IVPN vs Surfshark

L'audit non ancora pubblicato. L'ottavo audit annuale di Cure53 era programmato per luglio 2026 e non è ancora pubblicato alcun rapporto per il 2025 o il 2026, motivo per cui la data dell'ultimo rapporto è aprile 2024.

L'incidente dell'agosto 2026. Nell'agosto 2026 un attaccante ha sfruttato una vulnerabilità nel BTCPay Server autogestito, prima che fosse resa pubblica, e ha sottratto i fondi operativi Lightning di IVPN. IVPN ha pubblicato il resoconto quattro giorni dopo, senza che gli fosse richiesto, e lo ha circoscritto a quella macchina: i gateway VPN non sono stati coinvolti, non è stato raggiunto alcun dato dei clienti e non è stato perso denaro dei clienti.

Perché non costa nulla. Il modello non addebita nulla per questo, ed è proprio questo il punto: un operatore che lo dichiara tempestivamente si comporta nel modo che il campo dovrebbe premiare, e la scheda è qui perché il lettore sappia che è accaduto, non per modificare un numero.

Cosa comprendevano gli incarichi. Il pentest delle app (iOS, Android, Electron, il daemon) risale al marzo 2022 e la verifica del gateway e del sistema operativo del server al febbraio 2023; nessuno dei due ha testato direttamente la dichiarazione sull'assenza di registri, come afferma esplicitamente il rapporto del 2023, quindi la conservazione si basa unicamente sulla dichiarazione dell'informativa sulla privacy.

L'ultimo rapporto non è quello pertinente. L'incarico di aprile 2024, il sesto di Cure53 con IVPN, ha esaminato il sito web dell'account cliente, l'API e l'hosting; la sua stessa pagina sull'ambito indica le app client e i server VPN come esclusi dall'ambito, pertanto non estende le prove né sull'app né sul gateway, e V03_audit_subject vi legge unknown invece di riportare quel riconoscimento. Il settimo incarico, sui nuovi servizi email e DNS, è stato annunciato solo per maggio 2025; non ne è stato pubblicato alcun rapporto.

Ciò che il sito principale non accerta mai. RAM-only è registrato come parziale perché IVPN lo descrive come una transizione con distribuzioni di test in corso e non ne ha annunciato il completamento. La proprietà dell'hardware dei server (in leasing o di proprietà), la modifica del traffico all'uscita e la giurisdizione personale del proprietario effettivo non sono accertate: nessuna pagina primaria di IVPN ne dichiara alcuna, né dichiara l'ampiezza della base utenti.

Tre campi a cui risponde la base di conoscenza, non le pagine consultate nella prima compilazione. L'allocazione degli IP è condivisa per progettazione: il "crowding" raggruppa gli utenti su un unico indirizzo per ostacolare l'attribuzione. P2P è consentito ovunque, ma IVPN chiede ai clienti di evitare le uscite negli Stati Uniti, citando la pressione DMCA da parte dei fornitori a monte. Lo streaming non comporta alcuna garanzia, sebbene la società affermi che molti clienti riescano comunque ad accedervi.

L'India e il regime degli ordini di bavaglio. P04_mandate_response=withdrew_physical è l'uscita dall'India del giugno 2022, ripristinata dal blog di Surfshark (surfshark.com/blog/surfshark-servers-certin-india) dopo che la verifica precedente aveva rilevato che la pagina /trust-center non la riportava più. P11=judicial_only si basa sul rapporto di trasparenza, che mostra il mandato dell'Amsterdam District Court dell'aprile 2026 e i relativi contatori per le lettere di sicurezza nazionale e gli ordini di bavaglio a zero.

Trovati due rapporti, forse non tutti. Sono stati trovati pubblicati solo due rapporti Deloitte no-logs (dicembre 2022, giugno 2025); potrebbero essercene altri non collegati da robots.txt, che questo audit non ha cercato con altri mezzi.

Questa scheda era stata letta in precedenza due volte — connection_timestamps in V11 dalla formulazione dell'audit, source_ip in C01 dalla formulazione dell'informativa — e valutata al peggiore dei due livelli, facendo sì che il margine di quindici minuti costasse più che non dire nulla: un campo vuoto in C01 è il prior di mercato 0,550 e source_ip è 0,750.

R29 traccia ora il confine: lo stato eliminato entro una finestra dichiarata legata alla fine della sessione è la connessione, non una sua scheda, quindi entrambi i campi riportano connection_timestamps nella stessa frase. Ciò che continua a essere conteggiato è quanto sopravvive alla sessione: la data dell’ultimo accesso nella sezione 2.3.1 della policy e i timestamp della connessione indicati dall’auditor.

Surfshark e NordVPN hanno lo stesso proprietario (Nord Security, dal 2022), ma la pagina about-us di Surfshark dichiara che i marchi si sono fusi «pur operando in modo indipendente», con infrastrutture separate: su questa base M18 è impostato su separati, in linea con la scheda di nordvpn.com.

U12a è parziale, non sì, nella colonna P2P della tabella dei server: 88 dei 100 Paesi elencati la riportano e dodici no (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonna viene disegnata lato client, quindi è stata letta dalla tabella visualizzata anziché dall’HTML statico, dove ogni riga riporta ogni etichetta.

Il rapporto sulla trasparenza all’indirizzo /transparency-report — a cui ora reindirizza /warrant-canary — riporta il trimestre aprile-giugno 2026 in una tabella: 374.719 notifiche DMCA, 33 richieste di informazioni da istituzioni governative, 1 mandato, 0 lettere di sicurezza nazionale e 0 ordini di bavaglio. P08 conta le 34 richieste legali e lascia fuori le notifiche DMCA: sono reclami sul copyright relativi al traffico, non richieste di dati di un utente.

La stessa pagina dichiara che Surfshark sta ritirando il proprio warrant canary a favore di rapporti trimestrali, motivo per cui P07 è rimosso anziché impostato su nessuno: il canary esisteva ed è stato ritirato deliberatamente.

U07_protocols riporta proprietary per Dausos sulla base delle stesse parole di Surfshark: la sua pagina sui protocolli lo definisce «il protocollo proprietario di Surfshark» e non pubblica alcuna fonte al riguardo; questo singolo valore determina C13_weakest_protocol e la penalità di igiene che ne consegue. IKEv2 viene mantenuto perché Surfshark lo documenta ancora, sebbene il suo blog riporti la rimozione dall’app Windows; Shadowsocks è scomparso dall’indice dell’assistenza e non è elencato.