AirVPN và Mullvad VPN

Một dữ kiện đáng chú ý về thực tiễn: các bản ghi lời khai tại tòa án liên bang Hoa Kỳ được công khai trong United States v. Klyushin (D. Mass., hồ sơ 61629108, tài liệu #183 và #217, tìm thấy qua CourtListener/RECAP) cho thấy một thiết bị ghi nhận số điện thoại phục vụ công tác thi hành pháp luật được đặt trực tiếp tại công ty lưu trữ (DediPath), không phải tại AirVPN, để giám sát IP của một máy chủ AirVPN trong khoảng tháng 1–2 năm 2020; nhân viên AirVPN, trả lời trên diễn đàn của họ, xác nhận công ty không biết hoặc không tham gia vào việc nghe lén và thiết bị phải được lắp đặt bên ngoài các hệ thống của chính AirVPN.

Việc này được ghi trong P12_case_history dưới dạng sự kiện court_order/nothing_produced, dựa trên xác nhận trên diễn đàn của chính AirVPN (không dựa trên các tệp PDF PACER, vốn trả về lỗi 403 đối với các lượt tìm nạp tự động và chỉ được đọc qua một bản tóm tắt thứ cấp).

Các chủ đề diễn đàn cho thấy điều gì. Các chủ đề diễn đàn cho thấy người dùng nhiều lần yêu cầu AirVPN cung cấp tín hiệu canary về lệnh khám xét nhưng không có xác nhận nào từ nhân viên rằng một tín hiệu như vậy tồn tại; điều này mang tính gợi ý nhưng không phải là lời phủ nhận trực tiếp, vì vậy P07 vẫn không xác định thay vì là 'none'.

Các con số không ai công bố. Do đó, số lượng yêu cầu/bàn giao dữ liệu cũng không xác định (P08, P09), và tổng số người đăng ký không bao giờ được tiết lộ (M08 không xác định) — AirVPN chỉ công bố bộ đếm trực tiếp số người dùng đang kết nối đồng thời, không công bố tổng số người dùng đã đăng ký hay người đăng ký, nên sự im lặng/thiếu thông tin thực sự có trọng lượng ở đây.

Bản dựng và kiểm thử xâm nhập. Bản dựng có thể tái lập không được ghi nhận trên trang tự dựng từ mã nguồn của AirVPN (eddie.website/support/build/), và không tìm thấy kiểm thử xâm nhập chuyên biệt nào đối với ứng dụng khách/cơ sở hạ tầng (V13, V14 không xác định). Phạm vi của công tắc ngắt kết nối và cách hoạt động của phân tách đường truyền được lấy từ một bài đánh giá của bên thứ ba thay vì tài liệu của chính AirVPN (U08, U09 ở mức độ tin cậy C) vì không thể truy cập trực tiếp các trang FAQ liên quan thông qua cơ chế định tuyến của trang (chúng được hiển thị bằng JavaScript và chỉ trả về một khung đang tải khi dùng yêu cầu fetch đơn giản).

Phạm vi đưa tin ngoài các đơn vị liên kết. Phạm vi đưa tin không chỉ giới hạn ở các đơn vị liên kết: BleepingComputer, một kênh truyền thông chính thống nằm ngoài danh sách các bên tổng hợp liên kết, đã công bố một bài đánh giá độc lập có thông báo tiết lộ liên kết riêng, thay vì chỉ xuất hiện trong các thư mục liên kết (X08=no). Bài đánh giá đó cũng nhận thấy AirVPN không hoạt động với bất kỳ dịch vụ phát trực tuyến nào mà họ thử — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — đó là lý do U12b_streaming_works hiện ghi nhận là no thay vì partial lấy nguồn từ addictivetips.com trước khi máy chủ đó bị xác định là bị cấm.

Mức giá theo năm. U04b_price_yearly=4.08 là mức giá hiệu dụng theo tháng bằng EUR của gói một năm (49 EUR/năm) trên airvpn.org/buy/, không đổi khi gia hạn như mọi gói cước của AirVPN.

Logo chữ. AirVPN chỉ cung cấp logo chữ ở dạng PNG (/static/img/logo/web_header.png, logo_horiz.png) và không có trang báo chí hay thương hiệu, nên logos/airvpn.svg được để trống theo AUDITOR.md §1 thay vì dựng lại từ ảnh raster.

Vì sao số lượng là tám. Số lượng kiểm toán là tám vì đợt rà soát GotaTun nằm ngoài danh sách riêng của kho ứng dụng. Trước các đợt này, một cuộc rà soát X41 D-Sec kéo dài 30 ngày công trên cả năm nền tảng đã phát hiện sáu lỗ hổng — ba lỗ hổng cao, hai lỗ hổng trung bình, một lỗ hổng thấp, không có lỗ hổng nghiêm trọng.

Không đợt đánh giá nào bao quát. Điều không đợt đánh giá nào trong số này bao quát là đội máy chủ: từng đợt đều kiểm tra ứng dụng hoặc giao thức đường hầm, vì vậy phạm vi bao quát đội máy chủ được ghi nhận là không áp dụng chứ không phải là một mẫu. Do đó, tuyên bố không lưu nhật ký ở phía hạ tầng dựa trên lệnh khám xét tháng 4 năm 2023 — cảnh sát Thụy Điển đến tìm dữ liệu khách hàng nhưng rời đi mà không có dữ liệu đó — chứ không dựa trên bất kỳ cuộc kiểm toán nào.

Bản dựng có thể tái lập, chỉ Android. Bản dựng có thể tái lập chỉ áp dụng cho Android, từ phiên bản 2025.2 trở đi, nên trường vẫn ở trạng thái một phần; các bản dựng cho máy tính để bàn và iOS không thể được xác minh từng bit một. Thổ Nhĩ Kỳ là quốc gia duy nhất có nghĩa vụ pháp lý trong danh sách được cung cấp và dịch vụ hosting đứng sau đó chưa được xác lập.

Không có gì được công bố về các yêu cầu. Không điều gì trong hồ sơ dựa trên bất kỳ nội dung nào nhà cung cấp công bố về các yêu cầu mà họ nhận được: không có báo cáo minh bạch và không có warrant canary, vì vậy vụ thu giữ tháng 4 năm 2023 là cơ sở duy nhất đó. Phạm vi công tắc ngắt kết nối và chính sách P2P chưa được xác lập; cuộc kiểm toán mới nhất là một đợt rà soát mã giao thức, không phải một đợt đánh giá về việc không lưu nhật ký, nên V11 không có kết luận và việc lưu giữ dữ liệu dựa vào tuyên bố.