Proton VPN
U tohoto záznamu stále otevřeno.
Co audit skutečně ověřil. Zjištění o neuchovávání dat je současně silné i úzce vymezené. Securitum osobně kontroloval produkční servery v srpnu 2025 a činí tak každoročně od roku 2022.
Omezení uvedená v samotné zprávě. Jde o kontrolu v jednom časovém okamžiku, řízenou revizi systémů předvedených inženýry Proton, nikoli o forenzní zkoumání bez dohledu, a o reprezentativní vzorek, nikoli o celou flotilu. CI/CD, zdrojový kód a systémy správy účtů byly výslovně mimo rozsah, takže z toho nelze nic vyvozovat o tom, co uchovává fakturační strana.
Odvolání a co neřeší. Odvolání z 22. října 2021 je zde citováno s výhradou, kterou je vhodné uvést jasně: Federal Administrative Court rozhodl, že služby email nejsou poskytovateli telekomunikačních služeb, a ani zpravodajství o rozsudku, ani vlastní popis společnosti Proton se o VPN nezmiňují.
zbytek toho, co je otevřené — ještě 121 slov
Co skutečně rozhoduje o těchto dvou polích. O hodnotách C10 a C11 rozhoduje to, že Švýcarsko nemá v seznamu zemí katalogu žádný základ mandátu; odvolání potvrzuje, jak švýcarské úřady přistupují k Proton, a samo o sobě není zjištěním o Proton VPN. Rozhodnutí týkající se sesterské služby je méně pevný podklad, než jakým je činí citace.
Největší otevřená položka. Proton nabízí exit lokace v osmi zemích, které ukládají mandát k uchovávání dat. Zda se v některé z nich skutečně nachází hardware, není doloženo: Proton v roce 2022 stáhl fyzické servery z Indie a dokumentuje Smart Routing pro lokace, které obsluhuje odjinud, což ukazuje na virtuální lokace, ale ověřeno to bylo pouze pro Indii. Doložení C09b_mandate_hosting je v tomto záznamu největší otevřenou položkou.
Windscribe
U tohoto záznamu stále otevřeno.
Co odhalil penetrační test. Skóre zabezpečení vychází ze zprávy Packetlabs z června 2024 a interpretuje ji negativně. Penetrační test zjistil, že služba IKEv2 ukládala zdrojovou IP adresu připojujících se uživatelů spolu s časy zahájení a ukončení relace, a to ve volatilní paměti i na disku, a že logy mikroslužeb obsahovaly přihlašovací údaje OpenVPN, předem sdílené klíče WireGuard a uživatelská jména IKEv2.
Opakovaný test a jeho vlastní výhrada. Opakovaný test o tři týdny později ověřil, že vše bylo napraveno — vlastní závěr zprávy však uvádí, že to „nepokrývá každé zjištění uvedené v rámci nálezu“, a část nálezu připisuje nesprávně nasazené konfiguraci na testovacím uzlu.
zbytek toho, co je otevřené — ještě 195 slov
Proč se uchovávání dat oceňuje podle zjištění. Uchovávání dat se proto oceňuje podle toho, co auditor prokázal jako dostupné, nikoli podle toho, co deklaruje zásada, a kanál integrity zachycuje rozdíl mezi těmito dvěma skutečnostmi. Chápejte to jako dva roky staré zjištění na jednom uzlu, nikoli jako aktuální měření: rozsah zahrnoval pouze ca-023.windscribe.com a vyřešilo by to až novější prověření pokrývající větší část flotily.
Seznam, který nebyl nikdy načten. Nabízený seznam zemí nebyl nikdy načten, takže nelze vypočítat skóre zemí použitelnosti ani průnik mandátu — Windscribe zveřejňuje rozlišení fyzických a virtuálních serverů, díky čemuž lze zde na C09b odpovědět, jakmile bude seznam načten. Velikost uživatelské základny také není doložena, takže pásmo expozice spočívá na menším základu, než by mělo.
Odkud nyní citují všechny tři události. AIN.UA stále obsahuje ukrajinské servery zabavené 24. června 2021 a vlastní blog Windscribe případ v Řecku, který byl zamítnut 11. dubna 2025. Nizozemské zabavení i samotné pole zabavení nyní citují vlastní stránku Windscribe o no-logs namísto tisku placeného affiliate programem, který o něm informoval jako první: zpráva společnosti o jejím vlastním zabavení je primární, nikoli cizí zpráva o něm. Ukrajinská událost je datována samotným zabavením, nikoli článkem, který o něm informoval.
