AirVPN против ExpressVPN

Примечательная практическая деталь: опубликованные стенограммы заседаний федерального суда США по делу United States v. Klyushin (D. Mass., docket 61629108, документы №183 и №217), найденные через CourtListener/RECAP, показывают, что устройство pen register для правоохранительных органов было установлено непосредственно у хостинговой компании (DediPath), а не у AirVPN, чтобы отслеживать IP-адрес сервера AirVPN в январе—феврале 2020 года; сотрудники AirVPN, отвечая на своём форуме, подтвердили, что компания не знала о перехвате и не участвовала в нём, а устройство пришлось устанавливать за пределами собственных систем AirVPN.

Это записано в P12_case_history как событие court_order/nothing_produced, источник которого — подтверждение на собственном форуме AirVPN (а не сами PDF-файлы PACER, которые возвращали 403 при автоматической загрузке и были прочитаны только через вторичное резюме).

В 2017 году турецкие власти изъяли сервер ExpressVPN в ходе расследования убийства посла России Андрея Карлова и не обнаружили пригодных для использования журналов (TorrentFreak, на котором размещено уведомление о спонсорстве ExpressVPN — отмечено, но не исключено, поскольку факты можно проверить извне, а собственная страница заявления ExpressVPN с тех пор стала возвращать HTTP 410 без снимка в Wayback Machine).

В сентябре 2021 года стало публичным заключённое DOJ соглашение об отсрочке уголовного преследования с Daniel Gericke, директором по информационным технологиям ExpressVPN, в связи с его прежней ролью в хакерской операции ОАЭ «Project Raven» в 2016–2018 годах; сам основной документ DPA нигде не называет ExpressVPN (он касается только его прежней работы в ОАЭ) — связь с ExpressVPN следует из собственных заявлений ExpressVPN и сообщений прессы. ExpressVPN сохранила Gericke в штате и опубликовала публичную защиту этого решения.

C12 — это resettable_ad_id, установленный на основе собственного текста провайдера, а не категории магазина. В маркетинговом абзаце политики конфиденциальности указано, что Installation ID и XV User ID всегда собираются, а рекламные идентификаторы — IDFA или Android Advertising ID — передаются только при явном согласии; всё это поступает в AppsFlyer. Форма Play по безопасности данных независимо заявляет «идентификаторы устройства или другие идентификаторы» для рекламы или маркетинга.

Механизм согласия и единственная здесь мера снижения риска, которую не предлагает никто другой, — трафик, направленный в AppsFlyer и проходящий через выделенный пул IP-адресов ExpressVPN, чтобы атрибуция не могла сопоставлять данные по IP-адресу, — реальны и зафиксированы здесь, потому что нижний предел оценивает то, что можно подтвердить, а не то, насколько хорошо это объяснено.

U07_protocols содержит весь список выбора: Lightway UDP и TCP как vendor_open, наряду с WireGuard, OpenVPN UDP/TCP и IKEv2. Lightway — собственный протокол ExpressVPN, а его исходный код опубликован и прошёл независимую проверку (Cure53, 2021 и 2024), что и отличает значение vendor_open — proprietary оценивает невозможность установить, является ли транспорт слабым, а здесь это установить можно.

PPTP выведен из использования в приложениях ExpressVPN, как указано на собственной странице провайдера о протоколах, а L2TP и SSTP там объясняются, но не предлагаются.

Что показывают темы форума. Темы форума показывают, что пользователи неоднократно просили AirVPN о канарейке ордера, но сотрудники не подтверждали наличие такой канарейки; это указывает на её возможное отсутствие, но не является первичным отрицанием, поэтому P07 остаётся неизвестно, а не «нет».

Количество, которое никто не публикует. Поэтому количество запросов и передач данных также неизвестно (P08, P09), а общее количество подписчиков никогда не раскрывается (M08 неизвестно) — AirVPN публикует только счётчик одновременно подключённых пользователей в реальном времени, а не общее количество зарегистрированных пользователей или подписчиков, поэтому молчание или незнание здесь имеют реальный вес.

Сборки и пентесты. Воспроизводимые сборки не задокументированы на собственной странице AirVPN по сборке из исходного кода (eddie.website/support/build/), а найти отдельный пентест клиента или инфраструктуры не удалось (V13, V14 неизвестно). Область действия аварийного отключения и поведение раздельного туннелирования взяты из стороннего обзора, а не из собственной документации AirVPN (U08, U09 с уровнем достоверности C), поскольку соответствующие страницы FAQ не удалось напрямую открыть через маршрутизацию сайта (они отображаются через JavaScript и при обычном запросе вернули только оболочку загрузки).

Освещение за пределами аффилированных источников. Освещение в прессе не ограничивается аффилированными источниками: BleepingComputer, крупное издание, не входящее в список агрегаторов аффилированных источников, опубликовало независимый обзор с собственным уведомлением о раскрытии аффилированной связи, а не ограничилось каталогами аффилированных источников (X08=no). В том же обзоре также установлено, что AirVPN не справился ни с одним из проверенных потоковых сервисов — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS, — поэтому теперь U12b_streaming_works имеет значение no, а не полученное ранее из addictivetips.com значение partial, которое использовалось до того, как этот источник был признан запрещённым.

Годовая цена. U04b_price_yearly=4,08 — это эффективная помесячная цена в EUR для годового плана (49 EUR/год) на airvpn.org/buy/, не меняющаяся при продлении, как и цена любого срока AirVPN.

Текстовый логотип. AirVPN предоставляет свой текстовый логотип только в формате PNG (/static/img/logo/web_header.png, logo_horiz.png) и не имеет страницы для прессы или страницы бренда, поэтому logos/airvpn.svg оставлен отсутствующим в соответствии с AUDITOR.md §1, а растровое изображение не обводилось.

Отчёт о прозрачности. Теперь P05/P06/P08/P09 основаны на полугодовом отчёте ExpressVPN о прозрачности (июль—декабрь 2025 года: 155 запросов от государственных органов и правоохранительных органов, 0 раскрытий, 3 ордера, перечисленных отдельно), который был найден через Trust Center; при предыдущей проверке не удалось найти ни то ни другое.

Канарейка и остальная часть блока. Канарейку ExpressVPN в отношении ордеров найти не удалось, и первичного заявления, отрицающего её наличие, нет, поэтому P07 остаётся неизвестно. P02/P03=none_known основаны на серии отчётов о прозрачности и позиции политики конфиденциальности по судебным разбирательствам; P11=none_known — на заявлении политики о том, что все требования проходят через суды BVI. P04=withdrew_physical — это уход из Индии в июне 2022 года.

Что никогда не публикуется. Число подписчиков (M08) и общее число серверов (U03) не публикуются. Владение аппаратным обеспечением серверов (C08: собственное или арендованное) и идентификаторы устройств на уровне приложения (C12) не удалось установить ни на одной проверенной странице.

106 стран против заявления о 113. U02_server_countries отражает 105 страниц стран в собственной карте сайта ExpressVPN плюс Китай (на действующей странице /vpn-server подтвержден статус 'Available - Virtual Locations', но отдельной страницы страны нет) — всего 106 кодов, тогда как собственный маркетинговый материал сайта заявляет «113 Countries»; действующая страница с расположением серверов представляет собой очень большую таблицу по протоколам, которая не была разобрана исчерпывающе, поэтому расхождение между 106 и 113 приводится как установленный пробел, а не устраняется.