IVPN - Mullvad VPN

Ağustos 2026 olayı. Ağustos 2026'da bir saldırgan, kamuya açıklanmadan önce kendi barındırdığı BTCPay Server'daki bir güvenlik açığından yararlandı ve IVPN'nin kendi Lightning işletme fonlarını aldı. IVPN olayı dört gün sonra, kendisinden istenmeden yayımladı ve kapsamını o makineyle sınırladı: VPN ağ geçitleri olaya dahil değildi, hiçbir müşteri kaydına erişilmedi ve hiçbir müşteri parası kaybedilmedi.

Neden hiçbir ücrete mal olmuyor. Model bunun için hiçbir ücret talep etmiyor; mesele de bu — bunu derhal söyleyen bir operatör, alanın ödüllendirmesi amaçlanan şekilde davranıyor ve kayıt burada bir sayıyı değiştirmek için değil, bir okuyucunun bunun gerçekleştiğini bilmesi için yer alıyor.

Çalışmaların kapsadığı şeyler. Uygulama sızma testi (iOS, Android, Electron, daemon) Mart 2022'den, ağ geçidi/sunucu işletim sistemi incelemesi ise Şubat 2023'ten; 2023 raporu bunu açıkça belirttiği için ikisi de kayıt tutmama beyanının kendisini test etmedi ve saklama yalnızca gizlilik politikası beyanına dayanıyor.

En son rapor ilgili rapor değil. Nisan 2024'teki denetim çalışması, Cure53'nin IVPN ile altıncı çalışması olarak müşteri hesabı web sitesini, API'yi ve barındırmayı test etti; çalışmanın kendi kapsam sayfası istemci uygulamalarını ve VPN sunucularını kapsam dışında olarak adlandırıyor. Bu nedenle ne uygulama ne de ağ geçidi kanıtını genişletiyor ve V03_audit_subject bu rapor için krediyi ileri taşımak yerine unknown olarak okunuyor. Yeni e-posta ve DNS hizmetleri üzerindeki yedinci çalışma yalnızca Mayıs 2025 için duyuruldu; buna ait bir rapor yayımlanmış değil.

Birincil sitenin hiçbir zaman kanıtlamadığı şeyler. Yalnızca RAM kullanımı kısmi olarak kaydediliyor; çünkü IVPN bunu, test dağıtımları sürmekte olan bir geçiş olarak tanımlıyor ve tamamlandığını duyurmuş değil. Sunucu donanımının mülkiyeti (kiralanmış mı, sahip olunan mı), çıkışta trafiğin değiştirilmesi ve lehdarın kişisel yargı yetkisi kanıtlanmış değil: birincil IVPN sayfalarının hiçbirinde bu üçünün hiçbiri belirtilmiyor; kullanıcı tabanının ölçeği de belirtilmiyor.

İlk doldurmada okunan sayfaların değil, bilgi tabanının yanıtladığı üç alan. IP tahsisi tasarım gereği paylaşımlı — "crowding", ilişkilendirmeyi zorlaştırmak için kullanıcıları tek bir adreste topluyor. P2P her yerde izinli, ancak IVPN müşterilerden üst sağlayıcıdan gelen DMCA baskısını gerekçe göstererek ABD çıkışlarından kaçınmalarını istiyor. Akış için hiçbir garanti verilmiyor, ancak şirket birçok müşterinin buna erişebildiğini söylüyor.

Sayının neden sekiz olduğu. Denetim sayısı sekiz, çünkü GotaTun incelemesi uygulama deposunun kendi listesinin dışında yer alıyor. Bunlardan önce, beş platformun tamamını kapsayan 30 kişi-günlük bir X41 D-Sec incelemesinde altı güvenlik açığı bulundu — üç yüksek, iki orta, bir düşük düzeyli; kritik yok.

Hiçbir çalışmanın kapsamadığı şey. Bu çalışmaların hiçbiri sunucu filosunu kapsamıyor: her biri uygulamayı veya tünel protokolünü inceliyor; bu nedenle filo kapsamı bir örneklem olarak değil, uygulanamaz olarak kaydediliyor. Altyapı tarafındaki kayıt tutmama beyanı bu yüzden herhangi bir denetime değil, Nisan 2023 tarihli arama emrine dayanıyor — İsveç polisi müşteri verileri için geldi ve bunlar olmadan ayrıldı.

Yalnızca Android'de yeniden üretilebilir derlemeler. Yeniden üretilebilir derlemeler 2025.2 sürümünden itibaren yalnızca Android'de mevcut, bu nedenle alan kısmi kalıyor; masaüstü ve iOS derlemeleri bit düzeyinde doğrulanamıyor. Türkiye, sunulan listedeki tek yükümlülük ülkesi ve arkasındaki barındırma hizmeti kanıtlanmış değil.

Talepler hakkında yayımlanmış hiçbir şey yok. Kayıttaki hiçbir şey, sağlayıcının aldığı talepler hakkında yayımladığı herhangi bir şeye dayanmıyor: şeffaflık raporu ve ifşa yasağı uyarısı yok, dolayısıyla Nisan 2023 tarihli el koyma tek başına bu dayanağı oluşturuyor. Kill-switch kapsamı ve P2P politikası kanıtlanmış değil; en son denetim kayıt tutmama çalışması değil, bir protokol kod incelemesi, bu nedenle V11 sessiz kalıyor ve saklama beyana dayanıyor.