IVPN vs Windscribe

Auditul încă nepublicat. Al optulea audit anual Cure53 era programat pentru iulie 2026, iar niciun raport pentru 2025 sau 2026 nu este încă publicat, motiv pentru care cea mai recentă dată a raportului este cea din aprilie 2024.

Incidentul din august 2026. În august 2026, un atacator a exploatat o vulnerabilitate din BTCPay Server găzduit autonom, înainte ca aceasta să fie publică, și a sustras fondurile operaționale Lightning proprii ale IVPN. IVPN a publicat relatarea patru zile mai târziu, fără să i se solicite, și a limitat-o la acea mașină: gateway-urile VPN nu au fost implicate, nu s-a ajuns la înregistrările clienților și nu s-au pierdut bani ai clienților.

De ce nu costă nimic. Modelul nu percepe nimic pentru aceasta, acesta fiind și motivul — un operator care spune prompt acest lucru se comportă în modul pe care câmpul este menit să îl recompenseze, iar fișa este aici pentru ca cititorul să știe că s-a întâmplat, nu pentru a modifica un număr.

Ce au acoperit misiunile. Testul de penetrare al aplicațiilor (iOS, Android, Electron, daemonul) este din martie 2022, iar analiza gateway-ului și a sistemului de operare al serverului este din februarie 2023; niciuna nu a testat declarația privind lipsa jurnalelor în sine, raportul din 2023 afirmă explicit acest lucru, astfel că reținerea se bazează exclusiv pe declarația din politica de confidențialitate.

Cel mai recent raport nu este cel relevant. Auditul din aprilie 2024, al șaselea realizat de Cure53 pentru IVPN, a testat site-ul contului de client, API-ul și găzduirea; pagina sa privind domeniul de aplicare menționează aplicațiile client și serverele VPN ca fiind în afara domeniului, astfel că nu extinde nici dovezile privind aplicația, nici pe cele privind gateway-ul, iar V03_audit_subject are valoarea unknown pentru acesta, în loc să reporteze acel credit. Al șaptelea audit, privind noile servicii de e-mail și DNS, a fost doar anunțat pentru mai 2025; nu este publicat niciun raport pentru acesta.

Ce nu dovedesc niciodată paginile principale. Doar RAM este înregistrat ca parțial, deoarece IVPN îl descrie ca pe o tranziție cu implementări de test în curs și nu a anunțat finalizarea sa. Proprietatea asupra hardware-ului serverelor (închiriat sau deținut), modificarea traficului la ieșire și jurisdicția personală a proprietarului beneficiar nu sunt dovedite: nicio pagină principală IVPN nu afirmă niciunul dintre cele trei lucruri și nici amploarea bazei de utilizatori.

Trei câmpuri la care răspunde baza de cunoștințe, nu paginile citite la prima completare. Alocarea IP este partajată prin proiectare — „aglomerarea” grupează utilizatorii pe aceeași adresă pentru a reduce posibilitatea atribuirii. P2P este permis peste tot, dar IVPN le cere clienților să evite ieșirile din SUA, invocând presiunea DMCA din amonte. Streamingul nu beneficiază de nicio garanție, deși compania afirmă că mulți clienți ajung la acesta.

De ce reținerea este evaluată pe baza constatării. Prin urmare, reținerea este evaluată pe baza a ceea ce un auditor a demonstrat că era accesibil, nu pe baza a ceea ce declară politica, iar canalul de integritate poartă distanța dintre cele două. Interpretați acest lucru ca pe o constatare veche de doi ani pe un singur nod, nu ca pe o măsurătoare actuală: domeniul a fost limitat la ca-023.windscribe.com, iar o evaluare mai nouă care să acopere o parte mai mare din flotă este cea care ar clarifica situația.

Lista care nu a fost citită niciodată. Lista de țări oferită nu a fost citită niciodată, astfel încât nici scorul de utilizabilitate pentru țări, nici intersecția obligației legale nu pot fi calculate — Windscribe publică o distincție între servere fizice și virtuale, ceea ce face ca C09b să poată primi un răspuns aici imediat ce lista este disponibilă. Amploarea utilizatorilor nu este nici ea dovedită, ceea ce lasă banda de expunere să se bazeze pe mai puține date decât ar trebui.

De unde citează acum cele trei evenimente. AIN.UA menționează în continuare serverele ucrainene confiscate la 24 iunie 2021, iar blogul propriu al Windscribe menționează cazul grec respins la 11 aprilie 2025. Confiscarea olandeză și câmpul confiscării citează acum pagina proprie a Windscribe privind lipsa jurnalelor, nu presa plătită de afiliați care a relatat-o prima dată: relatarea proprie a unei companii despre propria confiscare este o sursă primară, nu relatarea altcuiva despre una. Evenimentul ucrainean este datat la momentul confiscării propriu-zise, nu la momentul redactării.