IVPN مقابل NordVPN

حادثة أغسطس 2026. في أغسطس 2026 استغل مهاجم ثغرةً في BTCPay Server المستضاف ذاتيًا، قبل أن تصبح علنية، واستولى على أموال التشغيل الخاصة بـ Lightning لدى IVPN. نشر IVPN رواية الحادثة بعد أربعة أيام، من تلقاء نفسه، وقصرها على ذلك الجهاز: لم تكن بوابات VPN معنية، ولم يتم الوصول إلى سجلات العملاء، ولم تُفقد أموال العملاء.

لماذا لا يكلّف شيئًا. لا يفرض هذا النموذج أي رسوم مقابل ذلك، وهذه هي النقطة — فالمشغّل الذي يصرّح بذلك بسرعة يتصرف بالطريقة التي يُفترض أن تكافئها القاعدة، وهذا الإدخال موجود هنا لكي يعرف القارئ أن الأمر حدث، لا لتحريك رقم.

ما غطّته المهمتان. يعود اختبار اختراق التطبيق (iOS وAndroid وElectron والبرنامج الخفي) إلى مارس 2022، وتعود مراجعة البوابة ونظام تشغيل الخادم إلى فبراير 2023؛ ولم يختبر أيٌّ منهما ادعاء عدم الاحتفاظ بالسجلات نفسه، ويقول تقرير 2023 ذلك صراحةً، ولذلك يستند الاحتفاظ بالبيانات إلى إقرار سياسة الخصوصية وحده.

التقرير الأحدث ليس التقرير ذي الصلة. اختبر التعاقد في أبريل 2024، وهو السادس لـ Cure53 مع IVPN، موقع حسابات العملاء وواجهة API والاستضافة؛ وتسمّي صفحة النطاق الخاصة به تطبيقات العملاء وخوادم VPN خارج النطاق، لذلك لا يوسّع أدلة التطبيق أو البوابة، ويقرأ V03_audit_subject فيه unknown بدلاً من ترحيل ذلك الاعتماد إلى الأمام. أما التعاقد السابع، المتعلق بخدمات البريد الإلكتروني وDNS الجديدة، فلم يُعلَن عنه إلا لشهر مايو 2025؛ ولم يُنشر أي تقرير عنه.

ما لا يثبته الموقع الأساسي قط. يُسجَّل RAM-only على أنه جزئي لأن IVPN تصفه بأنه انتقال مع استمرار عمليات النشر الاختبارية، ولم تعلن اكتماله. ملكية أجهزة الخوادم (مؤجَّرة أم مملوكة)، وتعديل حركة المرور عند نقطة الخروج، والولاية القضائية الشخصية للمالك المستفيد غير مثبتة: لا تذكر أي صفحة أساسية لـ IVPN أياً من هذه الأمور الثلاثة، ولا تذكر حجم قاعدة المستخدمين.

ثلاثة حقول تجيب عنها قاعدة المعرفة، لا الصفحات التي قُرئت عند الملء الأول. تخصيص عناوين IP مشترك بحكم التصميم — إذ تجمع «المشاركة» المستخدمين على عنوان واحد للحد من إسناد النشاط. يُسمح بـ P2P في كل مكان، لكن IVPN تطلب من العملاء تجنّب نقاط الخروج في الولايات المتحدة، مستشهدة بضغط DMCA من الجهات المورّدة. لا يوجد ضمان للبث، رغم أن الشركة تقول إن العديد من العملاء يتمكنون من الوصول إليه.

إشارة الكناري، والربع الذي حلّ محلها. أوقفت الصفحة نفسها إشارة أمر الإفصاح (P07=removed) لصالح تقارير شفافية ربع سنوية؛ ويُظهر أحدث ربع مكتمل (أبريل–يونيو ٢٠٢٦) ٨٥ استفسارًا حكوميًا و٠ إفصاح، ولذلك فإن P08/P09 يخصّان تلك الفترة، لا الرقم طوال الفترة.

الهند، ونظام الأوامر السرية. ‏P04=withdrew_physical هو خروج الهند في يونيو ٢٠٢٢. ويستند P11=none_known إلى بيان الصفحة بأن NordVPN لم تتلقَّ أي National Security letters أو أوامر عدم إفصاح ملزمة، وإلى عدم وجود نظام من هذا النوع في Panama.

مستوى ضمان لا يمكن لأحد التحقق منه. تصف NordVPN مهمة Deloitte Lithuania بأنها مهمة ضمان معقول بموجب ISAE 3000 (Revised)، وهو الشكل الأقوى؛ بينما ينص تقرير PIA، الذي يمكن قراءته، على استنتاج ضمان محدود.

لماذا لا تُحتسب الصيغة الأقوى. يسعّر النموذج الآن ذلك الفرق، ولا تستفيد منه هذه القائمة: V15_assurance_strength غير معروف لأن التصريح الوحيد عن المستوى صادر عن NordVPN نفسها، ويتعلق بتقرير لا يستطيع أي شخص خارج Nord Account فتحه. الوثيقة المحجوبة خلف تسجيل الدخول ليست دليلًا هنا على أي مستوى، ولذلك يُحتسب هذا الالتزام وفق معيار السوق لا وفق المستوى الذي يُقال إنه بلغه.

تقرير محجوب خلف تسجيل الدخول. لا يمكن قراءة التقرير نفسه إلا بعد تسجيل الدخول إلى Nord Account، ولذلك لم يتحقق أي شخص خارج تلك العلاقة من نطاقه، وتستند كل حقول التدقيق هنا إلى ملخص NordVPN نفسها له بدلًا من الوثيقة. وهذا، لا وجود نتيجة ضد الخدمة، هو سبب كون هذا السجل الأقل أدلة في القائمة.

حقول الجهة المالكة. M11_owner_jurisdiction وX04_owner_group_history غير معروفين: يذكر كل من nordvpn.com وnordsecurity.com أن Nord Security هي الجهة المالكة، لكن لا يذكر أيٌّ منهما الولاية القضائية الخاصة بتأسيس Nord Security نفسها أو أي سجل سابق للمجموعة؛ وتربط الصحافة الثانوية كيانًا قابضًا باسم 'Cyberspace' بهولندا منذ اندماج 2022، لكن لم يُؤكَّد ذلك مقابل صفحة أساسية لـNord Security أو NordVPN خلال الوقت المتاح.

كان اختراق مركز بيانات Finland في 2018 عملية اختراق من طرف ثالث، وليس مصادرة من جهات إنفاذ القانون — وسُجّل ضمن P12_case_history على أنه kind=breach، لا P01_seizure_event. ويتفق سرد NordVPN نفسه (nordvpn.com/blog/official-response-datacenter-breach/) والتغطية المعاصرة من Bloomberg على أن الإفصاح جاء بعد ادعاءات على Twitter من باحثين خارجيين، لا بمبادرة NordVPN نفسها — ومن ثم third_party_disclosed بدلًا من self_disclosed_late.

تشترك NordVPN وSurfshark في مجموعة مالكة هي Nord Security، لكن إعلان الاندماج الصادر عن الشركتين نفسيهما ينص على بنية تحتية وخرائط طريق للمنتجات منفصلة؛ ولذلك ضُبط M18 على الفصل على هذا الأساس.