AirVPN vs RiseupVPN

Un dato pratico rilevante: i verbali pubblici dei tribunali federali statunitensi in United States v. Klyushin (D. Mass., docket 61629108, documenti #183 e #217, trovati tramite CourtListener/RECAP) mostrano che un pen register delle forze dell'ordine è stato installato direttamente presso la società di hosting (DediPath), non presso AirVPN, per monitorare l'IP di un server AirVPN da gennaio a febbraio 2020; il personale di AirVPN, rispondendo sul proprio forum, ha confermato che la società non era a conoscenza dell'intercettazione né vi era coinvolta e che il dispositivo doveva essere installato al di fuori dei sistemi di AirVPN.

Questo è registrato in P12_case_history come evento court_order/nothing_produced, con fonte nella conferma sul forum di AirVPN (non nei PDF PACER stessi, che hanno restituito 403 ai recuperi automatizzati e sono stati letti solo tramite un riepilogo secondario).

Cosa mostrano le discussioni del forum. Le discussioni del forum mostrano utenti che chiedono ripetutamente ad AirVPN un warrant canary senza alcuna conferma da parte dello staff che ne esista uno; ciò è indicativo, ma non costituisce una smentita primaria, quindi P07 rimane sconosciuto anziché «nessuno».

Conteggi che nessuno pubblica. Di conseguenza, anche i conteggi delle richieste e delle consegne di dati sono sconosciuti (P08, P09), e il numero totale di abbonati non viene mai divulgato (M08 sconosciuto) — AirVPN pubblica solo un contatore aggiornato in tempo reale degli utenti connessi contemporaneamente, non il totale degli utenti registrati o degli abbonati, quindi qui il silenzio o l'assenza di informazioni hanno un peso effettivo.

Build e pentest. Le build riproducibili non sono documentate nella pagina di AirVPN per la compilazione dal codice sorgente (eddie.website/support/build/), e non è stato trovato alcun pentest dedicato al client o all'infrastruttura (V13, V14 sconosciuto). L'ambito del kill switch e il comportamento dello split tunnelling provengono da una recensione di terze parti anziché dalla documentazione di AirVPN (U08, U09 con attendibilità C), perché non è stato possibile raggiungere direttamente le pagine FAQ pertinenti tramite il routing del sito (vengono renderizzate tramite JavaScript e una semplice richiesta ha restituito solo un involucro di caricamento).

Copertura al di fuori degli affiliati. La copertura stampa non è limitata agli affiliati: BleepingComputer, una testata generalista al di fuori della lista degli aggregatori di affiliati, ha pubblicato una recensione indipendente con una propria informativa sugli affiliati, anziché essere confinata alle directory di affiliati (X08=no). La stessa recensione ha inoltre rilevato che AirVPN non ha funzionato con nessuno dei servizi di streaming provati — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — motivo per cui U12b_streaming_works ora riporta no anziché partial, che proveniva da addictivetips.com prima che tale host fosse dichiarato vietato.

Il prezzo annuale. U04b_price_yearly=4,08 è la tariffa mensile effettiva in EUR del piano annuale (49 EUR/anno) su airvpn.org/buy/, invariata al rinnovo come per ogni durata AirVPN.

Il logotipo. AirVPN fornisce il proprio logotipo solo in formato PNG (/static/img/logo/web_header.png, logo_horiz.png) e non ha alcuna pagina stampa o del marchio, quindi logos/airvpn.svg viene lasciato assente secondo AUDITOR.md §1 invece di ricalcare un raster.

Diversi campi di usabilità non hanno alcuna documentazione da consultare. Lo split tunnelling, i limiti sui dispositivi simultanei, la policy P2P e l'accesso allo streaming non sono trattati in nessuna pagina di RiseupVPN trovata in questa sessione, e il kill switch è confermato solo per il client desktop nell'area di notifica, non per Android.

L'unico audit indipendente è un pentest del client e dell'infrastruttura, non un audit della conservazione dei log. Il rapporto 2025 di SRLabs ha esaminato Bitmask e il registro del bridge Menshen per i rischi di intercettazione e DPI; non ha mai chiesto che cosa conservino i server VPN, quindi V11_audit_findings è not_stated e la dichiarazione sulla conservazione in C01 si basa solo sulla parola di Riseup.

Il sequestro del 2012 spesso citato contro Riseup non ha riguardato i dati propri di Riseup. Agenti federali statunitensi hanno prelevato un server da una struttura di colocazione condivisa da Riseup con May First/People Link, ma la macchina e i suoi dati appartenevano a un terzo inquilino (European Counter Network); su di essa non si trovava alcun account Riseup né alcun dato degli utenti, motivo per cui P01_seizure_event riporta none_known, invece di attribuire a Riseup un evento a cui non aveva mai dovuto opporsi.