NordVPN vs Surfshark

Canary ja selle asendanud kvartal. Sama leht kõrvaldas warrant canary (P07=removed), et avaldada kvartaalseid läbipaistvusraporteid; viimane täielik kvartal (aprill–juuni 2026) näitab 85 valitsusasutuste päringut ja 0 avalikustamist, seega puudutavad P08/P09 seda perioodi, mitte kogu perioodi näitajat.

India ja salajaste korralduste režiim. P04=withdrew_physical on 2022. aasta juunis Indiast väljumine. P11=none_known põhineb lehe väitel, et NordVPN ei ole saanud ühtegi siduvat National Security letter'it ega avaldamiskeeldu, ning sellel, et Panamas selline režiim puudub.

Kindlustase, mida keegi kontrollida ei saa. NordVPN kirjeldab Deloitte Lithuania kaasamist kui põhjendatud kindlusega kaasamist ISAE 3000 (Revised) alusel, mis oleks tugevam vorm; PIA raportis, mida saab lugeda, on esitatud piiratud kindlusega järeldus.

Miks tugevamat vormi ei arvestata. Mudel arvestab nüüd seda erinevust ning see kirje ei saa sellest kasu: V15_assurance_strength on teadmata, sest ainus taseme kirjeldus pärineb NordVPN-ilt ja puudutab aruannet, mida keegi väljaspool Nord Accounti avada ei saa. Sisselogimise taha peidetud dokument ei ole siin ühelgi tasemel tõend, seega arvestatakse auditituru normi, mitte väidetavalt saavutatud taseme järgi.

Sisselogimise taha peidetud aruanne. Aruanne ise on loetav üksnes pärast Nord Accounti sisselogimist, seega ei ole keegi väljaspool seda suhet selle ulatust kontrollinud ning kõik siinsed auditi väljad tuginevad dokumendi asemel NordVPN-i enda kokkuvõttele. See, mitte teenuse kohta tehtud negatiivne järeldus, on põhjus, miks see kirje on kataloogi kõige napim.

Omaniku väljad. M11_owner_jurisdiction ja X04_owner_group_history on teadmata: nordvpn.com ja nordsecurity.com nimetavad omanikuks Nord Securityt, kuid kumbki ei märgi Nord Security enda registreerimisjurisdiktsiooni ega grupi varasemat ajalugu; teisene ajakirjandus seostab 2022. aasta ühinemise põhjal ühe „Cyberspace'i” valdusüksuse Madalmaadega, kuid seda ei kinnitatud olemasoleva aja jooksul Nord Security või NordVPN-i esmase lehe põhjal.

Mida ei saanud üldse lugeda. 2025. aasta Deloitte'i aruande täisteksti ei saa üldse lugeda (sisselogimisega piiratud), seega ei ole säilitamise kohta registreeritud muud hinnangut kui poliitika enda väide väljal C01_linkable_retention.

Serveritabel, mis ei avanenud. C09b_mandate_hosting on teadmata: riikide kaupa kuvatav serveritabel näitab olekus, mida see audit suutis kuvada, füüsilise/virtuaalse staatuse kohta teavet ainult Ameerika piirkonna puhul; Euroopa, Aasia ja Vaikse ookeani piirkonna ning Aafrika/Lähis-Ida jaotised (milles on mitu kohustusega riiki, mida teenusepark teenindab, näiteks AE, IN, TR, VN, IQ ja KZ serverite API andmetel) laaditakse kliendi poolel klõpsamisel ning neid ei laiendatud.

Jäeti teadmata, mitte väidetuks. C04-C07, U06 (tsensuuri tõend), U11, V12-V14, X06, X07, X10 ja X11 ei leidnud esmase dokumendi põhjal sõltumatut kinnitust ning jäeti teisese kajastuse põhjal väitmise asemel teadmata.

Üks kahtlus jäeti lahtiseks ja seda ei arvestatud. X12 puhul jääb üks kahtlus lahtiseks, ilma et seda skoori sisse arvestataks: com.nordvpn.androidi Play and safety vorm märgib Androidis analüütika all Installed apps, samal ajal kui NordVPN-i privaatsusteatis mainib installitud rakendusi ainult ühes kohas — pahavaratõrje haavatavuse kontrollis — ning piirdub rakenduste nimede ja versioonide töötlemisel Windowsiga.

Miks see loetakse endiselt vastavaks. Kategooria on avalikustatud, mitte puudu, ning R28 ei tee platvormi ulatuse erinevusest järeldust, seega on väärtus matches_policy; Androidi eesmärk ei ole aga see, mida teatis kirjeldab, ning ainult NordVPN saab öelda, kumb neist kahest on valesti kirjutatud.

India ja salajaste korralduste kord. P04_mandate_response=withdrew_physical on 2022. aasta juunis toimunud India lahkumine, mis taastati Surfsharki enda blogist (surfshark.com/blog/surfshark-servers-certin-india) pärast seda, kui varasem kontroll leidis, et lehel /trust-center seda enam ei olnud. P11=judicial_only põhineb läbipaistvusaruandel, milles 2026. aasta aprilli Amsterdam District Courti määruse ning National-Security-letter'i ja gag-order'i loendurid on null.

Leiti kaks aruannet, võib-olla mitte kõik. Avaldatuna leiti ainult kaks Deloitte'i no-logs aruannet (detsember 2022, juuni 2025); võib olla ka teisi, mida robots.txt ei lingi ja mida see audit muul viisil ei otsinud.

2018. aasta Soome andmekeskuse rikkumine oli kolmanda osapoole sissetung, mitte õiguskaitseasutuse arest — P12_case_history all on see registreeritud kui kind=breach, mitte P01_seizure_event. NordVPN-i enda käsitlus (nordvpn.com/blog/official-response-datacenter-breach/) ja Bloombergi samal ajal avaldatud ülevaade nõustuvad, et avalikustamisele eelnesid väliste uurijate Twitteris esitatud väited, mitte NordVPN-i enda algatus — seega third_party_disclosed, mitte self_disclosed_late.

NordVPN ja Surfshark jagavad emaettevõtjat (Nord Security), kuid mõlema ettevõtte enda ühinemisteade kinnitab eraldi taristut ja tootearenduse tegevuskavasid; selle alusel on M18 määratud eraldiseisvaks.

Seda kirjet oli varem loetud kaks korda — connection_timestamps V11-s auditi sõnastuse põhjal, source_ip C01-s poliitika sõnastuse põhjal — ning hinnati neist halvema järgi, mistõttu läks viieteistkümne minuti pikkune puhver maksma rohkem kui mitte midagi öelda: C01-i tühi väärtus on turu eelnev tõenäosus 0.550 ja source_ip väärtus 0.750.

R29 tõmbab nüüd piiri: deklareeritud ajavahemiku jooksul, mis on seotud seansi lõpuga, kustutatud olek on ühendus, mitte selle kirje, seega on mõlemal väljal samas lauses connection_timestamps. Arvesse läheb endiselt see, mis elab seansist kauem — poliitika jaotises 2.3.1 nimetatud viimase sisselogimise kuupäev ja audiitori nimetatud ühenduse ajatemplid.

Surfsharkil ja NordVPN-il on sama omanik (Nord Security, alates 2022. aastast), kuid Surfsharki enda tutvustusleht ütleb, et brändid ühinesid „iseseisvalt tegutsedes” ja eraldi taristuga — selle alusel on M18 määratud eraldi ning see vastab nordvpn.com-i kirjele.

U12a on serveritabeli enda P2P-veerus pigem osaline kui jah: 100 loetletud riigist 88 juures on see märgitud ja kaheteistkümne juures mitte (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Veerg kuvatakse kliendi poolel, seega loeti see renderdatud tabelist, mitte staatilisest HTML-ist, kus iga rida sisaldab iga märgistust.

Aadressil /transparency-report olev läbipaistvusaruanne — kuhu /warrant-canary nüüd ümber suunab — sisaldab aprilli–juuni 2026 kvartalit tabelina: 374,719 DMCA-teadet, 33 päringut valitsusasutustelt, 1 orderit, 0 riikliku julgeoleku kirja ja 0 avaldamiskeeldu. P08 arvestab 34 õiguslikku taotlust ega arvesta DMCA-teateid: need on liiklust puudutavad autoriõiguse kaebused, mitte kasutaja andmete taotlused.

Samal lehel öeldakse, et Surfshark loobub warrant canary kasutamisest kvartaliaruandluse kasuks, mistõttu P07 on eemaldatud, mitte märgitud väärtusega none — canary oli olemas ja see võeti teadlikult kasutuselt.

U07_protocols sisaldab Surfsharki enda sõnastuse kohaselt Dausose juures väärtust proprietary — selle protokollilehel nimetatakse Dausost „Surfsharki proprietary-protokolliks” ja selle lähtekoodi ei avaldata — ning just see üks väärtus määrab C13_weakest_protocol ja sellele järgneva hügieenitasu. IKEv2 jääb alles, sest Surfshark dokumenteerib seda endiselt, kuigi ettevõtte enda blogis on kirjas selle eemaldamine Windowsi rakendusest; Shadowsocks on toeindeksist kadunud ja seda ei ole loetletud.