IVPN наспрам NordVPN

Повреда безбедности дата-центра у Финској из 2018. била је упад треће стране, а не заплена од стране органа за спровођење закона — забележена је у оквиру P12_case_history као kind=breach, а не P01_seizure_event. Сопствени извештај NordVPN-а (nordvpn.com/blog/official-response-datacenter-breach/) и истовремено извештавање Bloomberg-а слажу се да је обелодањивање уследило после навода спољних истраживача на Twitter-у, а не на сопствену иницијативу NordVPN-а — отуда third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имају исту матичну компанију (Nord Security), али сопствена објава обе компаније о спајању наводи одвојену инфраструктуру и планове развоја производа; M18 је на тој основи подешен на одвојено.

Инцидент из августа 2026. У августу 2026. нападач је искористио рањивост у самостално хостованом BTCPay Server-у, пре него што је она постала јавна, и узео сопствена оперативна средства IVPN-а у Lightning-у. IVPN је објавио извештај о томе четири дана касније, без претходног подстицаја, и ограничио га на ту машину: VPN гејтвеји нису били укључени, записима корисника није приступљено и новац корисника није изгубљен.

Зашто не кошта ништа. Модел за ово не наплаћује ништа, што је и поента — оператер који то благовремено саопшти понаша се онако како је предвиђено да поље награди, а овај унос је овде да би читалац знао да се то догодило, а не да би се променио број.

Шта су ангажмани обухватили. Пенетрационо тестирање апликација (iOS, Android, Electron, демон) спроведено је у марту 2022, а преглед гејтвеја/оперативног система сервера у фебруару 2023; ниједно није тестирало саму тврдњу о непостојању евиденција, што извештај из 2023. изричито наводи, па се задржавање података заснива само на изјави у политици приватности.

Најновији извештај није релевантан. Ангажман из априла 2024, шести Cure53 ангажман са IVPN-ом, испитивао је веб-сајт корисничког налога, API и хостинг; његова страница о обиму изричито наводи да су клијентске апликације и VPN сервери изван обима, па не проширује ни доказе о апликацији ни о гејтвеју, а V03_audit_subject за њега гласи unknown, уместо да се тај кредит пренесе. Седми ангажман, о новим услугама е-поште и DNS-а, био је најављен само за мај 2025; извештај о њему није објављен.

Шта примарни сајт никада не утврђује. RAM-only је забележен као делимичан јер га IVPN описује као прелазак, при чему су тестне примене у току, и није објавио да је завршен. Власништво над серверским хардвером (изнајмљен или у власништву), измена саобраћаја на излазној тачки и лична јурисдикција стварног власника нису утврђени: ниједна примарна страница IVPN-а не наводи ниједну од те три ствари, као ни обим корисничке базе.

Три поља на која одговара база знања, а не странице првобитно прочитане при уносу. Додела IP адреса је по замисли заједничка — „crowding“ окупља кориснике на једној адреси како би отежао приписивање. P2P је дозвољен свуда, али IVPN тражи од корисника да избегавају излазне тачке у САД, наводећи притисак upstream DMCA-а. За стриминг нема гаранције, мада компанија наводи да му многи корисници ипак приступају.

Канаринац, и квартал који га је заменио. Иста страница је повукла канаринца за налоге (P07=removed) у корист кварталних извештаја о транспарентности; последњи потпуни квартал (април–јун 2026) показује 85 упита влада и 0 откривања података, па се P08/P09 односе на тај период, а не на доживотни износ.

Индија и режим тајних налога. P04=withdrew_physical је повлачење из Индије у јуну 2022. P11=none_known заснива се на изјави странице да NordVPN није примио ниједно обавезујуће писмо о националној безбедности или забрану обавештавања, као и на одсуству таквог режима у Панами.

Ниво уверења који нико не може да провери. NordVPN описује ангажман Deloitte Lithuania као ангажман са разумним уверењем према стандарду ISAE 3000 (Revised), што би био јачи облик; у извештају PIA, који се може прочитати, наводи се закључак са ограниченим уверењем.

Зашто се јачи облик не признаје. Модел сада вреднује ту разлику, а овај запис од ње нема користи: V15_assurance_strength је непознато јер је једина изјава о нивоу NordVPN-ова, о извештају који нико изван Nord Account-а не може да отвори. Документ иза пријаве овде није доказ ни на једном нивоу, па се ангажман признаје према тржишној норми, а не према нивоу за који се тврди да је достигнут.

Извештај иза пријаве. Сам извештај је читљив тек након пријављивања на Nord Account, па нико изван тог односа није проверио његов обухват, а свако поље ревизије овде почива на NordVPN-овом сопственом сажетку, а не на документу. То, а не налаз против услуге, разлог је што је овај запис најмање поткрепљен у каталогу.

Поља о власнику. M11_owner_jurisdiction и X04_owner_group_history су непозната: nordvpn.com и nordsecurity.com наводе Nord Security као власника, али ниједан не наводи сопствену јурисдикцију оснивања Nord Security-а нити било какав претходни запис о групи; секундарни медијски извештаји повезују холдинг ентитет „Cyberspace“ са Холандијом након спајања из 2022. године, али то није потврђено на примарној страници Nord Security-а или NordVPN-а у расположивом времену.