Mullvad VPN против NordVPN

Почему в подсчёте восемь. Количество аудитов равно восьми, потому что проверка GotaTun не входит в собственный список репозитория приложения. До них проверка X41 D-Sec продолжительностью 30 человеко-дней на всех пяти платформах выявила шесть уязвимостей — три высокой, две средней и одну низкой степени, критических нет.

Что не охватывает ни один аудит. Ни один из этих аудитов не охватывает парк серверов: каждый из них проверяет приложение или протокол туннеля, поэтому покрытие парка записано как неприменимое, а не как выборка. Поэтому заявление об отсутствии журналов в инфраструктуре опирается на ордер на обыск от апреля 2023 года — шведская полиция пришла за данными клиентов и ушла без них, — а не на какой-либо аудит.

Воспроизводимые сборки — только Android. Воспроизводимые сборки доступны только для Android, начиная с версии 2025.2, поэтому поле остаётся частичным; сборки для настольных систем и iOS невозможно проверить побитно. Турция — единственная страна с предписанием в предложенном списке, а хостинг за ней не установлен.

О требованиях ничего не опубликовано. Ни одно утверждение в записи не опирается на то, что провайдер публикует о получаемых им требованиях: нет ни отчёта о прозрачности, ни канарейки ордеров, поэтому изъятие в апреле 2023 года является единственным основанием. Покрытие аварийного отключения и политика P2P не установлены; последний аудит — это проверка кода протокола, а не аудит отсутствия журналов, поэтому V11 не содержит данных, а хранение опирается на декларацию.

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.

Взлом дата-центра в Финляндии в 2018 году был проникновением третьей стороны, а не изъятием правоохранительными органами — он записан в P12_case_history как kind=breach, а не в P01_seizure_event. Собственное описание NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) и одновременное освещение в Bloomberg согласуются в том, что раскрытие последовало за заявлениями в Twitter внешних исследователей, а не было инициативой NordVPN, — поэтому используется third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имеют общего владельца (Nord Security), но в объявлении обеих компаний о слиянии указано, что инфраструктура и планы развития продуктов остаются раздельными; на этом основании для M18 задано значение separate.