IVPN vs Windscribe

Incydent z sierpnia 2026 r. W sierpniu 2026 r. atakujący wykorzystał podatność w samodzielnie hostowanym BTCPay Server, zanim została ona upubliczniona, i przejął własne środki operacyjne IVPN w Lightning. IVPN opublikowała opis zdarzenia cztery dni później, z własnej inicjatywy, i ograniczyła jego zakres do tej maszyny: bramy VPN nie były zaangażowane, nie uzyskano dostępu do danych klientów i nie utracono pieniędzy klientów.

Dlaczego nic to nie kosztuje. Model nie pobiera za to żadnych opłat, i właśnie o to chodzi — operator, który mówi o tym szybko, zachowuje się tak, jak powinien wynagradzać to rejestr, a ten wpis znajduje się tutaj po to, by czytelnik wiedział, że to się wydarzyło, a nie po to, by zmienić liczbę.

Czego dotyczyły te zlecenia. Test penetracyjny aplikacji (iOS, Android, Electron, demon) pochodzi z marca 2022 r., a przegląd bramy i systemu operacyjnego serwera z lutego 2023 r.; żaden z nich nie testował samej deklaracji braku logów, co raport z 2023 r. stwierdza wyraźnie, więc retencja opiera się wyłącznie na deklaracji w polityce prywatności.

Najnowszy raport nie jest tym właściwym. Audyt z kwietnia 2024 r., szósty audyt Cure53 dla IVPN, obejmował testy witryny kont klientów, API i hostingu; własna strona zakresu wyłącza aplikacje klienckie i serwery VPN, więc nie rozszerza dowodów dotyczących aplikacji ani bramy, a V03_audit_subject ma dla niego wartość unknown, zamiast przenosić to uznanie. Siódmy audyt, dotyczący nowych usług e-mail i DNS, zapowiedziano dopiero na maj 2025 r.; nie opublikowano jego raportu.

Czego główna witryna nigdy nie potwierdza. RAM-only jest odnotowane jako częściowe, ponieważ IVPN opisuje je jako przejście z wdrażanymi testowo rozwiązaniami i nie ogłosiło zakończenia tego procesu. Własność sprzętu serwerowego (dzierżawiony czy własny), modyfikowanie ruchu w węźle wyjściowym oraz jurysdykcja osobista rzeczywistego właściciela pozostają niepotwierdzone: żadna główna strona IVPN nie stwierdza żadnej z tych trzech kwestii, podobnie jak skali bazy użytkowników.

Trzy pola, na które odpowiada baza wiedzy, a nie strony odczytane przy pierwszym wypełnieniu. Przydział adresów IP jest współdzielony z założenia — „crowding” umieszcza użytkowników na jednym adresie, aby utrudnić przypisanie aktywności. P2P jest dozwolone wszędzie, ale IVPN prosi klientów o unikanie węzłów wyjściowych w USA, powołując się na presję ze strony upstreamu na podstawie DMCA. Streaming nie jest objęty żadną gwarancją, choć firma twierdzi, że wielu klientów uzyskuje do niego dostęp.

Dlaczego retencja jest wyceniana na podstawie ustalenia. Retencja jest więc wyceniana na podstawie tego, do czego dostęp wykazał audytor, a nie tego, co deklaruje polityka, natomiast kanał integralności pokazuje odległość między tymi dwiema rzeczami. Należy to odczytywać jako ustalenie sprzed dwóch lat dotyczące jednego węzła, a nie jako bieżący pomiar: zakres obejmował wyłącznie ca-023.windscribe.com, a rozstrzygnąć tę kwestię mógłby nowszy audyt obejmujący większą część floty.

Lista, której nigdy nie odczytano. Oferowana lista krajów nigdy nie została odczytana, więc nie można obliczyć ani wyniku użyteczności dla krajów, ani przecięcia z obowiązkiem — Windscribe publikuje rozróżnienie na lokalizacje fizyczne i wirtualne, dzięki czemu C09b można tutaj ocenić, gdy tylko lista będzie dostępna. Skala użytkowników również nie jest potwierdzona, przez co przedział ekspozycji opiera się na mniejszej podstawie, niż powinien.

Skąd trzy zdarzenia czerpią teraz cytowania. AIN.UA nadal zawiera informację o ukraińskich serwerach przejętych 24 czerwca 2021 roku, a własny blog Windscribe — o greckiej sprawie oddalonej 11 kwietnia 2025 roku. Holenderskie przejęcie oraz samo pole przejęcia odwołują się teraz do własnej strony Windscribe dotyczącej braku logów, a nie do prasy opłaconej przez program partnerski, która po raz pierwszy o nim poinformowała: relacja firmy z własnego przejęcia jest źródłem pierwotnym, a nie cudzą relacją z jednego przejęcia. Ukraińskie zdarzenie datuje się na samo przejęcie, a nie na późniejszą publikację.