участвует в программе партнерской торговли. Но наши аналитики (это я) получают зарплату и не получают ни малейшего дохода от наших обзоров. Кроме того, мы намеренно игнорируем деловые отношения между нашими работодателями и поставщиками и придерживаемся строгой политики редакционной честности. Это означает, что я тщательно тестирую VPN, я публикую обзоры с оценками, основанными на реальных результатах тестирования, и это, и мои редакторы подтверждают мои выводы и защищают их, независимо от влияния поставщика. Иногда компании не соглашаются с нашими отзывами, часто это является катализатором для улучшения их продуктов.

Это не обязательно верно для других сайтов, и значительная часть сайтов, посвященных обзору VPN, кажется, является аффилированным маркетингом с сомнительной заботой о редакционной целостности. Размещая оптимизированный для SEO контент, эти сайты переносят взгляды на страницы и получают партнерские деньги.

Чтобы быть ясным: есть хорошие обзоры VPN с сайтов, таких как PCMag, которые полагаются на свою репутацию авторитета. Другие - просто пустые посты, торгующие небрежным анализом, или, что хуже всего, возможно, чисто платная игра. Партнерские программы могут позволить плохое поведение. В случае VPN это усложняет поиск противоречивой информации о конкретном продукте.

Мы недавно почувствовали гниение в этой отрасли, когда мой коллега Майкл Кан исследовал TheBestVPN.com. Этот сайт, возглавляемый человеком с постоянно меняющимся набором имен, настойчиво искал обратные ссылки с других сайтов, чтобы поднять поисковый рейтинг, что, в свою очередь, принесло сайту больше посетителей и больше партнерских долларов. Его усилия были чрезвычайно успешными: он набирал результаты поиска и зарабатывал ссылки даже с PCMag. Теперь мы не знаем, является ли контент, созданный на TheBestVPN (или любом другом его воплощении), фиктивным, но это не выглядит хорошо, если владелец (и, возможно, единственный сотрудник) не может поставить свое имя на работе или защитить его когда мы задаем вопросы.

Доверяй, но проверяй

Потребительская журналистика постоянно сталкивается с этой проблемой. Только поставщик знает, каковы их процессы на самом деле, и это остается верным, если не произойдет утечка информации, не будут задействованы правоохранительные органы или проверены интеллектуальные и заслуживающие доверия третьи стороны. Я думаю, что компании VPN знают это, и это помогло распространению как законных, так и поддельных продуктов VPN.

В моей собственной работе мое решение состояло в том, чтобы напрямую спрашивать VPN-компании об их практике и политике. Конечно, они могут лгать мне (а некоторые, вероятно, делают), но если они должны лгать, то их можно поймать на лжи. То, что нам сейчас нужно, - это средство для этого.

• Лучшие VPN-сервисы на 2019 год Лучшие VPN-сервисы на 2019 год
• Недостатки конфиденциальности в бесплатных приложениях VPN в Google Play Недостатки конфиденциальности в бесплатных приложениях VPN в Google Play
• Как сайт обзора VPN доминирует над поиском Google с мошенниками Как сайт обзора VPN доминирует над поиском Google с мошенниками

Здесь есть возможность для VPN-компаний наладить собственную отрасль. Если основные игроки соберутся вместе, согласятся с набором технических и этических принципов и предоставят методологии для проверки этих принципов, почти все эти проблемы исчезнут. Я думаю, что индустрия приближается к этому будущему, так как все больше и больше компаний нанимают сторонних тестеров для проверки своих продуктов и публичного опубликования результатов.

Пора навести порядок в промышленности

Я боюсь, что неразбериха и суета вокруг VPN сделают рынок неустойчивым. Все компании, особенно охранные, должны полагаться на клиентов, считая, что они хорошие актеры. Их репутация - это их бизнес. Когда клиенты больше не доверяют продукту, они не используют его, а когда они не доверяют отрасли, они отказываются от него. Рассмотрим антивирусные компании еще раз. Злоупотребление практикой и небрежное проектирование в течение 90-х годов привели к тому, что публика с подозрением относится ко всей этой категории продуктов - и это правильно. Когда общественность больше всего нуждалась в защите, отрасль не оправдала этих ожиданий и заплатила высокую цену. Есть еще люди, которые покупают школу заговора «антивирусные компании фактически делают вирусы».

Точно так же, когда VPN-компании прямо или косвенно финансируют фиктивные сайты проверки, создают дезинформацию и полагаются на непрозрачность при продаже своих продуктов, они подрывают доверие потребителей. По мере того, как атмосфера вокруг VPN становится все более токсичной, все больше клиентов будут разочарованы и полностью сдаются. И это позор, потому что в эпоху Интернета всем нужен VPN. Вместо того чтобы стремиться ко дну, индустрия должна набраться сил сейчас, пока не стало слишком поздно.