Vigilancia de seguridad: puñaladas por la espalda, desinformación y mal periodismo: el estado de la industria vpn

Reviso las VPN para PCMag, y eso significa que paso mucho tiempo tratando de explicarles a las personas que en realidad no soy un miembro pagado o que trabajo activamente contra la seguridad de los demás. ¿Por qué? Porque la cultura en torno a las VPN y cómo se comercializan algunos de estos productos se ha vuelto increíblemente tóxica.

Permítanme decir primero que, en términos generales, mis interacciones con los proveedores de VPN han sido positivas. Realmente creo que la mayoría de los proveedores en el espacio de VPN realmente están haciendo el mejor producto que pueden y están tratando de hacer lo correcto por sus clientes. Sin embargo, he visto destellos de mal comportamiento, grandes y pequeños, en toda la industria.

Luchando sucio

Desde mi experiencia trabajando con VPN, puedo decir con certeza que hay una cultura de sabotaje y paranoia entre algunos proveedores. Las descargas anónimas de información condenatoria sobre un proveedor de VPN se atribuyen a otro proveedor de VPN. Llegan consejos que sugieren que la propiedad corporativa está vinculada a la mafia rusa u otra operación criminal. Los comentaristas sostienen un sitio de revisión de VPN como un ejemplo de rectitud, mientras que otros dicen que el mismo sitio es administrado en secreto por un proveedor de VPN con una agenda. Cuando hay tanta desinformación y contra-desinformación (que también puede ser desinformación) es imposible saber quién dice la verdad.

Neil Rubenking ha estado trabajando para PCMag durante el tiempo que he estado vivo, y le pregunté si había visto algo similar que cubriera los productos antivirus. El no lo ha hecho. Esas compañías ocasionalmente se atacan entre sí, y a veces son acusadas de hacer trampa, pero los principales jugadores son lo suficientemente inteligentes como para darse cuenta de que la estabilidad de su mercado en su conjunto depende de su percepción como jugadores confiables.

Además, hay toda una industria de responsabilizar a los proveedores de antivirus. La AMTSO (Organización de Estándares de Pruebas Anti-Malware), de la cual Rubenking es miembro de la Junta Asesora, ha establecido pautas y ha lanzado herramientas para que cualquiera pueda verificar que su software antivirus hace algo . También hay una industria de probadores de antivirus como AV-Test, AV Comparatives y otros que no solo verifican que estos productos funcionan, sino que realmente cuantifican qué tan bien funcionan. Otros investigadores proporcionan transmisiones en vivo de malware que Rubenking puede usar para verificar por sí mismo que el software antivirus realmente hace lo que promete.

Ese tipo de comunidad aún no existe para las VPN. Tampoco es particularmente fácil verificar si las VPN realmente están haciendo algo. ¿Cómo podemos saber que una VPN realmente impide que un ISP o un hacker descubra quién es usted o intercepte su tráfico? ¿Cómo podemos verificar que todos y cada uno de los servidores y aplicaciones de la compañía estén configurados correctamente? ¿Cómo podemos estar seguros de que la empresa no está vendiendo nuestros datos o inyectando anuncios en nuestro tráfico web? Incluso verificar que un determinado producto VPN realmente esté encriptando su tráfico es difícil y requiere mucho tiempo.

Aquí hay otro ejemplo: a fines de abril, el Registro publicó una historia sobre tráfico inusual proveniente de NordVPN que parecía tráfico de botnet. La compañía ha proporcionado varias explicaciones, principalmente reduciéndose a comportamientos esperados diseñados para ocultar las actividades de los usuarios. Eso tiene sentido, pero las opciones para verificar ese reclamo son limitadas. Además, ¿cómo sé que las acusaciones en sí mismas no provienen de otra compañía de VPN con una agenda? Cuando la confianza se erosiona, incluso los supuestos básicos se cuestionan.

¿Cómo pasó esto?

Las VPN no son nuevas en lo más mínimo, pero durante la mayor parte de la historia registrada se utilizaron en un contexto corporativo, no de consumo. La gran excepción fueron los disidentes políticos que operaban en países con políticas restrictivas de internet. Entonces, de repente, aparecieron docenas de nuevos jugadores y empujaron sus productos con más fuerza que nunca. Esta proliferación masiva, y las prácticas cuestionables que siguieron, son el resultado de la alineación de fuerzas únicas.

Primero, los servicios de transmisión como Netflix ofrecían una alternativa convincente a piratear películas y programas de televisión. Una vez que las personas descubrieron que podían usar una VPN para desbloquear aún más contenido legal al falsificar su ubicación, todos querían una. De hecho, tengo datos para respaldar esto. Según las encuestas de PCMag, la mayoría de las personas están utilizando una VPN para acceder al contenido de transmisión en línea. Según algunos en la industria de VPN, esta puede ser la verdadera razón por la cual las personas compran VPN, y todo lo demás es solo escaparatismo para darle un aire de legitimidad.

En segundo lugar, el aumento global de la política de extrema derecha ha estimulado el interés en las VPN. Las personas en lugares que generalmente no estaban preocupados por la privacidad o la censura de repente tenían razones para obtener una VPN. En los Estados Unidos, específicamente, el colapso de nuestras reglas de neutralidad de la red, los ISP que monetizan la actividad de los usuarios y una preocupación generalizada sobre la vigilancia en un mundo posterior a Snowden no han ayudado.

Tercero, y finalmente, es dinero. Iniciar una pequeña empresa VPN es comparablemente barato. Gracias a los servidores en la nube y los protocolos VPN de código abierto, activar algunos servidores es bastante fácil. Demonios, hice mi propia VPN y fue el trabajo de quizás 30 minutos. Ahora, el mío tenía solo un servidor y no los miles de servidores en múltiples ubicaciones ofrecidos por los principales actores, pero la baja barrera de entrada ciertamente ha facilitado la entrada de los malos actores en el mercado.

El problema para los empresarios de VPN no es construir el producto, es hacer que la gente lo compre. Ahí es donde entra en juego el marketing de afiliación. Wikipedia define el marketing de afiliación como el mejor: "en el que una empresa recompensa a uno o más afiliados por cada visitante o cliente aportados por los propios esfuerzos de marketing del afiliado". Si alguna vez se ha preguntado por qué hay 10 millones de sitios con URL que son una combinación de "VPN" y "Revisión" o por qué todos los sitios, desde CNet a Wirecutter, han comenzado a revisar las VPN, se debe al marketing de afiliación.

Como se mencionó anteriormente, la empresa matriz de PCMag j2 Global acaba de establecer una conexión con el mercado VPN con la compra de IPVanish y StrongVPN el mes pasado. Y al igual que CNET, Wirecutter, Tech Radar, The Verge y muchos más, PCMag también participa en un programa de comercio afiliado. Pero nuestros analistas (ese soy yo) son asalariados y no reciben una parte del dinero generado por nuestras reseñas. Además, ignoramos intencionalmente los acuerdos comerciales entre nuestros empleadores y proveedores, y tenemos una estricta política de integridad editorial. Eso significa que pruebo las VPN ampliamente, publico reseñas con calificaciones basadas en los resultados reales de las pruebas, y eso y mis editores respaldan mis hallazgos y los defienden, independientemente de la influencia del proveedor. A veces, las empresas no están de acuerdo con nuestras revisiones, a menudo es un catalizador para que mejoren sus productos.

Eso no es necesariamente cierto para otros sitios, y una buena parte de los sitios de revisión de VPN parecen ser granjas de marketing de afiliación con preocupaciones cuestionables por la integridad editorial. Al publicar contenido optimizado para SEO, estos sitios transportan globos oculares a las páginas y obtienen el dinero de los afiliados.

Para ser claros: hay buenas revisiones de VPN en sitios como PCMag que dependen de su reputación de autoridad. Otros son solo publicaciones vacías que venden análisis descuidado o, lo que es peor, quizás solo pago por juego. Los programas de afiliados pueden permitir el mal comportamiento. En el caso de las VPN, esto hace que sea aún más difícil examinar la información conflictiva sobre un producto determinado.

Hace poco olfateamos la podredumbre dentro de esta industria cuando mi colega Michael Kan investigó TheBestVPN.com. Ese sitio, encabezado por un individuo con un conjunto de nombres en constante cambio, buscó agresivamente vínculos de retroceso de otros sitios para subir en la clasificación de búsqueda, lo que a su vez le dio al sitio más visitantes y más dólares de afiliados. Sus esfuerzos fueron enormemente exitosos, escalando los resultados de búsqueda y ganando enlaces incluso desde PCMag. Ahora, no sabemos si el contenido producido en TheBestVPN (o cualquiera de sus otras encarnaciones) es falso, pero no se ve bien si el propietario (y quizás el único empleado) no puede poner su nombre en el trabajo o defenderlo cuando hacemos preguntas

Confiar pero verificar

El periodismo del consumidor enfrenta este problema todo el tiempo. Solo el proveedor sabe cuáles son realmente sus procesos, y eso sigue siendo cierto a menos que se filtre la información, se involucre la aplicación de la ley o se verifiquen terceros inteligentes y confiables. Creo que las compañías de VPN lo saben, y ha ayudado a la proliferación de productos VPN legítimos y falsos.

En mi propio trabajo, mi solución ha sido preguntar directamente a las compañías VPN sobre sus prácticas y políticas. Claro, pueden mentirme (y algunos probablemente lo hagan), pero si tienen que mentir, pueden ser atrapados mintiendo. Lo que necesitamos ahora es un medio para hacer esa captura.

• Los mejores servicios de VPN para 2019 Los mejores servicios de VPN para 2019
• Fallas de privacidad abundan en aplicaciones VPN gratuitas en Google Play Fallas de privacidad abundan en aplicaciones VPN gratuitas en Google Play
• Cómo un sitio de revisión de VPN domina la búsqueda de Google con una estafa Cómo un sitio de revisión de VPN domina la búsqueda de Google con una estafa

Aquí hay una oportunidad para que las compañías de VPN arreglen su propia industria. Si los principales actores se unieran, acordaran un conjunto de principios técnicos y éticos, y proporcionaran metodologías para verificar esos principios, casi todos estos problemas desaparecerían. Creo que la industria se está acercando cada vez más a este futuro, ya que cada vez más empresas emplean probadores externos para auditar sus productos y publicar públicamente los resultados.

Es hora de limpiar la industria

Me temo que la confusión y el vitriolo que rodea a las VPN harán que el mercado sea insostenible. Todas las empresas, pero especialmente las empresas de seguridad, tienen que confiar en que los clientes creen que son buenos actores. Sus reputaciones son su negocio. Cuando los clientes ya no confían en un producto, no lo usan, y cuando no confían en una industria, lo abandonan. Considere las compañías antivirus nuevamente. Las prácticas abusivas y la ingeniería descuidada durante los años 90 llevaron a un público que sospechaba de toda esta categoría de productos, y con razón. Cuando el público necesitaba más protección, la industria no cumplió con esas expectativas y pagó un alto precio. Todavía hay personas por ahí que compran la escuela de conspiración "las compañías antivirus realmente fabrican los virus".

Del mismo modo, cuando las compañías VPN financian directa o indirectamente sitios de revisión falsos, generan información errónea y confían en la opacidad para vender sus productos, envenenan el pozo de la confianza del consumidor. A medida que la atmósfera alrededor de las VPN se vuelve más tóxica, más clientes se sentirán frustrados y se rendirán por completo. Y es una pena, porque en la era de Internet, todos necesitan una VPN. En lugar de correr hacia el fondo, la industria necesita mejorar ahora, antes de que sea demasiado tarde.