IVPN против Windscribe

Аудит, ещё не опубликованный. Восьмой ежегодный аудит Cure53 был запланирован на июль 2026 года, и отчёт за 2025 или 2026 год ещё не опубликован, поэтому датой последнего отчёта считается апрель 2024 года.

Инцидент в августе 2026 года. В августе 2026 года атакующий использовал уязвимость в самостоятельно размещённом BTCPay Server до того, как она стала публично известна, и похитил собственные операционные средства IVPN в Lightning. Четыре дня спустя IVPN без внешнего запроса опубликовала описание произошедшего и ограничила его этой машиной: шлюзы VPN не были затронуты, доступ к записям клиентов не получен, деньги клиентов не потеряны.

Почему это ничего не стоит. Модель не начисляет за это баллов, и в этом её смысл — провайдер, который оперативно об этом сообщает, действует так, как и предполагается вознаграждать в реестре, а эта запись нужна для того, чтобы читатель знал, что это произошло, а не для изменения числа.

Что охватывали эти проверки. Пентест приложений (iOS, Android, Electron, демон) проведён в марте 2022 года, а проверка шлюзов и ОС серверов — в феврале 2023 года; ни одна из них не проверяла само заявление об отсутствии журналов, что в отчёте за 2023 год указано прямо, поэтому хранение данных основывается только на заявлении в политике конфиденциальности.

Последний отчёт не является релевантным. Проверка в апреле 2024 года, шестая проверка IVPN, проведённая Cure53, охватывала веб-сайт учётной записи клиента, API и хостинг; на собственной странице с описанием объёма работ клиентские приложения и VPN-серверы названы не входящими в него, поэтому она не расширяет доказательства ни по приложениям, ни по шлюзам, а V03_audit_subject для неё имеет значение unknown, а не переносит на неё это подтверждение. О седьмой проверке, посвящённой новым сервисам электронной почты и DNS, было объявлено только на май 2025 года; отчёт о ней не опубликован.

Что основной сайт никогда не устанавливает. Использование только RAM отмечено как частично установленное, поскольку IVPN описывает его как переходный процесс с текущим тестовым развёртыванием и не объявляла о его завершении. Вопросы владения серверным оборудованием (аренда или собственность), изменения трафика на точке выхода и персональной юрисдикции бенефициарного владельца не установлены: ни на одной основной странице IVPN не указано ни одно из трёх, как не указано и число пользователей.

Три поля, на которые отвечает база знаний, а не страницы, изученные при первоначальном заполнении. Распределение IP по замыслу является общим — «скопление» объединяет пользователей на одном адресе, чтобы затруднить установление связи. P2P разрешён везде, но IVPN просит клиентов избегать точек выхода в США, ссылаясь на давление со стороны правообладателей по DMCA. Для потоковой передачи данных гарантий нет, хотя компания заявляет, что многие клиенты всё же получают к ней доступ.

Почему хранение оценивается по находке. Поэтому хранение оценивается по тому, доступность чего продемонстрировал аудитор, а не по тому, что заявляет политика, и канал целостности передаёт расхождение между этими двумя вещами. Это следует читать как находку двухлетней давности на одном узле, а не как текущее измерение: область охватывала только ca-023.windscribe.com, и именно новое исследование, охватывающее большую часть парка, позволило бы установить это.

Список, который так и не прочитали. Предоставленный список стран так и не был прочитан, поэтому ни балл удобства по странам, ни пересечение с предписанием вычислить нельзя — Windscribe публикует различие между физическими и виртуальными серверами, благодаря чему на вопрос C09b здесь можно будет ответить, как только появится список. Масштаб пользователей также не установлен, из-за чего уровень подверженности основан на меньшем объёме данных, чем должен.

Откуда теперь цитируются три события. AIN.UA по-прежнему содержит сведения об изъятых украинских серверах от 24 июня 2021 года, а в собственном блоге Windscribe — о греческом деле, прекращённом 11 апреля 2025 года. Источник сведений о нидерландском изъятии и само поле об изъятии теперь — собственная страница Windscribe об отсутствии журналов, а не оплаченная партнёрами пресса, которая сообщила об этом первой: описание компанией собственного изъятия является первичным источником, а не чьим-то описанием чужого изъятия. Датой украинского события считается само изъятие, а не публикация о нём.