IVPN vs NordVPN

Průnik do datacentra ve Finsku z roku 2018 byl průnikem třetí strany, nikoli zabavením orgány činnými v trestním řízení — v P12_case_history je zaznamenán jako kind=breach, nikoli jako P01_seizure_event. Vlastní vyjádření NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) a dobové zpravodajství Bloomberg se shodují, že ke zveřejnění došlo po tvrzeních externích výzkumníků na Twitteru, nikoli z vlastní iniciativy NordVPN — proto third_party_disclosed namísto self_disclosed_late.

NordVPN a Surfshark mají společného vlastníka (Nord Security), ale oznámení o fúzi obou společností uvádějí samostatnou infrastrukturu a produktové plány; M18 je na tomto základě nastaveno na oddělené.

Incident ze srpna 2026. V srpnu 2026 útočník zneužil zranitelnost v serveru BTCPay Server provozovaném na vlastní infrastruktuře, ještě před jejím zveřejněním, a odčerpal vlastní provozní prostředky IVPN v síti Lightning. IVPN zveřejnil popis incidentu o čtyři dny později, bez vyzvání, a omezil ho na tento stroj: VPN gateway nebyly zasaženy, k žádným záznamům zákazníků nebylo získáno přístupu a žádné peníze zákazníků nebyly ztraceny.

Proč to nic nestojí. Tento model za to nic neúčtuje, a právě o to jde — provozovatel, který to takto rychle uvede, jedná způsobem, který má toto pole odměňovat, a záznam je zde proto, aby čtenář věděl, že se to stalo, nikoli aby se změnilo číslo.

Co zakázky pokrývaly. Penetrační test aplikace (iOS, Android, Electron, démon) pochází z března 2022 a revize gateway/serverového operačního systému z února 2023; ani jeden z těchto testů neověřoval samotnou deklaraci o absenci logů, což zpráva z roku 2023 výslovně uvádí, takže uchovávání dat se opírá pouze o deklaraci v zásadách ochrany soukromí.

Nejnovější zpráva není ta relevantní. Zakázka z dubna 2024, šestá spolupráce Cure53 s IVPN, testovala web zákaznického účtu, API a hosting; její vlastní stránka s rozsahem uvádí klientské aplikace a VPN servery mimo rozsah, takže nerozšiřuje důkazy o aplikaci ani gateway a V03_audit_subject u ní čte unknown, místo aby toto uznání přeneslo. Sedmá zakázka, zaměřená na nové e-mailové a DNS služby, byla oznámena pouze na květen 2025; žádná zpráva k ní není zveřejněna.

Co primární web nikdy nedokládá. RAM-only je zaznamenáno jako částečné, protože IVPN to popisuje jako přechod s probíhajícími testovacími nasazeními a neoznámilo jeho dokončení. Vlastnictví serverového hardwaru (pronajatý vs. vlastněný), úpravy provozu na exitu a osobní jurisdikce skutečného vlastníka nejsou doloženy: žádná primární stránka IVPN neuvádí ani jednu z těchto tří věcí, stejně jako rozsah uživatelské základny.

Tři pole, na která odpovídá znalostní báze, nikoli stránky přečtené při prvním vyplnění. Přidělování IP je záměrně sdílené — „crowding“ sdružuje uživatele na jedné adrese, aby ztížil přiřazení. P2P je povoleno všude, ale IVPN žádá zákazníky, aby se vyhýbali americkým exitům, a odvolává se na tlak vyvíjený ze strany upstreamu podle DMCA. Streaming nenese žádnou záruku, ačkoli společnost uvádí, že se k němu dostane mnoho zákazníků.

Canary a čtvrtletí, které ho nahradilo. Tatáž stránka ukončila warrant canary (P07=removed) ve prospěch čtvrtletních zpráv o transparentnosti; poslední úplné čtvrtletí (duben–červen 2026) uvádí 85 vládních žádostí a 0 zveřejnění, takže P08/P09 se týkají tohoto období, nikoli údaje za celou dobu.

Indie a režim tajných příkazů. P04=withdrew_physical je odchod z Indie v červnu 2022. P11=none_known vychází z tvrzení na stránce, že NordVPN neobdržel žádné závazné National Security letters ani příkazy s mlčenlivostí, a z neexistence takového režimu v Panamě.

Úroveň ujištění, kterou nikdo nemůže ověřit. NordVPN popisuje angažmá Deloitte Lithuania jako angažmá s přiměřeným ujištěním podle ISAE 3000 (Revised), což by byla silnější forma; zpráva PIA, kterou lze číst, uvádí závěr s omezeným ujištěním.

Proč se silnější forma nezapočítává. Model nyní tento rozdíl oceňuje a tento záznam z něj nemá prospěch: V15_assurance_strength je neznámo, protože jediným tvrzením o úrovni je vlastní tvrzení NordVPN o zprávě, kterou nikdo mimo Nord Account nemůže otevřít. Dokument za přihlášením zde není důkazem na žádné úrovni, takže se audit započítává podle tržní normy, nikoli podle úrovně, které měl údajně dosáhnout.

Zpráva za přihlášením. Samotná zpráva je čitelná až po přihlášení k Nord Account, takže nikdo mimo tento vztah neověřil její rozsah a každé auditní pole zde vychází z vlastního shrnutí NordVPN, nikoli z dokumentu. To, a nikoli zjištění proti službě, je důvodem, proč je tento záznam v katalogu nejméně podložený.

Pole vlastníka. M11_owner_jurisdiction a X04_owner_group_history jsou neznámo: nordvpn.com a nordsecurity.com uvádějí jako vlastníka Nord Security, ale ani jeden z těchto webů neuvádí vlastní jurisdikci registrace Nord Security ani předchozí historii skupiny; sekundární tisk spojuje holdingovou entitu „Cyberspace“ s Nizozemskem na základě fúze z roku 2022, ale v dostupném čase to nebylo potvrzeno na primární stránce Nord Security ani NordVPN.