IVPN наспрам Mullvad VPN

Инцидент из августа 2026. У августу 2026. нападач је искористио рањивост у самостално хостованом BTCPay Server-у, пре него што је она постала јавна, и узео сопствена оперативна средства IVPN-а у Lightning-у. IVPN је објавио извештај о томе четири дана касније, без претходног подстицаја, и ограничио га на ту машину: VPN гејтвеји нису били укључени, записима корисника није приступљено и новац корисника није изгубљен.

Зашто не кошта ништа. Модел за ово не наплаћује ништа, што је и поента — оператер који то благовремено саопшти понаша се онако како је предвиђено да поље награди, а овај унос је овде да би читалац знао да се то догодило, а не да би се променио број.

Шта су ангажмани обухватили. Пенетрационо тестирање апликација (iOS, Android, Electron, демон) спроведено је у марту 2022, а преглед гејтвеја/оперативног система сервера у фебруару 2023; ниједно није тестирало саму тврдњу о непостојању евиденција, што извештај из 2023. изричито наводи, па се задржавање података заснива само на изјави у политици приватности.

Најновији извештај није релевантан. Ангажман из априла 2024, шести Cure53 ангажман са IVPN-ом, испитивао је веб-сајт корисничког налога, API и хостинг; његова страница о обиму изричито наводи да су клијентске апликације и VPN сервери изван обима, па не проширује ни доказе о апликацији ни о гејтвеју, а V03_audit_subject за њега гласи unknown, уместо да се тај кредит пренесе. Седми ангажман, о новим услугама е-поште и DNS-а, био је најављен само за мај 2025; извештај о њему није објављен.

Шта примарни сајт никада не утврђује. RAM-only је забележен као делимичан јер га IVPN описује као прелазак, при чему су тестне примене у току, и није објавио да је завршен. Власништво над серверским хардвером (изнајмљен или у власништву), измена саобраћаја на излазној тачки и лична јурисдикција стварног власника нису утврђени: ниједна примарна страница IVPN-а не наводи ниједну од те три ствари, као ни обим корисничке базе.

Три поља на која одговара база знања, а не странице првобитно прочитане при уносу. Додела IP адреса је по замисли заједничка — „crowding“ окупља кориснике на једној адреси како би отежао приписивање. P2P је дозвољен свуда, али IVPN тражи од корисника да избегавају излазне тачке у САД, наводећи притисак upstream DMCA-а. За стриминг нема гаранције, мада компанија наводи да му многи корисници ипак приступају.

Зашто број износи осам. Број ревизија износи осам јер се преглед GotaTun-а налази изван сопствене листе репозиторијума апликације. Пре њих, 30 човек-дана X41 D-Sec прегледа на свих пет платформи утврдило је шест рањивости — три високе, две средње, једну ниску, без критичних.

Шта ниједан ангажман не обухвата. Ниједан од ових ангажмана не обухвата флоту сервера: сваки од њих испитује апликацију или протокол тунела, због чега се покривеност флоте бележи као није применљиво, а не као узорак. Тврдња о непостојању евиденција на инфраструктурној страни зато се ослања на налог за претрес из априла 2023. — шведска полиција је дошла по податке о корисницима и отишла без њих — а не на било коју ревизију.

Репродуцибилне компилације, само за Android. Репродуцибилне компилације постоје само за Android, почев од верзије 2025.2, па поље остаје делимично; desktop и iOS компилације не могу се проверити бит по бит. Турска је једина земља са мандатом на понуђеној листи, а хостинг који стоји иза ње није утврђен.

Ништа објављено о захтевима. Ништа у запису не ослања се на било шта што провајдер објављује о захтевима које прима: нема извештаја о транспарентности нити канаринца за налоге, па заплена из априла 2023. представља једини основ. Покривеност прекидачем везе и политика P2P нису утврђене; најновија ревизија је преглед кода протокола, а не ангажман о непостојању евиденција, па V11 не износи закључак, а задржавање података ослања се на изјаву.