ExpressVPN против Mullvad VPN

В 2017 году турецкие власти изъяли сервер ExpressVPN в ходе расследования убийства посла России Андрея Карлова и не обнаружили пригодных для использования журналов (TorrentFreak, на котором размещено уведомление о спонсорстве ExpressVPN — отмечено, но не исключено, поскольку факты можно проверить извне, а собственная страница заявления ExpressVPN с тех пор стала возвращать HTTP 410 без снимка в Wayback Machine).

В сентябре 2021 года стало публичным заключённое DOJ соглашение об отсрочке уголовного преследования с Daniel Gericke, директором по информационным технологиям ExpressVPN, в связи с его прежней ролью в хакерской операции ОАЭ «Project Raven» в 2016–2018 годах; сам основной документ DPA нигде не называет ExpressVPN (он касается только его прежней работы в ОАЭ) — связь с ExpressVPN следует из собственных заявлений ExpressVPN и сообщений прессы. ExpressVPN сохранила Gericke в штате и опубликовала публичную защиту этого решения.

C12 — это resettable_ad_id, установленный на основе собственного текста провайдера, а не категории магазина. В маркетинговом абзаце политики конфиденциальности указано, что Installation ID и XV User ID всегда собираются, а рекламные идентификаторы — IDFA или Android Advertising ID — передаются только при явном согласии; всё это поступает в AppsFlyer. Форма Play по безопасности данных независимо заявляет «идентификаторы устройства или другие идентификаторы» для рекламы или маркетинга.

Механизм согласия и единственная здесь мера снижения риска, которую не предлагает никто другой, — трафик, направленный в AppsFlyer и проходящий через выделенный пул IP-адресов ExpressVPN, чтобы атрибуция не могла сопоставлять данные по IP-адресу, — реальны и зафиксированы здесь, потому что нижний предел оценивает то, что можно подтвердить, а не то, насколько хорошо это объяснено.

U07_protocols содержит весь список выбора: Lightway UDP и TCP как vendor_open, наряду с WireGuard, OpenVPN UDP/TCP и IKEv2. Lightway — собственный протокол ExpressVPN, а его исходный код опубликован и прошёл независимую проверку (Cure53, 2021 и 2024), что и отличает значение vendor_open — proprietary оценивает невозможность установить, является ли транспорт слабым, а здесь это установить можно.

PPTP выведен из использования в приложениях ExpressVPN, как указано на собственной странице провайдера о протоколах, а L2TP и SSTP там объясняются, но не предлагаются.

Отчёт о прозрачности. Теперь P05/P06/P08/P09 основаны на полугодовом отчёте ExpressVPN о прозрачности (июль—декабрь 2025 года: 155 запросов от государственных органов и правоохранительных органов, 0 раскрытий, 3 ордера, перечисленных отдельно), который был найден через Trust Center; при предыдущей проверке не удалось найти ни то ни другое.

Канарейка и остальная часть блока. Канарейку ExpressVPN в отношении ордеров найти не удалось, и первичного заявления, отрицающего её наличие, нет, поэтому P07 остаётся неизвестно. P02/P03=none_known основаны на серии отчётов о прозрачности и позиции политики конфиденциальности по судебным разбирательствам; P11=none_known — на заявлении политики о том, что все требования проходят через суды BVI. P04=withdrew_physical — это уход из Индии в июне 2022 года.

Что никогда не публикуется. Число подписчиков (M08) и общее число серверов (U03) не публикуются. Владение аппаратным обеспечением серверов (C08: собственное или арендованное) и идентификаторы устройств на уровне приложения (C12) не удалось установить ни на одной проверенной странице.

106 стран против заявления о 113. U02_server_countries отражает 105 страниц стран в собственной карте сайта ExpressVPN плюс Китай (на действующей странице /vpn-server подтвержден статус 'Available - Virtual Locations', но отдельной страницы страны нет) — всего 106 кодов, тогда как собственный маркетинговый материал сайта заявляет «113 Countries»; действующая страница с расположением серверов представляет собой очень большую таблицу по протоколам, которая не была разобрана исчерпывающе, поэтому расхождение между 106 и 113 приводится как установленный пробел, а не устраняется.

Вывод аудита между двумя категориями. V11_audit_findings записано как session_metadata, а не как none_linkable или aggregates_only: в отчёте KPMG за 2025 год описана структурированная запись для каждого подключения (страна, ISP, дата, протокол, объём данных, стабильный псевдоним на основе хеша с солью), которая выходит за рамки чистого агрегирования, но не содержит IP-адрес и точное время — действительно неоднозначный случай для четырёх средних категорий этого поля.

В этой проверке не проверялось. Наличие покрытия ExpressVPN за пределами партнёрских сайтов (X08), уровень выплат партнёрам (X10) и то, отмечают ли обзорные СМИ, управляемые владельцем, связь с владельцем (X11), в этой проверке не проверялись.

P2P, искали и не обнаружили. U12a_p2p_allowed остаётся неизвестно по другой причине, чем остальные: это искали, но не опубликовано. Ни sitemap (578 страниц и URL поддержки), ни условия использования нигде не упоминают P2P, BitTorrent или обмен файлами, тогда как каждый другой учтённый провайдер излагает свою позицию в собственных документах. Статья поддержки или пункт условий использования устранили бы этот пробел; утверждение обзорного сайта о том, что это работает, — нет.

Почему в подсчёте восемь. Количество аудитов равно восьми, потому что проверка GotaTun не входит в собственный список репозитория приложения. До них проверка X41 D-Sec продолжительностью 30 человеко-дней на всех пяти платформах выявила шесть уязвимостей — три высокой, две средней и одну низкой степени, критических нет.

Что не охватывает ни один аудит. Ни один из этих аудитов не охватывает парк серверов: каждый из них проверяет приложение или протокол туннеля, поэтому покрытие парка записано как неприменимое, а не как выборка. Поэтому заявление об отсутствии журналов в инфраструктуре опирается на ордер на обыск от апреля 2023 года — шведская полиция пришла за данными клиентов и ушла без них, — а не на какой-либо аудит.

Воспроизводимые сборки — только Android. Воспроизводимые сборки доступны только для Android, начиная с версии 2025.2, поэтому поле остаётся частичным; сборки для настольных систем и iOS невозможно проверить побитно. Турция — единственная страна с предписанием в предложенном списке, а хостинг за ней не установлен.

О требованиях ничего не опубликовано. Ни одно утверждение в записи не опирается на то, что провайдер публикует о получаемых им требованиях: нет ни отчёта о прозрачности, ни канарейки ордеров, поэтому изъятие в апреле 2023 года является единственным основанием. Покрытие аварийного отключения и политика P2P не установлены; последний аудит — это проверка кода протокола, а не аудит отсутствия журналов, поэтому V11 не содержит данных, а хранение опирается на декларацию.