AirVPN vs Surfshark

Märkimisväärne praktikat puudutav andmepunkt: avalikud USA föderaalkohtu istungiprotokollid kohtuasjas United States v. Klyushin (D. Mass., toimik 61629108, dokumendid #183 ja #217, leitud CourtListener/RECAP-i kaudu) näitavad, et õiguskaitseasutuse pen register paigaldati otse majutusteenuse pakkuja (DediPath) juurde, mitte AirVPN-i juurde, et jälgida AirVPN-i serveri IP-aadressi jaanuarist veebruarini 2020; AirVPN-i enda töötajad kinnitasid oma foorumis vastates, et ettevõte ei teadnud pealtkuulamisest ega olnud sellega seotud ning seade tuli paigaldada väljaspool AirVPN-i enda süsteeme.

See on kirje P12_case_history-is sündmusena court_order/nothing_produced, mille allikaks on AirVPN-i enda foorumikinnitus (mitte PACER-i PDF-id ise, mis tagastasid automatiseeritud päringutele vastuseks 403 ja mida loeti ainult teisese kokkuvõtte kaudu).

Seda kirjet oli varem loetud kaks korda — connection_timestamps V11-s auditi sõnastuse põhjal, source_ip C01-s poliitika sõnastuse põhjal — ning hinnati neist halvema järgi, mistõttu läks viieteistkümne minuti pikkune puhver maksma rohkem kui mitte midagi öelda: C01-i tühi väärtus on turu eelnev tõenäosus 0.550 ja source_ip väärtus 0.750.

R29 tõmbab nüüd piiri: deklareeritud ajavahemiku jooksul, mis on seotud seansi lõpuga, kustutatud olek on ühendus, mitte selle kirje, seega on mõlemal väljal samas lauses connection_timestamps. Arvesse läheb endiselt see, mis elab seansist kauem — poliitika jaotises 2.3.1 nimetatud viimase sisselogimise kuupäev ja audiitori nimetatud ühenduse ajatemplid.

Surfsharkil ja NordVPN-il on sama omanik (Nord Security, alates 2022. aastast), kuid Surfsharki enda tutvustusleht ütleb, et brändid ühinesid „iseseisvalt tegutsedes” ja eraldi taristuga — selle alusel on M18 määratud eraldi ning see vastab nordvpn.com-i kirjele.

U12a on serveritabeli enda P2P-veerus pigem osaline kui jah: 100 loetletud riigist 88 juures on see märgitud ja kaheteistkümne juures mitte (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Veerg kuvatakse kliendi poolel, seega loeti see renderdatud tabelist, mitte staatilisest HTML-ist, kus iga rida sisaldab iga märgistust.

Aadressil /transparency-report olev läbipaistvusaruanne — kuhu /warrant-canary nüüd ümber suunab — sisaldab aprilli–juuni 2026 kvartalit tabelina: 374,719 DMCA-teadet, 33 päringut valitsusasutustelt, 1 orderit, 0 riikliku julgeoleku kirja ja 0 avaldamiskeeldu. P08 arvestab 34 õiguslikku taotlust ega arvesta DMCA-teateid: need on liiklust puudutavad autoriõiguse kaebused, mitte kasutaja andmete taotlused.

Samal lehel öeldakse, et Surfshark loobub warrant canary kasutamisest kvartaliaruandluse kasuks, mistõttu P07 on eemaldatud, mitte märgitud väärtusega none — canary oli olemas ja see võeti teadlikult kasutuselt.

U07_protocols sisaldab Surfsharki enda sõnastuse kohaselt Dausose juures väärtust proprietary — selle protokollilehel nimetatakse Dausost „Surfsharki proprietary-protokolliks” ja selle lähtekoodi ei avaldata — ning just see üks väärtus määrab C13_weakest_protocol ja sellele järgneva hügieenitasu. IKEv2 jääb alles, sest Surfshark dokumenteerib seda endiselt, kuigi ettevõtte enda blogis on kirjas selle eemaldamine Windowsi rakendusest; Shadowsocks on toeindeksist kadunud ja seda ei ole loetletud.

Mida foorumiteemad näitavad. Foorumiteemad näitavad, et kasutajad küsivad AirVPN-ilt korduvalt avaldamiskeelu hoiatuse kohta, ilma et töötajad kinnitaksid selle olemasolu; see on kaudne viide, kuid mitte esmane eitus, mistõttu P07 jääb väärtusele „teadmata“, mitte „puudub“.

Arve, mida keegi ei avalda. Taotluste ja andmeedastuste arv on seetõttu samuti teadmata (P08, P09), ning tellijate koguarvu ei avaldata kunagi (M08 teadmata) — AirVPN avaldab ainult parajasti ühendatud kasutajate reaalajas loenduri, mitte registreeritud kasutajate või tellijate koguarvu, mistõttu vaikimine või teadmatus omab siin tegelikku kaalu.

Järgud ja pentestid. Korratavaid järke ei ole AirVPN-i enda lähtekoodist järgu loomise lehel dokumenteeritud (eddie.website/support/build/) ning spetsiaalset kliendi või taristu pentesti ei leitud (V13, V14 teadmata). Kill switch'i ulatus ja split tunnelling'u käitumine pärinevad kolmanda osapoole ülevaatest, mitte AirVPN-i enda dokumentatsioonist (U08, U09 usaldusväärsusel C), sest asjakohastele KKK lehtedele ei olnud saidi marsruutimise kaudu võimalik otse ligi pääseda (need renderdatakse JavaScripti abil ja tavalisele päringule tagastasid ainult laadimiskesta).

Kajastus väljaspool sidusettevõtteid. Pressikajastus ei piirdu sidusettevõtetega: BleepingComputer, sidusettevõtete koondnimekirjast väljapoole jääv peavooluväljaanne, on avaldanud sõltumatu ülevaate, millel on oma sidusettevõtte suhte avalikustamise teade, selle asemel et piirduda sidusettevõtete kataloogidega (X08=no). Sama ülevaade leidis ka, et AirVPN ei toiminud ühegi proovitud voogedastusteenusega — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — mistõttu U12b_streaming_works väärtus on nüüd