[논문 리뷰] "All of them claim to be the best": Multi-perspective study of VPN users and VPN providers

Reethika Ramesh, Anjali Vyas외 1명|arXiv (Cornell University)|2022. 08. 06.

Information and Cyber Security인용 수 5

한 줄 요약

이 다중 시각 연구는 1,252명의 미국 사용자 설문 조사와 9개의 VPN 공급업체 인터뷰를 통해 VPN 생태계 내 동기, 정신 모델 및 신뢰 역학을 조사한다. 연구 결과, 사용자들이 VPN의 개인정보 보호 기능에 대해 널리 오해하고 있으며, 수익 기반 리뷰 사이트에 크게 의존하고 있으며, 사용자 기대와 공급업체의 인centive 간에 상당한 괴리가 있음을 확인했다. 이는 교육 향상과 규제 감시의 필요성을 제기한다.

ABSTRACT

As more users adopt VPNs for a variety of reasons, it is important to develop empirical knowledge of their needs and mental models of what a VPN offers. Moreover, studying VPN users alone is not enough because, by using a VPN, a user essentially transfers trust, say from their network provider, onto the VPN provider. To that end, we are the first to study the VPN ecosystem from both the users' and the providers' perspectives. In this paper, we conduct a quantitative survey of 1,252 VPN users in the U.S. and qualitative interviews of nine providers to answer several research questions regarding the motivations, needs, threat model, and mental model of users, and the key challenges and insights from VPN providers. We create novel insights by augmenting our multi-perspective results, and highlight cases where the user and provider perspectives are misaligned. Alarmingly, we find that users rely on and trust VPN review sites, but VPN providers shed light on how these sites are mostly motivated by money. Worryingly, we find that users have flawed mental models about the protection VPNs provide, and about data collected by VPNs. We present actionable recommendations for technologists and security and privacy advocates by identifying potential areas on which to focus efforts and improve the VPN ecosystem.

연구 동기 및 목표

• 대규모 정량적 설문 조사를 통해 미국 내 VPN 사용자의 동기, 필요 사항 및 위협 모델을 이해하기 위해.
• 정성적 인터뷰를 통해 VPN 공급업체의 운영 과제, 인센티브 및 관행를 분석하기 위해.
• 사용자 인식과 공급업체 현실 간의 핵심 괴리점을 규명하기 위해.
• 재정적 인센티브에 의해 이끌리는 시스템적 문제를 VPN 리뷰 및 추천 생태계에서 밝혀내기 위해.
• 기술자, 개인정보 보호 옹호자 및 규제 기관이 VPN 산업의 보안성과 투명성을 향상시키기 위해 실행 가능한 권고안을 제공하기 위해.

제안 방법

• 사용자 동기, 신뢰, 정신 모델 및 선택 기준을 평가하기 위해 1,252명의 미국 VPN 사용자 대상 정량적 온라인 설문 조사 실시.
• 사업 모델, 과제 및 사용자 신뢰 역학을 탐구하기 위해 주요 9개 VPN 공급업체 대상 반구조적 정성적 인터뷰 수행.
• 행동, 인식 및 오해의 추세를 파악하기 위해 사용자 설문 데이터를 기술 통계 및 교차표 분석.
• 사용자 설문 조사 및 공급업체 인터뷰의 결과를 정합하여 우선순위, 인센티브 및 정신 모델의 괴리 탐지.
• 공급업체 공개 자료 및 사용자 의존 패턴을 바탕으로 제3자 VPN 리뷰 사이트의 신뢰성과 동기를 평가.
• 결과를 종합하여 사용자 교육, 산업 자율 규제 및 정부 감시를 위한 실행 가능한 권고안 도출.

실험 결과

연구 질문

• RQ1 RQ1: 사용자는 왜 VPN을 사용하는가?
• RQ2 RQ2: 사용자는 VPN 공급업체를 선택할 때 어떤 요소를 고려하는가?
• RQ3 RQ3: 사용자는 VPN을 사용할 때와 사용하지 않을 때 얼마나 안전하다고 느끼며, 어떤 이들에게서 활동을 숨기고 싶어하는가?
• RQ4 RQ4: 사용자는 VPN이 어떻게 작동하는지, 어떤 데이터를 수집하는지 정확한 이해를 하고 있는가?
• RQ5 RQ5: 사용자는 VPN 생태계 전반을 어떻게 인식하는가?
• RQ6 RQ6: 사용자와 공급업체 간의 우선순위 및 인센티브에서 발생하는 주요 (오)일치 영역은 무엇인가?

주요 결과

• 설문 조사된 사용자 중 39.9%는 VPN을 사용하는 동안에도 인터넷 서비스 제공업체(ISP)가 방문한 웹사이트를 볼 수 있다고 잘못 인식하는 틀린 정신 모델을 가지고 있다.
• 사용자 중 61.1%는 검색 엔진을, 56.5%는 추천 웹사이트를 사용해 VPN을 선택하며, 이들 사이트의 수익 기반 동기를 고려할지라도 94%가 이러한 사이트를 신뢰하고 있다.
• 사용자들은 서버 수나 글로벌 분포와 같은 기술적 기능보다 속도(86.7%), 가격(78.9%), 사용자 친화적인 GUI(72.1%)를 우선시한다.
• 사용자 중 83.9%는 공용 와이파이에서 해커나 도청자로부터 보호하기 위해 VPN을 사용한다고 주로 언급하며, 이어 광고 회사(65.4%)와 ISP(46.9%)를 들었고, 정부 감시는 오직 30%만이 언급했다.
• VPN 공급업체들은 리뷰 사이트가 종종 금전 지급에 따라 상위 순위를 판매하며, 많은 '리뷰'가 클릭당 금액 또는 행동당 금액 모델에 의해 영향을 받는다고 확인했다.
• 리뷰 사이트에 대한 사용자 신뢰에도 불구하고, 공급업체들은 이러한 플랫폼이 자주 기능과 보안 주장에 대해 오해의 소지를 악용하고 있으며, 이는 사용자 오해를 악화시키고 있음을 보고했다.