IVPN vs RiseupVPN

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.

Czego główna witryna nigdy nie potwierdza. RAM-only jest odnotowane jako częściowe, ponieważ IVPN opisuje je jako przejście z wdrażanymi testowo rozwiązaniami i nie ogłosiło zakończenia tego procesu. Własność sprzętu serwerowego (dzierżawiony czy własny), modyfikowanie ruchu w węźle wyjściowym oraz jurysdykcja osobista rzeczywistego właściciela pozostają niepotwierdzone: żadna główna strona IVPN nie stwierdza żadnej z tych trzech kwestii, podobnie jak skali bazy użytkowników.

Trzy pola, na które odpowiada baza wiedzy, a nie strony odczytane przy pierwszym wypełnieniu. Przydział adresów IP jest współdzielony z założenia — „crowding” umieszcza użytkowników na jednym adresie, aby utrudnić przypisanie aktywności. P2P jest dozwolone wszędzie, ale IVPN prosi klientów o unikanie węzłów wyjściowych w USA, powołując się na presję ze strony upstreamu na podstawie DMCA. Streaming nie jest objęty żadną gwarancją, choć firma twierdzi, że wielu klientów uzyskuje do niego dostęp.

Kilka pól użyteczności nie ma w ogóle dokumentacji do odczytania. Tunelowanie dzielone, limity jednoczesnych urządzeń, zasady dotyczące P2P i dostęp do streamingu nie są omówione na żadnej znalezionej w tej sesji stronie RiseupVPN, a wyłącznik awaryjny jest potwierdzony tylko dla klienta komputerowego działającego w zasobniku systemowym, nie dla Androida.

Jedyny niezależny audyt to pentest klienta i infrastruktury, a nie audyt logów. Raport SRLabs z 2025 roku badał Bitmask i rejestratora mostu Menshen pod kątem ryzyka przechwycenia i DPI; nigdy nie sprawdzał, co serwery VPN przechowują, więc V11_audit_findings ma wartość not_stated, a deklaracja retencji w C01 opiera się wyłącznie na słowach Riseup.

Często przywoływane zajęcie z 2012 roku nie dotyczyło własnych danych Riseup. Agenci federalni USA zabrali serwer z centrum kolokacyjnego, które Riseup dzielił z May First/People Link, ale maszyna i jej dane należały do trzeciego najemcy (European Counter Network); nie było na niej żadnego konta Riseup ani danych użytkowników, dlatego P01_seizure_event ma wartość none_known, zamiast przypisywać Riseup wydarzenie, któremu nigdy nie musiało stawiać czoła.