IVPN против Mullvad VPN

Аудит, ещё не опубликованный. Восьмой ежегодный аудит Cure53 был запланирован на июль 2026 года, и отчёт за 2025 или 2026 год ещё не опубликован, поэтому датой последнего отчёта считается апрель 2024 года.

Инцидент в августе 2026 года. В августе 2026 года атакующий использовал уязвимость в самостоятельно размещённом BTCPay Server до того, как она стала публично известна, и похитил собственные операционные средства IVPN в Lightning. Четыре дня спустя IVPN без внешнего запроса опубликовала описание произошедшего и ограничила его этой машиной: шлюзы VPN не были затронуты, доступ к записям клиентов не получен, деньги клиентов не потеряны.

Почему это ничего не стоит. Модель не начисляет за это баллов, и в этом её смысл — провайдер, который оперативно об этом сообщает, действует так, как и предполагается вознаграждать в реестре, а эта запись нужна для того, чтобы читатель знал, что это произошло, а не для изменения числа.

Что охватывали эти проверки. Пентест приложений (iOS, Android, Electron, демон) проведён в марте 2022 года, а проверка шлюзов и ОС серверов — в феврале 2023 года; ни одна из них не проверяла само заявление об отсутствии журналов, что в отчёте за 2023 год указано прямо, поэтому хранение данных основывается только на заявлении в политике конфиденциальности.

Последний отчёт не является релевантным. Проверка в апреле 2024 года, шестая проверка IVPN, проведённая Cure53, охватывала веб-сайт учётной записи клиента, API и хостинг; на собственной странице с описанием объёма работ клиентские приложения и VPN-серверы названы не входящими в него, поэтому она не расширяет доказательства ни по приложениям, ни по шлюзам, а V03_audit_subject для неё имеет значение unknown, а не переносит на неё это подтверждение. О седьмой проверке, посвящённой новым сервисам электронной почты и DNS, было объявлено только на май 2025 года; отчёт о ней не опубликован.

Что основной сайт никогда не устанавливает. Использование только RAM отмечено как частично установленное, поскольку IVPN описывает его как переходный процесс с текущим тестовым развёртыванием и не объявляла о его завершении. Вопросы владения серверным оборудованием (аренда или собственность), изменения трафика на точке выхода и персональной юрисдикции бенефициарного владельца не установлены: ни на одной основной странице IVPN не указано ни одно из трёх, как не указано и число пользователей.

Три поля, на которые отвечает база знаний, а не страницы, изученные при первоначальном заполнении. Распределение IP по замыслу является общим — «скопление» объединяет пользователей на одном адресе, чтобы затруднить установление связи. P2P разрешён везде, но IVPN просит клиентов избегать точек выхода в США, ссылаясь на давление со стороны правообладателей по DMCA. Для потоковой передачи данных гарантий нет, хотя компания заявляет, что многие клиенты всё же получают к ней доступ.

Почему в подсчёте восемь. Количество аудитов равно восьми, потому что проверка GotaTun не входит в собственный список репозитория приложения. До них проверка X41 D-Sec продолжительностью 30 человеко-дней на всех пяти платформах выявила шесть уязвимостей — три высокой, две средней и одну низкой степени, критических нет.

Что не охватывает ни один аудит. Ни один из этих аудитов не охватывает парк серверов: каждый из них проверяет приложение или протокол туннеля, поэтому покрытие парка записано как неприменимое, а не как выборка. Поэтому заявление об отсутствии журналов в инфраструктуре опирается на ордер на обыск от апреля 2023 года — шведская полиция пришла за данными клиентов и ушла без них, — а не на какой-либо аудит.

Воспроизводимые сборки — только Android. Воспроизводимые сборки доступны только для Android, начиная с версии 2025.2, поэтому поле остаётся частичным; сборки для настольных систем и iOS невозможно проверить побитно. Турция — единственная страна с предписанием в предложенном списке, а хостинг за ней не установлен.

О требованиях ничего не опубликовано. Ни одно утверждение в записи не опирается на то, что провайдер публикует о получаемых им требованиях: нет ни отчёта о прозрачности, ни канарейки ордеров, поэтому изъятие в апреле 2023 года является единственным основанием. Покрытие аварийного отключения и политика P2P не установлены; последний аудит — это проверка кода протокола, а не аудит отсутствия журналов, поэтому V11 не содержит данных, а хранение опирается на декларацию.