[論文レビュー] "All of them claim to be the best": Multi-perspective study of VPN users and VPN providers

Reethika Ramesh, Anjali Vyas+1 more|arXiv (Cornell University)|Aug 6, 2022

Information and Cyber Security被引用数 5

ひとこと要約

本研究は、1,252名の米国ユーザーを対象としたアンケート調査と9社のVPNプロバイダーへのインタビューを通じて、VPNエコシステムにおける動機、認知的モデル、信頼のダイナミクスを多角的に調査した。ユーザーはVPNのプライバシー保護について広く誤解しており、利益志向のレビューサイトに強く依存していることが明らかになった。また、ユーザーの期待とプロバイダーのインcentivesの間には顕著な不一致があることが判明し、教育の向上と規制監視の強化が求められる。

ABSTRACT

As more users adopt VPNs for a variety of reasons, it is important to develop empirical knowledge of their needs and mental models of what a VPN offers. Moreover, studying VPN users alone is not enough because, by using a VPN, a user essentially transfers trust, say from their network provider, onto the VPN provider. To that end, we are the first to study the VPN ecosystem from both the users' and the providers' perspectives. In this paper, we conduct a quantitative survey of 1,252 VPN users in the U.S. and qualitative interviews of nine providers to answer several research questions regarding the motivations, needs, threat model, and mental model of users, and the key challenges and insights from VPN providers. We create novel insights by augmenting our multi-perspective results, and highlight cases where the user and provider perspectives are misaligned. Alarmingly, we find that users rely on and trust VPN review sites, but VPN providers shed light on how these sites are mostly motivated by money. Worryingly, we find that users have flawed mental models about the protection VPNs provide, and about data collected by VPNs. We present actionable recommendations for technologists and security and privacy advocates by identifying potential areas on which to focus efforts and improve the VPN ecosystem.

研究の動機と目的

• 大規模な定量的アンケート調査を通じて、米国のVPNユーザーの動機、ニーズ、脅威モデルを理解すること。
• 定性的インタビューを通じて、VPNプロバイダーの業務的課題、インセンティブ、実務的実践を検討すること。
• VPNエコシステムにおけるユーザーの認識とプロバイダーの現実との間の重要な不一致を特定すること。
• 財務的インセンティブによって駆動されるVPNレビューや推薦エコシステムにおけるシステム的問題を解明すること。
• 技術者、プライバシー擁護者、規制当局が、VPN業界のセキュリティと透明性を向上させるために実行可能な提言を提供すること。

提案手法

• 1,252名の米国VPNユーザーを対象とした定量的オンラインアンケート調査を実施し、動機、信頼、認知的モデル、選定基準を評価した。
• 主要な9社のVPNプロバイダーを対象とした半構造的インタビューを行い、ビジネスモデル、課題、ユーザー信頼のダイナミクスを調査した。
• 記述統計とクロス集計分析を用いてユーザー調査データを分析し、行動、認識、誤解に関する傾向を特定した。
• ユーザー調査とプロバイダーインタビューの結果を三角測定することで、優先順位、インセンティブ、認知的モデルにおける不一致を検出した。
• プロバイダーの開示内容とユーザーの依存パターンに基づき、第三者VPNレビューサイトの信頼性と動機を評価した。
• 結果を統合し、ユーザー教育、業界自主規制、政府監視のための実行可能な提言を策定した。

実験結果

リサーチクエスチョン

• RQ1 RQ1: ユーザーはなぜVPNを使用するのか？
• RQ2 RQ2: ユーザーがVPNプロバイダーを選択する際に考慮する要因は何か？
• RQ3 RQ3: ユーザーはVPNを使用する前後で、どの程度安全だと感じており、誰から活動を隠すことを望んでいるのか？
• RQ4 RQ4: ユーザーはVPNの仕組みや収集するデータについて正確な理解を持っているか？
• RQ5 RQ5: ユーザーはVPNエコシステム全体をどのように捉えているか？
• RQ6 RQ6: ユーザーとプロバイダーの間で、優先順位やインセンティブにどのような（誤った）一致があるか？

主な発見

• 調査対象ユーザーの39.9％が、VPNを使用していてもISPが訪問したウェブサイトを確認できると誤解した認知的モデルを持っている。
• 61.1％のユーザーが検索エンジン、56.5％がおすすめサイトをVPN選定の際の情報源として利用しており、94％が利益志向の動機を持つこれらのサイトを信頼している。
• ユーザーはサーバー数やグローバルな分布といった技術的特徴よりも、速度（86.7％）、価格（78.9％）、使いやすいGUI（72.1％）を優先している。
• 83.9％のユーザーが、公共のWi-Fiでのハッキングや盗聴防止を主な動機として挙げており、次に広告会社（65.4％）、ISP（46.9％）が続く。政府監視の懸念はわずか30％にとどまっている。
• VPNプロバイダーは、レビューサイトがしばしば対価を支払って上位順位を獲得できることを確認しており、多くの「レビュー」がコストパーキャリッジ（CPC）やコストパーアクション（CPA）モデルに影響を受けることが明らかになった。
• レビューサイトへのユーザーの信頼とは裏腹に、プロバイダーはこうしたプラットフォームがしばしば機能やセキュリティに関する主張を誤解を招く形で歪めていると報告しており、ユーザーの誤解を助長している。