Säkerhetsklocka: backstabbing, desinformation och dålig journalistik: Vpn-branschens tillstånd

Jag granskar VPN: er för PCMag, och det innebär att jag tillbringar mycket tid på att försöka förklara för människor att jag egentligen inte är en betald shill eller aktivt arbetar mot andras säkerhet. Varför? Eftersom kulturen kring VPN och hur några av dessa produkter marknadsförs har blivit otroligt giftig.

Låt mig först säga att mina interaktioner med VPN-leverantörer i stort sett har varit positiva. Jag tror verkligen att de flesta leverantörer i VPN-utrymmet verkligen gör den bästa produkten de kan och försöker göra rätt av sina kunder. Ändå har jag sett blinkar av dåligt beteende, stora och små, i hela branschen.

Fighting Dirty

Av min erfarenhet av att arbeta med VPN kan jag säga med säkerhet att det finns en kultur för sabotage och paranoia bland vissa leverantörer. Anonyma dumpar av fördömande information om en VPN-leverantör får skylden på en annan VPN-leverantör. Tips kommer in som antyder att företagets äganderätt är knutet till den ryska mafiaen eller annan kriminell operation. Kommentatorer håller upp en VPN-granskningswebbplats som ett exempel på rätthet, medan andra säger att samma webbplats i hemlighet drivs av en VPN-leverantör med en agenda. När det finns så mycket desinformation och motdisinformation (vilket också kan vara desinformation) är det omöjligt att säga vem som säger sanningen.

Neil Rubenking har jobbat för PCMag så länge jag har levt, och jag frågade honom om han hade sett något liknande som täcker antivirusprodukter. Det har han inte. Dessa företag snäpp ibland åt varandra och anklagas ibland för att fuska, men de stora aktörerna är tillräckligt smarta för att inse att deras marknadsstabilitet som helhet beror på deras uppfattning som pålitliga spelare.

Dessutom finns det en hel bransch med att hålla antivirusleverantörer ansvariga. AMTSO (Anti-Malware Testing Standards Organization), som Rubenking är medlem av Advisory Board, har fastställt riktlinjer och släppt verktyg så att alla kan verifiera att deras antivirusprogram gör något . Det finns också en bransch av antivirus-testare som AV-Test, AV Comparatives och andra som inte bara verifierar att dessa produkter fungerar utan faktiskt beräknar hur bra de fungerar. Andra forskare tillhandahåller levande flöden av skadlig programvara som Rubenking kan använda för att verifiera på egen hand att antivirusprogramvara faktiskt gör det det lovar.

Den typen av community finns ännu inte för VPN: er. Det är inte heller särskilt lätt att verifiera om VPN: er verkligen gör någonting. Hur kan vi säga att en VPN faktiskt förhindrar en internetleverantör eller en hacker från att ta reda på vem du är eller avlyssna din trafik? Hur kan vi verifiera att alla företagets servrar och appar är korrekt konfigurerade? Hur kan vi vara säkra på att företaget inte säljer våra data eller injicerar annonser i vår webbtrafik? Även att kontrollera att en given VPN-produkt verkligen krypterar din trafik är svårt och tidskrävande.

Här är ytterligare ett exempel: I slutet av april körde registeret en berättelse om ovanlig trafik från NordVPN som såg ut som botnet-trafik. Företaget har tillhandahållit olika förklaringar, mestadels kokt ner till att det förväntas beteende utformat för att dölja användaraktiviteter. Det är meningsfullt, men alternativen för att verifiera detta påstående är begränsade. Hur vet jag dessutom att anklagelserna i sig inte kommer från ett annat VPN-företag med en agenda? När förtroendet försvinner ifrågasätts även grundläggande antaganden.

Hur hände det här?

VPN: er är inte nya i det minsta, men för de flesta av inspelade historia användes de i företagssammanhang, inte en konsument. Det stora undantaget var politiska dissidenter som verkade i länder med restriktiv internetpolitik. Då plötsligt dök upp dussintals nya spelare och pressade sina produkter hårdare än någonsin. Denna massförökning och de tvivelaktiga praxis som följde är resultatet av unika krafter som anpassas.

Först erbjöd streamingtjänster som Netflix ett övertygande alternativ till piratkopiering av filmer och TV-program. När människor fick reda på att de kunde använda ett VPN för att låsa upp ännu mer legal-ish innehåll genom att förfalska sin plats, ville alla ha ett. Jag har faktiskt data för att säkerhetskopiera detta. Enligt PCMags undersökningar använder majoriteten av människor ett VPN för att få tillgång till strömmande innehåll online. Enligt vissa i VPN-branschen kan detta vara den verkliga anledningen till att människor köper VPN: er, och allt annat är bara fönsterförband för att ge det en legitimitet.

För det andra har den globala ökningen av högerpolitiken väckt intresse för VPN. Människor på platser som vanligtvis inte var oroliga för sekretess eller censur hade plötsligt skäl att få ett VPN. Speciellt i USA har inte kollapsen av våra regler för nettneutralitet, ISP: er som tjänar pengar på användaraktivitet och en allmän oro över övervakning i en värld efter Snowden-världen inte hjälpt.

För det tredje är det slutligen pengar. Att starta ett litet VPN-företag är jämförbart billigt. Tack vare molnservrar och open source VPN-protokoll är det ganska enkelt att spinna upp några servrar. Helvete, jag skapade min egen VPN och det var arbetet på kanske 30 minuter. Nu hade mina bara en server och inte de tusentals servrar på flera platser som erbjuds av stora spelare, men den låga barriären för inträde har säkert gjort det lättare för dåliga aktörer att komma in på marknaden.

Problemet för VPN-företagare bygger inte produkten utan det får människor att köpa den. Det är där affiliate-marknadsföring kommer in. Wikipedia definierar affiliate-marknadsföring som bäst: "där ett företag belönar ett eller flera dotterbolag för varje besökare eller kund som kommer med filialens egna marknadsföringsinsatser." Om du någonsin undrat varför det finns 10 miljoner webbplatser med webbadresser som är en kombination av "VPN" och "Review" eller varför varje webbplats från CNet till Wirecutter har börjat granska VPN: er, det är på grund av affiliate-marknadsföring.

Som nämnts ovan etablerade PCMags moderföretag j2 Global just en anslutning till VPN-marknaden med köpet av IPVanish och StrongVPN förra månaden. Och precis som CNET, Wirecutter, Tech Radar, The Verge och många fler, deltar PCMag själv också i ett affiliate-program. Men våra analytiker (det är jag) är tjänstemän och får inte en nedskärning av några pengar som genereras av våra recensioner. Dessutom hålls vi medvetet okunniga om affärsarrangemang mellan våra arbetsgivare och leverantörer och har en strikt policy för redaktionell integritet. Det betyder att jag testar VPN: s omfattande, jag publicerar recensioner med betyg baserat på faktiska testresultat, och att och mina redaktörer stöder mina resultat och försvarar dem, oavsett leverantörens inflytande. Ibland håller företag inte med om våra recensioner, ofta är det en katalysator för dem att förbättra sina produkter.

Det är inte nödvändigtvis sant för andra webbplatser, och en bra bit av VPN-granskningswebbplatserna verkar vara anslutna marknadsföringsgårdar med tvivelaktiga oro för redaktionell integritet. Genom att publicera SEO-optimerat innehåll skyttlar dessa sidor ögonbollar till sidor och skakar in affiliate-kontanter.

För att vara tydlig: det finns bra VPN-recensioner där ute från webbplatser som PCMag som litar på deras rykte för myndighet. Andra är bara tomma inlägg som trasslar slurviga analyser, eller värst av allt, kanske rent betal-för-spel. Affiliate-program kan aktivera dåligt beteende. När det gäller VPN: er gör det det ännu svårare att söka igenom den motstridiga informationen om en viss produkt.

Vi fick en kvist av råtta i den här branschen nyligen när min kollega Michael Kan undersökte TheBestVPN.com. Den sajten, leds av en person med en ständigt skiftande uppsättning namn, sökte aggressivt bakåtlänkar från andra webbplatser för att flytta upp sökrankingen, vilket i sin tur fick platsen fler besökare och fler affiliate-dollar. Hans ansträngningar var enormt framgångsrika, klättrade på sökresultaten och tjänade länkar även från PCMag. Nu vet vi inte om innehållet som produceras på TheBestVPN (eller någon av dess andra inkarnationer) är falskt, men det ser inte bra ut om ägaren (och kanske ensam anställd) inte kan sätta sitt namn på arbetet eller försvara det när vi ställer frågor.

Lita på men verifiera

Konsumentjournalistik står inför detta problem hela tiden. Endast säljaren vet vad deras processer egentligen är, och det förblir sant såvida inte information läcker, brottsbekämpning involveras eller intelligenta och pålitliga tredje parter verifierar. Jag tror att VPN-företag vet detta och det har hjälpt till att sprida både legitima och falska VPN-produkter.

I mitt eget arbete har min lösning varit att direkt fråga VPN-företag om deras praxis och policy. Visst, de kan ljuga för mig (och vissa gör det förmodligen), men om de måste ljuga kan de fångas ljuga. Det vi behöver nu är ett sätt att göra det.

• De bästa VPN-tjänsterna för 2019 De bästa VPN-tjänsterna för 2019
• Integritetsfel som ingår i gratis VPN-appar på Google Play Sekretessfel som ingår i gratis VPN-appar på Google Play
• Hur en VPN-granskningsplats dominerar Googles sökning med en bedrägeri Hur en VPN-granskningswebbplats dominerar Googles sökning med en bedrägeri

Det finns en möjlighet för VPN-företag att fixa sin egen bransch. Om de stora aktörerna samlades, gick med på en uppsättning tekniska och etiska principer och tillhandahöll metoder för att verifiera dessa principer, skulle nästan alla dessa problem försvinna. Jag tror att industrin tappar närmare denna framtid, eftersom fler och fler företag använder tredjeparts-testare för att granska sina produkter och offentliggöra resultaten.

Det är dags att städa upp branschen

Jag är rädd att förvirringen och vitriol kring VPN kommer att göra marknaden ohållbar. Alla företag, men särskilt säkerhetsföretag, måste lita på att kunderna tror att de är bra aktörer. Deras rykte är deras verksamhet. När kunder inte längre litar på en produkt, använder de inte den, och när de inte litar på en bransch, överger de den. Överväg antivirusföretag igen. Missbruk och slarvig teknik under 90-talet ledde till en allmänhet som var misstänksam för hela denna produktkategori - och med rätta. När allmänheten behövde mest skydd misslyckades branschen att uppfylla dessa förväntningar och betalade ett tungt pris. Det finns fortfarande människor där ute som köper "antivirusföretag gör faktiskt virusen" -skolan för konspiration.

På samma sätt när VPN-företag direkt eller indirekt finansierar falska granskningswebbplatser, genererar felinformation och förlitar sig på opacitet för att sälja sina produkter, förgiftar de brunnen för konsumenternas förtroende. Allteftersom atmosfären kring VPN blir giftigare kommer fler kunder att bli frustrerade och ge upp helt. Och det är synd, för i internetåldern behöver alla en VPN. I stället för ras till botten måste branschen klara sig nu innan det är för sent.