IVPN vs Surfshark

Hændelsen i august 2026. I august 2026 udnyttede en angriber en sårbarhed i den selvhostede BTCPay Server, før den blev offentliggjort, og tog IVPNs egne Lightning-driftsmidler. IVPN offentliggjorde redegørelsen fire dage senere uden opfordring og afgrænsede den til den maskine: VPN-gateways var ikke involveret, ingen kunderegistre blev tilgået, og ingen kundepenge gik tabt.

Hvorfor det ikke koster noget. Modellen opkræver ikke noget for dette, hvilket er pointen — en operatør, der siger det så hurtigt, handler på den måde, som feltet er tænkt til at belønne, og posten er her, så en læser ved, at det skete, ikke for at flytte et tal.

Hvad opgaverne omfattede. Applikations-pentest'en (iOS, Android, Electron, daemonen) er fra marts 2022, og gennemgangen af gatewayen/serverens OS er fra februar 2023; ingen af dem testede selve no-logs-hævdet, hvilket rapporten fra 2023 udtrykkeligt angiver, så opbevaring hviler alene på erklæringen i privatlivspolitikken.

Den seneste rapport er ikke den relevante. Engagemementet i april 2024, Cure53s sjette med IVPN, testede webstedet for kundekonti, API'et og hosting; dens egen scope-side angiver klientapps og VPN-servere som uden for scope, så den udvider hverken belægget for appen eller gatewayen, og V03_audit_subject er angivet som unknown for den i stedet for at føre den kredit videre. Det syvende engagement, om de nye e-mail- og DNS-tjenester, blev kun annonceret til maj 2025; ingen rapport om det er offentliggjort.

Det, som det primære websted aldrig dokumenterer. RAM-only er registreret som delvist, fordi IVPN beskriver det som en overgang med testinstallationer undervejs og ikke har annonceret, at den er afsluttet. Ejerskab af serverhardware (lejet kontra ejet), trafikændring ved exit og den reelle ejers personlige jurisdiktion er ikke dokumenteret: Ingen primær IVPN-side angiver nogen af de tre, og det gør brugerbasens størrelse heller ikke.

Tre felter, som vidensbasen besvarer, men ikke de sider, der først blev læst. IP-tildelingen er delt efter design — "crowding" samler brugere på én adresse for at vanskeliggøre henføring. P2P er tilladt overalt, men IVPN beder kunder om at undgå amerikanske exits med henvisning til pres fra upstream-DMCA. Streaming har ingen garanti, selv om virksomheden siger, at mange kunder kan få adgang til den.

Indien og regimet for hemmelige påbud. P04_mandate_response=withdrew_physical er udtrædelsen fra Indien i juni 2022, genskabt fra Surfsharks egen blog (surfshark.com/blog/surfshark-servers-certin-india), efter at den tidligere gennemgang fandt, at /trust-center-siden ikke længere indeholdt den. P11=judicial_only bygger på gennemsigtighedsrapporten, der viser kendelsen fra Amsterdam District Court fra april 2026 samt tællerne for National-Security-letter og tavshedspålæg på nul.

To rapporter fundet, måske ikke alle. Der blev kun fundet offentliggjorte Deloitte-rapporter om ingen logning (december 2022, juni 2025); der kan være andre, som ikke er linket fra robots.txt, og som denne audit ikke søgte efter på andre måder.

Dette post blev tidligere læst to gange — connection_timestamps i V11 ud fra auditens formulering, source_ip i C01 ud fra politikformuleringen — og vurderet efter den dårligste af de to, hvilket gjorde bufferen på femten minutter dyrere end slet ikke at sige noget: et tomt felt i C01 er markedsprioren 0.550, og source_ip er 0.750.

R29 trækker nu grænsen: status, der slettes inden for et erklæret tidsrum knyttet til sessionens afslutning, er forbindelsen, ikke en registrering af den, så begge felter læses som connection_timestamps i samme sætning. Det, der stadig tæller, er det, der overlever sessionen — datoen for seneste login i politikafsnit 2.3.1 og de connection timestamps, auditoren navngiver.

Surfshark og NordVPN deler en ejer (Nord Security, siden 2022), men Surfsharks egen om-os-side fastslår, at brandsene blev fusioneret "while operating independently" med separat infrastruktur — M18 sættes til separat på det grundlag, i overensstemmelse med posten for nordvpn.com.

U12a er delvis snarere end ja i servertabellens egen P2P-kolonne: 88 af de 100 angivne lande har den, og tolv har den ikke (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolonnen tegnes på klientsiden, så den blev aflæst fra den gengivne tabel i stedet for den statiske HTML, hvor hver række har hver etiket.

Gennemsigtighedsrapporten på /transparency-report — som /warrant-canary nu omdirigerer til — angiver kvartalet april-juni 2026 som en tabel: 374.719 DMCA-meddelelser, 33 forespørgsler fra statslige institutioner, 1 påbud, 0 national security letters og 0 tavshedspålæg. P08 tæller de 34 juridiske anmodninger og lader DMCA-meddelelserne ude: de er ophavsretsklager over trafik, ikke anmodninger om en brugers data.