IVPN против NordVPN

Взлом дата-центра в Финляндии в 2018 году был проникновением третьей стороны, а не изъятием правоохранительными органами — он записан в P12_case_history как kind=breach, а не в P01_seizure_event. Собственное описание NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) и одновременное освещение в Bloomberg согласуются в том, что раскрытие последовало за заявлениями в Twitter внешних исследователей, а не было инициативой NordVPN, — поэтому используется third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имеют общего владельца (Nord Security), но в объявлении обеих компаний о слиянии указано, что инфраструктура и планы развития продуктов остаются раздельными; на этом основании для M18 задано значение separate.

Аудит, ещё не опубликованный. Восьмой ежегодный аудит Cure53 был запланирован на июль 2026 года, и отчёт за 2025 или 2026 год ещё не опубликован, поэтому датой последнего отчёта считается апрель 2024 года.

Инцидент в августе 2026 года. В августе 2026 года атакующий использовал уязвимость в самостоятельно размещённом BTCPay Server до того, как она стала публично известна, и похитил собственные операционные средства IVPN в Lightning. Четыре дня спустя IVPN без внешнего запроса опубликовала описание произошедшего и ограничила его этой машиной: шлюзы VPN не были затронуты, доступ к записям клиентов не получен, деньги клиентов не потеряны.

Почему это ничего не стоит. Модель не начисляет за это баллов, и в этом её смысл — провайдер, который оперативно об этом сообщает, действует так, как и предполагается вознаграждать в реестре, а эта запись нужна для того, чтобы читатель знал, что это произошло, а не для изменения числа.

Что охватывали эти проверки. Пентест приложений (iOS, Android, Electron, демон) проведён в марте 2022 года, а проверка шлюзов и ОС серверов — в феврале 2023 года; ни одна из них не проверяла само заявление об отсутствии журналов, что в отчёте за 2023 год указано прямо, поэтому хранение данных основывается только на заявлении в политике конфиденциальности.

Последний отчёт не является релевантным. Проверка в апреле 2024 года, шестая проверка IVPN, проведённая Cure53, охватывала веб-сайт учётной записи клиента, API и хостинг; на собственной странице с описанием объёма работ клиентские приложения и VPN-серверы названы не входящими в него, поэтому она не расширяет доказательства ни по приложениям, ни по шлюзам, а V03_audit_subject для неё имеет значение unknown, а не переносит на неё это подтверждение. О седьмой проверке, посвящённой новым сервисам электронной почты и DNS, было объявлено только на май 2025 года; отчёт о ней не опубликован.

Что основной сайт никогда не устанавливает. Использование только RAM отмечено как частично установленное, поскольку IVPN описывает его как переходный процесс с текущим тестовым развёртыванием и не объявляла о его завершении. Вопросы владения серверным оборудованием (аренда или собственность), изменения трафика на точке выхода и персональной юрисдикции бенефициарного владельца не установлены: ни на одной основной странице IVPN не указано ни одно из трёх, как не указано и число пользователей.

Три поля, на которые отвечает база знаний, а не страницы, изученные при первоначальном заполнении. Распределение IP по замыслу является общим — «скопление» объединяет пользователей на одном адресе, чтобы затруднить установление связи. P2P разрешён везде, но IVPN просит клиентов избегать точек выхода в США, ссылаясь на давление со стороны правообладателей по DMCA. Для потоковой передачи данных гарантий нет, хотя компания заявляет, что многие клиенты всё же получают к ней доступ.

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.