В каталоге любого браузера — сотни расширений со словом «бесплатно» в названии. При этом серверы, каналы связи и разработка стоят денег каждый месяц. Если платите не вы, этот счёт всё равно кто-то оплачивает — и полезно понимать, чем именно. Ниже — не страшилки, а документированные способы, которыми «бесплатное» окупается.
Способ 1. Продать ваш канал другим
Классический случай — расширение Hola. В 2015 году исследователи показали, что оно превращало устройства своих пользователей в выходные узлы для отдельного платного сервиса: чужие люди выходили в интернет с адресов тех, кто поставил себе «бесплатный VPN». То есть пользователь думал, что прячет свой адрес, — а на деле отдавал его в аренду незнакомцам, вместе с ответственностью за всё, что те с этого адреса делали. Схема жива до сих пор: продажа «жилых» адресов — целый рынок, и бесплатные приложения остаются для него главным источником сырья.
Способ 2. Собрать и продать историю посещений
Сервис, через который идёт ваш трафик, видит как минимум адреса сайтов, которые вы открываете. Для рекламной аналитики это товар, и во многих политиках конфиденциальности продажа прямо разрешена — формулировкой «делимся данными с партнёрами», которую мало кто дочитывает.
Масштаб хорошо показало исследование австралийского института CSIRO: из 283 проверенных Android-приложений с VPN-доступом примерно каждое пятое вообще не шифровало трафик, а три из четырёх встраивали сторонние трекеры. Отдельная история — 2020 год, когда у группы сервисов, обещавших «никаких журналов», нашли открытую наружу базу более чем на терабайт: адреса, история подключений и пароли открытым текстом. Обещание в маркетинге и устройство сервиса — разные вещи.
Способ 3. Подменить рекламу и ссылки в ваших страницах
Чтобы работать, VPN-расширению обычно нужно право «просматривать и изменять ваши данные на всех сайтах». Это право читается буквально: расширение может переписывать любую страницу, которую вы открыли, — вставлять свои рекламные блоки, заменять чужие на свои, подменять партнёрские ссылки в магазинах, чтобы комиссия с ваших покупок шла его владельцу.
Есть и более тихий вариант: у автора популярного бесплатного расширения его покупают — вместе с аудиторией. Очередное автообновление превращает знакомый значок в рекламную площадку, и заметить это со стороны почти невозможно: браузер обновляет расширения молча.
Способ 4. Назвать VPN то, что им не является
Большинство «VPN-расширений» технически — прокси для одного браузера, и на этом отличия не заканчиваются:
- Закрыт только браузер. Остальные приложения — мессенджеры, почта, банк — ходят в сеть как ходили, без всякой защиты.
- Имена сайтов могут утекать. Если DNS-запросы идут мимо прокси, список сайтов, которые вы открываете, виден вашему провайдеру в открытом виде — хотя значок в браузере горит «защищено».
- Браузер выдаёт настоящий адрес. Технология WebRTC (звонки и видеосвязь в браузере) умеет сообщать сайту реальный адрес в обход прокси — если расширение об этом не позаботилось.
- Шифрования может не быть вовсе. Прокси и шифрование — разные вещи; часть «VPN-расширений» просто перенаправляет трафик, не шифруя его.
Проверить проще всего самому: откройте нашу страницу проверки IP — она показывает, каким вас видит интернет, с включённой защитой и без неё.
Как отличить честный сервис
Из всего этого не следует, что каждый бесплатный сервис злонамерен: бывают честные бесплатные тарифы у платных сервисов — там источник денег виден. Вопрос, на который стоит знать ответ, всегда один: на что этот сервис живёт? Несколько признаков, по которым видно, что перед вами инструмент, а не витрина сбора данных:
- понятная модель оплаты — подписка и есть ответ на вопрос «на что живёт»;
- защищено всё устройство, а не одна программа: полноценный туннель на уровне системы;
- политика конфиденциальности написана человеческим языком: что собирается, зачем и сколько хранится;
- никаких прав «изменять данные на всех сайтах» — системному туннелю они не нужны.
Наш собственный интерес здесь честно назван: Маяк живёт на подписке — поэтому нам незачем продавать канал, историю или рекламу. Какие технические журналы мы ведём и зачем, написано в политике конфиденциальности — обычным языком, без мелкого шрифта.
Дальше по теме: как убедиться, что соединение действительно защищено, а не просто показывает значок — четыре проверки за минуту; чем обфускация отличается от шифрования — «AmneziaWG и WireGuard: в чём разница».