シェアウェアVPNプロバイダーがデータを販売する方法

こんにちは、Habr。

ニュースがあります。無料のVPNはありません。 あなたは常に支払います-広告またはあなた自身のデータを見ることによって。 インターネット上の匿名性の基本的な考え方の謝罪者にとって、後者の支払い方法は特に不快です。 問題は、自分に関する情報を自分で第三者に販売または転送することを決めたことです。



ユーザー同意書はどこにでもありますが、だれが読むのでしょうか？ 2017年の夏、22,000人の英国人が公衆Wi-Fiネットワーク経由でオンラインになって公衆トイレを清掃することに同意しました（ロシアの地下鉄でWi-Fiに接続することで何に同意するのだろうか）。 ベストVPNサービスの非営利プロジェクトは調査を実施し、一部のVPNプロバイダーがユーザーデータを「合法的に」共有することを発見しました。これは、最も人気のあるユーザー契約でもユーザー契約に記載されています。 今日は、その資料の公開からちょうど1年であり、調査の情報が引き続き適切かどうかを確認することにしました。

The Best VPN Servicesの記事によると、一部のVPNサービスは、ユーザーに関する情報をプロバイダー関連の会社または単純に追加料金を支払う会社に転送します。 さらに、多くのサービスはユーザーにお金を稼ぐ方法を教えていないか、それについて不透明です： ここでは、連邦貿易委員会宛てのシェアウェアHotspot Shield Free VPNの動作に関する米国民主主義技術センター（CDT）の苦情を読むことができます。 サービスが独自のプライバシーポリシーに違反し、MACアドレス、IMEI、ワイヤレスネットワークの名前、およびその他のユーザー情報を収集したことが判明しました。 クライアントアプリケーションをリバースエンジニアリングした後、研究者は匿名化に使用できる5つの異なるライブラリを見つけました。

また、 ここでは、科学産業研究機関（CSIRO）がGoogle PlayのVPNアプリケーションについてどのように考えているかを確認できます。それらの84％がトラフィックの漏洩に寄与しています。 シェアウェアVPNサービスのもう1つの機能は、特定の企業のWebサイトへのリンクの配布と侵入型広告です。

VPNデビルとの取引はどのようなものですか？

The Best VPN Servicesの研究者は、個人データを他の企業や人々に販売できる最も人気のあるVPNプロバイダー10をランク付けしました。

• ほら
• ベターネット
• Opera VPN
• ホットスポットシールド
• サイフォン
• オナボプロテクト
• Zpn
• ホックス
• Finchvpn
• TouchVPN

このようなサービスは実際にはもっとたくさんあると想定しています。 しかし、上記のプロバイダーは少なくともそれを隠しません-誰も彼らのユーザー同意書を読みません。

The Best VPN Servicesプロジェクトの最も興味深い「発見」に焦点を当て、3つの最大のVPNプロバイダーを考えてみましょう。 選択した10個のサービスの分析は、2018年5月に公開されたという事実に合わせて調整された調査ページで確認できます。 更新されたデータについて説明します。

Holaと「まともな顧客のみ」へのデータ販売

Holaは、1億5,000万人以上のユーザーを抱えるブラウザベースのVPNです。 同社は「コミュニティがサポートする自由」というアイデアを活用しています。VPNは無料ですが、サービスに追加できます。

2015年の8chanボードに対するDDoS攻撃の後（Habréに記事があります ）、Holaはユーザーのインターネットチャネルを第三者に販売していることが判明しました。特に、ユーザーデータはLuminati商用ネットワークに分類されます。 この情報はインターネットコミュニティで大きな反響を引き起こし、活動家グループがAdiosの WebサイトHola！を作成しました。 拡張機能の脆弱性を非難します。

Holaの公式回答： 「私たちは革新的な企業です。 Skypeもトラフィックを使用しました。 Luminatiは、Torではなく、立派な顧客にのみ販売しています。 誰もが脆弱性を抱えています：Apple iCloud、Snapchat、Skype、Sony、Evernote、Microsoft 。

2018年に関連していたHolaユーザー契約を見てみましょう。



プロバイダーは正直に、その目標を研究、分析、マーケティングと呼びます。 しかし、それは匿名性のようには聞こえません。 新しい契約は次のようになります。

出典： hola.org/legal/privacy （2019）

「品質を向上させる、またはサービスを提供する」ためにデータを収集することは、多くのVPNサービスでよく見られる項目です。 しかし、ここで、プロバイダーは、ユーザーデータを他の企業と共有していることを再び公然と報告しています。 同時に、Holaはユーザーデータを永久に保存します-サービスの動作を保証するために必要な場合に限ります。


出典： hola.org/legal/privacy （2019）

以前は、プロバイダーはユーザー情報がLuminati商用ネットワークに入るという事実を隠していませんでした。 つまり、コンピューターへのアクセスは、それを支払う人に販売されていました。 Holaが今日同様のことを行っているかどうかはわかりません。プライバシーの表現は今ではかなりあいまいです。

古いプライバシーポリシーの抜粋を次に示します。


出典： hola.org/legal/privacy （2018）。 現在、Holaにはそのような情報はありません

Holaを獲得する方法：

• プロバイダーは、お客様の個人情報を第三者に転送する場合があります。
• プロバイダーは、ユーザーのデバイスをホストとして使用し、VPNを使用するまでアクセスします（個人情報を安全に保ち、ルーターとしてのみガジェットを使用することを約束します）。

ホラによると、実際には、第三者に情報を送信しません。 彼らは企業や企業が使用する有料版を持っています。 彼らは「ネットワークの利益のために、使用されていないときはコンピューターのリソースのごく一部を使用します（そのため、速度を落とすことはありません）」 。


ソース： hola.org/faq

Betternetとブラウザーの履歴の流出

Betternetは、無料バージョンとプレミアムバージョンを備えた3800万人以上のユーザーを持つもう1つの主要なVPNサービスです。 公式ウェブサイトで、プロバイダーはどこからお金を得るのかという質問に正直に答えようとしています。ユーザーはサードパーティのパートナーアプリケーションをインストールし、広告ビデオを見るように招待されています。 または、サブスクリプションを購入して「最高レベルのサービス」を取得してください。 これは、あなたのデータが売れないということですか？ いいえ、そうです。

「あなたの場所を（都市レベルで）共有できます」...

出典： www.betternet.co/privacy-policy

CSIROは、Betternetにはユーザーデータを含む大規模なライブラリがあることも指摘しました。 2018年、彼らのプライバシーポリシーは異なって見えました：Betternetは、広告主がユーザーのブラウザー履歴にアクセスできると述べました。


過去のプライバシーポリシー（2018）のスクリーンショット

Betternetが今日のユーザーに利益をもたらす方法：

• 広告主は、ユーザーのおおよその位置（都市レベル）にアクセスできます。
• ディスプレイ広告。

OperaのVPNゴースト

正直で無料のVPNは、Operaブラウザを普及させる素晴らしい方法です。 2018年の春に、Opera VPNモバイルアプリケーションは作業の終了を発表し、以前のサイトは利用できなくなりました。 しかし、2016年以降のOperaの無料VPNはどこにも行きませんでした。 同時に、サイトで見つけられるプライバシーポリシーはすべての製品で同じです。Operaは個人データを収集できます。 マーケティングキャンペーンを含む。 プライバシーポリシーにより、プロバイダーは情報を第三者に提供し、データを追跡できます。


出典： www.opera.com/privacy

「Operaアプリケーションをインストールすると、ランダムなインストール識別子が生成されます。 この識別子、およびデバイスの識別子とハードウェアの仕様、オペレーティングシステムと環境の構成、機能の使用に関するデータを収集する場合があります。 特定の合法的なビジネス目的でこの情報を使用します。

• ユーザーがアプリケーションやサービスとどのようにやり取りするかをよりよく理解するため
• 当社のアプリケーションおよびサービスを変更、パーソナライズ、または改善するため。
• 広告キャンペーンと広告の有効性を判断します。
• アプリケーションとサービスのクラッシュを検出、デバッグ、修正します。
• セキュリティ違反と悪用を防ぐため。

この情報は、製品とサービスの改善に役立ちます。 この情報を使用して個人を特定する実用的な方法はありません。 このデータは最大3年間保存できます...」


出典： www.opera.com/privacy

ポーランドの研究者Mikhail Shpachek は 、これはVPNではなく、最も一般的なプロキシであると考えています。 ShpachekはGitHubに証拠を投稿しました。彼のコメントは次のとおりです。

「このOpera VPNは基本的に再構成されたHTTP / Sプロキシであり、Operaとプロキシ間のトラフィックのみを保護します。 これはVPNではありません。 設定では、彼ら自身がこの機能を「保護されたプロキシ」と呼んでいます（もちろん、VPNと呼んでいます）。

ブラウザ開発者の答え：

「VPNを「ブラウザVPN」と呼びます。」 内部的には、このソリューションは、すべてのブラウザートラフィックが適切に暗号化されて通過する世界のさまざまな地域で動作するプロキシを保護しています。 [当社のソリューション]は、システムVPNなどの他のアプリケーションのトラフィックには対応していませんが、最終的にはブラウザーVPNに過ぎません。」

Operaがあなたに利益をもたらす方法：

• あなたに関する情報を商業パートナーに提供する。
• あなたに関する情報を追跡する許可（商業ベース）。

RosKom SvobodaのテクニカルディレクターStanislav Shakirovによるコメント：

「メタデータを収集してマーケティング代理店に販売することは、VPNだけでなく、多くのインターネットサービスの標準的な慣行です。 多くの場合、これはユーザー同意書に記載されていますが、通常は誰も読みません。 VPNサービスに関しては、そうでないものを選択することはもちろん良いことです。匿名化されているにもかかわらず情報がどのように処理されるかはわかりません。それから、ユーザーに害を及ぼす可能性のある結論を引き出すこともできるからです。

VPNは、特定の管轄区域内で運営されるビジネスです。 したがって、はい、ユーザー契約でこれをユーザーに通知することによりデータを収集および送信することは絶対に合法です。 ユーザー契約でこれについて何も言われていない場合、VPNプロバイダーは第三者に何かを譲渡する権利を持ちません。 しかし、それは事実上のものである-それは知られていない：それが無料である場合、サービスも何かに住んでいる必要があります。

私たちがサービスを使い始めるとき、それがどのようにお金を稼ぐかについてすぐに考えるほうが良いです。 サービスが無料でメタデータを販売しない場合、おそらく広告を挿入するか、ログイン、パスワード、銀行カードデータなどの機密データを傍受します。 大規模でまともなVPNサービスは無料のプロモーション料金を設定しますが、通常は速度やトラフィックが制限されています。 また、サービス自体の仕組みを理解する必要もあります。 無料のVPNを提供したと思われるHolaプラグインに関する不愉快な話を思い出してください。しかし、プラグインを使用すると、他のユーザーがコンピューターからネットワークにアクセスできることがわかりました。 ネットワーク上のそのような人物の行動が違法である場合、警察はコンピューターの所有者のところに行きます。」

エピローグの代わりに

私たちの長年の個人的な経験に基づいて、責任を持って宣言できます。所有者にとって、私たち自身のVPNサービスは非常に高価です。 プロバイダーは支払う必要があります：

1. さまざまな国のサーバーのネットワークのメンテナンス。
2. トラフィック。このようなサービスでは、膨大な量のユーザーが消費するため、無料で無制限になりません。
3. 24時間のテクニカルサポート、監視、ソフトウェア開発。

これには、ユーザーサポート、開発資金、または少なくとも何らかの広告は含まれません。

利他的根拠に基づいて、多くの質問の下で私たちの宇宙でそのようなサービスの存在。 これらの所有者は何のためですか？ 費用を相殺するためにどのような資金が使用されていますか？ その見返りとして、ユーザーから何が求められますか？ これらの質問は、無料のVPNサービスだけでなく、インターネット上の他のシェアウェアサービスにも質問すると便利です。 特に、ユーザーの機密データを扱うもの。