Mullvad VPN vs NordVPN

Dlaczego liczba wynosi osiem. Liczba audytów wynosi osiem, ponieważ przegląd GotaTun znajduje się poza własną listą repozytorium aplikacji. Wcześniej, podczas przeglądu X41 D-Sec trwającego łącznie 30 osobodni i obejmującego wszystkie pięć platform, znaleziono sześć luk — trzy o wysokiej wadze, dwie o średniej, jedną o niskiej, żadnej krytycznej.

Czego nie obejmuje żadne zlecenie. Żadne z tych zleceń nie obejmuje floty serwerów: każde z nich bada aplikację lub protokół tunelu, dlatego zakres floty jest zapisany jako nie mający zastosowania, a nie jako próbka. Deklaracja braku logów po stronie infrastruktury opiera się zatem na nakazie przeszukania z kwietnia 2023 r. — szwedzka policja przybyła po dane klientów i odjechała bez nich — a nie na żadnym audycie.

Kompilacje odtwarzalne, tylko Android. Kompilacje odtwarzalne dotyczą wyłącznie Androida, od wersji 2025.2 wzwyż, więc pole pozostaje częściowe; kompilacji desktopowych i iOS nie można zweryfikować bit po bicie. Turcja jest jedynym krajem z obowiązkiem retencyjnym na oferowanej liście, a hosting za nim nie jest potwierdzony.

Nic opublikowanego o nakazach. Nic w rekordzie nie opiera się na czymkolwiek, co dostawca publikuje o otrzymywanych nakazach: nie ma raportu przejrzystości ani kanarka nakazów, więc zajęcie z kwietnia 2023 r. stanowi jedyną podstawę w tym zakresie. Zakres wyłącznika awaryjnego i polityka P2P nie są potwierdzone; najnowszy audyt jest przeglądem kodu protokołu, a nie zleceniem dotyczącym braku logów, więc V11 milczy, a retencja opiera się na deklaracji.

Kanarek nakazowy i kwartał, który go zastąpił. Ta sama strona wycofała kanarka nakazowego (P07=removed) na rzecz kwartalnych raportów przejrzystości; ostatni pełny kwartał (kwiecień–czerwiec 2026 r.) wykazuje 85 zapytań rządowych i 0 ujawnień, więc P08/P09 dotyczą tego okresu, a nie danych z całego okresu.

Indie i reżim tajnych nakazów. P04=withdrew_physical oznacza wycofanie z Indii w czerwcu 2022 r. P11=none_known opiera się na stwierdzeniu na stronie, że NordVPN nie otrzymał żadnych wiążących listów dotyczących bezpieczeństwa narodowego ani nakazów tajności, oraz na braku takiego reżimu w Panamie.

Poziom pewności, którego nikt nie może sprawdzić. NordVPN opisuje zlecenie dla Deloitte Lithuania jako zlecenie dające rozsądną pewność zgodnie z ISAE 3000 (Revised), co stanowiłoby silniejszą formę; raport PIA, który można przeczytać, stwierdza wniosek dotyczący ograniczonej pewności.

Dlaczego silniejsza forma nie została zaliczona. Model uwzględnia teraz tę różnicę w wycenie, a ten rekord nie korzysta z tego: V15_assurance_strength jest nieznane, ponieważ jedyne stwierdzenie dotyczące poziomu pochodzi od NordVPN i dotyczy raportu, którego nikt spoza Nord Account nie może otworzyć. Dokument dostępny dopiero po zalogowaniu nie jest tu dowodem na żadnym poziomie, dlatego zlecenie zaliczono według normy rynkowej, a nie według poziomu, który miał zostać osiągnięty.

Raport dostępny dopiero po zalogowaniu. Sam raport można odczytać dopiero po zalogowaniu się do Nord Account, więc nikt spoza tej relacji nie sprawdził jego zakresu, a każde pole audytu opiera się tutaj na własnym podsumowaniu NordVPN, a nie na dokumencie. To, a nie ustalenie przeciwko usłudze, sprawia, że ten rekord jest najsłabiej udokumentowany w katalogu.

Naruszenie centrum danych w Finlandii z 2018 roku było włamaniem strony trzeciej, a nie przejęciem przez organy ścigania — zapisano je w P12_case_history jako kind=breach, a nie P01_seizure_event. Własna relacja NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) i ówczesne relacje Bloomberga są zgodne co do tego, że ujawnienie nastąpiło po zarzutach na Twitterze ze strony zewnętrznych badaczy, a nie z inicjatywy NordVPN — stąd third_party_disclosed zamiast self_disclosed_late.

NordVPN i Surfshark mają wspólną grupę właścicielską (Nord Security), ale własny komunikat obu spółek o połączeniu stwierdza, że mają odrębną infrastrukturę i mapy rozwoju produktów; na tej podstawie M18 ustawiono jako odrębne.