CactusVPN наспрам IVPN

Идентификатори на нивоу апликације и изјаве продавница. C07a, C12 и X12 остају непознати: током ове сесије није прочитан образац о безбедности података у Play Store-у нити ознака о приватности компаније Apple, а ревизија Securitum обухватила је конфигурацију на страни сервера и руковање DNS-ом/саобраћајем у whitebox опсегу, а не оно што мобилни клијенти или клијенти проширења самостално шаљу продавницама апликација или SDK-овима за аналитику.

Транспарентност и canary. Ниједна путања /transparency, /transparency-report, /warrant-canary или /canary не разрешава се на сајту, а ниједна таква страница није пронађена у мапи сајта; то је одсуство утврђено претрагом, а не поткрепљено „none“, па оба поља остају непозната уместо да буду означена као none.

Инцидент из августа 2026. У августу 2026. нападач је искористио рањивост у самостално хостованом BTCPay Server-у, пре него што је она постала јавна, и узео сопствена оперативна средства IVPN-а у Lightning-у. IVPN је објавио извештај о томе четири дана касније, без претходног подстицаја, и ограничио га на ту машину: VPN гејтвеји нису били укључени, записима корисника није приступљено и новац корисника није изгубљен.

Зашто не кошта ништа. Модел за ово не наплаћује ништа, што је и поента — оператер који то благовремено саопшти понаша се онако како је предвиђено да поље награди, а овај унос је овде да би читалац знао да се то догодило, а не да би се променио број.

Шта су ангажмани обухватили. Пенетрационо тестирање апликација (iOS, Android, Electron, демон) спроведено је у марту 2022, а преглед гејтвеја/оперативног система сервера у фебруару 2023; ниједно није тестирало саму тврдњу о непостојању евиденција, што извештај из 2023. изричито наводи, па се задржавање података заснива само на изјави у политици приватности.

Најновији извештај није релевантан. Ангажман из априла 2024, шести Cure53 ангажман са IVPN-ом, испитивао је веб-сајт корисничког налога, API и хостинг; његова страница о обиму изричито наводи да су клијентске апликације и VPN сервери изван обима, па не проширује ни доказе о апликацији ни о гејтвеју, а V03_audit_subject за њега гласи unknown, уместо да се тај кредит пренесе. Седми ангажман, о новим услугама е-поште и DNS-а, био је најављен само за мај 2025; извештај о њему није објављен.

Шта примарни сајт никада не утврђује. RAM-only је забележен као делимичан јер га IVPN описује као прелазак, при чему су тестне примене у току, и није објавио да је завршен. Власништво над серверским хардвером (изнајмљен или у власништву), измена саобраћаја на излазној тачки и лична јурисдикција стварног власника нису утврђени: ниједна примарна страница IVPN-а не наводи ниједну од те три ствари, као ни обим корисничке базе.

Три поља на која одговара база знања, а не странице првобитно прочитане при уносу. Додела IP адреса је по замисли заједничка — „crowding“ окупља кориснике на једној адреси како би отежао приписивање. P2P је дозвољен свуда, али IVPN тражи од корисника да избегавају излазне тачке у САД, наводећи притисак upstream DMCA-а. За стриминг нема гаранције, мада компанија наводи да му многи корисници ипак приступају.