Klaim lokasi VPN tidak cocok dengan negara keluarnya trafik yang sebenarnya

• Hasil analisis terhadap 20 VPN utama menunjukkan bahwa negara keluarnya trafik yang sebenarnya pada 17 layanan berbeda dari negara yang diklaim, dan banyak di antaranya menggunakan pusat data yang sama di AS atau Eropa
• Dari pengukuran terhadap lebih dari 150.000 IP keluar VPN, ditemukan bahwa 38 negara bersifat ‘hanya virtual’, sehingga trafik sebenarnya tidak keluar dari negara tersebut
• Hanya Mullvad, IVPN, dan Windscribe yang menunjukkan kecocokan penuh antara klaim dan lokasi nyata di semua negara, sementara sisanya memiliki ketidaksesuaian yang signifikan
• ‘Lokasi virtual’ berarti VPN menampilkan seolah-olah berada di negara tertentu, padahal trafik sebenarnya keluar dari wilayah lain (misalnya Miami, London, dan sebagainya)
• Kesenjangan antara klaim jumlah negara VPN dan lokasi fisik yang sebenarnya menimbulkan masalah transparansi dan kepercayaan, dan untuk mengatasinya IPinfo menggunakan pendekatan data pengukuran nyata berbasis ProbeNet

---

Hasil investigasi ketidaksesuaian lokasi VPN dalam skala besar

• IPinfo menganalisis 20 VPN populer dan mengonfirmasi bahwa 17 di antaranya berbeda dari negara keluarnya trafik yang sebenarnya
  • Beberapa VPN mengklaim mendukung lebih dari 100 negara, tetapi pada kenyataannya hanya berbagi sejumlah kecil pusat data di AS dan Eropa
• Sebanyak 150.000 IP keluar diukur berdasarkan 137 negara
  • 38 negara hanya virtual, artinya tidak ada satu pun VPN yang benar-benar mengeluarkan trafik dari negara tersebut
  • Hanya 3 VPN yang seluruh lokasi yang diklaimnya benar-benar bisa diverifikasi
  • Sekitar 8.000 kesalahan lokasi IP ditemukan dalam dataset yang sudah ada
• Hasil pengukuran ProbeNet menunjukkan bahwa sebagian besar VPN memiliki jumlah negara nyata yang lebih sedikit daripada yang diklaim

Hasil pengukuran nyata per VPN

• Perbandingan antara jumlah negara yang diklaim tiap VPN dan jumlah negara yang benar-benar terukur
  • Mullvad, IVPN, dan Windscribe memiliki 0% ketidaksesuaian, alias cocok sepenuhnya
  • NordVPN, ExpressVPN, CyberGhost, dan lainnya memiliki lebih dari setengah lokasi yang bersifat virtual atau tidak dapat diukur
• Semakin banyak jumlah negara yang diklaim VPN, semakin tinggi pula rasio ketidaksesuaian, sehingga klaim ‘100+ negara’ sulit dipercaya

Arti lokasi virtual (Virtual Location)

• Walaupun VPN menampilkan “Bahama” atau “Somalia”, trafik sebenarnya bisa keluar dari Miami, AS atau London, Inggris
  • Informasi registrasi IP juga, karena berbasis pelaporan mandiri, dapat ditampilkan sebagai “Country X”, tetapi pengukuran jaringan nyata menunjukkan negara yang berbeda
• ProbeNet milik IPinfo memverifikasi lokasi berdasarkan RTT (round-trip time) nyata melalui lebih dari 1.200 titik pengukuran global
• Dalam seluruh data, 97 negara bersifat virtual atau tidak dapat diukur, dan di antaranya 38 negara sepenuhnya hanya ada sebagai lokasi virtual

Studi kasus: Bahama dan Somalia

• Bahama: NordVPN, ExpressVPN, PIA, FastVPN, dan IPVanish semuanya terukur mengeluarkan trafik dari AS
  • RTT berdasarkan Miami berada di kisaran 0,15~0,42 ms, yang mengindikasikan server sebenarnya berada di AS
• Somalia: NordVPN dan ProtonVPN menampilkannya sebagai “Mogadishu”, tetapi trafik sebenarnya terukur berasal dari Nice, Prancis dan London, Inggris
  • RTT 0,33~0,37 ms mengonfirmasi bahwa server berada di Eropa

Kesalahan pada dataset IP yang sudah ada

• Penyedia data IP yang sudah ada menggunakan informasi berbasis pelaporan mandiri, sehingga mengikuti lokasi salah yang diklaim VPN begitu saja
• Hasil perbandingan antara pengukuran ProbeNet dan dataset yang ada terhadap 736 IP keluar VPN:
  • 83% memiliki galat lebih dari 1.000 km, 28% lebih dari 5.000 km, dan 12% lebih dari 8.000 km
  • Galat median sekitar 3.100 km
• ProbeNet menunjukkan RTT rata-rata 0,27 ms, dan 90% berada di bawah 1 ms, yang mengonfirmasi kedekatan dengan lokasi fisik sebenarnya

Masalah kepercayaan dan alasan teknis

• Alasan teknis penggunaan lokasi virtual
  • Menghindari risiko regulasi dan pengawasan, perbedaan kualitas infrastruktur, serta pengurangan biaya dan peningkatan performa
• Namun, masalah kepercayaan muncul karena hal berikut
  • Kurangnya pengungkapan eksplisit: tidak ditandai seperti “Virtual Bahamas (US-based)”
  • Masalah skala: puluhan negara sepenuhnya hanya ada sebagai lokasi virtual
  • Ketergantungan pada data: media, NGO, dan sistem keamanan berisiko mempercayai informasi lokasi yang salah

Implikasi bagi pengguna

• Label ‘100+ negara’ sebaiknya dianggap sebagai angka pemasaran
  • Pada 17 VPN, terdapat 97 negara yang sebenarnya tidak benar-benar ada
• Perlu memeriksa cara VPN menampilkan lokasi: apakah menggunakan server virtual, dan apakah lokasi hosting sebenarnya diungkapkan
• Saat menggunakan data IP, perlu memverifikasi sumbernya: bukan sekadar melihat angka akurasi, tetapi memastikan apakah datanya berbasis pengukuran nyata
• Ini bukan semata soal masalah penggunaan VPN, melainkan penekanan pada pentingnya transparansi dan data berbasis bukti

Pendekatan berbasis pengukuran milik IPinfo

• Penyedia data IP yang sudah ada bergantung pada informasi registrasi RIR dan data pelaporan mandiri
• IPinfo mengadopsi metode pengukuran nyata berbasis ProbeNet
  1. Mengoperasikan lebih dari 1.200 PoP (titik pengukuran)
  2. Menentukan lokasi alamat IPv4 dan IPv6 melalui pengukuran real-time berbasis RTT
  3. Menghasilkan lokasi berdasarkan geodata berbasis bukti yang berpijak pada perilaku internet yang sebenarnya
• Pendekatan ini bertujuan mengurangi kesalahan dari pelaporan mandiri dan memastikan akurasi yang berfokus pada data pengukuran nyata

Metodologi investigasi

• Mengumpulkan lebih dari 6 juta titik data dari situs web, file konfigurasi, API, dan sumber lain milik 20 penyedia VPN
• Terhubung langsung ke tiap lokasi VPN untuk mengukur IP keluar dan RTT
• Membandingkan negara yang diklaim VPN dengan negara nyata yang diukur ProbeNet
• Hanya lokasi yang diklaim secara jelas yang dimasukkan dalam analisis; kasus yang ambigu atau tidak dapat diukur dikecualikan
• Hasilnya menunjukkan tingkat ketidaksesuaian yang tinggi bahkan dengan standar konservatif, dan jika memakai standar yang lebih longgar kemungkinan angkanya akan lebih tinggi lagi