ExpressVPN vs IVPN

투명성 보고서. P05/P06/P08/P09는 이제 Trust Center를 통해 확인한 ExpressVPN의 반기 투명성 보고서(2025년 7~12월: 정부 및 법 집행기관 요청 155건, 공개 0건, 별도로 기재된 영장 3건)를 근거로 합니다. 이전 실행에서는 이 두 가지를 모두 놓쳤습니다.

카나리와 나머지 블록. ExpressVPN의 워런트 카나리는 찾을 수 없었고 이를 부인하는 1차 진술도 없으므로 P07은 불명으로 유지됩니다. P02/P03=none_known은 투명성 보고서 시리즈와 개인정보 보호정책의 소송 관련 입장을 근거로 합니다. P11=none_known은 모든 요구가 BVI 법원을 거친다는 정책의 진술을 근거로 합니다. P04=withdrew_physical은 2022년 6월 인도에서 철수한 사실입니다.

공개된 적이 없는 항목. 구독자 수(M08)와 전체 서버 수(U03)는 공개되지 않습니다. 서버 하드웨어 소유권(C08: 소유 또는 임대)과 앱 수준의 기기 식별자(C12)는 확인한 어떤 페이지에서도 확인할 수 없었습니다.

113개라는 주장에 비해 106개 국가. U02_server_countries는 ExpressVPN 자체 사이트맵의 105개 국가 랜딩 페이지에 중국을 더한 내용을 반영한다(실시간 /vpn-server 페이지에서 'Available - Virtual Locations'로 확인되지만 전용 랜딩 페이지는 없음) — 총 106개 코드로, 사이트 자체의 '113 Countries' 마케팅 주장에 비해 적다. 실시간 서버 위치 페이지는 프로토콜별 대규모 표로 되어 있어 전체를 빠짐없이 파싱하지 않았으므로, 106개와 113개의 차이는 해결되지 않은 채 보고한다.

두 범주 사이에 있는 감사 판정. V11_audit_findings는 none_linkable이나 aggregates_only가 아니라 session_metadata로 기록된다. 2025년 KPMG 보고서는 연결별 구조화된 레코드(국가, ISP, 날짜, 프로토콜, 데이터 용량, 안정적인 salted-hash 가명)를 설명하는데, 이는 순수 집계보다 많은 정보를 담지만 IP와 정확한 시각은 포함하지 않는다 — 이 필드의 중간 네 범주로는 진정으로 모호한 사례다.

이번 확인에서는 확인하지 않음. ExpressVPN의 커버리지가 제휴 사이트 외부에도 존재하는지(X08), 제휴사 지급 등급(X10), 소유 그룹과의 연계를 소유자 운영 리뷰 미디어가 표시하는지(X11)는 이번 확인에서 확인하지 않았다.

P2P, 확인했으나 없음. U12a_p2p_allowed는 나머지와 다른 이유로 불명 상태로 남는다. 이를 확인했지만 공개되어 있지 않다. 사이트맵(578개 페이지 및 지원 URL)과 서비스 약관 어디에도 P2P, BitTorrent 또는 파일 공유에 대한 언급이 없으며, 목록에 포함된 다른 모든 프로바이더는 자체 문서에서 입장을 밝힌다. 지원 문서나 약관 조항이 있으면 이를 확인할 수 있지만, 작동한다고 말하는 리뷰 사이트만으로는 확인할 수 없다.

비용이 들지 않는 이유. 이 모델은 이에 대해 아무것도 청구하지 않으며, 그것이 핵심이다. 즉, 이를 신속하게 밝히는 운영자는 이 분야가 보상하려는 방식으로 행동하는 것이고, 이 항목은 점수를 조정하기 위해서가 아니라 독자가 이 일이 발생했다는 것을 알 수 있도록 포함되어 있다.

계약이 다룬 범위. 앱 침투 테스트(iOS, Android, Electron, 데몬)는 2022년 3월에, 게이트웨이/서버 OS 검토는 2023년 2월에 이루어졌다. 어느 쪽도 no-logs 주장 자체를 테스트하지 않았으며, 2023년 보고서는 이를 명시적으로 밝힌다. 따라서 보존은 개인정보 보호정책의 선언에만 근거한다.

최신 보고서가 관련 보고서가 아니다. 2024년 4월의 감사는 IVPN과 Cure53의 여섯 번째 감사로, 고객 계정 웹사이트, API 및 호스팅을 테스트했다. 감사 자체의 범위 페이지는 클라이언트 앱과 VPN 서버를 범위에서 제외한다고 명시하므로 앱이나 게이트웨이 근거를 확장하지 않으며, V03_audit_subject는 그 감사에 대해 해당 점수를 이어서 반영하지 않고 unknown으로 읽힌다. 새 이메일 및 DNS 서비스에 대한 일곱 번째 감사는 2025년 5월에 진행될 예정이라고만 발표되었으며, 그 보고서는 공개되지 않았다.

주요 사이트가 끝내 확인하지 않는 사항. RAM-only는 IVPN이 테스트 배포가 진행 중인 전환으로 설명했으며 완료를 발표하지 않았기 때문에 부분적으로만 기록된다. 서버 하드웨어 소유권(임대인지 소유인지), 출구에서의 트래픽 변경, 실소유자의 개인 관할권은 확인되지 않았다. 세 가지 중 어느 것도 IVPN의 주요 페이지에 명시되어 있지 않으며, 사용자 기반 규모도 마찬가지다.

처음 입력할 때 읽은 페이지가 아니라 지식베이스가 답하는 세 필드. IP 할당은 설계상 공유된다 — "crowding"은 귀속을 어렵게 하기 위해 사용자를 하나의 주소에 묶는다. P2P는 어디서나 허용되지만, IVPN은 상위 제공자의 DMCA 압력을 이유로 고객에게 US 출구를 피하도록 요청한다. 스트리밍에는 보장이 없지만, 회사는 많은 고객이 실제로 이용한다고 말한다.

2021년 9월, UAE의 'Project Raven' 해킹 작전에서 2016~2018년에 맡았던 이전 역할과 관련해 ExpressVPN의 최고정보책임자 Daniel Gericke와 체결한 DOJ의 기소유예 합의(Deferred Prosecution Agreement)가 공개되었다. 기본 DPA 문서 자체에는 ExpressVPN이 전혀 이름으로 언급되지 않는다(이 문서는 그의 이전 UAE 고용만 다룬다) — ExpressVPN과의 연계는 ExpressVPN 자체 성명 및 언론 보도에서 나온다. ExpressVPN은 Gericke를 계속 고용했고 그 결정을 공개적으로 옹호하는 입장을 발표했다.

C12는 스토어 카테고리가 아니라 프로바이더 자체 설명에서 resettable_ad_id이다. 개인정보 처리방침의 마케팅 문단에는 Installation ID와 XV User ID가 항상 수집되며 광고 식별자 — IDFA 또는 Android Advertising ID — 는 명시적 동의 후에 수집되고, 이 모든 정보가 AppsFlyer에 전달된다고 적혀 있다. Play 데이터 안전 양식은 광고 또는 마케팅을 위한 Device 또는 기타 ID를 독립적으로 명시한다.

동의 게이트와 여기서 다른 누구도 제공하지 않는 완화 조치 — AppsFlyer로 향하는 트래픽을 전용 ExpressVPN IP 풀을 통해 라우팅하여 어트리뷰션이 IP로 상관관계를 파악할 수 없게 하는 것 — 는 실제로 존재하며 여기에 기록된다. 이는 하한선이 얼마나 잘 설명되는지가 아니라 무엇을 보유할 수 있는지를 점수화하기 때문이다.

U07_protocols에는 전체 선택 항목이 담겨 있다. Lightway UDP와 TCP는 vendor_open이고, 그 옆에 WireGuard, OpenVPN UDP/TCP 및 IKEv2가 있다. Lightway는 ExpressVPN 자체 프로토콜이며 그 소스는 독립적 검토(Cure53, 2021년 및 2024년)를 거쳐 공개되어 있다. 이것이 vendor_open이 존재하는 이유인 구별이다 — proprietary는 전송 방식이 약한지 알 수 없는 상태를 점수화하며, 여기서는 그것을 알 수 있다.

프로바이더 자체 프로토콜 페이지에 따르면 PPTP는 ExpressVPN 앱에서 폐기되었고, L2TP와 SSTP는 제공되지 않으면서 해당 페이지에서 설명되어 있다.