AirVPN vs IVPN

Co ukazují diskuse na fóru. Diskuse na fóru ukazují, že uživatelé opakovaně žádali AirVPN o warrant canary, aniž by pracovníci potvrdili, že nějaký existuje; je to příznačné, nikoli však primární popření, takže P07 zůstává neznámo, nikoli „žádný“.

Počty, které nikdo nezveřejňuje. Počty žádostí a předání dat jsou proto rovněž neznámo (P08, P09) a celkový počet předplatitelů není nikdy zveřejněn (M08 neznámo) — AirVPN zveřejňuje pouze živý čítač souběžně připojených uživatelů, nikoli celkový počet registrovaných uživatelů nebo předplatitelů, takže zde má mlčení či neznalost skutečnou váhu.

Sestavení a penetrační testy. Reprodukovatelná sestavení nejsou zdokumentována na vlastní stránce AirVPN o sestavení ze zdrojového kódu (eddie.website/support/build/) a nebyl nalezen žádný specializovaný penetrační test klienta či infrastruktury (V13, V14 neznámo). Rozsah nouzového vypínače a chování děleného tunelování vycházejí z recenze třetí strany, nikoli z vlastní dokumentace AirVPN (U08, U09 s důvěryhodností C), protože na příslušné stránky FAQ nebylo možné přejít přímo přes směrování webu (vykreslují se pomocí JavaScriptu a prostý požadavek vrátil pouze načítací obal).

Pokrytí mimo affiliate partnery. Pokrytí v tisku není omezeno pouze na affiliate partnery: BleepingComputer, běžné médium mimo seznam affiliate agregátorů, zveřejnilo nezávislou recenzi s vlastním oznámením o affiliate partnerství, místo aby bylo omezeno na affiliate katalogy (X08=ne). Její stejná recenze také zjistila, že AirVPN selhalo u každé testované streamovací služby — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — proto nyní U12b_streaming_works uvádí no namísto hodnoty partial pocházející z addictivetips.com, kterou mělo předtím, než byl tento web označen za zakázaný.

Roční cena. U04b_price_yearly=4.08 je efektivní měsíční sazba v EUR u ročního plánu (49 EUR/rok) na airvpn.org/buy/, při obnovení stejná jako u každého tarifu AirVPN.

Slovní značka. AirVPN zveřejňuje svou slovní značku pouze jako PNG (/static/img/logo/web_header.png, logo_horiz.png) a nemá tiskovou ani stránku značky, takže logos/airvpn.svg zůstává podle AUDITOR.md §1 chybějící, místo aby byla vytvořena vektorizací rastrového obrázku.

Incident ze srpna 2026. V srpnu 2026 útočník zneužil zranitelnost v serveru BTCPay Server provozovaném na vlastní infrastruktuře, ještě před jejím zveřejněním, a odčerpal vlastní provozní prostředky IVPN v síti Lightning. IVPN zveřejnil popis incidentu o čtyři dny později, bez vyzvání, a omezil ho na tento stroj: VPN gateway nebyly zasaženy, k žádným záznamům zákazníků nebylo získáno přístupu a žádné peníze zákazníků nebyly ztraceny.

Proč to nic nestojí. Tento model za to nic neúčtuje, a právě o to jde — provozovatel, který to takto rychle uvede, jedná způsobem, který má toto pole odměňovat, a záznam je zde proto, aby čtenář věděl, že se to stalo, nikoli aby se změnilo číslo.

Co zakázky pokrývaly. Penetrační test aplikace (iOS, Android, Electron, démon) pochází z března 2022 a revize gateway/serverového operačního systému z února 2023; ani jeden z těchto testů neověřoval samotnou deklaraci o absenci logů, což zpráva z roku 2023 výslovně uvádí, takže uchovávání dat se opírá pouze o deklaraci v zásadách ochrany soukromí.

Nejnovější zpráva není ta relevantní. Zakázka z dubna 2024, šestá spolupráce Cure53 s IVPN, testovala web zákaznického účtu, API a hosting; její vlastní stránka s rozsahem uvádí klientské aplikace a VPN servery mimo rozsah, takže nerozšiřuje důkazy o aplikaci ani gateway a V03_audit_subject u ní čte unknown, místo aby toto uznání přeneslo. Sedmá zakázka, zaměřená na nové e-mailové a DNS služby, byla oznámena pouze na květen 2025; žádná zpráva k ní není zveřejněna.

Co primární web nikdy nedokládá. RAM-only je zaznamenáno jako částečné, protože IVPN to popisuje jako přechod s probíhajícími testovacími nasazeními a neoznámilo jeho dokončení. Vlastnictví serverového hardwaru (pronajatý vs. vlastněný), úpravy provozu na exitu a osobní jurisdikce skutečného vlastníka nejsou doloženy: žádná primární stránka IVPN neuvádí ani jednu z těchto tří věcí, stejně jako rozsah uživatelské základny.

Pozoruhodný údaj z praxe: veřejné přepisy řízení u federálního soudu v případu United States v. Klyushin (D. Mass., číslo spisu 61629108, dokumenty č. 183 a 217, nalezené prostřednictvím CourtListener/RECAP) ukazují, že zařízení pen register pro orgány činné v trestním řízení bylo umístěno přímo u hostingové společnosti (DediPath), nikoli u AirVPN, za účelem sledování IP adresy serveru AirVPN v období leden–únor 2020; vlastní pracovníci AirVPN v odpovědi na jejich fóru potvrdili, že společnost o odposlechu nevěděla ani se na něm nepodílela a že zařízení muselo být nainstalováno mimo vlastní systémy AirVPN.

Toto je zaznamenáno v P12_case_history jako událost court_order/nothing_produced, jejímž zdrojem je vlastní potvrzení AirVPN na fóru (nikoli samotné soubory PDF PACER, které při automatizovaném načítání vrátily 403 a byly přečteny pouze prostřednictvím sekundárního shrnutí).