Mullvad VPN vs NordVPN

2018. aasta Soome andmekeskuse rikkumine oli kolmanda osapoole sissetung, mitte õiguskaitseasutuse arest — P12_case_history all on see registreeritud kui kind=breach, mitte P01_seizure_event. NordVPN-i enda käsitlus (nordvpn.com/blog/official-response-datacenter-breach/) ja Bloombergi samal ajal avaldatud ülevaade nõustuvad, et avalikustamisele eelnesid väliste uurijate Twitteris esitatud väited, mitte NordVPN-i enda algatus — seega third_party_disclosed, mitte self_disclosed_late.

NordVPN ja Surfshark jagavad emaettevõtjat (Nord Security), kuid mõlema ettevõtte enda ühinemisteade kinnitab eraldi taristut ja tootearenduse tegevuskavasid; selle alusel on M18 määratud eraldiseisvaks.

Miks arv on kaheksa. Auditite arv on kaheksa, sest GotaTuni ülevaade jääb rakendusehoidla enda nimekirjast välja. Neile eelnenud 30 inimtööpäeva pikkune X41 D-Seci ülevaade kõigil viiel platvormil tuvastas kuus haavatavust — kolm kõrge, kaks keskmise ja üks madala raskusastmega, kriitilisi ei olnud.

Mida ükski audit ei hõlma. Ükski neist audititest ei hõlma serveriparki: igaüks neist uurib rakendust või tunneliprotokolli, mistõttu registreeritakse serveripargi katvus näidise asemel mittekohaldatavana. Taristu poolel tugineb logide puudumise väide seega 2023. aasta aprilli läbiotsimismäärusele — Rootsi politsei tuli kliendiandmeid otsima ja lahkus nendeta — mitte ühelegi auditile.

Korratavad järgud, ainult Androidis. Korratavad järgud on ainult Androidis alates versioonist 2025.2, mistõttu jääb väli osaliseks; töölaua- ja iOS-i järgud ei ole bitthaaval kontrollitavad. Türgi on pakutud nimekirjas ainus kohustusega riik ja selle taga olev majutus ei ole tõendatud.

Nõudmiste kohta pole midagi avaldatud. Miski kirjes ei tugine millelegi, mida teenusepakkuja avaldab talle saabuvate nõudmiste kohta: läbipaistvusraportit ega avaldamiskeeldu ei ole, seega kannab 2023. aasta aprilli arest seda alust üksinda. Kill-switchi katvus ja P2P-poliitika ei ole tõendatud; viimane audit on protokolli koodiülevaade, mitte logide puudumise audit, mistõttu V11 vaikib ja säilitamine tugineb deklaratsioonile.

Canary ja selle asendanud kvartal. Sama leht kõrvaldas warrant canary (P07=removed), et avaldada kvartaalseid läbipaistvusraporteid; viimane täielik kvartal (aprill–juuni 2026) näitab 85 valitsusasutuste päringut ja 0 avalikustamist, seega puudutavad P08/P09 seda perioodi, mitte kogu perioodi näitajat.

India ja salajaste korralduste režiim. P04=withdrew_physical on 2022. aasta juunis Indiast väljumine. P11=none_known põhineb lehe väitel, et NordVPN ei ole saanud ühtegi siduvat National Security letter'it ega avaldamiskeeldu, ning sellel, et Panamas selline režiim puudub.

Kindlustase, mida keegi kontrollida ei saa. NordVPN kirjeldab Deloitte Lithuania kaasamist kui põhjendatud kindlusega kaasamist ISAE 3000 (Revised) alusel, mis oleks tugevam vorm; PIA raportis, mida saab lugeda, on esitatud piiratud kindlusega järeldus.

Miks tugevamat vormi ei arvestata. Mudel arvestab nüüd seda erinevust ning see kirje ei saa sellest kasu: V15_assurance_strength on teadmata, sest ainus taseme kirjeldus pärineb NordVPN-ilt ja puudutab aruannet, mida keegi väljaspool Nord Accounti avada ei saa. Sisselogimise taha peidetud dokument ei ole siin ühelgi tasemel tõend, seega arvestatakse auditituru normi, mitte väidetavalt saavutatud taseme järgi.

Sisselogimise taha peidetud aruanne. Aruanne ise on loetav üksnes pärast Nord Accounti sisselogimist, seega ei ole keegi väljaspool seda suhet selle ulatust kontrollinud ning kõik siinsed auditi väljad tuginevad dokumendi asemel NordVPN-i enda kokkuvõttele. See, mitte teenuse kohta tehtud negatiivne järeldus, on põhjus, miks see kirje on kataloogi kõige napim.

Omaniku väljad. M11_owner_jurisdiction ja X04_owner_group_history on teadmata: nordvpn.com ja nordsecurity.com nimetavad omanikuks Nord Securityt, kuid kumbki ei märgi Nord Security enda registreerimisjurisdiktsiooni ega grupi varasemat ajalugu; teisene ajakirjandus seostab 2022. aasta ühinemise põhjal ühe „Cyberspace'i” valdusüksuse Madalmaadega, kuid seda ei kinnitatud olemasoleva aja jooksul Nord Security või NordVPN-i esmase lehe põhjal.

Mida ei saanud üldse lugeda. 2025. aasta Deloitte'i aruande täisteksti ei saa üldse lugeda (sisselogimisega piiratud), seega ei ole säilitamise kohta registreeritud muud hinnangut kui poliitika enda väide väljal C01_linkable_retention.

Serveritabel, mis ei avanenud. C09b_mandate_hosting on teadmata: riikide kaupa kuvatav serveritabel näitab olekus, mida see audit suutis kuvada, füüsilise/virtuaalse staatuse kohta teavet ainult Ameerika piirkonna puhul; Euroopa, Aasia ja Vaikse ookeani piirkonna ning Aafrika/Lähis-Ida jaotised (milles on mitu kohustusega riiki, mida teenusepark teenindab, näiteks AE, IN, TR, VN, IQ ja KZ serverite API andmetel) laaditakse kliendi poolel klõpsamisel ning neid ei laiendatud.