IVPN مقابل Mullvad VPN

حادثة أغسطس 2026. في أغسطس 2026 استغل مهاجم ثغرةً في BTCPay Server المستضاف ذاتيًا، قبل أن تصبح علنية، واستولى على أموال التشغيل الخاصة بـ Lightning لدى IVPN. نشر IVPN رواية الحادثة بعد أربعة أيام، من تلقاء نفسه، وقصرها على ذلك الجهاز: لم تكن بوابات VPN معنية، ولم يتم الوصول إلى سجلات العملاء، ولم تُفقد أموال العملاء.

لماذا لا يكلّف شيئًا. لا يفرض هذا النموذج أي رسوم مقابل ذلك، وهذه هي النقطة — فالمشغّل الذي يصرّح بذلك بسرعة يتصرف بالطريقة التي يُفترض أن تكافئها القاعدة، وهذا الإدخال موجود هنا لكي يعرف القارئ أن الأمر حدث، لا لتحريك رقم.

ما غطّته المهمتان. يعود اختبار اختراق التطبيق (iOS وAndroid وElectron والبرنامج الخفي) إلى مارس 2022، وتعود مراجعة البوابة ونظام تشغيل الخادم إلى فبراير 2023؛ ولم يختبر أيٌّ منهما ادعاء عدم الاحتفاظ بالسجلات نفسه، ويقول تقرير 2023 ذلك صراحةً، ولذلك يستند الاحتفاظ بالبيانات إلى إقرار سياسة الخصوصية وحده.

التقرير الأحدث ليس التقرير ذي الصلة. اختبر التعاقد في أبريل 2024، وهو السادس لـ Cure53 مع IVPN، موقع حسابات العملاء وواجهة API والاستضافة؛ وتسمّي صفحة النطاق الخاصة به تطبيقات العملاء وخوادم VPN خارج النطاق، لذلك لا يوسّع أدلة التطبيق أو البوابة، ويقرأ V03_audit_subject فيه unknown بدلاً من ترحيل ذلك الاعتماد إلى الأمام. أما التعاقد السابع، المتعلق بخدمات البريد الإلكتروني وDNS الجديدة، فلم يُعلَن عنه إلا لشهر مايو 2025؛ ولم يُنشر أي تقرير عنه.

ما لا يثبته الموقع الأساسي قط. يُسجَّل RAM-only على أنه جزئي لأن IVPN تصفه بأنه انتقال مع استمرار عمليات النشر الاختبارية، ولم تعلن اكتماله. ملكية أجهزة الخوادم (مؤجَّرة أم مملوكة)، وتعديل حركة المرور عند نقطة الخروج، والولاية القضائية الشخصية للمالك المستفيد غير مثبتة: لا تذكر أي صفحة أساسية لـ IVPN أياً من هذه الأمور الثلاثة، ولا تذكر حجم قاعدة المستخدمين.

ثلاثة حقول تجيب عنها قاعدة المعرفة، لا الصفحات التي قُرئت عند الملء الأول. تخصيص عناوين IP مشترك بحكم التصميم — إذ تجمع «المشاركة» المستخدمين على عنوان واحد للحد من إسناد النشاط. يُسمح بـ P2P في كل مكان، لكن IVPN تطلب من العملاء تجنّب نقاط الخروج في الولايات المتحدة، مستشهدة بضغط DMCA من الجهات المورّدة. لا يوجد ضمان للبث، رغم أن الشركة تقول إن العديد من العملاء يتمكنون من الوصول إليه.

لماذا يظهر العدد ثمانية. يبلغ عدد عمليات التدقيق ثمانية لأن مراجعة GotaTun تقع خارج قائمة مستودع التطبيق نفسه. وقبلها، عثرت مراجعة X41 D-Sec التي استغرقت 30 يوم-شخص وشملت المنصات الخمس كلها على ست ثغرات — ثلاث عالية الخطورة، واثنتان متوسطتا الخطورة، وواحدة منخفضة الخطورة، ولا واحدة حرجة.

ما لا تغطيه أي عملية تدقيق. ما لا تغطيه أي من عمليات التدقيق هذه هو أسطول الخوادم: إذ تفحص كل واحدة منها التطبيق أو بروتوكول النفق، ولذلك تُسجّل تغطية الأسطول على أنها غير منطبقة لا على أنها عينة. وبالتالي يستند ادعاء عدم الاحتفاظ بالسجلات من جهة البنية التحتية إلى مذكرة التفتيش الصادرة في أبريل 2023 — جاءت الشرطة السويدية بحثًا عن بيانات العملاء وغادرت من دونها — وليس إلى أي تدقيق.

البنيات القابلة لإعادة الإنتاج، لنظام Android فقط. البنيات القابلة لإعادة الإنتاج مخصصة لنظام Android فقط، ابتداءً من الإصدار 2025.2، ولذلك يظل الحقل جزئيًا؛ ولا يمكن التحقق من بنيات سطح المكتب وiOS بتطابق البتات. تركيا هي بلد الإلزام الوحيد في القائمة المعروضة، والاستضافة المرتبطة بها غير مثبتة.

لا شيء منشور عن الطلبات. لا يستند أي شيء في السجلّ إلى ما ينشره المزوّد عن الطلبات التي يتلقاها: فلا يوجد تقرير شفافية ولا إشارة تحذير من مذكرة تفتيش، ولذلك تحمل مصادرة أبريل 2023 ذلك الأساس وحده. تغطية مفتاح الإيقاف وسياسة P2P غير مثبتتين؛ وأحدث تدقيق هو مراجعة لشفرة بروتوكول، وليس عملية تدقيق لعدم الاحتفاظ بالسجلات، ولذلك يظل V11 صامتًا ويستند الاحتفاظ إلى التصريح.