IVPN vs Windscribe

Incident ze srpna 2026. V srpnu 2026 útočník zneužil zranitelnost v serveru BTCPay Server provozovaném na vlastní infrastruktuře, ještě před jejím zveřejněním, a odčerpal vlastní provozní prostředky IVPN v síti Lightning. IVPN zveřejnil popis incidentu o čtyři dny později, bez vyzvání, a omezil ho na tento stroj: VPN gateway nebyly zasaženy, k žádným záznamům zákazníků nebylo získáno přístupu a žádné peníze zákazníků nebyly ztraceny.

Proč to nic nestojí. Tento model za to nic neúčtuje, a právě o to jde — provozovatel, který to takto rychle uvede, jedná způsobem, který má toto pole odměňovat, a záznam je zde proto, aby čtenář věděl, že se to stalo, nikoli aby se změnilo číslo.

Co zakázky pokrývaly. Penetrační test aplikace (iOS, Android, Electron, démon) pochází z března 2022 a revize gateway/serverového operačního systému z února 2023; ani jeden z těchto testů neověřoval samotnou deklaraci o absenci logů, což zpráva z roku 2023 výslovně uvádí, takže uchovávání dat se opírá pouze o deklaraci v zásadách ochrany soukromí.

Nejnovější zpráva není ta relevantní. Zakázka z dubna 2024, šestá spolupráce Cure53 s IVPN, testovala web zákaznického účtu, API a hosting; její vlastní stránka s rozsahem uvádí klientské aplikace a VPN servery mimo rozsah, takže nerozšiřuje důkazy o aplikaci ani gateway a V03_audit_subject u ní čte unknown, místo aby toto uznání přeneslo. Sedmá zakázka, zaměřená na nové e-mailové a DNS služby, byla oznámena pouze na květen 2025; žádná zpráva k ní není zveřejněna.

Co primární web nikdy nedokládá. RAM-only je zaznamenáno jako částečné, protože IVPN to popisuje jako přechod s probíhajícími testovacími nasazeními a neoznámilo jeho dokončení. Vlastnictví serverového hardwaru (pronajatý vs. vlastněný), úpravy provozu na exitu a osobní jurisdikce skutečného vlastníka nejsou doloženy: žádná primární stránka IVPN neuvádí ani jednu z těchto tří věcí, stejně jako rozsah uživatelské základny.

Tři pole, na která odpovídá znalostní báze, nikoli stránky přečtené při prvním vyplnění. Přidělování IP je záměrně sdílené — „crowding“ sdružuje uživatele na jedné adrese, aby ztížil přiřazení. P2P je povoleno všude, ale IVPN žádá zákazníky, aby se vyhýbali americkým exitům, a odvolává se na tlak vyvíjený ze strany upstreamu podle DMCA. Streaming nenese žádnou záruku, ačkoli společnost uvádí, že se k němu dostane mnoho zákazníků.

Proč se uchovávání dat oceňuje podle zjištění. Uchovávání dat se proto oceňuje podle toho, co auditor prokázal jako dostupné, nikoli podle toho, co deklaruje zásada, a kanál integrity zachycuje rozdíl mezi těmito dvěma skutečnostmi. Chápejte to jako dva roky staré zjištění na jednom uzlu, nikoli jako aktuální měření: rozsah zahrnoval pouze ca-023.windscribe.com a vyřešilo by to až novější prověření pokrývající větší část flotily.

Seznam, který nebyl nikdy načten. Nabízený seznam zemí nebyl nikdy načten, takže nelze vypočítat skóre zemí použitelnosti ani průnik mandátu — Windscribe zveřejňuje rozlišení fyzických a virtuálních serverů, díky čemuž lze zde na C09b odpovědět, jakmile bude seznam načten. Velikost uživatelské základny také není doložena, takže pásmo expozice spočívá na menším základu, než by mělo.

Odkud nyní citují všechny tři události. AIN.UA stále obsahuje ukrajinské servery zabavené 24. června 2021 a vlastní blog Windscribe případ v Řecku, který byl zamítnut 11. dubna 2025. Nizozemské zabavení i samotné pole zabavení nyní citují vlastní stránku Windscribe o no-logs namísto tisku placeného affiliate programem, který o něm informoval jako první: zpráva společnosti o jejím vlastním zabavení je primární, nikoli cizí zpráva o něm. Ukrajinská událost je datována samotným zabavením, nikoli článkem, který o něm informoval.