IVPN против Private Internet Access

Аудит, ещё не опубликованный. Восьмой ежегодный аудит Cure53 был запланирован на июль 2026 года, и отчёт за 2025 или 2026 год ещё не опубликован, поэтому датой последнего отчёта считается апрель 2024 года.

Инцидент в августе 2026 года. В августе 2026 года атакующий использовал уязвимость в самостоятельно размещённом BTCPay Server до того, как она стала публично известна, и похитил собственные операционные средства IVPN в Lightning. Четыре дня спустя IVPN без внешнего запроса опубликовала описание произошедшего и ограничила его этой машиной: шлюзы VPN не были затронуты, доступ к записям клиентов не получен, деньги клиентов не потеряны.

Почему это ничего не стоит. Модель не начисляет за это баллов, и в этом её смысл — провайдер, который оперативно об этом сообщает, действует так, как и предполагается вознаграждать в реестре, а эта запись нужна для того, чтобы читатель знал, что это произошло, а не для изменения числа.

Что охватывали эти проверки. Пентест приложений (iOS, Android, Electron, демон) проведён в марте 2022 года, а проверка шлюзов и ОС серверов — в феврале 2023 года; ни одна из них не проверяла само заявление об отсутствии журналов, что в отчёте за 2023 год указано прямо, поэтому хранение данных основывается только на заявлении в политике конфиденциальности.

Последний отчёт не является релевантным. Проверка в апреле 2024 года, шестая проверка IVPN, проведённая Cure53, охватывала веб-сайт учётной записи клиента, API и хостинг; на собственной странице с описанием объёма работ клиентские приложения и VPN-серверы названы не входящими в него, поэтому она не расширяет доказательства ни по приложениям, ни по шлюзам, а V03_audit_subject для неё имеет значение unknown, а не переносит на неё это подтверждение. О седьмой проверке, посвящённой новым сервисам электронной почты и DNS, было объявлено только на май 2025 года; отчёт о ней не опубликован.

Что основной сайт никогда не устанавливает. Использование только RAM отмечено как частично установленное, поскольку IVPN описывает его как переходный процесс с текущим тестовым развёртыванием и не объявляла о его завершении. Вопросы владения серверным оборудованием (аренда или собственность), изменения трафика на точке выхода и персональной юрисдикции бенефициарного владельца не установлены: ни на одной основной странице IVPN не указано ни одно из трёх, как не указано и число пользователей.

Три поля, на которые отвечает база знаний, а не страницы, изученные при первоначальном заполнении. Распределение IP по замыслу является общим — «скопление» объединяет пользователей на одном адресе, чтобы затруднить установление связи. P2P разрешён везде, но IVPN просит клиентов избегать точек выхода в США, ссылаясь на давление со стороны правообладателей по DMCA. Для потоковой передачи данных гарантий нет, хотя компания заявляет, что многие клиенты всё же получают к ней доступ.

Что он не исследовал. Отчет охватывает только инфраструктуру. C07a_app_sdk и C12_device_identifier — это факты на стороне приложения, которые он не исследовал; теперь в качестве источника для них указана политика конфиденциальности, описывающая аналитику для посетителей сайта и диагностические отчеты, отправляемые с согласия пользователя и содержащие сведения о платформе и версии приложения. Рассматривать любое из этих утверждений как описание SDK, скомпилированных в приложение, — самое слабое место этой записи; фактический ответ можно было бы установить по клиентам с открытым исходным кодом.

Сведения о повестке 2016 года основаны на собственных словах PIA, а не на материалах суда. Единственное подробное описание дела McWaters (S.D. Fla., 9:16-cr-80043) находится на сайте аффилированной компании, который эта запись не может использовать как источник; в реестре дела на CourtListener нет упоминаний о повестке, провайдере или исходе дела. P03_court_record и P12_case_history теперь основаны на утверждении PIA в отчете о прозрачности о том, что в 2016–2017 годах ей была направлена повестка и она ничего не предоставила, — это самостоятельное заявление уровня B, а не подтвержденная судебная запись.

M08_user_scale, P02_disclosure_history, P03_court_record и P12_case_history были повторно сверены с теми же источниками и остаются без изменений; на главной странице отчётов о прозрачности по-прежнему не названо ни одного дела, кроме повесток 2016–2017 годов, уже внесённых в запись. Повторная проверка цен по той же странице buy-vpn-online не выявила изменений ни в одной из двух сумм: помесячный план — $11,95, годовой план — $47,88 с оплатой за первый год и автоматическим продлением по той же цене $47,88 без разницы между начальной и продлеваемой ценой, что соответствует фиксированной цене PIA, отмеченной в других местах каталога.

Источниками послужили собственные страницы и блог privateinternetaccess.com, два PDF-файла Deloitte с «Independent Limited Assurance Report» по ISAE 3000 (Revised) (апрель 2024 года и декабрь 2025 года; оба были открыты и прочитаны напрямую), собственный сайт Kape Technologies, материалы с источниками в Isle of Man/Companies House о выкупе Kape в 2023 году Unikmind Holdings (Teddy Sagi) и официальная организация pia-foss в GitHub для клиентов с открытым исходным кодом.

Публичная карточка дела в CourtListener по United States v. McWaters (9:16-cr-80043, S.D. Fla.) была открыта, но не называет ни одной повестки, провайдера VPN или исхода дела; материал аффилированного сайта (vpncompare.co.uk), подробно описывающий эту повестку, был исключён как запрещённый источник, а собственные материалы TorrentFreak при каждой попытке загрузки в ходе этой проверки, включая curl, возвращали HTTP 403. Теперь P03/P12 основываются на собственном заявлении PIA в отчёте о прозрачности.