IVPN vs Mullvad VPN

2026. aasta augusti intsident. 2026. aasta augustis kasutas ründaja enda hallatavas BTCPay Serveris ära haavatavust enne selle avalikuks tulekut ning võttis IVPNi enda Lightningi tegevusraha. IVPN avaldas juhtumi kirjelduse neli päeva hiljem omal algatusel ja piiritles selle selle masinaga: VPN-lüüsid ei olnud seotud, klientide kirjeteni ei jõutud ja klientide raha ei läinud kaduma.

Miks see midagi ei maksa. See mudel ei nõua selle eest midagi, mis ongi asja mõte — operaator, kes seda kohe ütleb, käitub nii, nagu register on mõeldud premeerima, ning kirje on siin selleks, et lugeja teaks, et see juhtus, mitte numbri muutmiseks.

Mida auditid hõlmasid. Rakenduste penetratsioonitest (iOS, Android, Electron, deemon) pärineb 2022. aasta märtsist ning lüüsi/serveri operatsioonisüsteemi ülevaatus 2023. aasta veebruarist; kumbki ei kontrollinud logide puudumise väidet ennast, nagu 2023. aasta aruanne sõnaselgelt ütleb, seega põhineb säilitamine üksnes privaatsuspoliitika deklaratsioonil.

Viimane aruanne ei ole asjakohane. 2024. aasta aprilli töö Cure53-ga, kuues töö IVPN-iga, testis kliendikonto veebisaiti, API-t ja majutust; selle ulatuse lehel nimetatakse klientrakendused ja VPN-serverid sõnaselgelt ulatusest välja jäetuks, seega ei laienda see ei rakenduse ega lüüsi tõendeid ning V03_audit_subject on selle puhul unknown, mitte ei kanna seda krediiti edasi. Seitsmes töö, mis käsitles uusi e-posti- ja DNS-teenuseid, kuulutati välja alles 2025. aasta maiks; selle kohta pole aruannet avaldatud.

Mida esmane sait kunagi ei tõenda. Ainult RAM-i kasutamine on märgitud osaliseks, sest IVPN kirjeldab seda üleminekuna, mille katsetamised on käimas, ega ole teatanud selle lõpuleviimisest. Serveririistvara omand (renditud või omandis), liikluse muutmine väljumispunktis ja tegeliku omaniku isiklik jurisdiktsioon on tõendamata: ükski esmane IVPN-i leht ei ütle neist kolme kohta midagi, samuti mitte kasutajaskonna suuruse kohta.

Kolm välja, millele vastab teadmusbaas, mitte esmakordsel täitmisel loetud lehed. IP-aadresside jaotus on kavandatult jagatud — "crowding" koondab kasutajad ühele aadressile, et omistamist raskendada. P2P on kõikjal lubatud, kuid IVPN palub klientidel vältida USA väljumispunkte, viidates ülesvoolu DMCA survele. Voogedastusele garantiid ei anta, kuigi ettevõte ütleb, et paljud kliendid pääsevad sellele siiski ligi.

Miks arv on kaheksa. Auditite arv on kaheksa, sest GotaTuni ülevaade jääb rakendusehoidla enda nimekirjast välja. Neile eelnenud 30 inimtööpäeva pikkune X41 D-Seci ülevaade kõigil viiel platvormil tuvastas kuus haavatavust — kolm kõrge, kaks keskmise ja üks madala raskusastmega, kriitilisi ei olnud.

Mida ükski audit ei hõlma. Ükski neist audititest ei hõlma serveriparki: igaüks neist uurib rakendust või tunneliprotokolli, mistõttu registreeritakse serveripargi katvus näidise asemel mittekohaldatavana. Taristu poolel tugineb logide puudumise väide seega 2023. aasta aprilli läbiotsimismäärusele — Rootsi politsei tuli kliendiandmeid otsima ja lahkus nendeta — mitte ühelegi auditile.

Korratavad järgud, ainult Androidis. Korratavad järgud on ainult Androidis alates versioonist 2025.2, mistõttu jääb väli osaliseks; töölaua- ja iOS-i järgud ei ole bitthaaval kontrollitavad. Türgi on pakutud nimekirjas ainus kohustusega riik ja selle taga olev majutus ei ole tõendatud.

Nõudmiste kohta pole midagi avaldatud. Miski kirjes ei tugine millelegi, mida teenusepakkuja avaldab talle saabuvate nõudmiste kohta: läbipaistvusraportit ega avaldamiskeeldu ei ole, seega kannab 2023. aasta aprilli arest seda alust üksinda. Kill-switchi katvus ja P2P-poliitika ei ole tõendatud; viimane audit on protokolli koodiülevaade, mitte logide puudumise audit, mistõttu V11 vaikib ja säilitamine tugineb deklaratsioonile.