CyberGhost VPN vs IVPN

Przejrzystość klienta i procesu budowania nie została zbadana. Nie znaleziono oficjalnego repozytorium kodu źródłowego CyberGhost, poświadczenia powtarzalności kompilacji ani samodzielnego testu penetracyjnego aplikacji (publiczny indeks Cure53 nie zawiera wpisu dotyczącego CyberGhost ani Kape), pozostawiając V12, V13 i V14 jako nieznane, zamiast uznawać tę kwestię za ustaloną w którąkolwiek stronę.

Nie udało się niezależnie rozstrzygnąć kwestionowanego twierdzenia o naruszeniu. We wrześniu 2024 roku raport strony trzeciej zarzucił wyciek danych uwierzytelniających kont CyberGhost; własna odpowiedź CyberGhost zaprzecza naruszeniu po stronie usługi i przypisuje dane uwierzytelniające malware po stronie użytkownika, ale w tej sesji nie udało się odczytać raportu źródłowego, więc X09_incident_handling pozostaje nieznane, zamiast przyjmować relację którejkolwiek ze stron.

Dwie własne strony CyberGhost podają różne adresy siedziby: nota prawna wymienia ulicę Dionisie Lupu 70–72, a polityka prywatności ulicę Polonă 68; oba adresy znajdują się w tej samej dzielnicy Bukaresztu, a obie strony są aktualne, więc żadna z nich nie jest pozostałością po wersji archiwalnej. Żadnego adresu nie uznano za nadrzędny wobec drugiego, a rozbieżność pozostawiono do wyjaśnienia przy przyszłej aktualizacji, zamiast zgadywać tutaj.

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.