IVPN против Surfshark

Аудит, ещё не опубликованный. Восьмой ежегодный аудит Cure53 был запланирован на июль 2026 года, и отчёт за 2025 или 2026 год ещё не опубликован, поэтому датой последнего отчёта считается апрель 2024 года.

Инцидент в августе 2026 года. В августе 2026 года атакующий использовал уязвимость в самостоятельно размещённом BTCPay Server до того, как она стала публично известна, и похитил собственные операционные средства IVPN в Lightning. Четыре дня спустя IVPN без внешнего запроса опубликовала описание произошедшего и ограничила его этой машиной: шлюзы VPN не были затронуты, доступ к записям клиентов не получен, деньги клиентов не потеряны.

Почему это ничего не стоит. Модель не начисляет за это баллов, и в этом её смысл — провайдер, который оперативно об этом сообщает, действует так, как и предполагается вознаграждать в реестре, а эта запись нужна для того, чтобы читатель знал, что это произошло, а не для изменения числа.

Что охватывали эти проверки. Пентест приложений (iOS, Android, Electron, демон) проведён в марте 2022 года, а проверка шлюзов и ОС серверов — в феврале 2023 года; ни одна из них не проверяла само заявление об отсутствии журналов, что в отчёте за 2023 год указано прямо, поэтому хранение данных основывается только на заявлении в политике конфиденциальности.

Последний отчёт не является релевантным. Проверка в апреле 2024 года, шестая проверка IVPN, проведённая Cure53, охватывала веб-сайт учётной записи клиента, API и хостинг; на собственной странице с описанием объёма работ клиентские приложения и VPN-серверы названы не входящими в него, поэтому она не расширяет доказательства ни по приложениям, ни по шлюзам, а V03_audit_subject для неё имеет значение unknown, а не переносит на неё это подтверждение. О седьмой проверке, посвящённой новым сервисам электронной почты и DNS, было объявлено только на май 2025 года; отчёт о ней не опубликован.

Что основной сайт никогда не устанавливает. Использование только RAM отмечено как частично установленное, поскольку IVPN описывает его как переходный процесс с текущим тестовым развёртыванием и не объявляла о его завершении. Вопросы владения серверным оборудованием (аренда или собственность), изменения трафика на точке выхода и персональной юрисдикции бенефициарного владельца не установлены: ни на одной основной странице IVPN не указано ни одно из трёх, как не указано и число пользователей.

Три поля, на которые отвечает база знаний, а не страницы, изученные при первоначальном заполнении. Распределение IP по замыслу является общим — «скопление» объединяет пользователей на одном адресе, чтобы затруднить установление связи. P2P разрешён везде, но IVPN просит клиентов избегать точек выхода в США, ссылаясь на давление со стороны правообладателей по DMCA. Для потоковой передачи данных гарантий нет, хотя компания заявляет, что многие клиенты всё же получают к ней доступ.

Индия и режим секретных предписаний. P04_mandate_response=withdrew_physical — это уход из Индии в июне 2022 года, восстановленный по собственной публикации Surfshark (surfshark.com/blog/surfshark-servers-certin-india), после того как предыдущая проверка обнаружила, что на странице /trust-center это больше не указано. P11=judicial_only основан на отчёте о прозрачности, где число ордеров Amsterdam District Court за апрель 2026 года и ответов на письма о национальной безопасности и запреты на разглашение равно нулю.

Найдены два отчёта, возможно, не все. Опубликованными были найдены только два отчёта Deloitte об отсутствии журналов (декабрь 2022 года, июнь 2025 года); могут существовать и другие, не связанные из robots.txt, поиск которых другими способами этот аудит не проводил.

Эта запись ранее была прочитана дважды — connection_timestamps в V11 по формулировке аудита и source_ip в C01 по формулировке политики — и оценена по худшему из двух вариантов, из-за чего пятнадцатиминутный буфер стоил больше, чем отсутствие утверждения: пропуск в C01 даёт рыночное априорное значение 0,550, а source_ip — 0,750.

R29 теперь проводит границу: если указано, что данные удаляются в заявленный срок, связанный с окончанием сеанса, речь идёт о подключении, а не о записи о нём, поэтому оба поля в этом же предложении читаются как connection_timestamps. По-прежнему учитывается то, что переживает сеанс: дата последнего входа в разделе 2.3.1 политики и временные метки подключений, названные аудитором.

Surfshark и NordVPN имеют общего владельца (Nord Security, с 2022 года), но на собственной странице Surfshark о компании указано, что бренды объединились «при независимой работе» с отдельной инфраструктурой — поэтому для M18 установлено разделение, как и в записи nordvpn.com.

Для U12a установлено частичное значение, а не «да», по собственной колонке P2P в таблице серверов: у 88 из 100 перечисленных стран есть эта пометка, а у двенадцати её нет (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Колонка формируется на стороне клиента, поэтому её прочитали в отображённой таблице, а не в статическом HTML, где каждая строка содержит все метки.

В отчёте о прозрачности по адресу /transparency-report — куда теперь перенаправляет /warrant-canary — квартал за апрель—июнь 2026 года представлен в виде таблицы: 374 719 уведомлений DMCA, 33 запроса от государственных учреждений, 1 предписание, 0 писем о национальной безопасности и 0 запретов на разглашение. P08 учитывает 34 правовых запроса и не учитывает уведомления DMCA: это жалобы на нарушение авторских прав в связи с трафиком, а не запросы данных пользователя.

На той же странице указано, что Surfshark отказывается от уведомления о предписаниях в пользу ежеквартальной отчётности, поэтому P07 удалено, а не отмечено как отсутствующее: уведомление существовало и было намеренно отозвано.

U07_protocols содержит значение proprietary для Dausos со слов самого Surfshark — на странице протокола Dausos назван «собственным протоколом Surfshark», но источник для него не опубликован — и именно это единственное значение определяет C13_weakest_protocol и следующую за ним надбавку за гигиену. IKEv2 сохранён, поскольку Surfshark по-прежнему документирует его, хотя в собственном блоге зафиксировано удаление из приложения для Windows; Shadowsocks исчез из указателя поддержки и не перечисляется.