IVPN наспрам Surfshark

Инцидент из августа 2026. У августу 2026. нападач је искористио рањивост у самостално хостованом BTCPay Server-у, пре него што је она постала јавна, и узео сопствена оперативна средства IVPN-а у Lightning-у. IVPN је објавио извештај о томе четири дана касније, без претходног подстицаја, и ограничио га на ту машину: VPN гејтвеји нису били укључени, записима корисника није приступљено и новац корисника није изгубљен.

Зашто не кошта ништа. Модел за ово не наплаћује ништа, што је и поента — оператер који то благовремено саопшти понаша се онако како је предвиђено да поље награди, а овај унос је овде да би читалац знао да се то догодило, а не да би се променио број.

Шта су ангажмани обухватили. Пенетрационо тестирање апликација (iOS, Android, Electron, демон) спроведено је у марту 2022, а преглед гејтвеја/оперативног система сервера у фебруару 2023; ниједно није тестирало саму тврдњу о непостојању евиденција, што извештај из 2023. изричито наводи, па се задржавање података заснива само на изјави у политици приватности.

Најновији извештај није релевантан. Ангажман из априла 2024, шести Cure53 ангажман са IVPN-ом, испитивао је веб-сајт корисничког налога, API и хостинг; његова страница о обиму изричито наводи да су клијентске апликације и VPN сервери изван обима, па не проширује ни доказе о апликацији ни о гејтвеју, а V03_audit_subject за њега гласи unknown, уместо да се тај кредит пренесе. Седми ангажман, о новим услугама е-поште и DNS-а, био је најављен само за мај 2025; извештај о њему није објављен.

Шта примарни сајт никада не утврђује. RAM-only је забележен као делимичан јер га IVPN описује као прелазак, при чему су тестне примене у току, и није објавио да је завршен. Власништво над серверским хардвером (изнајмљен или у власништву), измена саобраћаја на излазној тачки и лична јурисдикција стварног власника нису утврђени: ниједна примарна страница IVPN-а не наводи ниједну од те три ствари, као ни обим корисничке базе.

Три поља на која одговара база знања, а не странице првобитно прочитане при уносу. Додела IP адреса је по замисли заједничка — „crowding“ окупља кориснике на једној адреси како би отежао приписивање. P2P је дозвољен свуда, али IVPN тражи од корисника да избегавају излазне тачке у САД, наводећи притисак upstream DMCA-а. За стриминг нема гаранције, мада компанија наводи да му многи корисници ипак приступају.

Индија и режим тајних налога. P04_mandate_response=withdrew_physical односи се на излазак из Индије у јуну 2022, потврђен на основу сопственог блога Surfshark-а (surfshark.com/blog/surfshark-servers-certin-india), након што је ранија провера утврдила да страница /trust-center то више није садржала. P11=judicial_only заснива се на извештају о транспарентности, који приказује налог Amsterdam District Court-а из априла 2026. и бројаче за National-Security-letter и забрану обавештавања на нули.

Пронађена су два извештаја, можда не сви. Пронађена су само два објављена Deloitte извештаја о непостојању евидентирања података (децембар 2022, јун 2025); можда постоје и други који нису повезани из robots.txt, а ова ревизија их није тражила другим средствима.

Ovaj zapis je ranije čitan na dva načina — connection_timestamps u V11 prema formulaciji revizije, source_ip u C01 prema formulaciji politike — i ocenjen prema lošijem od ta dva, zbog čega je petnaestominutni bafer koštao više nego potpuno prećutkivanje: prazno polje u C01 ima tržišni prethodni rezultat 0,550, a source_ip 0,750.

R29 sada povlači granicu: stanje obrisano u deklarisanom roku vezanom za kraj sesije jeste veza, a ne zapis o njoj, pa oba polja u istoj rečenici glase connection_timestamps. Ono što se i dalje računa jeste ono što nadživi sesiju — datum poslednje prijave u odeljku 2.3.1 politike i oznake vremena veza koje revizor navodi.

Surfshark i NordVPN imaju istu vlasničku grupu (Nord Security, od 2022), ali Surfshark-ova sopstvena stranica „o nama“ navodi da su se brendovi spojili „while operating independently“, sa odvojenom infrastrukturom — M18 je na toj osnovi postavljen na separate, u skladu sa zapisom nordvpn.com.

U12a je partial, a ne yes, u sopstvenoj P2P koloni tabele servera: 88 od 100 navedenih zemalja je ima, a dvanaest nema (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolona se iscrtava na strani klijenta, pa je očitana iz prikazane tabele, a ne iz statičkog HTML-a, gde svaki red nosi svaku oznaku.

Izveštaj o transparentnosti na /transparency-report — na koji /warrant-canary sada preusmerava — sadrži tromesečje april–jun 2026. kao tabelu: 374.719 DMCA obaveštenja, 33 upita državnih institucija, 1 nalog, 0 pisama o nacionalnoj bezbednosti i 0 zabrana obaveštavanja. P08 broji 34 pravna zahteva i izostavlja DMCA obaveštenja: to su pritužbe zbog autorskih prava u vezi sa saobraćajem, a ne zahtevi za podatke o korisniku.