IVPN vs Private Internet Access

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.

Czego główna witryna nigdy nie potwierdza. RAM-only jest odnotowane jako częściowe, ponieważ IVPN opisuje je jako przejście z wdrażanymi testowo rozwiązaniami i nie ogłosiło zakończenia tego procesu. Własność sprzętu serwerowego (dzierżawiony czy własny), modyfikowanie ruchu w węźle wyjściowym oraz jurysdykcja osobista rzeczywistego właściciela pozostają niepotwierdzone: żadna główna strona IVPN nie stwierdza żadnej z tych trzech kwestii, podobnie jak skali bazy użytkowników.

Trzy pola, na które odpowiada baza wiedzy, a nie strony odczytane przy pierwszym wypełnieniu. Przydział adresów IP jest współdzielony z założenia — „crowding” umieszcza użytkowników na jednym adresie, aby utrudnić przypisanie aktywności. P2P jest dozwolone wszędzie, ale IVPN prosi klientów o unikanie węzłów wyjściowych w USA, powołując się na presję ze strony upstreamu na podstawie DMCA. Streaming nie jest objęty żadną gwarancją, choć firma twierdzi, że wielu klientów uzyskuje do niego dostęp.

Czego nie zbadano. Raport obejmuje wyłącznie infrastrukturę. C07a_app_sdk i C12_device_identifier to fakty po stronie aplikacji, których raport nigdy nie badał; obecnie odwołują się one zamiast tego do polityki prywatności, która opisuje analitykę dla odwiedzających stronę oraz dobrowolnie włączane raporty diagnostyczne zawierające platformę i wersję aplikacji. Odczytanie któregokolwiek z nich jako stwierdzenia dotyczącego SDK skompilowanych w aplikacji jest najsłabszym ogniwem tego rejestru, a to właśnie klienci open-source rozstrzygnęliby tę kwestię.

Wezwanie sądowe z 2016 roku opiera się na własnych słowach PIA, nie na aktach sądowych. Jedyny szczegółowy opis sprawy McWaters (S.D. Fla., 9:16-cr-80043) znajduje się na stronie afiliacyjnej, której ten rejestr nie może cytować; wokanda CourtListener dla tej sprawy nie wymienia wezwania sądowego, dostawcy ani wyniku. P03_court_record i P12_case_history opierają się teraz na własnym oświadczeniu PIA w raporcie przejrzystości, że w latach 2016–2017 otrzymała wezwanie sądowe i nie przekazała żadnych danych — samodeklaracja poziomu B, a nie zweryfikowany zapis sądowy.

M08_user_scale, P02_disclosure_history, P03_court_record i P12_case_history odczytano ponownie na podstawie tych samych źródeł i pozostają bez zmian; główna strona raportu przejrzystości nadal nie wymienia żadnej sprawy poza wezwaniami sądowymi z lat 2016–2017 już znajdującymi się w aktach. Ponowny przegląd cen na tej samej stronie buy-vpn-online wykazał, że obie wartości pozostały bez zmian: plan miesięczny $11,95, plan roczny $47,88 naliczane za pierwszy rok i odnawiane automatycznie po tej samej cenie $47,88, bez różnicy między ceną wstępną a ceną odnowienia, zgodnie ze stałą taryfą PIA odnotowaną w innych miejscach katalogu.

Źródła stanowiły własne strony i blog privateinternetaccess.com, dwa pliki PDF Deloitte „Independent Limited Assurance Report” zgodne z ISAE 3000 (Revised) (z kwietnia 2024 roku i grudnia 2025 roku, oba otwarte i przeczytane bezpośrednio), własna strona Kape Technologies, raporty oparte na źródłach z Isle of Man/Companies House dotyczące wycofania Kape z giełdy w 2023 roku przez Unikmind Holdings (Teddy Sagi) oraz oficjalna organizacja pia-foss w serwisie GitHub dotycząca klientów open source.

Publiczna wokanda CourtListener dla United States v. McWaters (9:16-cr-80043, S.D. Fla.) została otwarta, ale nie wymienia wezwania sądowego, dostawcy VPN ani wyniku; opis na stronie afiliacyjnej (vpncompare.co.uk), który szczegółowo opisuje to wezwanie sądowe, odrzucono jako niedozwolone źródło, a własne materiały TorrentFreak zwracały HTTP 403 przy każdej próbie pobrania w tej turze, w tym przy użyciu curl. P03/P12 opierają się teraz na własnej samodeklaracji PIA w raporcie przejrzystości.