IVPN наспрам RiseupVPN

Инцидент из августа 2026. У августу 2026. нападач је искористио рањивост у самостално хостованом BTCPay Server-у, пре него што је она постала јавна, и узео сопствена оперативна средства IVPN-а у Lightning-у. IVPN је објавио извештај о томе четири дана касније, без претходног подстицаја, и ограничио га на ту машину: VPN гејтвеји нису били укључени, записима корисника није приступљено и новац корисника није изгубљен.

Зашто не кошта ништа. Модел за ово не наплаћује ништа, што је и поента — оператер који то благовремено саопшти понаша се онако како је предвиђено да поље награди, а овај унос је овде да би читалац знао да се то догодило, а не да би се променио број.

Шта су ангажмани обухватили. Пенетрационо тестирање апликација (iOS, Android, Electron, демон) спроведено је у марту 2022, а преглед гејтвеја/оперативног система сервера у фебруару 2023; ниједно није тестирало саму тврдњу о непостојању евиденција, што извештај из 2023. изричито наводи, па се задржавање података заснива само на изјави у политици приватности.

Најновији извештај није релевантан. Ангажман из априла 2024, шести Cure53 ангажман са IVPN-ом, испитивао је веб-сајт корисничког налога, API и хостинг; његова страница о обиму изричито наводи да су клијентске апликације и VPN сервери изван обима, па не проширује ни доказе о апликацији ни о гејтвеју, а V03_audit_subject за њега гласи unknown, уместо да се тај кредит пренесе. Седми ангажман, о новим услугама е-поште и DNS-а, био је најављен само за мај 2025; извештај о њему није објављен.

Шта примарни сајт никада не утврђује. RAM-only је забележен као делимичан јер га IVPN описује као прелазак, при чему су тестне примене у току, и није објавио да је завршен. Власништво над серверским хардвером (изнајмљен или у власништву), измена саобраћаја на излазној тачки и лична јурисдикција стварног власника нису утврђени: ниједна примарна страница IVPN-а не наводи ниједну од те три ствари, као ни обим корисничке базе.

Три поља на која одговара база знања, а не странице првобитно прочитане при уносу. Додела IP адреса је по замисли заједничка — „crowding“ окупља кориснике на једној адреси како би отежао приписивање. P2P је дозвољен свуда, али IVPN тражи од корисника да избегавају излазне тачке у САД, наводећи притисак upstream DMCA-а. За стриминг нема гаранције, мада компанија наводи да му многи корисници ипак приступају.

Неколико поља употребљивости уопште нема документацију за читање. Подељено тунеловање, ограничења броја истовремених уређаја, политика за P2P и приступ стриминг-садржају нису обрађени ни на једној пронађеној страници RiseupVPN-а током ове сесије, а прекидач везе потврђен је само за десктоп клијент у системској палети, не и за Android.

Jedina nezavisna revizija jeste pentest klijenta/infrastrukture, a ne revizija евидентирања. Извештај SRLabs-а из 2025. испитао је Bitmask и регистратор моста Menshen у погледу ризика од пресретања и DPI-ја; у њему се никада није поставило питање шта VPN сервери задржавају, па је V11_audit_findings not_stated, а тврдња о задржавању података у C01 почива само на сопственој речи компаније Riseup.

Често навођена заплена из 2012. године против Riseup-а није обухватила податке самог Riseup-а. Савезни агенти САД узели су сервер из објекта за колокацију који је Riseup делио са May First/People Link, али су машина и њени подаци припадали трећем закупцу (European Counter Network); на њему није било ниједног Riseup налога нити корисничких података, због чега P01_seizure_event има вредност none_known, уместо да се приписује догађај којем се Riseup никада није морао супротстављати.