AirVPN vs NordVPN

Märkimisväärne praktikat puudutav andmepunkt: avalikud USA föderaalkohtu istungiprotokollid kohtuasjas United States v. Klyushin (D. Mass., toimik 61629108, dokumendid #183 ja #217, leitud CourtListener/RECAP-i kaudu) näitavad, et õiguskaitseasutuse pen register paigaldati otse majutusteenuse pakkuja (DediPath) juurde, mitte AirVPN-i juurde, et jälgida AirVPN-i serveri IP-aadressi jaanuarist veebruarini 2020; AirVPN-i enda töötajad kinnitasid oma foorumis vastates, et ettevõte ei teadnud pealtkuulamisest ega olnud sellega seotud ning seade tuli paigaldada väljaspool AirVPN-i enda süsteeme.

See on kirje P12_case_history-is sündmusena court_order/nothing_produced, mille allikaks on AirVPN-i enda foorumikinnitus (mitte PACER-i PDF-id ise, mis tagastasid automatiseeritud päringutele vastuseks 403 ja mida loeti ainult teisese kokkuvõtte kaudu).

2018. aasta Soome andmekeskuse rikkumine oli kolmanda osapoole sissetung, mitte õiguskaitseasutuse arest — P12_case_history all on see registreeritud kui kind=breach, mitte P01_seizure_event. NordVPN-i enda käsitlus (nordvpn.com/blog/official-response-datacenter-breach/) ja Bloombergi samal ajal avaldatud ülevaade nõustuvad, et avalikustamisele eelnesid väliste uurijate Twitteris esitatud väited, mitte NordVPN-i enda algatus — seega third_party_disclosed, mitte self_disclosed_late.

NordVPN ja Surfshark jagavad emaettevõtjat (Nord Security), kuid mõlema ettevõtte enda ühinemisteade kinnitab eraldi taristut ja tootearenduse tegevuskavasid; selle alusel on M18 määratud eraldiseisvaks.

Mida foorumiteemad näitavad. Foorumiteemad näitavad, et kasutajad küsivad AirVPN-ilt korduvalt avaldamiskeelu hoiatuse kohta, ilma et töötajad kinnitaksid selle olemasolu; see on kaudne viide, kuid mitte esmane eitus, mistõttu P07 jääb väärtusele „teadmata“, mitte „puudub“.

Arve, mida keegi ei avalda. Taotluste ja andmeedastuste arv on seetõttu samuti teadmata (P08, P09), ning tellijate koguarvu ei avaldata kunagi (M08 teadmata) — AirVPN avaldab ainult parajasti ühendatud kasutajate reaalajas loenduri, mitte registreeritud kasutajate või tellijate koguarvu, mistõttu vaikimine või teadmatus omab siin tegelikku kaalu.

Järgud ja pentestid. Korratavaid järke ei ole AirVPN-i enda lähtekoodist järgu loomise lehel dokumenteeritud (eddie.website/support/build/) ning spetsiaalset kliendi või taristu pentesti ei leitud (V13, V14 teadmata). Kill switch'i ulatus ja split tunnelling'u käitumine pärinevad kolmanda osapoole ülevaatest, mitte AirVPN-i enda dokumentatsioonist (U08, U09 usaldusväärsusel C), sest asjakohastele KKK lehtedele ei olnud saidi marsruutimise kaudu võimalik otse ligi pääseda (need renderdatakse JavaScripti abil ja tavalisele päringule tagastasid ainult laadimiskesta).

Kajastus väljaspool sidusettevõtteid. Pressikajastus ei piirdu sidusettevõtetega: BleepingComputer, sidusettevõtete koondnimekirjast väljapoole jääv peavooluväljaanne, on avaldanud sõltumatu ülevaate, millel on oma sidusettevõtte suhte avalikustamise teade, selle asemel et piirduda sidusettevõtete kataloogidega (X08=no). Sama ülevaade leidis ka, et AirVPN ei toiminud ühegi proovitud voogedastusteenusega — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — mistõttu U12b_streaming_works väärtus on nüüd no, mitte addictivetips.com-i allikale tuginev partial, mis oli selle väärtus enne selle hosti keelatuks tunnistamist.

Aastane hind. U04b_price_yearly=4,08 on airvpn.org/buy/ lehel ühe aasta paketi (49 EUR/aastas) efektiivne kuumäär eurodes, mis jääb uuendamisel muutumatuks nagu iga AirVPN-i pakett.

Sõnamärk. AirVPN kasutab oma sõnamärki ainult PNG-vormingus (/static/img/logo/web_header.png, logo_horiz.png) ja tal puudub ajakirjandusele või brändile pühendatud leht, seega jääb logos/airvpn.svg AUDITOR.md §1 kohaselt puudu, mitte ei joonistata rasterkujutise põhjal ümber.

Canary ja selle asendanud kvartal. Sama leht kõrvaldas warrant canary (P07=removed), et avaldada kvartaalseid läbipaistvusraporteid; viimane täielik kvartal (aprill–juuni 2026) näitab 85 valitsusasutuste päringut ja 0 avalikustamist, seega puudutavad P08/P09 seda perioodi, mitte kogu perioodi näitajat.

India ja salajaste korralduste režiim. P04=withdrew_physical on 2022. aasta juunis Indiast väljumine. P11=none_known põhineb lehe väitel, et NordVPN ei ole saanud ühtegi siduvat National Security letter'it ega avaldamiskeeldu, ning sellel, et Panamas selline režiim puudub.

Kindlustase, mida keegi kontrollida ei saa. NordVPN kirjeldab Deloitte Lithuania kaasamist kui põhjendatud kindlusega kaasamist ISAE 3000 (Revised) alusel, mis oleks tugevam vorm; PIA raportis, mida saab lugeda, on esitatud piiratud kindlusega järeldus.

Miks tugevamat vormi ei arvestata. Mudel arvestab nüüd seda erinevust ning see kirje ei saa sellest kasu: V15_assurance_strength on teadmata, sest ainus taseme kirjeldus pärineb NordVPN-ilt ja puudutab aruannet, mida keegi väljaspool Nord Accounti avada ei saa. Sisselogimise taha peidetud dokument ei ole siin ühelgi tasemel tõend, seega arvestatakse auditituru normi, mitte väidetavalt saavutatud taseme järgi.

Sisselogimise taha peidetud aruanne. Aruanne ise on loetav üksnes pärast Nord Accounti sisselogimist, seega ei ole keegi väljaspool seda suhet selle ulatust kontrollinud ning kõik siinsed auditi väljad tuginevad dokumendi asemel NordVPN-i enda kokkuvõttele. See, mitte teenuse kohta tehtud negatiivne järeldus, on põhjus, miks see kirje on kataloogi kõige napim.

Omaniku väljad. M11_owner_jurisdiction ja X04_owner_group_history on teadmata: nordvpn.com ja nordsecurity.com nimetavad omanikuks Nord Securityt, kuid kumbki ei märgi Nord Security enda registreerimisjurisdiktsiooni ega grupi varasemat ajalugu; teisene ajakirjandus seostab 2022. aasta ühinemise põhjal ühe „Cyberspace'i” valdusüksuse Madalmaadega, kuid seda ei kinnitatud olemasoleva aja jooksul Nord Security või NordVPN-i esmase lehe põhjal.