IVPN vs Surfshark

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.

Czego główna witryna nigdy nie potwierdza. RAM-only jest odnotowane jako częściowe, ponieważ IVPN opisuje je jako przejście z wdrażanymi testowo rozwiązaniami i nie ogłosiło zakończenia tego procesu. Własność sprzętu serwerowego (dzierżawiony czy własny), modyfikowanie ruchu w węźle wyjściowym oraz jurysdykcja osobista rzeczywistego właściciela pozostają niepotwierdzone: żadna główna strona IVPN nie stwierdza żadnej z tych trzech kwestii, podobnie jak skali bazy użytkowników.

Trzy pola, na które odpowiada baza wiedzy, a nie strony odczytane przy pierwszym wypełnieniu. Przydział adresów IP jest współdzielony z założenia — „crowding” umieszcza użytkowników na jednym adresie, aby utrudnić przypisanie aktywności. P2P jest dozwolone wszędzie, ale IVPN prosi klientów o unikanie węzłów wyjściowych w USA, powołując się na presję ze strony upstreamu na podstawie DMCA. Streaming nie jest objęty żadną gwarancją, choć firma twierdzi, że wielu klientów uzyskuje do niego dostęp.

Indie i reżim tajnych nakazów. P04_mandate_response=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r., ponownie potwierdzone na własnym blogu Surfshark (surfshark.com/blog/surfshark-servers-certin-india), po tym jak wcześniejsza weryfikacja wykazała, że strona /trust-center nie zawierała już tej informacji. P11=judicial_only opiera się na raporcie przejrzystości, w którym liczby dotyczące nakazu sądowego Amsterdam District Court z kwietnia 2026 r. oraz National-Security-letter i gag-order wynoszą zero.

Znaleziono dwa raporty, być może nie wszystkie. Znaleziono opublikowane tylko dwa raporty Deloitte dotyczące braku logów (grudzień 2022 r., czerwiec 2025 r.); mogą istnieć inne, niepodlinkowane z robots.txt, których ten audyt nie wyszukiwał innymi sposobami.

Ten rekord był wcześniej odczytywany dwukrotnie — connection_timestamps w V11 na podstawie sformułowania z audytu, source_ip w C01 na podstawie sformułowania z polityki — i oceniono go według gorszej z tych dwóch wartości, przez co piętnastominutowy bufor kosztował więcej niż całkowite pominięcie tej informacji: puste C01 ma rynkowy priory 0,550, a source_ip wynosi 0,750.

R29 wyznacza teraz granicę: stan usunięty w zadeklarowanym oknie powiązanym z końcem sesji to połączenie, a nie jego rekord, więc oba pola mają w tym samym zdaniu wartość connection_timestamps. Nadal uwzględniane jest to, co przetrwa sesję — data ostatniego logowania w sekcji 2.3.1 polityki oraz znaczniki czasu połączeń wskazane przez audytora.

Surfshark i NordVPN mają wspólnego właściciela nadrzędnego (Nord Security, od 2022 r.), ale własna strona Surfshark o firmie stwierdza, że marki połączyły się „przy niezależnym działaniu”, z oddzielną infrastrukturą — na tej podstawie M18 ustawiono jako oddzielne, zgodnie z rekordem nordvpn.com.

U12a ma wartość częściowe, a nie tak, w osobnej kolumnie P2P tabeli serwerów: 88 ze 100 wymienionych krajów ma tę informację, a dwanaście jej nie ma (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolumna jest rysowana po stronie klienta, więc odczytano ją z wyrenderowanej tabeli, a nie ze statycznego HTML, w którym każdy wiersz zawiera każdą etykietę.

Raport przejrzystości pod adresem /transparency-report — dokąd /warrant-canary teraz przekierowuje — zawiera kwartał kwiecień–czerwiec 2026 w formie tabeli: 374 719 powiadomień DMCA, 33 zapytania od instytucji rządowych, 1 nakaz, 0 listów bezpieczeństwa narodowego i 0 tajnych nakazów. P08 uwzględnia 34 żądania prawne i pomija powiadomienia DMCA: są to skargi dotyczące praw autorskich do ruchu, a nie żądania danych użytkownika.

Ta sama strona stwierdza, że Surfshark wycofuje swój kanarek nakazów na rzecz raportowania kwartalnego, dlatego P07 ustawiono jako usunięte, a nie jako brak — kanarek istniał i został celowo wycofany.

U07_protocols ma wartość proprietary dla Dausos na podstawie własnego określenia Surfshark — strona protokołu nazywa Dausos „własnościowym protokołem Surfshark” i nie publikuje jego źródła — a ta pojedyncza wartość ustala C13_weakest_protocol oraz wynikające z niej obciążenie higieny. IKEv2 pozostaje, ponieważ Surfshark nadal je dokumentuje, choć na jego własnym blogu odnotowano usunięcie go z aplikacji Windows; Shadowsocks zniknął z indeksu pomocy i nie jest wymieniany.