IVPN vs Mullvad VPN

Incident ze srpna 2026. V srpnu 2026 útočník zneužil zranitelnost v serveru BTCPay Server provozovaném na vlastní infrastruktuře, ještě před jejím zveřejněním, a odčerpal vlastní provozní prostředky IVPN v síti Lightning. IVPN zveřejnil popis incidentu o čtyři dny později, bez vyzvání, a omezil ho na tento stroj: VPN gateway nebyly zasaženy, k žádným záznamům zákazníků nebylo získáno přístupu a žádné peníze zákazníků nebyly ztraceny.

Proč to nic nestojí. Tento model za to nic neúčtuje, a právě o to jde — provozovatel, který to takto rychle uvede, jedná způsobem, který má toto pole odměňovat, a záznam je zde proto, aby čtenář věděl, že se to stalo, nikoli aby se změnilo číslo.

Co zakázky pokrývaly. Penetrační test aplikace (iOS, Android, Electron, démon) pochází z března 2022 a revize gateway/serverového operačního systému z února 2023; ani jeden z těchto testů neověřoval samotnou deklaraci o absenci logů, což zpráva z roku 2023 výslovně uvádí, takže uchovávání dat se opírá pouze o deklaraci v zásadách ochrany soukromí.

Nejnovější zpráva není ta relevantní. Zakázka z dubna 2024, šestá spolupráce Cure53 s IVPN, testovala web zákaznického účtu, API a hosting; její vlastní stránka s rozsahem uvádí klientské aplikace a VPN servery mimo rozsah, takže nerozšiřuje důkazy o aplikaci ani gateway a V03_audit_subject u ní čte unknown, místo aby toto uznání přeneslo. Sedmá zakázka, zaměřená na nové e-mailové a DNS služby, byla oznámena pouze na květen 2025; žádná zpráva k ní není zveřejněna.

Co primární web nikdy nedokládá. RAM-only je zaznamenáno jako částečné, protože IVPN to popisuje jako přechod s probíhajícími testovacími nasazeními a neoznámilo jeho dokončení. Vlastnictví serverového hardwaru (pronajatý vs. vlastněný), úpravy provozu na exitu a osobní jurisdikce skutečného vlastníka nejsou doloženy: žádná primární stránka IVPN neuvádí ani jednu z těchto tří věcí, stejně jako rozsah uživatelské základny.

Tři pole, na která odpovídá znalostní báze, nikoli stránky přečtené při prvním vyplnění. Přidělování IP je záměrně sdílené — „crowding“ sdružuje uživatele na jedné adrese, aby ztížil přiřazení. P2P je povoleno všude, ale IVPN žádá zákazníky, aby se vyhýbali americkým exitům, a odvolává se na tlak vyvíjený ze strany upstreamu podle DMCA. Streaming nenese žádnou záruku, ačkoli společnost uvádí, že se k němu dostane mnoho zákazníků.

Proč je počet osm. Počet auditů je osm, protože kontrola GotaTun stojí mimo vlastní seznam úložiště aplikace. Před nimi při kontrole X41 od D-Sec v rozsahu 30 člověkodnů napříč všemi pěti platformami bylo nalezeno šest zranitelností — tři s vysokou, dvě se střední a jedna s nízkou závažností, žádná kritická.

Co nepokrývá žádná zakázka. Žádná z těchto zakázek nepokrývá serverovou flotilu: každá zkoumá aplikaci nebo protokol tunelu, a proto je pokrytí flotily zaznamenáno jako nerelevantní, nikoli jako vzorek. Tvrzení o neuchovávání logů na straně infrastruktury se tedy opírá o příkaz k prohlídce z dubna 2023 — švédská policie přišla pro údaje zákazníků a odešla bez nich — a nikoli o audit.

Reprodukovatelná sestavení, pouze Android. Reprodukovatelná sestavení se týkají pouze Androidu, počínaje verzí 2025.2, takže pole zůstává částečné; sestavení pro desktop a iOS nelze ověřit bit po bitu. Turecko je jedinou zemí s mandátem na nabízeném seznamu a hosting, který za ním stojí, není doložen.

O žádostech není nic zveřejněno. Žádný záznam se neopírá o nic, co poskytovatel zveřejňuje o žádostech, které obdrží: neexistuje zpráva o transparentnosti ani warrant canary, takže zabavení z dubna 2023 poskytuje tuto oporu samo o sobě. Pokrytí nouzovým vypínačem a politika P2P nejsou doloženy; nejnovějším auditem je kontrola kódu protokolu, nikoli zakázka zaměřená na neuchovávání logů, takže V11 mlčí a uchovávání se opírá o deklaraci.