ExpressVPN против Private Internet Access

Отчёт о прозрачности. Теперь P05/P06/P08/P09 основаны на полугодовом отчёте ExpressVPN о прозрачности (июль—декабрь 2025 года: 155 запросов от государственных органов и правоохранительных органов, 0 раскрытий, 3 ордера, перечисленных отдельно), который был найден через Trust Center; при предыдущей проверке не удалось найти ни то ни другое.

Канарейка и остальная часть блока. Канарейку ExpressVPN в отношении ордеров найти не удалось, и первичного заявления, отрицающего её наличие, нет, поэтому P07 остаётся неизвестно. P02/P03=none_known основаны на серии отчётов о прозрачности и позиции политики конфиденциальности по судебным разбирательствам; P11=none_known — на заявлении политики о том, что все требования проходят через суды BVI. P04=withdrew_physical — это уход из Индии в июне 2022 года.

Что никогда не публикуется. Число подписчиков (M08) и общее число серверов (U03) не публикуются. Владение аппаратным обеспечением серверов (C08: собственное или арендованное) и идентификаторы устройств на уровне приложения (C12) не удалось установить ни на одной проверенной странице.

106 стран против заявления о 113. U02_server_countries отражает 105 страниц стран в собственной карте сайта ExpressVPN плюс Китай (на действующей странице /vpn-server подтвержден статус 'Available - Virtual Locations', но отдельной страницы страны нет) — всего 106 кодов, тогда как собственный маркетинговый материал сайта заявляет «113 Countries»; действующая страница с расположением серверов представляет собой очень большую таблицу по протоколам, которая не была разобрана исчерпывающе, поэтому расхождение между 106 и 113 приводится как установленный пробел, а не устраняется.

Вывод аудита между двумя категориями. V11_audit_findings записано как session_metadata, а не как none_linkable или aggregates_only: в отчёте KPMG за 2025 год описана структурированная запись для каждого подключения (страна, ISP, дата, протокол, объём данных, стабильный псевдоним на основе хеша с солью), которая выходит за рамки чистого агрегирования, но не содержит IP-адрес и точное время — действительно неоднозначный случай для четырёх средних категорий этого поля.

В этой проверке не проверялось. Наличие покрытия ExpressVPN за пределами партнёрских сайтов (X08), уровень выплат партнёрам (X10) и то, отмечают ли обзорные СМИ, управляемые владельцем, связь с владельцем (X11), в этой проверке не проверялись.

P2P, искали и не обнаружили. U12a_p2p_allowed остаётся неизвестно по другой причине, чем остальные: это искали, но не опубликовано. Ни sitemap (578 страниц и URL поддержки), ни условия использования нигде не упоминают P2P, BitTorrent или обмен файлами, тогда как каждый другой учтённый провайдер излагает свою позицию в собственных документах. Статья поддержки или пункт условий использования устранили бы этот пробел; утверждение обзорного сайта о том, что это работает, — нет.

Что он не исследовал. Отчет охватывает только инфраструктуру. C07a_app_sdk и C12_device_identifier — это факты на стороне приложения, которые он не исследовал; теперь в качестве источника для них указана политика конфиденциальности, описывающая аналитику для посетителей сайта и диагностические отчеты, отправляемые с согласия пользователя и содержащие сведения о платформе и версии приложения. Рассматривать любое из этих утверждений как описание SDK, скомпилированных в приложение, — самое слабое место этой записи; фактический ответ можно было бы установить по клиентам с открытым исходным кодом.

Сведения о повестке 2016 года основаны на собственных словах PIA, а не на материалах суда. Единственное подробное описание дела McWaters (S.D. Fla., 9:16-cr-80043) находится на сайте аффилированной компании, который эта запись не может использовать как источник; в реестре дела на CourtListener нет упоминаний о повестке, провайдере или исходе дела. P03_court_record и P12_case_history теперь основаны на утверждении PIA в отчете о прозрачности о том, что в 2016–2017 годах ей была направлена повестка и она ничего не предоставила, — это самостоятельное заявление уровня B, а не подтвержденная судебная запись.

В 2017 году турецкие власти изъяли сервер ExpressVPN в ходе расследования убийства посла России Андрея Карлова и не обнаружили пригодных для использования журналов (TorrentFreak, на котором размещено уведомление о спонсорстве ExpressVPN — отмечено, но не исключено, поскольку факты можно проверить извне, а собственная страница заявления ExpressVPN с тех пор стала возвращать HTTP 410 без снимка в Wayback Machine).

В сентябре 2021 года стало публичным заключённое DOJ соглашение об отсрочке уголовного преследования с Daniel Gericke, директором по информационным технологиям ExpressVPN, в связи с его прежней ролью в хакерской операции ОАЭ «Project Raven» в 2016–2018 годах; сам основной документ DPA нигде не называет ExpressVPN (он касается только его прежней работы в ОАЭ) — связь с ExpressVPN следует из собственных заявлений ExpressVPN и сообщений прессы. ExpressVPN сохранила Gericke в штате и опубликовала публичную защиту этого решения.

C12 — это resettable_ad_id, установленный на основе собственного текста провайдера, а не категории магазина. В маркетинговом абзаце политики конфиденциальности указано, что Installation ID и XV User ID всегда собираются, а рекламные идентификаторы — IDFA или Android Advertising ID — передаются только при явном согласии; всё это поступает в AppsFlyer. Форма Play по безопасности данных независимо заявляет «идентификаторы устройства или другие идентификаторы» для рекламы или маркетинга.

Механизм согласия и единственная здесь мера снижения риска, которую не предлагает никто другой, — трафик, направленный в AppsFlyer и проходящий через выделенный пул IP-адресов ExpressVPN, чтобы атрибуция не могла сопоставлять данные по IP-адресу, — реальны и зафиксированы здесь, потому что нижний предел оценивает то, что можно подтвердить, а не то, насколько хорошо это объяснено.

U07_protocols содержит весь список выбора: Lightway UDP и TCP как vendor_open, наряду с WireGuard, OpenVPN UDP/TCP и IKEv2. Lightway — собственный протокол ExpressVPN, а его исходный код опубликован и прошёл независимую проверку (Cure53, 2021 и 2024), что и отличает значение vendor_open — proprietary оценивает невозможность установить, является ли транспорт слабым, а здесь это установить можно.

PPTP выведен из использования в приложениях ExpressVPN, как указано на собственной странице провайдера о протоколах, а L2TP и SSTP там объясняются, но не предлагаются.

M08_user_scale, P02_disclosure_history, P03_court_record и P12_case_history были повторно сверены с теми же источниками и остаются без изменений; на главной странице отчётов о прозрачности по-прежнему не названо ни одного дела, кроме повесток 2016–2017 годов, уже внесённых в запись. Повторная проверка цен по той же странице buy-vpn-online не выявила изменений ни в одной из двух сумм: помесячный план — $11,95, годовой план — $47,88 с оплатой за первый год и автоматическим продлением по той же цене $47,88 без разницы между начальной и продлеваемой ценой, что соответствует фиксированной цене PIA, отмеченной в других местах каталога.

Источниками послужили собственные страницы и блог privateinternetaccess.com, два PDF-файла Deloitte с «Independent Limited Assurance Report» по ISAE 3000 (Revised) (апрель 2024 года и декабрь 2025 года; оба были открыты и прочитаны напрямую), собственный сайт Kape Technologies, материалы с источниками в Isle of Man/Companies House о выкупе Kape в 2023 году Unikmind Holdings (Teddy Sagi) и официальная организация pia-foss в GitHub для клиентов с открытым исходным кодом.

Публичная карточка дела в CourtListener по United States v. McWaters (9:16-cr-80043, S.D. Fla.) была открыта, но не называет ни одной повестки, провайдера VPN или исхода дела; материал аффилированного сайта (vpncompare.co.uk), подробно описывающий эту повестку, был исключён как запрещённый источник, а собственные материалы TorrentFreak при каждой попытке загрузки в ходе этой проверки, включая curl, возвращали HTTP 403. Теперь P03/P12 основываются на собственном заявлении PIA в отчёте о прозрачности.

Wikipedia была исключена из V12 в пользу самой организации GitHub. Ни один аффилированный сайт или сайт-агрегатор «лучших VPN» не использовался в качестве источника фактов нигде в этой записи, хотя в результатах поиска неоднократно появлялись несколько таких сайтов с правдоподобными числами (количество серверов, количество пользователей, даты аудитов), которые невозможно было перепроверить по первичной странице и поэтому они были отброшены, а не использованы.