IVPN vs Mullvad VPN

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.

Czego główna witryna nigdy nie potwierdza. RAM-only jest odnotowane jako częściowe, ponieważ IVPN opisuje je jako przejście z wdrażanymi testowo rozwiązaniami i nie ogłosiło zakończenia tego procesu. Własność sprzętu serwerowego (dzierżawiony czy własny), modyfikowanie ruchu w węźle wyjściowym oraz jurysdykcja osobista rzeczywistego właściciela pozostają niepotwierdzone: żadna główna strona IVPN nie stwierdza żadnej z tych trzech kwestii, podobnie jak skali bazy użytkowników.

Trzy pola, na które odpowiada baza wiedzy, a nie strony odczytane przy pierwszym wypełnieniu. Przydział adresów IP jest współdzielony z założenia — „crowding” umieszcza użytkowników na jednym adresie, aby utrudnić przypisanie aktywności. P2P jest dozwolone wszędzie, ale IVPN prosi klientów o unikanie węzłów wyjściowych w USA, powołując się na presję ze strony upstreamu na podstawie DMCA. Streaming nie jest objęty żadną gwarancją, choć firma twierdzi, że wielu klientów uzyskuje do niego dostęp.

Dlaczego liczba wynosi osiem. Liczba audytów wynosi osiem, ponieważ przegląd GotaTun znajduje się poza własną listą repozytorium aplikacji. Wcześniej, podczas przeglądu X41 D-Sec trwającego łącznie 30 osobodni i obejmującego wszystkie pięć platform, znaleziono sześć luk — trzy o wysokiej wadze, dwie o średniej, jedną o niskiej, żadnej krytycznej.

Czego nie obejmuje żadne zlecenie. Żadne z tych zleceń nie obejmuje floty serwerów: każde z nich bada aplikację lub protokół tunelu, dlatego zakres floty jest zapisany jako nie mający zastosowania, a nie jako próbka. Deklaracja braku logów po stronie infrastruktury opiera się zatem na nakazie przeszukania z kwietnia 2023 r. — szwedzka policja przybyła po dane klientów i odjechała bez nich — a nie na żadnym audycie.

Kompilacje odtwarzalne, tylko Android. Kompilacje odtwarzalne dotyczą wyłącznie Androida, od wersji 2025.2 wzwyż, więc pole pozostaje częściowe; kompilacji desktopowych i iOS nie można zweryfikować bit po bicie. Turcja jest jedynym krajem z obowiązkiem retencyjnym na oferowanej liście, a hosting za nim nie jest potwierdzony.

Nic opublikowanego o nakazach. Nic w rekordzie nie opiera się na czymkolwiek, co dostawca publikuje o otrzymywanych nakazach: nie ma raportu przejrzystości ani kanarka nakazów, więc zajęcie z kwietnia 2023 r. stanowi jedyną podstawę w tym zakresie. Zakres wyłącznika awaryjnego i polityka P2P nie są potwierdzone; najnowszy audyt jest przeglądem kodu protokołu, a nie zleceniem dotyczącym braku logów, więc V11 milczy, a retencja opiera się na deklaracji.