Mullvad VPN vs NordVPN

Průnik do datacentra ve Finsku z roku 2018 byl průnikem třetí strany, nikoli zabavením orgány činnými v trestním řízení — v P12_case_history je zaznamenán jako kind=breach, nikoli jako P01_seizure_event. Vlastní vyjádření NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) a dobové zpravodajství Bloomberg se shodují, že ke zveřejnění došlo po tvrzeních externích výzkumníků na Twitteru, nikoli z vlastní iniciativy NordVPN — proto third_party_disclosed namísto self_disclosed_late.

NordVPN a Surfshark mají společného vlastníka (Nord Security), ale oznámení o fúzi obou společností uvádějí samostatnou infrastrukturu a produktové plány; M18 je na tomto základě nastaveno na oddělené.

Proč je počet osm. Počet auditů je osm, protože kontrola GotaTun stojí mimo vlastní seznam úložiště aplikace. Před nimi při kontrole X41 od D-Sec v rozsahu 30 člověkodnů napříč všemi pěti platformami bylo nalezeno šest zranitelností — tři s vysokou, dvě se střední a jedna s nízkou závažností, žádná kritická.

Co nepokrývá žádná zakázka. Žádná z těchto zakázek nepokrývá serverovou flotilu: každá zkoumá aplikaci nebo protokol tunelu, a proto je pokrytí flotily zaznamenáno jako nerelevantní, nikoli jako vzorek. Tvrzení o neuchovávání logů na straně infrastruktury se tedy opírá o příkaz k prohlídce z dubna 2023 — švédská policie přišla pro údaje zákazníků a odešla bez nich — a nikoli o audit.

Reprodukovatelná sestavení, pouze Android. Reprodukovatelná sestavení se týkají pouze Androidu, počínaje verzí 2025.2, takže pole zůstává částečné; sestavení pro desktop a iOS nelze ověřit bit po bitu. Turecko je jedinou zemí s mandátem na nabízeném seznamu a hosting, který za ním stojí, není doložen.

O žádostech není nic zveřejněno. Žádný záznam se neopírá o nic, co poskytovatel zveřejňuje o žádostech, které obdrží: neexistuje zpráva o transparentnosti ani warrant canary, takže zabavení z dubna 2023 poskytuje tuto oporu samo o sobě. Pokrytí nouzovým vypínačem a politika P2P nejsou doloženy; nejnovějším auditem je kontrola kódu protokolu, nikoli zakázka zaměřená na neuchovávání logů, takže V11 mlčí a uchovávání se opírá o deklaraci.

Canary a čtvrtletí, které ho nahradilo. Tatáž stránka ukončila warrant canary (P07=removed) ve prospěch čtvrtletních zpráv o transparentnosti; poslední úplné čtvrtletí (duben–červen 2026) uvádí 85 vládních žádostí a 0 zveřejnění, takže P08/P09 se týkají tohoto období, nikoli údaje za celou dobu.

Indie a režim tajných příkazů. P04=withdrew_physical je odchod z Indie v červnu 2022. P11=none_known vychází z tvrzení na stránce, že NordVPN neobdržel žádné závazné National Security letters ani příkazy s mlčenlivostí, a z neexistence takového režimu v Panamě.

Úroveň ujištění, kterou nikdo nemůže ověřit. NordVPN popisuje angažmá Deloitte Lithuania jako angažmá s přiměřeným ujištěním podle ISAE 3000 (Revised), což by byla silnější forma; zpráva PIA, kterou lze číst, uvádí závěr s omezeným ujištěním.

Proč se silnější forma nezapočítává. Model nyní tento rozdíl oceňuje a tento záznam z něj nemá prospěch: V15_assurance_strength je neznámo, protože jediným tvrzením o úrovni je vlastní tvrzení NordVPN o zprávě, kterou nikdo mimo Nord Account nemůže otevřít. Dokument za přihlášením zde není důkazem na žádné úrovni, takže se audit započítává podle tržní normy, nikoli podle úrovně, které měl údajně dosáhnout.

Zpráva za přihlášením. Samotná zpráva je čitelná až po přihlášení k Nord Account, takže nikdo mimo tento vztah neověřil její rozsah a každé auditní pole zde vychází z vlastního shrnutí NordVPN, nikoli z dokumentu. To, a nikoli zjištění proti službě, je důvodem, proč je tento záznam v katalogu nejméně podložený.

Pole vlastníka. M11_owner_jurisdiction a X04_owner_group_history jsou neznámo: nordvpn.com a nordsecurity.com uvádějí jako vlastníka Nord Security, ale ani jeden z těchto webů neuvádí vlastní jurisdikci registrace Nord Security ani předchozí historii skupiny; sekundární tisk spojuje holdingovou entitu „Cyberspace“ s Nizozemskem na základě fúze z roku 2022, ale v dostupném čase to nebylo potvrzeno na primární stránce Nord Security ani NordVPN.

Co vůbec nešlo přečíst. Úplný text zprávy Deloitte z roku 2025 nelze vůbec přečíst (je přístupná jen po přihlášení), takže kromě vlastního tvrzení zásad v C01_linkable_retention není zaznamenáno žádné zjištění o uchovávání.

Tabulka serverů, která se neotevřela. C09b_mandate_hosting je neznámo: živá tabulka serverů podle zemí zobrazuje stav fyzický/virtuální pouze pro region Ameriky ve stavu akordeonu, který tento audit dokázal vykreslit; sekce Evropa, Asie a Tichomoří a Afrika / Blízký východ (které zahrnují několik zemí s mandátem, v nichž flotila poskytuje služby, např. AE, IN, TR, VN, IQ, KZ podle API serverů) se načítají na straně klienta po kliknutí a nebyly rozbaleny.