[论文解读] "All of them claim to be the best": Multi-perspective study of VPN users and VPN providers

Reethika Ramesh, Anjali Vyas+1 more|arXiv (Cornell University)|Aug 6, 2022

Information and Cyber Security被引用 5

一句话总结

本项多重视角研究通过调查1,252名美国用户并访谈九家VPN提供商，探究了VPN生态系统中用户动机、心智模型与信任动态。研究发现，用户普遍存在对VPN隐私保护的误解，过度依赖盈利驱动的评测网站，且用户期望与提供商激励之间存在显著错配，呼吁加强教育与监管监督。

ABSTRACT

As more users adopt VPNs for a variety of reasons, it is important to develop empirical knowledge of their needs and mental models of what a VPN offers. Moreover, studying VPN users alone is not enough because, by using a VPN, a user essentially transfers trust, say from their network provider, onto the VPN provider. To that end, we are the first to study the VPN ecosystem from both the users' and the providers' perspectives. In this paper, we conduct a quantitative survey of 1,252 VPN users in the U.S. and qualitative interviews of nine providers to answer several research questions regarding the motivations, needs, threat model, and mental model of users, and the key challenges and insights from VPN providers. We create novel insights by augmenting our multi-perspective results, and highlight cases where the user and provider perspectives are misaligned. Alarmingly, we find that users rely on and trust VPN review sites, but VPN providers shed light on how these sites are mostly motivated by money. Worryingly, we find that users have flawed mental models about the protection VPNs provide, and about data collected by VPNs. We present actionable recommendations for technologists and security and privacy advocates by identifying potential areas on which to focus efforts and improve the VPN ecosystem.

研究动机与目标

• 通过大规模定量调查，理解美国VPN用户在使用VPN时的动机、需求与威胁模型。
• 通过定性访谈，考察VPN提供商的运营挑战、激励机制与实践方法。
• 识别用户认知与提供商现实之间在VPN生态系统中的关键错配。
• 揭示由财务激励驱动的VPN评测与推荐生态系统中的系统性问题。
• 为技术专家、隐私倡导者与监管机构提供切实可行的建议，以提升VPN行业的安全与透明度。

提出的方法

• 对1,252名美国VPN用户开展在线定量调查，评估其使用动机、信任程度、心智模型与选择标准。
• 对九家领先的VPN提供商进行半结构化定性访谈，探讨其商业模式、面临的挑战与用户信任机制。
• 使用描述性统计与列联表分析用户调查数据，识别行为、认知与误解方面的趋势。
• 通过用户调查与提供商访谈结果的三角验证，发现双方在优先事项、激励机制与心智模型方面的错配。
• 基于提供商披露信息与用户依赖模式，评估第三方VPN评测网站的可信度与动机。
• 将研究结果整合为可操作的建议，涵盖用户教育、行业自律与政府监管。

实验结果

研究问题

• RQ1 RQ1: 用户为何使用VPN？
• RQ2 RQ2: 用户在选择VPN提供商时考虑哪些因素？
• RQ3 RQ3: 用户在使用与不使用VPN时感觉有多安全？他们希望向谁隐藏自己的活动？
• RQ4 RQ4: 用户是否准确理解VPN的工作原理及其收集的数据类型？
• RQ5 RQ5: 用户如何认知更广泛的VPN生态系统？
• RQ6 RQ6: 用户与提供商之间在优先事项与激励方面存在哪些关键（错配）？

主要发现

• 39.9%的受访用户存在错误心智模型，认为即使使用VPN，其ISP仍能查看所访问的网站。
• 61.1%的用户依赖搜索引擎，56.5%依赖推荐网站选择VPN，尽管这些网站具有盈利动机，仍有94%的用户对其表示信任。
• 用户更重视速度（86.7%）、价格（78.9%）与用户友好的图形界面（72.1%），而非服务器数量或全球分布等技术特性。
• 83.9%的用户将保护自己免受公共Wi-Fi上的黑客或监听者侵害作为主要使用动机，其次为广告公司（65.4%）与ISP（46.9%），仅有30%提及政府监控。
• VPN提供商确认，评测网站常通过付费获取排名，且许多‘评测’受按点击付费或按行动付费模式影响。
• 尽管用户信任评测网站，但提供商报告称，这些平台经常错误描述功能与安全声明，加剧了用户的误解。