IVPN vs Windscribe

L'audit non ancora pubblicato. L'ottavo audit annuale di Cure53 era programmato per luglio 2026 e non è ancora pubblicato alcun rapporto per il 2025 o il 2026, motivo per cui la data dell'ultimo rapporto è aprile 2024.

L'incidente dell'agosto 2026. Nell'agosto 2026 un attaccante ha sfruttato una vulnerabilità nel BTCPay Server autogestito, prima che fosse resa pubblica, e ha sottratto i fondi operativi Lightning di IVPN. IVPN ha pubblicato il resoconto quattro giorni dopo, senza che gli fosse richiesto, e lo ha circoscritto a quella macchina: i gateway VPN non sono stati coinvolti, non è stato raggiunto alcun dato dei clienti e non è stato perso denaro dei clienti.

Perché non costa nulla. Il modello non addebita nulla per questo, ed è proprio questo il punto: un operatore che lo dichiara tempestivamente si comporta nel modo che il campo dovrebbe premiare, e la scheda è qui perché il lettore sappia che è accaduto, non per modificare un numero.

Cosa comprendevano gli incarichi. Il pentest delle app (iOS, Android, Electron, il daemon) risale al marzo 2022 e la verifica del gateway e del sistema operativo del server al febbraio 2023; nessuno dei due ha testato direttamente la dichiarazione sull'assenza di registri, come afferma esplicitamente il rapporto del 2023, quindi la conservazione si basa unicamente sulla dichiarazione dell'informativa sulla privacy.

L'ultimo rapporto non è quello pertinente. L'incarico di aprile 2024, il sesto di Cure53 con IVPN, ha esaminato il sito web dell'account cliente, l'API e l'hosting; la sua stessa pagina sull'ambito indica le app client e i server VPN come esclusi dall'ambito, pertanto non estende le prove né sull'app né sul gateway, e V03_audit_subject vi legge unknown invece di riportare quel riconoscimento. Il settimo incarico, sui nuovi servizi email e DNS, è stato annunciato solo per maggio 2025; non ne è stato pubblicato alcun rapporto.

Ciò che il sito principale non accerta mai. RAM-only è registrato come parziale perché IVPN lo descrive come una transizione con distribuzioni di test in corso e non ne ha annunciato il completamento. La proprietà dell'hardware dei server (in leasing o di proprietà), la modifica del traffico all'uscita e la giurisdizione personale del proprietario effettivo non sono accertate: nessuna pagina primaria di IVPN ne dichiara alcuna, né dichiara l'ampiezza della base utenti.

Tre campi a cui risponde la base di conoscenza, non le pagine consultate nella prima compilazione. L'allocazione degli IP è condivisa per progettazione: il "crowding" raggruppa gli utenti su un unico indirizzo per ostacolare l'attribuzione. P2P è consentito ovunque, ma IVPN chiede ai clienti di evitare le uscite negli Stati Uniti, citando la pressione DMCA da parte dei fornitori a monte. Lo streaming non comporta alcuna garanzia, sebbene la società affermi che molti clienti riescano comunque ad accedervi.

Perché la conservazione è ponderata sul rilievo. La conservazione è quindi ponderata su ciò che un auditor ha dimostrato essere raggiungibile, anziché su ciò che dichiara la policy, e il canale di integrità riporta la distanza tra le due cose. Va letto come un rilievo vecchio di due anni su un nodo, non come una misurazione attuale: l'ambito comprendeva solo ca-023.windscribe.com, e sarebbe un incarico più recente che copra una parte maggiore dell'infrastruttura a chiarire la questione.

La lista che non è mai stata letta. La lista dei Paesi offerta non è mai stata letta, quindi non è possibile calcolare né il punteggio di usabilità relativo ai Paesi né l'intersezione con l'obbligo — Windscribe pubblica una distinzione tra fisico e virtuale, il che rende C09b compilabile qui non appena lo sarà la lista. La dimensione dell'utenza è inoltre non accertata, lasciando la fascia di esposizione poggiata su meno dati di quanto dovrebbe.

Da dove citano ora i tre eventi. AIN.UA riporta ancora i server ucraini sequestrati il 24 giugno 2021, mentre il blog di Windscribe riporta il caso greco archiviato l'11 aprile 2025. Il sequestro olandese e il campo relativo al sequestro citano ora la pagina no-logs di Windscribe anziché la stampa pagata dagli affiliati che lo aveva riportato per prima: il resoconto dell'azienda sul proprio sequestro è una fonte primaria, non il resoconto altrui di uno di essi. L'evento ucraino è datato al sequestro stesso, non all'articolo.