IVPN vs Proton VPN

Insiden Agustus 2026. Pada Agustus 2026, seorang penyerang mengeksploitasi kerentanan pada BTCPay Server yang di-host sendiri, sebelum kerentanan itu diketahui publik, dan mengambil dana operasional Lightning milik IVPN. IVPN memublikasikan laporan tersebut empat hari kemudian, tanpa diminta, dan membatasi cakupannya pada mesin itu: gateway VPN tidak terlibat, tidak ada berkas pelanggan yang diakses, dan tidak ada uang pelanggan yang hilang.

Mengapa tidak dikenai biaya. Model ini tidak mengenakan biaya apa pun untuk hal ini, dan memang itulah intinya — operator yang segera menyatakannya sedang bertindak dengan cara yang seharusnya dihargai oleh bidang ini, dan berkas ini ada di sini agar pembaca mengetahui bahwa hal itu terjadi, bukan untuk mengubah angka.

Cakupan penugasan. Pentest aplikasi (iOS, Android, Electron, daemon) berasal dari Maret 2022 dan tinjauan gateway/OS server dari Februari 2023; tidak satu pun menguji klaim tanpa log itu sendiri, laporan 2023 menyatakannya secara eksplisit, sehingga retensi hanya bergantung pada pernyataan kebijakan privasi.

Laporan terbaru bukan laporan yang relevan. Penugasan April 2024, yang keenam oleh Cure53 dengan IVPN, menguji situs akun pelanggan, API, dan hosting; halaman cakupannya sendiri menyebut aplikasi klien dan server VPN sebagai di luar cakupan, sehingga tidak menambah bukti untuk aplikasi maupun gateway, dan V03_audit_subject terbaca unknown untuknya, bukan membawa pengakuan bukti itu ke depan. Penugasan ketujuh, tentang layanan email dan DNS baru, hanya diumumkan untuk Mei 2025; tidak ada laporan yang dipublikasikan untuk penugasan itu.

Yang tidak pernah dipastikan situs utama. RAM saja dicatat sebagai sebagian karena IVPN menjelaskannya sebagai transisi dengan penerapan uji yang sedang berlangsung, dan belum mengumumkan penyelesaiannya. Kepemilikan perangkat keras server (disewa atau dimiliki), modifikasi lalu lintas di titik keluar, dan yurisdiksi pribadi pemilik manfaat belum dipastikan: tidak ada halaman utama IVPN yang menyatakan satu pun dari ketiganya, begitu pula skala basis pengguna.

Tiga bidang yang dijawab basis pengetahuan, bukan halaman yang dibaca saat pengisian pertama. Alokasi IP dibagi berdasarkan desain — "crowding" menempatkan pengguna dalam satu kumpulan alamat untuk menghambat atribusi. P2P diizinkan di mana-mana, tetapi IVPN meminta pelanggan menghindari titik keluar AS, dengan menyebut tekanan DMCA dari penyedia hulu. Streaming tidak disertai jaminan, meskipun perusahaan menyatakan banyak pelanggan memang dapat mengaksesnya.

Banding tersebut, dan hal yang tidak diselesaikannya. Banding tertanggal 22 Oktober 2021 dikutip di sini dengan sebuah catatan yang perlu dinyatakan secara lugas: Federal Administrative Court memutuskan bahwa layanan email bukan penyedia telekomunikasi, dan baik pemberitaan putusan maupun penjelasan Proton sendiri tentangnya tidak menyebut VPN.

Yang sebenarnya memastikan dua bidang tersebut. Yang memastikan C10 dan C11 adalah bahwa Swiss tidak memiliki dasar mandat dalam daftar negara milik katalog itu sendiri; banding tersebut menguatkan cara otoritas Swiss memperlakukan Proton dan bukan dengan sendirinya merupakan temuan tentang Proton VPN. Putusan mengenai layanan terkait memiliki dasar yang lebih lemah daripada yang tampak dari sitasi tersebut.

Satu hal terbuka yang paling besar. Proton menawarkan lokasi titik keluar di delapan negara yang memberlakukan mandat pencatatan. Apakah perangkat keras benar-benar berada di salah satu negara tersebut tidak dipastikan: Proton menarik server fisik dari India pada 2022 dan mendokumentasikan Smart Routing untuk lokasi yang dilayaninya dari tempat lain, yang mengarah pada kesimpulan virtual, tetapi hal itu diverifikasi hanya untuk India. Memastikan C09b_mandate_hosting adalah satu hal terbuka yang paling besar dalam berkas ini.