AirVPN và NordVPN

Một dữ kiện đáng chú ý về thực tiễn: các bản ghi lời khai tại tòa án liên bang Hoa Kỳ được công khai trong United States v. Klyushin (D. Mass., hồ sơ 61629108, tài liệu #183 và #217, tìm thấy qua CourtListener/RECAP) cho thấy một thiết bị ghi nhận số điện thoại phục vụ công tác thi hành pháp luật được đặt trực tiếp tại công ty lưu trữ (DediPath), không phải tại AirVPN, để giám sát IP của một máy chủ AirVPN trong khoảng tháng 1–2 năm 2020; nhân viên AirVPN, trả lời trên diễn đàn của họ, xác nhận công ty không biết hoặc không tham gia vào việc nghe lén và thiết bị phải được lắp đặt bên ngoài các hệ thống của chính AirVPN.

Việc này được ghi trong P12_case_history dưới dạng sự kiện court_order/nothing_produced, dựa trên xác nhận trên diễn đàn của chính AirVPN (không dựa trên các tệp PDF PACER, vốn trả về lỗi 403 đối với các lượt tìm nạp tự động và chỉ được đọc qua một bản tóm tắt thứ cấp).

Vụ xâm nhập trung tâm dữ liệu tại Phần Lan năm 2018 là một vụ xâm nhập do bên thứ ba thực hiện, không phải vụ cơ quan thực thi pháp luật thu giữ — được ghi dưới P12_case_history với kind=breach, không phải P01_seizure_event. Bản tường thuật của chính NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) và bài đưa tin đương thời của Bloomberg thống nhất rằng việc công bố xảy ra sau các cáo buộc trên Twitter của các nhà nghiên cứu bên ngoài, không phải do NordVPN chủ động — do đó là third_party_disclosed thay vì self_disclosed_late.

NordVPN và Surfshark có cùng một chủ sở hữu cấp trên (Nord Security), nhưng thông báo sáp nhập của chính hai công ty nêu rõ cơ sở hạ tầng và lộ trình sản phẩm riêng biệt; trên cơ sở đó, M18 được đặt là tách biệt.

Các chủ đề diễn đàn cho thấy điều gì. Các chủ đề diễn đàn cho thấy người dùng nhiều lần yêu cầu AirVPN cung cấp tín hiệu canary về lệnh khám xét nhưng không có xác nhận nào từ nhân viên rằng một tín hiệu như vậy tồn tại; điều này mang tính gợi ý nhưng không phải là lời phủ nhận trực tiếp, vì vậy P07 vẫn không xác định thay vì là 'none'.

Các con số không ai công bố. Do đó, số lượng yêu cầu/bàn giao dữ liệu cũng không xác định (P08, P09), và tổng số người đăng ký không bao giờ được tiết lộ (M08 không xác định) — AirVPN chỉ công bố bộ đếm trực tiếp số người dùng đang kết nối đồng thời, không công bố tổng số người dùng đã đăng ký hay người đăng ký, nên sự im lặng/thiếu thông tin thực sự có trọng lượng ở đây.

Bản dựng và kiểm thử xâm nhập. Bản dựng có thể tái lập không được ghi nhận trên trang tự dựng từ mã nguồn của AirVPN (eddie.website/support/build/), và không tìm thấy kiểm thử xâm nhập chuyên biệt nào đối với ứng dụng khách/cơ sở hạ tầng (V13, V14 không xác định). Phạm vi của công tắc ngắt kết nối và cách hoạt động của phân tách đường truyền được lấy từ một bài đánh giá của bên thứ ba thay vì tài liệu của chính AirVPN (U08, U09 ở mức độ tin cậy C) vì không thể truy cập trực tiếp các trang FAQ liên quan thông qua cơ chế định tuyến của trang (chúng được hiển thị bằng JavaScript và chỉ trả về một khung đang tải khi dùng yêu cầu fetch đơn giản).

Phạm vi đưa tin ngoài các đơn vị liên kết. Phạm vi đưa tin không chỉ giới hạn ở các đơn vị liên kết: BleepingComputer, một kênh truyền thông chính thống nằm ngoài danh sách các bên tổng hợp liên kết, đã công bố một bài đánh giá độc lập có thông báo tiết lộ liên kết riêng, thay vì chỉ xuất hiện trong các thư mục liên kết (X08=no). Bài đánh giá đó cũng nhận thấy AirVPN không hoạt động với bất kỳ dịch vụ phát trực tuyến nào mà họ thử — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — đó là lý do U12b_streaming_works hiện ghi nhận là no thay vì partial lấy nguồn từ addictivetips.com trước khi máy chủ đó bị xác định là bị cấm.

Mức giá theo năm. U04b_price_yearly=4.08 là mức giá hiệu dụng theo tháng bằng EUR của gói một năm (49 EUR/năm) trên airvpn.org/buy/, không đổi khi gia hạn như mọi gói cước của AirVPN.

Logo chữ. AirVPN chỉ cung cấp logo chữ ở dạng PNG (/static/img/logo/web_header.png, logo_horiz.png) và không có trang báo chí hay thương hiệu, nên logos/airvpn.svg được để trống theo AUDITOR.md §1 thay vì dựng lại từ ảnh raster.

Canary, và quý thay thế nó. Chính trang đó đã ngừng sử dụng warrant canary (P07=removed) để chuyển sang các báo cáo minh bạch theo quý; quý gần nhất đã hoàn tất (tháng 4–6 năm 2026) cho thấy 85 yêu cầu của chính phủ và 0 lần tiết lộ, vì vậy P08/P09 là của giai đoạn đó, không phải con số trong toàn bộ hồ sơ.

Ấn Độ, và chế độ lệnh bí mật. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022. P11=none_known dựa trên tuyên bố trên trang rằng NordVPN chưa nhận được thư National Security hoặc lệnh bí mật nào có tính ràng buộc, cùng với việc Panama không có chế độ như vậy.

Một mức đảm bảo không ai có thể kiểm tra. NordVPN mô tả hợp đồng của Deloitte Lithuania là một hợp đồng đảm bảo hợp lý theo ISAE 3000 (Revised), vốn sẽ là hình thức mạnh hơn; báo cáo của PIA, có thể đọc được, nêu kết luận đảm bảo hạn chế.

Vì sao dạng mạnh hơn không được tính điểm. Mô hình hiện tính đến chênh lệch đó, còn hồ sơ này không được hưởng lợi từ điều đó: V15_assurance_strength không xác định vì tuyên bố duy nhất về cấp độ là tuyên bố của NordVPN, về một báo cáo mà không ai bên ngoài Nord Account có thể mở. Một tài liệu yêu cầu đăng nhập không được xem là bằng chứng ở bất kỳ cấp độ nào tại đây, nên cuộc kiểm toán được tính ở mức thông lệ thị trường thay vì ở cấp độ được cho là đã đạt được.

Một báo cáo yêu cầu đăng nhập. Bản thân báo cáo chỉ có thể đọc được sau khi đăng nhập vào Nord Account, nên không ai bên ngoài mối quan hệ đó đã kiểm tra phạm vi của báo cáo, và mọi trường kiểm toán ở đây đều dựa trên bản tóm tắt của chính NordVPN thay vì dựa trên tài liệu. Điều đó, chứ không phải một phát hiện bất lợi cho dịch vụ, là lý do hồ sơ này sơ sài nhất trong danh mục.

Các trường về chủ sở hữu.