IVPN vs NordVPN

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.

Czego główna witryna nigdy nie potwierdza. RAM-only jest odnotowane jako częściowe, ponieważ IVPN opisuje je jako przejście z wdrażanymi testowo rozwiązaniami i nie ogłosiło zakończenia tego procesu. Własność sprzętu serwerowego (dzierżawiony czy własny), modyfikowanie ruchu w węźle wyjściowym oraz jurysdykcja osobista rzeczywistego właściciela pozostają niepotwierdzone: żadna główna strona IVPN nie stwierdza żadnej z tych trzech kwestii, podobnie jak skali bazy użytkowników.

Trzy pola, na które odpowiada baza wiedzy, a nie strony odczytane przy pierwszym wypełnieniu. Przydział adresów IP jest współdzielony z założenia — „crowding” umieszcza użytkowników na jednym adresie, aby utrudnić przypisanie aktywności. P2P jest dozwolone wszędzie, ale IVPN prosi klientów o unikanie węzłów wyjściowych w USA, powołując się na presję ze strony upstreamu na podstawie DMCA. Streaming nie jest objęty żadną gwarancją, choć firma twierdzi, że wielu klientów uzyskuje do niego dostęp.

Kanarek nakazowy i kwartał, który go zastąpił. Ta sama strona wycofała kanarka nakazowego (P07=removed) na rzecz kwartalnych raportów przejrzystości; ostatni pełny kwartał (kwiecień–czerwiec 2026 r.) wykazuje 85 zapytań rządowych i 0 ujawnień, więc P08/P09 dotyczą tego okresu, a nie danych z całego okresu.

Indie i reżim tajnych nakazów. P04=withdrew_physical oznacza wycofanie z Indii w czerwcu 2022 r. P11=none_known opiera się na stwierdzeniu na stronie, że NordVPN nie otrzymał żadnych wiążących listów dotyczących bezpieczeństwa narodowego ani nakazów tajności, oraz na braku takiego reżimu w Panamie.

Poziom pewności, którego nikt nie może sprawdzić. NordVPN opisuje zlecenie dla Deloitte Lithuania jako zlecenie dające rozsądną pewność zgodnie z ISAE 3000 (Revised), co stanowiłoby silniejszą formę; raport PIA, który można przeczytać, stwierdza wniosek dotyczący ograniczonej pewności.

Dlaczego silniejsza forma nie została zaliczona. Model uwzględnia teraz tę różnicę w wycenie, a ten rekord nie korzysta z tego: V15_assurance_strength jest nieznane, ponieważ jedyne stwierdzenie dotyczące poziomu pochodzi od NordVPN i dotyczy raportu, którego nikt spoza Nord Account nie może otworzyć. Dokument dostępny dopiero po zalogowaniu nie jest tu dowodem na żadnym poziomie, dlatego zlecenie zaliczono według normy rynkowej, a nie według poziomu, który miał zostać osiągnięty.

Raport dostępny dopiero po zalogowaniu. Sam raport można odczytać dopiero po zalogowaniu się do Nord Account, więc nikt spoza tej relacji nie sprawdził jego zakresu, a każde pole audytu opiera się tutaj na własnym podsumowaniu NordVPN, a nie na dokumencie. To, a nie ustalenie przeciwko usłudze, sprawia, że ten rekord jest najsłabiej udokumentowany w katalogu.

Naruszenie centrum danych w Finlandii z 2018 roku było włamaniem strony trzeciej, a nie przejęciem przez organy ścigania — zapisano je w P12_case_history jako kind=breach, a nie P01_seizure_event. Własna relacja NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) i ówczesne relacje Bloomberga są zgodne co do tego, że ujawnienie nastąpiło po zarzutach na Twitterze ze strony zewnętrznych badaczy, a nie z inicjatywy NordVPN — stąd third_party_disclosed zamiast self_disclosed_late.

NordVPN i Surfshark mają wspólną grupę właścicielską (Nord Security), ale własny komunikat obu spółek o połączeniu stwierdza, że mają odrębną infrastrukturę i mapy rozwoju produktów; na tej podstawie M18 ustawiono jako odrębne.