Securitywatch: backstabbing, desinformatie en slechte journalistiek: de staat van de VPN-industrie

Ik bekijk VPN's voor PCMag, en dat betekent dat ik veel tijd besteed aan het proberen uit te leggen aan mensen dat ik niet echt een betaalde shill ben of actief werk tegen de veiligheid van anderen. Waarom? Omdat de cultuur rond VPN's en hoe sommige van deze producten op de markt worden gebracht, ongelooflijk giftig is geworden.

Laat ik eerst zeggen dat mijn interactie met VPN-leveranciers in grote lijnen positief is geweest. Ik geloof echt dat de meeste leveranciers in de VPN-ruimte echt het beste product maken dat ze kunnen, en proberen het goed te doen door hun klanten. Toch heb ik flitsen van slecht gedrag, groot en klein, in de hele branche gezien.

Vuil vechten

Uit mijn ervaring met VPN's kan ik met zekerheid zeggen dat er bij sommige leveranciers een cultuur van sabotage en paranoia bestaat. Anonieme stortplaatsen met schadelijke informatie over de ene VPN-leverancier krijgen de schuld van een andere VPN-leverancier. Er komen tips binnen die erop wijzen dat het bedrijfseigendom gebonden is aan de Russische maffia of een andere criminele operatie. Commentatoren houden één VPN-beoordelingssite omhoog als een voorbeeld van rechtvaardigheid, terwijl anderen zeggen dat dezelfde site in het geheim wordt beheerd door een VPN-verkoper met een agenda. Wanneer er zoveel desinformatie en contra-desinformatie is (wat ook desinformatie kan zijn), is het onmogelijk om te zeggen wie de waarheid vertelt.

Neil Rubenking werkt al zo lang als ik leef voor PCMag en ik vroeg hem of hij iets soortgelijks had gezien met betrekking tot antivirusproducten. Hij heeft het niet. Die bedrijven sluipen af ​​en toe naar elkaar en worden soms beschuldigd van vals spelen, maar de grote spelers zijn slim genoeg om te beseffen dat de stabiliteit van hun markt als geheel afhangt van hun perceptie als betrouwbare spelers.

Bovendien is er een hele branche om antivirusverkopers verantwoordelijk te houden. De AMTSO (Anti-Malware Testing Standards Organisation), waarvan Rubenking lid is van de Raad van Advies, heeft richtlijnen en hulpmiddelen vrijgegeven zodat iedereen kan verifiëren dat zijn antivirussoftware iets doet. Er is ook een industrie van antivirus testers zoals AV-Test, AV Comparatives en anderen die niet alleen controleren of deze producten werken, maar ook kwantificeren hoe goed ze werken. Andere onderzoekers bieden live-feeds van malware die Rubenking kan gebruiken om zelf te verifiëren dat antivirussoftware daadwerkelijk doet wat het belooft.

Dat soort community bestaat nog niet voor VPN's. Het is ook niet bijzonder eenvoudig om te controleren of VPN's daadwerkelijk iets doen. Hoe kunnen we zien dat een VPN daadwerkelijk voorkomt dat een ISP of een hacker erachter komt wie u bent of uw verkeer onderschept? Hoe kunnen we controleren of alle servers en apps van het bedrijf correct zijn geconfigureerd? Hoe kunnen we er zeker van zijn dat het bedrijf onze gegevens niet verkoopt of advertenties in ons webverkeer injecteert? Zelfs het controleren of een bepaald VPN-product uw verkeer daadwerkelijk codeert, is moeilijk en tijdrovend.

Hier is nog een voorbeeld: eind april publiceerde het register een verhaal over ongewoon verkeer van NordVPN dat eruitzag als botnetverkeer. Het bedrijf heeft verschillende verklaringen gegeven, meestal neerkomend op verwacht gedrag dat is ontworpen om gebruikersactiviteiten te verbergen. Dat is logisch, maar de mogelijkheden om die claim te verifiëren zijn beperkt. Trouwens, hoe weet ik dat de beschuldigingen zelf niet afkomstig zijn van een ander VPN-bedrijf met een agenda? Wanneer vertrouwen wordt aangetast, worden zelfs basisaannames in twijfel getrokken.

Hoe is dit gebeurd?

VPN's zijn niet in het minst nieuw, maar voor het grootste deel van de geregistreerde geschiedenis werden ze gebruikt in een zakelijke context, niet in een consumentencontext. De grote uitzondering waren politieke dissidenten die actief zijn in landen met een restrictief internetbeleid. Toen verschenen er ineens tientallen nieuwe spelers die hun producten harder dan ooit pushten. Deze massale proliferatie en de dubieuze praktijken die daarop volgden, zijn het resultaat van het afstemmen van unieke krachten.

Ten eerste boden streamingdiensten zoals Netflix een aantrekkelijk alternatief voor piraterijfilms en tv-shows. Zodra mensen erachter kwamen dat ze een VPN konden gebruiken om nog meer legale inhoud te ontgrendelen door hun locatie te vervalsen, wilde iedereen er een. Ik heb eigenlijk gegevens om dit te ondersteunen. Volgens de enquêtes van PCMag gebruikt de meerderheid van de mensen een VPN om online toegang te krijgen tot streaming content. Volgens sommigen in de VPN-industrie kan dit de echte reden zijn waarom mensen VPN's kopen, en al het andere is slechts etaleren om het een zekere legitimiteit te geven.

Ten tweede heeft de wereldwijde opkomst van extreemrechtse politiek de interesse gewekt voor VPN's. Mensen op plaatsen die zich meestal geen zorgen maakten over privacy of censuur, hadden plotseling reden om een ​​VPN te krijgen. In de VS heeft met name de ineenstorting van onze regels voor netneutraliteit, internetproviders die inkomsten genereren met gebruikersactiviteiten en een algemene bezorgdheid over bewaking in een wereld na Snowden niet geholpen.

Ten derde, en ten slotte, is geld. Het opstarten van een klein VPN-bedrijf is relatief goedkoop. Dankzij cloudservers en open-source VPN-protocollen is het vrij eenvoudig om een ​​paar servers op te zetten. Verdorie, ik heb mijn eigen VPN gemaakt en het was het werk van misschien 30 minuten. De mijne had nu maar één server en niet de duizenden servers op meerdere locaties die door grote spelers worden aangeboden, maar de lage toetredingsdrempel heeft het voor slechte actoren zeker gemakkelijker gemaakt om de markt te betreden.

Het probleem voor VPN-ondernemers is niet om het product te bouwen, het zorgt ervoor dat mensen het kopen. Dat is waar affiliate marketing van pas komt. Wikipedia definieert affiliate marketing het beste: "waarin een bedrijf een of meer affiliates beloont voor elke bezoeker of klant die wordt gebracht door de eigen marketinginspanningen van de affiliate." met URL's die een combinatie zijn van "VPN" en "Review" of waarom elke site van CNet tot Wirecutter is begonnen met het beoordelen van VPN's, dit komt door affiliate marketing.

Zoals hierboven vermeld, heeft het moederbedrijf van PCMag, j2 Global, net een verbinding tot stand gebracht met de VPN-markt met de aankoop van IPVanish en StrongVPN vorige maand. En net als CNET, Wirecutter, Tech Radar, The Verge en nog veel meer, neemt PCMag zelf ook deel aan een gelieerd handelsprogramma. Maar onze analisten (dat ben ik) zijn in loondienst en ontvangen geen deel van het geld dat door onze beoordelingen wordt gegenereerd. Bovendien zijn we opzettelijk onwetend gehouden over zakelijke afspraken tussen onze werkgevers en leveranciers, en hebben we een strikt beleid van redactionele integriteit. Dat betekent dat ik VPN's uitgebreid test, dat ik beoordelingen publiceer met beoordelingen op basis van werkelijke testresultaten, en dat en mijn redacteuren mijn bevindingen ondersteunen en verdedigen, ongeacht de invloed van leveranciers. Soms zijn bedrijven het niet eens met onze beoordelingen, vaak is het een katalysator voor hen om hun producten te verbeteren.

Dat is niet noodzakelijkerwijs het geval voor andere sites, en een flink deel van de VPN-beoordelingssites lijken aangesloten marketingboerderijen te zijn met twijfelachtige zorgen voor de redactionele integriteit. Door het plaatsen van voor SEO geoptimaliseerde inhoud, brengen deze sites oogappels naar pagina's en harken het gelieerde geld in.

Voor alle duidelijkheid: er zijn goede VPN-beoordelingen van sites als PCMag die vertrouwen op hun reputatie als autoriteit. Andere zijn slechts lege berichten die een slordige analyse uitvoeren, of, het ergste van alles, misschien puur betalen voor spelen. Partnerprogramma's kunnen slecht gedrag mogelijk maken. In het geval van VPN's maakt dit het nog moeilijker om de tegenstrijdige informatie over een bepaald product door te nemen.

We hebben onlangs een vleugje rot binnen deze industrie gekregen toen mijn collega Michael Kan TheBestVPN.com onderzocht. Die site, geleid door een persoon met een steeds veranderende set namen, zocht agressief backlinks van andere sites om de zoekranglijst te verhogen, wat op zijn beurt de site meer bezoekers en meer gelieerde dollars opleverde. Zijn inspanningen waren enorm succesvol, het beklimmen van de zoekresultaten en het verdienen van links, zelfs van PCMag. Nu weten we niet of de op TheBestVPN geproduceerde inhoud (of een van de andere incarnaties) nep is, maar het ziet er niet goed uit als de eigenaar (en misschien enige werknemer) zijn naam niet op het werk kan zetten of het kan verdedigen wanneer we vragen stellen.

Vertrouw maar verifieer

Consumentenjournalistiek kampt dit probleem altijd. Alleen de verkoper weet wat zijn processen echt zijn, en dat blijft zo, tenzij er informatie lekt, de politie handelt of intelligente en betrouwbare derden verifiëren. Ik denk dat VPN-bedrijven dit weten, en het heeft bijgedragen aan de verspreiding van zowel legitieme als nep VPN-producten.

In mijn eigen werk was mijn oplossing om VPN-bedrijven rechtstreeks naar hun praktijken en beleid te vragen. Natuurlijk kunnen ze tegen me liegen (en sommigen waarschijnlijk ook), maar als ze moeten liegen, kunnen ze worden betrapt op liegen. Wat we nu nodig hebben, is een middel om dat te vangen.

• De beste VPN-services voor 2019 De beste VPN-services voor 2019
• Privacyfouten in overvloed in gratis VPN-apps op Google Play Privacyfouten in overvloed in gratis VPN-apps op Google Play
• Hoe een VPN-beoordelingssite Google Search domineert met een zwendel Hoe een VPN-beoordelingssite Google Search domineert met een zwendel

Er is hier een mogelijkheid voor VPN-bedrijven om hun eigen branche te repareren. Als de belangrijkste spelers samen zouden komen, instemden met een reeks technische en ethische principes en methoden zouden verstrekken om die principes te verifiëren, zouden bijna al deze problemen verdwijnen. Ik denk dat de industrie dichter bij deze toekomst komt, omdat steeds meer bedrijven externe testers in dienst nemen om hun producten te controleren en de resultaten openbaar te maken.

Het is tijd om de industrie op te ruimen

Ik vrees dat de verwarring en vitaliteit rond VPN's de markt onhoudbaar zullen maken. Alle bedrijven, maar vooral beveiligingsbedrijven, moeten erop vertrouwen dat klanten geloven dat ze goede actoren zijn. Hun reputatie is hun zaak. Wanneer klanten een product niet langer vertrouwen, gebruiken ze het niet, en wanneer ze een industrie niet vertrouwen, verlaten ze het. Overweeg opnieuw antivirusbedrijven. Misbruik en slordige engineering in de jaren 90 leidden tot een publiek dat deze hele categorie producten wantrouwig achtte - en terecht. Toen het publiek het meest behoefte had aan bescherming, voldeed de industrie niet aan die verwachtingen en betaalde een hoge prijs. Er zijn nog steeds mensen die kopen dat de "antivirusbedrijven maken de virussen" school van samenzwering.

Evenzo, wanneer VPN-bedrijven direct of indirect nep-beoordelingssites financieren, verkeerde informatie genereren en vertrouwen op ondoorzichtigheid om hun producten te verkopen, vergiftigen ze de bron van het consumentenvertrouwen. Naarmate de atmosfeer rond VPN's giftiger wordt, zullen meer klanten gefrustreerd raken en helemaal opgeven. En dat is jammer, want in het internettijdperk heeft iedereen een VPN nodig. In plaats van naar de bodem te racen, moet de industrie nu wat meer weten, voordat het te laat is.