IVPN vs Surfshark

Berkas ini sebelumnya dibaca dua kali — connection_timestamps di V11 dari redaksi audit, source_ip di C01 dari redaksi kebijakan — dan dinilai berdasarkan yang lebih buruk dari keduanya, sehingga jeda lima belas menit menimbulkan biaya lebih besar daripada tidak menyatakan apa pun: kolom kosong pada C01 adalah prior pasar 0.550 dan source_ip adalah 0.750.

R29 kini menarik batasnya: status yang dihapus dalam jangka waktu yang dinyatakan dan terkait dengan akhir sesi adalah koneksi, bukan berkas tentangnya, sehingga kedua bidang membaca connection_timestamps dalam kalimat yang sama. Yang masih diperhitungkan adalah yang bertahan setelah sesi — tanggal login terakhir dalam bagian 2.3.1 kebijakan dan timestamp koneksi yang disebut auditor.

Surfshark dan NordVPN memiliki pemilik yang sama (Nord Security, sejak 2022), tetapi halaman tentang kami milik Surfshark sendiri menyatakan bahwa merek-merek tersebut bergabung "sambil beroperasi secara independen" dengan infrastruktur terpisah — M18 ditetapkan sebagai terpisah atas dasar itu, sesuai dengan berkas nordvpn.com.

U12a bersifat sebagian, bukan ya, pada kolom P2P milik tabel server itu sendiri: 88 dari 100 negara yang tercantum memilikinya dan dua belas tidak (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolom tersebut digambar di sisi klien, sehingga dibaca dari tabel yang ditampilkan, bukan dari HTML statis, yang setiap barisnya memuat setiap label.

Laporan transparansi di /transparency-report — yang sekarang menjadi tujuan pengalihan /warrant-canary — memuat kuartal April–Juni 2026 sebagai tabel: 374,719 pemberitahuan DMCA, 33 pertanyaan dari lembaga pemerintah, 1 surat perintah, 0 surat keamanan nasional, dan 0 perintah bungkam. P08 menghitung 34 permintaan hukum dan tidak memasukkan pemberitahuan DMCA: itu adalah keluhan hak cipta tentang lalu lintas, bukan permintaan data pengguna.

Halaman yang sama menyatakan bahwa Surfshark menghentikan warrant canary demi pelaporan triwulanan, sehingga P07 dihapus, bukan karena tidak ada — canary tersebut ada dan sengaja ditarik.

U07_protocols memuat proprietary untuk Dausos berdasarkan pernyataan Surfshark sendiri — halaman protokolnya menyebut Dausos "protokol proprietary Surfshark" dan tidak mempublikasikan sumber untuknya — dan nilai tunggal itulah yang menetapkan C13_weakest_protocol serta beban hygiene yang mengikutinya. IKEv2 dipertahankan karena Surfshark masih mendokumentasikannya, meskipun blognya sendiri mencatat penghapusannya dari aplikasi Windows; Shadowsocks sudah tidak ada dalam indeks dukungan dan tidak tercantum.

Insiden Agustus 2026. Pada Agustus 2026, seorang penyerang mengeksploitasi kerentanan pada BTCPay Server yang di-host sendiri, sebelum kerentanan itu diketahui publik, dan mengambil dana operasional Lightning milik IVPN. IVPN memublikasikan laporan tersebut empat hari kemudian, tanpa diminta, dan membatasi cakupannya pada mesin itu: gateway VPN tidak terlibat, tidak ada berkas pelanggan yang diakses, dan tidak ada uang pelanggan yang hilang.

Mengapa tidak dikenai biaya. Model ini tidak mengenakan biaya apa pun untuk hal ini, dan memang itulah intinya — operator yang segera menyatakannya sedang bertindak dengan cara yang seharusnya dihargai oleh bidang ini, dan berkas ini ada di sini agar pembaca mengetahui bahwa hal itu terjadi, bukan untuk mengubah angka.

Cakupan penugasan. Pentest aplikasi (iOS, Android, Electron, daemon) berasal dari Maret 2022 dan tinjauan gateway/OS server dari Februari 2023; tidak satu pun menguji klaim tanpa log itu sendiri, laporan 2023 menyatakannya secara eksplisit, sehingga retensi hanya bergantung pada pernyataan kebijakan privasi.

Laporan terbaru bukan laporan yang relevan. Penugasan April 2024, yang keenam oleh Cure53 dengan IVPN, menguji situs akun pelanggan, API, dan hosting; halaman cakupannya sendiri menyebut aplikasi klien dan server VPN sebagai di luar cakupan, sehingga tidak menambah bukti untuk aplikasi maupun gateway, dan V03_audit_subject terbaca unknown untuknya, bukan membawa pengakuan bukti itu ke depan. Penugasan ketujuh, tentang layanan email dan DNS baru, hanya diumumkan untuk Mei 2025; tidak ada laporan yang dipublikasikan untuk penugasan itu.

Yang tidak pernah dipastikan situs utama. RAM saja dicatat sebagai sebagian karena IVPN menjelaskannya sebagai transisi dengan penerapan uji yang sedang berlangsung, dan belum mengumumkan penyelesaiannya. Kepemilikan perangkat keras server (disewa atau dimiliki), modifikasi lalu lintas di titik keluar, dan yurisdiksi pribadi pemilik manfaat belum dipastikan: tidak ada halaman utama IVPN yang menyatakan satu pun dari ketiganya, begitu pula skala basis pengguna.

Tiga bidang yang dijawab basis pengetahuan, bukan halaman yang dibaca saat pengisian pertama. Alokasi IP dibagi berdasarkan desain — "crowding" menempatkan pengguna dalam satu kumpulan alamat untuk menghambat atribusi. P2P diizinkan di mana-mana, tetapi IVPN meminta pelanggan menghindari titik keluar AS, dengan menyebut tekanan DMCA dari penyedia hulu. Streaming tidak disertai jaminan, meskipun perusahaan menyatakan banyak pelanggan memang dapat mengaksesnya.

India dan rezim perintah rahasia. P04_mandate_response=withdrew_physical adalah keluarnya dari India pada Juni 2022, dipulihkan dari blog milik Surfshark sendiri (surfshark.com/blog/surfshark-servers-certin-india) setelah penelusuran sebelumnya menemukan bahwa halaman /trust-center tidak lagi memuatnya. P11=judicial_only didasarkan pada laporan transparansi yang menunjukkan surat perintah Amsterdam District Court pada April 2026 serta penghitung surat keamanan nasional dan perintah bungkamnya bernilai nol.

Dua laporan ditemukan, mungkin tidak semuanya. Hanya dua laporan no-logs Deloitte (Des 2022, Jun 2025) yang ditemukan dipublikasikan; mungkin ada yang lain yang tidak ditautkan dari robots.txt dan tidak dicari oleh audit ini dengan cara lain.