IVPN vs Proton VPN

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.

Czego główna witryna nigdy nie potwierdza. RAM-only jest odnotowane jako częściowe, ponieważ IVPN opisuje je jako przejście z wdrażanymi testowo rozwiązaniami i nie ogłosiło zakończenia tego procesu. Własność sprzętu serwerowego (dzierżawiony czy własny), modyfikowanie ruchu w węźle wyjściowym oraz jurysdykcja osobista rzeczywistego właściciela pozostają niepotwierdzone: żadna główna strona IVPN nie stwierdza żadnej z tych trzech kwestii, podobnie jak skali bazy użytkowników.

Trzy pola, na które odpowiada baza wiedzy, a nie strony odczytane przy pierwszym wypełnieniu. Przydział adresów IP jest współdzielony z założenia — „crowding” umieszcza użytkowników na jednym adresie, aby utrudnić przypisanie aktywności. P2P jest dozwolone wszędzie, ale IVPN prosi klientów o unikanie węzłów wyjściowych w USA, powołując się na presję ze strony upstreamu na podstawie DMCA. Streaming nie jest objęty żadną gwarancją, choć firma twierdzi, że wielu klientów uzyskuje do niego dostęp.

Co faktycznie rozstrzyga te dwa pola. O tym, co rozstrzyga C10 i C11, decyduje fakt, że Szwajcaria nie ma podstawy obowiązku retencyjnego na własnej liście krajów katalogu; odwołanie potwierdza sposób, w jaki szwajcarskie władze traktują Proton, i samo w sobie nie stanowi ustalenia dotyczącego Proton VPN. Orzeczenie dotyczące usługi siostrzanej jest słabszą podstawą, niż sugeruje to cytowanie.

Największa pojedyncza otwarta kwestia. Proton oferuje lokalizacje węzłów wyjściowych w ośmiu krajach, które nakładają obowiązek retencyjny. Nie potwierdzono, czy sprzęt faktycznie znajduje się w którymkolwiek z nich: Proton wycofał fizyczne serwery z Indii w 2022 roku i dokumentuje Smart Routing dla lokalizacji obsługiwanych z innych miejsc, co wskazuje na lokalizacje wirtualne, ale zweryfikowano to wyłącznie dla Indii. Ustalenie C09b_mandate_hosting jest największą pojedynczą otwartą kwestią w tym rekordzie.