AirVPN vs Mullvad VPN

Märkimisväärne praktikat puudutav andmepunkt: avalikud USA föderaalkohtu istungiprotokollid kohtuasjas United States v. Klyushin (D. Mass., toimik 61629108, dokumendid #183 ja #217, leitud CourtListener/RECAP-i kaudu) näitavad, et õiguskaitseasutuse pen register paigaldati otse majutusteenuse pakkuja (DediPath) juurde, mitte AirVPN-i juurde, et jälgida AirVPN-i serveri IP-aadressi jaanuarist veebruarini 2020; AirVPN-i enda töötajad kinnitasid oma foorumis vastates, et ettevõte ei teadnud pealtkuulamisest ega olnud sellega seotud ning seade tuli paigaldada väljaspool AirVPN-i enda süsteeme.

See on kirje P12_case_history-is sündmusena court_order/nothing_produced, mille allikaks on AirVPN-i enda foorumikinnitus (mitte PACER-i PDF-id ise, mis tagastasid automatiseeritud päringutele vastuseks 403 ja mida loeti ainult teisese kokkuvõtte kaudu).

Mida foorumiteemad näitavad. Foorumiteemad näitavad, et kasutajad küsivad AirVPN-ilt korduvalt avaldamiskeelu hoiatuse kohta, ilma et töötajad kinnitaksid selle olemasolu; see on kaudne viide, kuid mitte esmane eitus, mistõttu P07 jääb väärtusele „teadmata“, mitte „puudub“.

Arve, mida keegi ei avalda. Taotluste ja andmeedastuste arv on seetõttu samuti teadmata (P08, P09), ning tellijate koguarvu ei avaldata kunagi (M08 teadmata) — AirVPN avaldab ainult parajasti ühendatud kasutajate reaalajas loenduri, mitte registreeritud kasutajate või tellijate koguarvu, mistõttu vaikimine või teadmatus omab siin tegelikku kaalu.

Järgud ja pentestid. Korratavaid järke ei ole AirVPN-i enda lähtekoodist järgu loomise lehel dokumenteeritud (eddie.website/support/build/) ning spetsiaalset kliendi või taristu pentesti ei leitud (V13, V14 teadmata). Kill switch'i ulatus ja split tunnelling'u käitumine pärinevad kolmanda osapoole ülevaatest, mitte AirVPN-i enda dokumentatsioonist (U08, U09 usaldusväärsusel C), sest asjakohastele KKK lehtedele ei olnud saidi marsruutimise kaudu võimalik otse ligi pääseda (need renderdatakse JavaScripti abil ja tavalisele päringule tagastasid ainult laadimiskesta).

Kajastus väljaspool sidusettevõtteid. Pressikajastus ei piirdu sidusettevõtetega: BleepingComputer, sidusettevõtete koondnimekirjast väljapoole jääv peavooluväljaanne, on avaldanud sõltumatu ülevaate, millel on oma sidusettevõtte suhte avalikustamise teade, selle asemel et piirduda sidusettevõtete kataloogidega (X08=no). Sama ülevaade leidis ka, et AirVPN ei toiminud ühegi proovitud voogedastusteenusega — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — mistõttu U12b_streaming_works väärtus on nüüd no, mitte addictivetips.com-i allikale tuginev partial, mis oli selle väärtus enne selle hosti keelatuks tunnistamist.

Aastane hind. U04b_price_yearly=4,08 on airvpn.org/buy/ lehel ühe aasta paketi (49 EUR/aastas) efektiivne kuumäär eurodes, mis jääb uuendamisel muutumatuks nagu iga AirVPN-i pakett.

Sõnamärk. AirVPN kasutab oma sõnamärki ainult PNG-vormingus (/static/img/logo/web_header.png, logo_horiz.png) ja tal puudub ajakirjandusele või brändile pühendatud leht, seega jääb logos/airvpn.svg AUDITOR.md §1 kohaselt puudu, mitte ei joonistata rasterkujutise põhjal ümber.

Miks arv on kaheksa. Auditite arv on kaheksa, sest GotaTuni ülevaade jääb rakendusehoidla enda nimekirjast välja. Neile eelnenud 30 inimtööpäeva pikkune X41 D-Seci ülevaade kõigil viiel platvormil tuvastas kuus haavatavust — kolm kõrge, kaks keskmise ja üks madala raskusastmega, kriitilisi ei olnud.

Mida ükski audit ei hõlma. Ükski neist audititest ei hõlma serveriparki: igaüks neist uurib rakendust või tunneliprotokolli, mistõttu registreeritakse serveripargi katvus näidise asemel mittekohaldatavana. Taristu poolel tugineb logide puudumise väide seega 2023. aasta aprilli läbiotsimismäärusele — Rootsi politsei tuli kliendiandmeid otsima ja lahkus nendeta — mitte ühelegi auditile.

Korratavad järgud, ainult Androidis. Korratavad järgud on ainult Androidis alates versioonist 2025.2, mistõttu jääb väli osaliseks; töölaua- ja iOS-i järgud ei ole bitthaaval kontrollitavad. Türgi on pakutud nimekirjas ainus kohustusega riik ja selle taga olev majutus ei ole tõendatud.

Nõudmiste kohta pole midagi avaldatud. Miski kirjes ei tugine millelegi, mida teenusepakkuja avaldab talle saabuvate nõudmiste kohta: läbipaistvusraportit ega avaldamiskeeldu ei ole, seega kannab 2023. aasta aprilli arest seda alust üksinda. Kill-switchi katvus ja P2P-poliitika ei ole tõendatud; viimane audit on protokolli koodiülevaade, mitte logide puudumise audit, mistõttu V11 vaikib ja säilitamine tugineb deklaratsioonile.