Turbo VPN — مراجعة أمنية من HushFleet

قيّم فريق HushFleet Turbo VPN ووضعه في نطاق غير موصى به، بدرجة أمان 1/100 ودرجة سهولة استخدام 67/100. في الترتيب العام لمزوّدي VPN بحسب الأمان يحتل المرتبة 61 من 68. VPN تجاري، الولاية القضائية للشركة سنغافورة. يُبلِّغ عن تدقيق أمني مستقل بناءً على قوله وحده: التقرير غير منشور، مستوى الأدلة B.

المنهجية: 3.7.0
المخطط: 3.7.0
نُشر: 8 سبتمبر 2026

المواصفات

تُحمَل، ولا تُحتسَب أبدًا

7 حقلًا يرد في هذا السجل دون أن يدخل في الدرجة، والعقد يقول ذلك في الحقل نفسه: scored: false. وهي هنا لأن القارئ الذي يسأل من يملك هذه الشركة، أو من وقّع التدقيق، يسأل شيئًا يجيب عنه السجل — ولأن القيمة التي لا تمسّ الحساب أبدًا يجب أن تكون خارجه بوضوح لا مندمجة فيه خفية.

الدول التي بها نقطة خروج

كل دولة يقدّم فيها المزوّد نقطة خروج، مُحصاة من صفحة خوادمه نفسها: 80. لا أعداد خوادم لكل دولة هنا، ولا مجموع أسطول في أي مكان على الموقع — فالعقد لا يحمل أيًّا منهما، والرقم الذي لا يمكن لأحد إسناده إلى مصدر أسوأ من رقم غائب. الدول الـ6 المعلَّمة بـإلزام تفرض الاحتفاظ بالبيانات؛ وهذه العلامة تأتي من جدول الدول الخاص بالمنهجية، لا من المزوّد.

الفئة: VPN تجاري النطاق: غير موصى به الولاية القضائية: سنغافورة الاحتفاظ: بيانات الجلسة الوصفية البروتوكول: IKEv2 المجموعة المالكة: Innovative Connecting

بواسطة فريق HushFleetتغييران مسجَّلان على هذا السجل

ما الذي تغيّر

بدائل

إن لم يكن هذا هو المناسب

البلدان المعروضة الخاضعة لإلزام بالاحتفاظC09_mandate_countries	الإمارات العربية المتحدة الهند العراق كازاخستان تركيا فيتنام
بلد المالك المستفيد النهائيM11_owner_jurisdiction	CN
مفتاح عنقود المجموعة المالكةM15_owner_group	Innovative Connecting
تاريخ تولّي المالك الحالي السيطرةM16_control_since	2018
دور هذه العلامة التجارية داخل المجموعةM17_brand_role	principal
البنية التحتية المشتركة مع العلامات الشقيقة في العنقودM18_shared_infrastructure	same_fleet
إجمالي عمليات التدقيق المنشورةV10_audit_count	غير معروف

P2P مسموح
فئة الخدمة	VPN تجاري — الأمان هو المتصدر
درجة الأمان	1 من 100 · غير موصى به
درجة سهولة الاستخدام	67 من 100 · الحالة معروف · 67% مثبتة · 64.7% من الوزن مقروء
الكيان القانوني	Innovative Connecting Pte. Limited, 8 Marina View #43-052A Asia Square Tower 1, Singapore 018960, UEN 201812738K
الولاية القضائية	سنغافورة
المالك النهائي	Not disclosed by the provider. Copyright filings with the USPTO give Innovative Connecting Pte Limited a holder address in Tongzhou District, Beijing; the Tech Transparency Project links the group to Qihoo 360, reported by the same paper.
التعرّض	متوسط · القناة المهيمنة: السلامة
الاحتفاظ بالبيانات	بيانات الجلسة الوصفية
أحدث تدقيق	غير معروف · غير معروف · غير معروف · غير معروف
الدول التي بها نقاط خروج	80
البروتوكولات	IKEv2 Shadowsocks
يعمل تحت رقابة نشطة	غير معروف
أضعف بروتوكول لا يزال مُتاحًا	Shadowsocks
DNS خاص داخل النفق	غير معروف
المنصات	Android إضافة المتصفح iOS macOS Windows
الأجهزة المتزامنة	10
مفتاح الإيقاف الفوري	غير معروف
تقسيم النفق	متاح
التسجيل	عنوان بريد إلكتروني فقط
الخطة المجانية	نطاق مجاني بلا حد للبيانات

مصدر درجة الأمان

ثماني قنوات، تطرح كل واحدة منها سؤالًا واحدًا على السجل المنشور وتقرأ مجموعة محددة من الحقول للإجابة عنه. وهي تُضرَب لا تُجمَع — المعامل المكتوب بجانب القناة هو ما تبقّى بعد الضغط الذي وجدته، وافتح القناة لترى كل حقل قرأته، كما هو مخزَّن. كيف يعمل النموذج

حقول الأمان

67 55 منها يغذّي قناة

مثبت

47 15 بقيت غير معروف، و5 لا ينطبق

الاكتمال

76% الحصة التي استطاع النموذج ترجيحها

المصادر

64 عبر 12 وثيقة

كل قيمة تحمل ما تستند إليه، والنموذج يرجّح المستويات الأربعة بشكل مختلف. الوزن أولًا، ثم عدد مصادر هذا السجل عند كل مستوى:

B بوزن 0.85 · 42 هناC بوزن 0.70 · 22 هنا

الأوزان من methodology.json نفسه؛ وما يُرى في الوثيقة نفسها يُحتسَب أكثر من الادّعاء نفسه منقولًا عن طرف ثانٍ. التاريخ في نهاية الصف هو يوم آخر قراءة لتلك القيمة.

لا تُسعِّر القناة كل حقل تقرؤه. ما سعّرته منها يُعلَّم على حافته ويحمل ما أضافه؛ وكل ما عداه قُرئ ولم يكلّف شيئًا. لا يمكن أن يُعلَّم حقل إلا في قناة تتركّب حقلًا حقلًا — أما البقية فتُسعّر نفسها بالمعطيات المكتوبة أعلى صفوفها.

ما زال مفتوحًا في هذا السجل.

أي معرّف تحتفظ به التطبيقات. المعرّف هو أكبر فجوة. تنص السياسة على أن المزوّد يعيّن معرّفًا فريدًا للجهاز ويستخدمه لإنشاء الاتصال، وهو ما يسجله C12 بوصفه app_scoped_id؛ ويقرّ نموذج أمان البيانات في Play بشكل منفصل بأن معرّفات الجهاز أو المعرّفات الأخرى تُشارك مع شركات أخرى، ولا تذكر أي من الوثيقتين أيّ معرّف هو المقصود. ولو ذُكر معرّف إعلاني في أيّ منهما، لارتفع C12 درجتين.

بلدان الإلزام، ومكان وجود الأجهزة. لم تتم الإجابة عن C09b، وهذا مهم: ستة من البلدان الثمانين المعروضة تخضع لإلزام بالاحتفاظ، ولا يوضح شيء ما إذا كانت الأجهزة موجودة فيها أو إذا كان الموقع افتراضيًا.

ما لا يملك وثيقة. لا توجد أي وثيقة وراء C02 وC03 وC06 وC07b وC08 على الإطلاق - يصف الموقع الميزات، لا البنية التحتية. أما U06 وU08 وU12a وU12b فهي غير معبأة لأن الصفحات التي تسميها تسويق للميزات لا بيانات عن نطاق التغطية، وU08 تحديدًا عنوان يقول "كل أجهزتك" فوق قائمة بالمنصات تتضمن إضافة متصفح.

على السجل ككل.

تستند القيم المرتفعة هنا إلى وثيقة واحدة: Mixon-Baca وKnockel وCrandall، "Hidden Links: Analyzing Secret Families of VPN Apps"، FOCI 2025 (14 أغسطس 2025)، وقد قُرئت كاملة. وتجمع Innovative Connecting وAutumn Breeze وLemon Clove في عائلة واحدة من ثمانية تطبيقات ذات Java مفكك مطابق تقريبًا، ومكتبات وموارد مشتركة، وتؤكد أنها تتشارك البنية التحتية للخوادم من خلال الاتصال بخوادم بعضها بعضًا باستخدام بيانات اعتماد Shadowsocks نفسها المضمّنة برمجيًا.

بقية ما هو مفتوح — 448 كلمة إضافية

بل تقول هذه التطبيقات إنها مقرّها في Singapore." ويُظهر الشكل 1 في الورقة إيداعًا لحقوق الطبع والنشر لدى USPTO يورد عنوان حامل Innovative Connecting في منطقة Tongzhou، Beijing. وينتج عن ذلك كل من M11 وC11.

X02 هو الاستنتاج الثاني والأكثر أهمية: "تزعم سياسات الخصوصية للتطبيقات كلها أنها لا تجمع عناوين المستخدمين (الشخصية أو التجارية)، لكننا لاحظنا أنها تفعل ذلك" - إذ يطلب التطبيق الرمز البريدي لعنوان IP العام للمستخدم من ip-api.com حتى من دون إذن الموقع، ويرفعه إلى نقطة نهاية Firebase. الأمر منفي في السياسة، لكنه مُثبت في حركة البيانات.

يُملأ C01 من السياسة وليس من الورقة، لأن C01 هو الإقرار. تقول السياسة إنه لا يتم تخزين أي حركة مرور أو بيانات شخصية في مراكز البيانات، وإن بيانات الاستخدام تُجهَّل هويتها بشكل لا رجعة فيه، لكن الوثيقة نفسها تعلن نتيجة الاتصال، والموقع المتصل به، وبلد المستخدم وISP، ومعرّفًا دائمًا لكل جهاز يُستخدم وقت الاتصال، من دون نافذة حذف محددة بنطاق الجلسة.

تلك بيانات وصفية للجلسة، وفق كلمات المزوّد نفسه. U07 قصير عن قصد. يعلن الموقع «IKEv2 & OpenVPN»؛ لكن الورقة وجدت أن زر اختيار OpenVPN في قائمة الإعدادات لم يكن قابلًا للتحديد وقت التحليل، ولذلك فهو ليس عرضًا.

تتضمن التطبيقات أيضًا Shadowsocks، ويحمله U07 الآن: لم تكن المفردات تتضمن رمزًا له عند كتابة هذا السجل، ولذلك كانت القائمة تقرأ ikev2 وحده. ويُشتق C13 وفقًا لذلك من shadowsocks — وهو نقل حقيقي قابل للتشغيل البيني، يُقيَّم مع البروتوكولات التي تعمل ولا تحمل ضمانات نفق حديث، إذ لا يتمتع بسرية أمامية ويصادق على الخادم بمفتاح متماثل لا غير.

ما زالت المفردات عاجزة عن التعبير عن النتيجة المركزية للورقة: أن ذلك المفتاح مضمّن بشكل ثابت ومشترك بين أفراد العائلة، ولذلك يستطيع أي شخص ينزّل التطبيق فك تشفير حركة مرور كل عميل. وهذه حقيقة تتعلق بهذا التنفيذ لا بالبروتوكول، ولا ينبغي جعل أي رمز بروتوكول يحملها؛ بل تُسعَّر عبر X01 وقناة السلامة، وتُسجَّل هنا.

يسجل V01 شارة قائمة Play التي تقول «independently validated against a global security standard»، والتي تحيل إلى صفحة معيار MASA التابع لـ App Defense Alliance بدلًا من تقرير خاص بهذا التطبيق. إنه تحقق أمني للتطبيق من دون نتائج منشورة، ولذلك يكون V03 هو app_security، وV02 هو none، وV11 هو not_stated.

لا تقول شيئًا عن تسجيل البيانات، ويحدد النموذج نطاقه وفقًا لذلك. X12 هو matches_policy بناءً على قراءة دقيقة لا قراءة مريحة. يعلن نموذج Play عن Device or other IDs، وApp activity، وe-mail and user IDs، وcrash logs، وPhotos.

لا تظهر Photos في أي موضع من الفئات الخمس المعددة في السياسة، باستثناء كونها «مرفقات» قد يرسلها المستخدم طوعًا إلى الدعم، وهو توافق محدود لكنه حقيقي؛ ولا يغيب عن السياسة أي شيء آخر يعلنه النموذج.

لا توجد علامة SVG: يعرض الموقع شعارات PNG من CDN الخاص به، والعنصر الوحيد بصيغة SVG على النطاق هو قناع علامة التبويب المثبتة في Safari.

المواصفات

تُحمَل، ولا تُحتسَب أبدًا

الدول التي بها نقطة خروج

ما الذي تغيّر

إن لم يكن هذا هو المناسب

Turbo VPN

مصدر درجة الأمان

Proton VPN

Mullvad VPN

IVPN