Proton VPN vs Windscribe

Proton VPN

レコード全体について。

2021年の、将来に向けたログ保持を強制したスイスの命令は、VPNではなくProton Mailを対象としたものであり、意図的にP12から除外している。姉妹製品に対する命令についてVPNに責任を負わせることは、Proton AGについての事実であって、このサービスについての事実ではない。

U08がall_platformsなのは、サポート文書がWindows、macOS、Linux（GUIおよびCLI）、Android、iOSの有効化手順を示しており、アプリのあるすべてのプラットフォームを網羅しているためである。同じ文書は、値には含められずこの注記には含められる2つの制限も記載している。macOSではサーバー切り替え中に実IPアドレスが短時間露出する可能性があり、iOSではキルスイッチがオンの場合でも一部のAppleサービスのDNSリクエストがトンネルを迂回する可能性がある。

U04b_price_yearlyは、1年のVPN Plusプランにおける初回期間の料金を記録する。初回12か月は$53.88（$4.49/月）で、料金ページ上の独自の更新行「その後は12か月ごとに$83.88で更新」（$6.99/月）の横に記載されている。この更新料金はこのフィールドの値ではない。

Windscribe

レコード全体について。

3つの法域における3件の別個の要求であり、いずれもデータを生じさせず、3件すべてに日付がある。これは実務ルートが評価の対象として構築されたレコードであり、監査を上回る。監査はノーログのエンゲージメントではなく、ペンテストだからである。

U08 は Windscribe 自身の機能ページ上で desktop_only である。Firewall は Windows、Mac、Linux のアプリに搭載され、Android と iOS では代わりに、オペレーティングシステム自身の Always-On VPN を使うようページが案内している。これはプロバイダーの機能ではなくプラットフォームの機能であり、その区別をこのフィールドは数えている。

U12bは同じ根拠に基づき部分的である — マーケティングページはブロック解除を約束している一方、サポート記事はすべてのストリーミングサービスが機能することを会社は保証できないと述べ、別の記事はNetflixでOriginalsのみが表示されることをNetflix自身のVPN検出によるものとしている。

Proton VPN

このレコードでまだ未解決の点。

監査で実際に確認されたこと。 ノーログの判定は、強力であると同時に範囲が狭い。Securitumは2025年8月に本番サーバーを現地で検査しており、2022年以降、毎年実施している。

レポート自身が示す限界。 これは特定時点での確認であり、監督なしのフォレンジック調査ではなく、Protonのエンジニアが実演したシステムを対象とする案内付きレビューであり、全フリートではなく代表サンプルを対象としている。CI/CD、ソースコード、アカウント管理システムは明示的に対象外であるため、ここから請求側が保持するものについては何も分からない。

申し立てと、そこから確定しないこと。 2021年10月22日の申し立ては、明確に述べておく価値のある但し書き付きでここに出典として示されている。Federal Administrative Courtは、メールサービスは電気通信プロバイダーではないと判断しており、判決に関する報道にもProton自身の説明にも、VPNへの言及はない。

実際に2つのフィールドを確定させるもの。 C10とC11を確定させるのは、カタログ独自の国リストでスイスに義務の根拠がないことである。上訴はスイス当局がProtonをどのように扱うかを裏付けるが、それだけでProton VPNについての判定になるわけではない。姉妹サービスに関する判決は、出典が示すほど強い根拠ではない。

最大の未解決項目。 Protonは、ログ保持義務を課す8か国に出口ロケーションを提供している。実際にハードウェアがそのいずれかに設置されているかは確認されていない。Protonは2022年にインドから物理サーバーを撤去し、別の場所から提供するロケーションについてSmart Routingを文書化しているため、仮想であることが示唆されるが、これはインドについてのみ検証された。C09b_mandate_hostingの確認が、このレコードにおける最大の未解決項目である。

Windscribe

このレコードでまだ未解決の点。

ペンテストで判明したこと。 セキュリティスコアは2024年6月の Packetlabs のレポートに基づき、その内容を否定的な方向で読み取っている。ペネトレーションテストでは、IKEv2 サービスが接続ユーザーの送信元IPをセッションの開始時刻および終了時刻とともに、揮発性メモリとディスクの両方に保存していたこと、またマイクロサービスのログに OpenVPN の認証情報、WireGuard の事前共有鍵、IKEv2 のユーザー名が含まれていたことが判明した。

再テストと、その固有の但し書き。 3週間後の再テストでは、これらすべてが修正済みであることが確認された――しかし、レポート自身の結論は、これは「finding 内で記載されたすべての発見を対象とするものではない」と述べ、その finding の一部はテストノードに不適切に展開された設定に起因するとしている。

保持が finding に基づいて評価される理由。 したがって保持は、ポリシーが宣言する内容ではなく、監査人が到達可能であることを実証した内容に基づいて評価され、完全性チャンネルはその2つの間の隔たりを示す。これは現在の測定ではなく、1つのノードで確認された2年前の finding として読むべきである。対象範囲は ca-023.windscribe.com だけであり、フリートのより広い範囲を対象とする新しいエンゲージメントが、それを確定することになる。