IVPN vs NordVPN

2026. aasta augusti intsident. 2026. aasta augustis kasutas ründaja enda hallatavas BTCPay Serveris ära haavatavust enne selle avalikuks tulekut ning võttis IVPNi enda Lightningi tegevusraha. IVPN avaldas juhtumi kirjelduse neli päeva hiljem omal algatusel ja piiritles selle selle masinaga: VPN-lüüsid ei olnud seotud, klientide kirjeteni ei jõutud ja klientide raha ei läinud kaduma.

Miks see midagi ei maksa. See mudel ei nõua selle eest midagi, mis ongi asja mõte — operaator, kes seda kohe ütleb, käitub nii, nagu register on mõeldud premeerima, ning kirje on siin selleks, et lugeja teaks, et see juhtus, mitte numbri muutmiseks.

Mida auditid hõlmasid. Rakenduste penetratsioonitest (iOS, Android, Electron, deemon) pärineb 2022. aasta märtsist ning lüüsi/serveri operatsioonisüsteemi ülevaatus 2023. aasta veebruarist; kumbki ei kontrollinud logide puudumise väidet ennast, nagu 2023. aasta aruanne sõnaselgelt ütleb, seega põhineb säilitamine üksnes privaatsuspoliitika deklaratsioonil.

Viimane aruanne ei ole asjakohane. 2024. aasta aprilli töö Cure53-ga, kuues töö IVPN-iga, testis kliendikonto veebisaiti, API-t ja majutust; selle ulatuse lehel nimetatakse klientrakendused ja VPN-serverid sõnaselgelt ulatusest välja jäetuks, seega ei laienda see ei rakenduse ega lüüsi tõendeid ning V03_audit_subject on selle puhul unknown, mitte ei kanna seda krediiti edasi. Seitsmes töö, mis käsitles uusi e-posti- ja DNS-teenuseid, kuulutati välja alles 2025. aasta maiks; selle kohta pole aruannet avaldatud.

Mida esmane sait kunagi ei tõenda. Ainult RAM-i kasutamine on märgitud osaliseks, sest IVPN kirjeldab seda üleminekuna, mille katsetamised on käimas, ega ole teatanud selle lõpuleviimisest. Serveririistvara omand (renditud või omandis), liikluse muutmine väljumispunktis ja tegeliku omaniku isiklik jurisdiktsioon on tõendamata: ükski esmane IVPN-i leht ei ütle neist kolme kohta midagi, samuti mitte kasutajaskonna suuruse kohta.

Kolm välja, millele vastab teadmusbaas, mitte esmakordsel täitmisel loetud lehed. IP-aadresside jaotus on kavandatult jagatud — "crowding" koondab kasutajad ühele aadressile, et omistamist raskendada. P2P on kõikjal lubatud, kuid IVPN palub klientidel vältida USA väljumispunkte, viidates ülesvoolu DMCA survele. Voogedastusele garantiid ei anta, kuigi ettevõte ütleb, et paljud kliendid pääsevad sellele siiski ligi.

Canary ja selle asendanud kvartal. Sama leht kõrvaldas warrant canary (P07=removed), et avaldada kvartaalseid läbipaistvusraporteid; viimane täielik kvartal (aprill–juuni 2026) näitab 85 valitsusasutuste päringut ja 0 avalikustamist, seega puudutavad P08/P09 seda perioodi, mitte kogu perioodi näitajat.

India ja salajaste korralduste režiim. P04=withdrew_physical on 2022. aasta juunis Indiast väljumine. P11=none_known põhineb lehe väitel, et NordVPN ei ole saanud ühtegi siduvat National Security letter'it ega avaldamiskeeldu, ning sellel, et Panamas selline režiim puudub.

Kindlustase, mida keegi kontrollida ei saa. NordVPN kirjeldab Deloitte Lithuania kaasamist kui põhjendatud kindlusega kaasamist ISAE 3000 (Revised) alusel, mis oleks tugevam vorm; PIA raportis, mida saab lugeda, on esitatud piiratud kindlusega järeldus.

Miks tugevamat vormi ei arvestata. Mudel arvestab nüüd seda erinevust ning see kirje ei saa sellest kasu: V15_assurance_strength on teadmata, sest ainus taseme kirjeldus pärineb NordVPN-ilt ja puudutab aruannet, mida keegi väljaspool Nord Accounti avada ei saa. Sisselogimise taha peidetud dokument ei ole siin ühelgi tasemel tõend, seega arvestatakse auditituru normi, mitte väidetavalt saavutatud taseme järgi.

Sisselogimise taha peidetud aruanne. Aruanne ise on loetav üksnes pärast Nord Accounti sisselogimist, seega ei ole keegi väljaspool seda suhet selle ulatust kontrollinud ning kõik siinsed auditi väljad tuginevad dokumendi asemel NordVPN-i enda kokkuvõttele. See, mitte teenuse kohta tehtud negatiivne järeldus, on põhjus, miks see kirje on kataloogi kõige napim.

Omaniku väljad. M11_owner_jurisdiction ja X04_owner_group_history on teadmata: nordvpn.com ja nordsecurity.com nimetavad omanikuks Nord Securityt, kuid kumbki ei märgi Nord Security enda registreerimisjurisdiktsiooni ega grupi varasemat ajalugu; teisene ajakirjandus seostab 2022. aasta ühinemise põhjal ühe „Cyberspace'i” valdusüksuse Madalmaadega, kuid seda ei kinnitatud olemasoleva aja jooksul Nord Security või NordVPN-i esmase lehe põhjal.

2018. aasta Soome andmekeskuse rikkumine oli kolmanda osapoole sissetung, mitte õiguskaitseasutuse arest — P12_case_history all on see registreeritud kui kind=breach, mitte P01_seizure_event. NordVPN-i enda käsitlus (nordvpn.com/blog/official-response-datacenter-breach/) ja Bloombergi samal ajal avaldatud ülevaade nõustuvad, et avalikustamisele eelnesid väliste uurijate Twitteris esitatud väited, mitte NordVPN-i enda algatus — seega third_party_disclosed, mitte self_disclosed_late.

NordVPN ja Surfshark jagavad emaettevõtjat (Nord Security), kuid mõlema ettevõtte enda ühinemisteade kinnitab eraldi taristut ja tootearenduse tegevuskavasid; selle alusel on M18 määratud eraldiseisvaks.