CyberGhost VPN против IVPN

Прозрачность клиента и сборки не исследована. Не удалось найти официальный репозиторий исходного кода CyberGhost, подтверждение воспроизводимой сборки или отдельный пентест приложения (в открытом индексе Cure53 нет записи о CyberGhost или Kape), поэтому V12, V13 и V14 остаются неизвестными, а не дают основания для вывода в ту или иную сторону.

Спорное утверждение об утечке не удалось независимо разрешить. В отчёте третьей стороны за сентябрь 2024 года утверждалось, что учётные данные CyberGhost были раскрыты; в собственном ответе CyberGhost отрицает компрометацию на стороне сервиса и связывает эти данные с вредоносным ПО на стороне пользователя, однако исходный отчёт не удалось прочитать в этой сессии, поэтому X09_incident_handling остаётся неизвестным, а не принимает версию одной из сторон.

На двух собственных страницах CyberGhost указаны разные почтовые адреса: в выходных данных названа улица 70-72 Dionisie Lupu, а в политике конфиденциальности — улица 68 Polonă; оба адреса находятся в одном районе Бухареста, и обе страницы являются актуальными, а не одна из них — сохранившейся архивной версией. Ни одна из них не была признана более авторитетной, чем другая, а расхождение оставлено для разрешения при будущем обновлении, вместо того чтобы гадать здесь.

Аудит, ещё не опубликованный. Восьмой ежегодный аудит Cure53 был запланирован на июль 2026 года, и отчёт за 2025 или 2026 год ещё не опубликован, поэтому датой последнего отчёта считается апрель 2024 года.

Инцидент в августе 2026 года. В августе 2026 года атакующий использовал уязвимость в самостоятельно размещённом BTCPay Server до того, как она стала публично известна, и похитил собственные операционные средства IVPN в Lightning. Четыре дня спустя IVPN без внешнего запроса опубликовала описание произошедшего и ограничила его этой машиной: шлюзы VPN не были затронуты, доступ к записям клиентов не получен, деньги клиентов не потеряны.

Почему это ничего не стоит. Модель не начисляет за это баллов, и в этом её смысл — провайдер, который оперативно об этом сообщает, действует так, как и предполагается вознаграждать в реестре, а эта запись нужна для того, чтобы читатель знал, что это произошло, а не для изменения числа.

Что охватывали эти проверки. Пентест приложений (iOS, Android, Electron, демон) проведён в марте 2022 года, а проверка шлюзов и ОС серверов — в феврале 2023 года; ни одна из них не проверяла само заявление об отсутствии журналов, что в отчёте за 2023 год указано прямо, поэтому хранение данных основывается только на заявлении в политике конфиденциальности.

Последний отчёт не является релевантным. Проверка в апреле 2024 года, шестая проверка IVPN, проведённая Cure53, охватывала веб-сайт учётной записи клиента, API и хостинг; на собственной странице с описанием объёма работ клиентские приложения и VPN-серверы названы не входящими в него, поэтому она не расширяет доказательства ни по приложениям, ни по шлюзам, а V03_audit_subject для неё имеет значение unknown, а не переносит на неё это подтверждение. О седьмой проверке, посвящённой новым сервисам электронной почты и DNS, было объявлено только на май 2025 года; отчёт о ней не опубликован.

Что основной сайт никогда не устанавливает. Использование только RAM отмечено как частично установленное, поскольку IVPN описывает его как переходный процесс с текущим тестовым развёртыванием и не объявляла о его завершении. Вопросы владения серверным оборудованием (аренда или собственность), изменения трафика на точке выхода и персональной юрисдикции бенефициарного владельца не установлены: ни на одной основной странице IVPN не указано ни одно из трёх, как не указано и число пользователей.

Три поля, на которые отвечает база знаний, а не страницы, изученные при первоначальном заполнении. Распределение IP по замыслу является общим — «скопление» объединяет пользователей на одном адресе, чтобы затруднить установление связи. P2P разрешён везде, но IVPN просит клиентов избегать точек выхода в США, ссылаясь на давление со стороны правообладателей по DMCA. Для потоковой передачи данных гарантий нет, хотя компания заявляет, что многие клиенты всё же получают к ней доступ.