Спрашивать «бесплатный VPN опасен или нет» — это то же самое, что спрашивать «безопасна ли бесплатная почта». Честный ответ: всё зависит от бизнес-модели. Одни бесплатные VPN — это сэмпл платного продукта. Другие — продукт слежки, к которому прикрутили VPN-функцию. В магазине приложений эти два сорта неотличимы.
Почему слово «бесплатно» должно настораживать
Каждый сервис стоит денег в эксплуатации. Серверы стоят денег. Трафик стоит денег. Инженеры стоят денег. Когда вы ничего не платите за продукт, вы либо получаете субсидированный образец — либо сами являетесь продуктом. Это не циничная точка зрения, это просто бухгалтерия.
Бесплатные VPN делятся на три бизнес-модели, и только одна из них действительно создана для защиты вас.
Сэмпл с ограничением (loss-leader). Платный VPN-сервис раздаёт небольшой бесплатный уровень, чтобы дать пользователям оценить продукт до того, как платить. Бесплатный продукт — настоящий образец: те же серверы, то же программное обеспечение, те же свойства приватности, что и у платного уровня, но с ограничением — обычно по объёму данных, по числу устройств или по набору серверных локаций. Ограничение говорит пользователю: «это вкус, а не весь продукт», и одновременно контролирует расходы на инфраструктуру. Экономика работает потому, что платные подписчики финансируют сервис; бесплатный уровень существует, чтобы превращать кандидатов в клиентов. Эта модель прозрачна и честна — компания зарабатывает на подписках, а не на пользовательских данных. Бесплатный уровень Proton VPN и план ORION/VPN на 10 ГБ/месяц относятся именно к этой категории. VPN, работающий по этой модели, архитектурно идентичен своей платной версии; ограничение — в количестве, а не в качестве.
Брокер данных. Эта модель и дала «бесплатным VPN» плохую репутацию. VPN логирует ваш трафик и монетизирует его — историю браузинга, паттерны использования приложений, иногда идентификаторы устройств или фрагменты учётных данных. Независимые исследования и аудиты безопасности неоднократно документировали, как бесплатные VPN-приложения собирают именно тот трафик, который должны защищать, и продают его брокерам данных, рекламным сетям или аналитическим компаниям. Пользователь платит не деньгами, а наблюдением. Ирония здесь точная: вы устанавливаете инструмент приватности, а инструмент приватности и есть нарушение приватности. Пользовательский опыт при этом нередко неотличим от легитимного VPN. Скорость соединения нормальная. Приложение выглядит аккуратно. Ущерб происходит в фоне, недоступными для наблюдения способами.
Транспортное средство для малвари. VPN используется как маркетинговая обёртка, чтобы установить опасный кусок программного обеспечения. Приложение может маршрутизировать часть трафика через сервер — достаточно, чтобы казаться рабочим, — и одновременно запускать скрипты кликфрода, включать устройство в ботнет, внедрять рекламу в браузерные сессии или устанавливать дополнительные полезные нагрузки. Исследования магазинов приложений обнаруживали VPN-приложения, оказывавшиеся рекламным ПО, шпионским ПО или похитителями учётных данных. Это не случаи с малоизвестных платформ: значительная доля топовых бесплатных VPN-приложений в крупных магазинах в разное время была помечена в академических и профессиональных исследованиях безопасности.
Смысл этой типологии не в том, что все бесплатные VPN плохи. Важна модель. Один и тот же вопрос — «кто платит за это?» — определяет, является ли бесплатный VPN разумным инструментом или ловушкой. Если ответ «платные подписчики субсидируют бесплатный уровень» — вы, скорее всего, в порядке. Если ответ нигде не виден — это само по себе ответ.
Пять красных флагов любого бесплатного VPN
Это не теоретические риски. Каждый из них неоднократно встречается в задокументированных случаях VPN, пойманных на продаже данных, распространении малвари или лжи о свойствах приватности. Если рассматриваемый вами бесплатный VPN попадает под два и более пункта — закройте вкладку.
-
Нет опубликованной политики конфиденциальности — или она говорит о «возможной передаче данных партнёрам». Легитимный VPN имеет конкретную, читаемую политику конфиденциальности, в которой прямо сказано, какие логи хранятся (в идеале — никаких, кроме метаданных соединения для предотвращения злоупотреблений), где расположены серверы и кто управляет сервисом. Политика, в которой данные «могут быть переданы доверенным партнёрам» или «сторонним поставщикам услуг» — это завуалированное признание в продаже ваших данных, сформулированное достаточно размыто, чтобы выдержать юридическую проверку. Полное отсутствие политики — ещё хуже. Политики конфиденциальности не гарантируют поведения, но конкретная политика в сочетании с независимым аудитом создаёт подотчётность, которой у размытых или отсутствующих формулировок нет.
-
Непрозрачное владение. Вы не можете найти, кто управляет компанией. Домен зарегистрирован через прокси-сервис приватности. На странице «О нас» — стоковые фотографии и шаблонный текст. Адрес компании ведёт в пункт переадресации почты. Ситуации, когда бесплатный VPN опасен, концентрируются именно в сервисах, где операционная структура намеренно скрыта — нередко потому, что стоящая за ними компания имеет историю продуктов, закрытых за нарушения приватности, или потому что реальный выгодоприобретатель сбора данных находится в другой юрисдикции, нежели номинальная компания. Прозрачность корпоративного владения сама по себе слабый сигнал, но его непрозрачность — сильный негативный сигнал.
-
Всё безлимитно и бесплатно. Безлимитный трафик. Безлимитные устройства. Все серверные локации. Всё это — бесплатно, бессрочно. Если VPN-компания предоставляет безлимитный сервис пользователям, которые ничего не платят, и при этом сервис не финансируется пожертвованиями, а платного уровня не существует, — инфраструктура должна оплачиваться как-то. Разрыв между «стоимостью эксплуатации» и «тем, что платят пользователи» восполняется чем-то. Почти всегда — монетизацией пользовательских данных, внедрением рекламы в трафик или использованием устройств пользователей в более широкой коммерческой операции (маршрутизация чужого трафика через ваше устройство — распространённый пример). Честное ограничение — лимит по трафику, по устройствам, по регионам — признак того, что компания управляет реальными инфраструктурными расходами. Отсутствие любого ограничения — признак того, что компания ими вообще не управляет, потому что возмещает их иначе.
-
Избыточные разрешения при установке. VPN нужно разрешение создавать сетевой интерфейс. Это всё. Ему не нужен доступ к контактам, SMS-сообщениям, микрофону, фотографиям, геолокации или журналу звонков. Некоторые бесплатные VPN-приложения запрашивают всё это и больше. На Android некоторые запрашивают права администратора устройства, из-за которых приложение сложно удалить. Эти разрешения не нужны для маршрутизации трафика через VPN-сервер; они нужны для сбора данных с вашего устройства для монетизации. На iOS запросы App Tracking Transparency от VPN-приложений — аналогичный сигнал: у VPN нет законного применения для межприложенного отслеживания.
-
Агрессивная реклама внутри приложения или всплывающие окна. И хуже того: рекламные материалы, замаскированные под системные диалоги, поддельные предупреждения безопасности, призванные напугать вас в дополнительные установки, или навязчивый спам уведомлениями. Некоторые бесплатные VPN внедряют рекламу в незашифрованный HTTP-трафик в процессе передачи — вы видите рекламу на страницах, где её обычно нет, и эта реклама обслуживается самим VPN. Наличие рекламы внутри VPN-приложения само по себе не дисквалифицирует — модели с поддержкой рекламы существуют, — но сочетание рекламы с непрозрачным владением и размытой политикой конфиденциальности — устойчивый паттерн в задокументированных случаях, когда бесплатный VPN опасен.
Две легитимные модели бесплатного VPN — и что искать
После того как вы отфильтровали брокеров данных и транспортные средства для малвари, остаются две категории бесплатных VPN, работающих честно.
Loss-leader: платный VPN с настоящим бесплатным уровнем. Это самая распространённая легитимная модель и та, которая на практике производит лучшие бесплатные VPN-варианты. Что искать: реальный, открыто продвигаемый платный продукт за бесплатным уровнем (существование платных подписчиков и есть то, что финансирует инфраструктуру); опубликованная политика конфиденциальности, конкретная и прошедшая аудит, а не размытая и самообслуживающая; независимые сторонние аудиты заявлений об отсутствии логов (они стоят денег, и компания несёт эти расходы добровольно — значимый сигнал); прозрачное владение с идентифицируемыми основателями, корпоративной регистрацией и адресом, который не является пунктом переадресации почты; наконец, честное ограничение, делающее экономику понятной. Ограничение — лимит по трафику, серверам, устройствам — свидетельствует о том, что компания думает об инфраструктурных расходах, а не рассматривает пользователей как монетизационный пул.
Ограничение — это ещё и способ оценить качество бесплатного уровня. Лимит в 500 МБ в месяц — это едва ли вообще бесплатный уровень; это механизм принудительного перехода на платный тариф. Лимит в 2–10 ГБ в месяц отражает реальное выделение инфраструктурной ёмкости для пользователей конверсионной воронки и обычно достаточен для лёгкого повседневного использования, защиты на публичных Wi-Fi сетях и оценки качества сервиса. Лучший бесплатный VPN для большинства пользователей — как правило, именно бесплатный уровень репутабельного платного VPN, оценённый по этим критериям.
Некоммерческий или финансируемый донорами. Эта модель редка в пространстве VPN, но существует. Tor Project — канонический пример: технически это не VPN, а приватная сеть, финансируемая грантами, пожертвованиями и институциональными спонсорами. Mozilla в разное время предлагал или субсидировал VPN-продукты через структуры, близкие к некоммерческим. При оценке некоммерческой модели ищите: регистрацию благотворительной организации или фонда в юрисдикции с реальным надзором; публично раскрытые источники финансирования (кто крупные доноры?); открытый или доступный для аудита исходный код (особенно важно для инструментов приватности — заявления о приватности без открытого кода слабее по определению); прозрачность управления. Ограничение этой модели — масштаб: некоммерческое финансирование не может легко поддерживать миллионы одновременных пользователей при высокой пропускной способности, поэтому некоммерческие VPN, как правило, обслуживают конкретные аудитории или работают при ограниченной ёмкости.
Всё, что выходит за эти две категории, следует считать слежкой, пока доказательства не опровергнут обратного. Бремя доказательства лежит именно на бесплатных VPN, потому что задокументированный послужной список бесплатных VPN вне этих категорий достаточно плох, чтобы оправдать такую исходную позицию.
План ORION/VPN на 10 ГБ — что это такое и чем не является
10 ГБ в месяц бесплатно — это сэмпл платного продукта. Честная формулировка именно такая.
Вы получаете оба транспорта. Horizon — для сетей, которые инспектируют трафик и блокируют обычные VPN-сигнатуры: соединения выглядят как обычный веб-трафик, что важно в кафе, аэропортах и более ограничительных сетях. Wind — для открытых сетей, где приоритет — чистая пропускная способность. Одинаковое современное AES-256-класс аутентифицированное шифрование на обоих. Карта для регистрации не нужна.
Ограничение реальное. 10 ГБ в месяц достаточно для ежедневного использования в целях приватности в публичных сетях, для большинства задач регионального разблокирования и для оценки того, делает ли сервис то, что обещает, прежде чем платить. Недостаточно — для интенсивного стриминга видео или постоянной маршрутизации всего домашнего трафика через него. Это не случайно: ограничение отражает реальные инфраструктурные расходы на бесплатных пользователей, которые финансируются подписчиками платного плана — $4.99 в месяц или $34.99 в год.
Трафик мы не продаём. Рекламу не размещаем. Содержимое соединений не логируем. Бизнес-модель — подписки. Бесплатный план существует, чтобы дать людям попробовать сервис.
Для типичного сценария бесплатного плана — защита трафика в ненадёжных публичных Wi-Fi сетях — 10 ГБ в месяц обычно достаточно. Для понимания того, что VPN делает на уровне протокола — как работают туннели, что шифруется, а что нет — эта статья объясняет механику.
Бесплатный VPN vs платный — стоит ответить прямо
Бесплатный VPN vs платный иногда формулируется как вопрос о качестве: технически ли платный VPN лучше бесплатного? Такая формулировка упускает суть. Вопрос не в техническом качестве; он в согласованности бизнес-модели. Платный VPN, берущий $4.99 в месяц, структурно заинтересован в том, чтобы дать вам хороший опыт — потому что ваши деньги зависят от этого. Бесплатный VPN без платящих пользователей заинтересован в том, чтобы извлекать из вас ценность каким-то другим способом.
Внутри категории loss-leader техническая разница между бесплатным и платным уровнем обычно равна нулю — те же серверы, то же программное обеспечение, те же свойства приватности. Платный уровень предлагает больше трафика, больше серверных локаций, больше одновременных устройств. Если бесплатный уровень даёт вам 10 ГБ в месяц и этого достаточно — вы получаете тот же продукт, что и платный пользователь; просто меньше его.
Значимое различие между бесплатным и платным VPN — не «бесплатный хуже платного». Оно в том, «чем бесплатный уровень оплачивает сам себя». Если ответ — «платные подписчики, перешедшие с бесплатного уровня» — это устойчивая, честная модель. Если ответ не виден, или платных подписчиков нет, — экономика должна сходиться как-то иначе.
Итог
Бесплатность сама по себе не плохо — важна модель. Бесплатный уровень от платного VPN структурно честен: стимулы компании направлены на то, чтобы дать вам хороший опыт и тем самым конвертировать вас, а не на то, чтобы собирать ваши данные. Бесплатный VPN без платящих пользователей и без прозрачного источника финансирования имеет противоположную структуру, и задокументированный послужной список таких сервисов это подтверждает.
Бесплатный план ORION/VPN на 10 ГБ в месяц работает по модели loss-leader: образец платного сервиса, финансируемый подписчиками, без монетизации данных. Доступны оба транспорта — Horizon для сетей с инспекцией трафика, Wind для открытых сетей с приоритетом скорости. Достаточно ли этого для ваших задач — фактический вопрос о том, покрывают ли 10 ГБ в месяц ваши потребности. Принцип оценки любого другого бесплатного VPN остаётся прежним: найдите, кто за него платит.