AirVPN và Proton VPN

Một dữ kiện đáng chú ý về thực tiễn: các bản ghi lời khai tại tòa án liên bang Hoa Kỳ được công khai trong United States v. Klyushin (D. Mass., hồ sơ 61629108, tài liệu #183 và #217, tìm thấy qua CourtListener/RECAP) cho thấy một thiết bị ghi nhận số điện thoại phục vụ công tác thi hành pháp luật được đặt trực tiếp tại công ty lưu trữ (DediPath), không phải tại AirVPN, để giám sát IP của một máy chủ AirVPN trong khoảng tháng 1–2 năm 2020; nhân viên AirVPN, trả lời trên diễn đàn của họ, xác nhận công ty không biết hoặc không tham gia vào việc nghe lén và thiết bị phải được lắp đặt bên ngoài các hệ thống của chính AirVPN.

Việc này được ghi trong P12_case_history dưới dạng sự kiện court_order/nothing_produced, dựa trên xác nhận trên diễn đàn của chính AirVPN (không dựa trên các tệp PDF PACER, vốn trả về lỗi 403 đối với các lượt tìm nạp tự động và chỉ được đọc qua một bản tóm tắt thứ cấp).

Các chủ đề diễn đàn cho thấy điều gì. Các chủ đề diễn đàn cho thấy người dùng nhiều lần yêu cầu AirVPN cung cấp tín hiệu canary về lệnh khám xét nhưng không có xác nhận nào từ nhân viên rằng một tín hiệu như vậy tồn tại; điều này mang tính gợi ý nhưng không phải là lời phủ nhận trực tiếp, vì vậy P07 vẫn không xác định thay vì là 'none'.

Các con số không ai công bố. Do đó, số lượng yêu cầu/bàn giao dữ liệu cũng không xác định (P08, P09), và tổng số người đăng ký không bao giờ được tiết lộ (M08 không xác định) — AirVPN chỉ công bố bộ đếm trực tiếp số người dùng đang kết nối đồng thời, không công bố tổng số người dùng đã đăng ký hay người đăng ký, nên sự im lặng/thiếu thông tin thực sự có trọng lượng ở đây.

Bản dựng và kiểm thử xâm nhập. Bản dựng có thể tái lập không được ghi nhận trên trang tự dựng từ mã nguồn của AirVPN (eddie.website/support/build/), và không tìm thấy kiểm thử xâm nhập chuyên biệt nào đối với ứng dụng khách/cơ sở hạ tầng (V13, V14 không xác định). Phạm vi của công tắc ngắt kết nối và cách hoạt động của phân tách đường truyền được lấy từ một bài đánh giá của bên thứ ba thay vì tài liệu của chính AirVPN (U08, U09 ở mức độ tin cậy C) vì không thể truy cập trực tiếp các trang FAQ liên quan thông qua cơ chế định tuyến của trang (chúng được hiển thị bằng JavaScript và chỉ trả về một khung đang tải khi dùng yêu cầu fetch đơn giản).

Phạm vi đưa tin ngoài các đơn vị liên kết. Phạm vi đưa tin không chỉ giới hạn ở các đơn vị liên kết: BleepingComputer, một kênh truyền thông chính thống nằm ngoài danh sách các bên tổng hợp liên kết, đã công bố một bài đánh giá độc lập có thông báo tiết lộ liên kết riêng, thay vì chỉ xuất hiện trong các thư mục liên kết (X08=no). Bài đánh giá đó cũng nhận thấy AirVPN không hoạt động với bất kỳ dịch vụ phát trực tuyến nào mà họ thử — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — đó là lý do U12b_streaming_works hiện ghi nhận là no thay vì partial lấy nguồn từ addictivetips.com trước khi máy chủ đó bị xác định là bị cấm.

Mức giá theo năm. U04b_price_yearly=4.08 là mức giá hiệu dụng theo tháng bằng EUR của gói một năm (49 EUR/năm) trên airvpn.org/buy/, không đổi khi gia hạn như mọi gói cước của AirVPN.

Logo chữ. AirVPN chỉ cung cấp logo chữ ở dạng PNG (/static/img/logo/web_header.png, logo_horiz.png) và không có trang báo chí hay thương hiệu, nên logos/airvpn.svg được để trống theo AUDITOR.md §1 thay vì dựng lại từ ảnh raster.

Kháng nghị và điều mà kháng nghị không xác lập. Kháng nghị ngày 22 tháng 10 năm 2021 được trích dẫn ở đây kèm một lưu ý cần nêu rõ: Federal Administrative Court phán rằng các dịch vụ email không phải là nhà cung cấp dịch vụ viễn thông, và cả phần đưa tin về phán quyết lẫn tường thuật của chính Proton đều không đề cập đến VPN.

Điều thực sự xác lập hai trường. Điều xác lập C10 và C11 là Thụy Sĩ không có căn cứ nghĩa vụ pháp lý trong danh sách quốc gia của chính danh mục; kháng nghị củng cố cách các cơ quan chức năng Thụy Sĩ đối xử với Proton và tự nó không phải là một kết luận về Proton VPN. Một phán quyết về một dịch vụ cùng nhóm là căn cứ yếu hơn vẻ ngoài mà trích dẫn tạo ra.

Hạng mục bỏ ngỏ lớn nhất. Proton cung cấp các vị trí điểm thoát tại tám quốc gia áp đặt nghĩa vụ lưu giữ dữ liệu. Việc phần cứng có thực sự đặt tại bất kỳ quốc gia nào trong số đó hay không chưa được xác lập: Proton đã rút máy chủ vật lý khỏi Ấn Độ vào năm 2022 và ghi nhận Smart Routing cho các vị trí được phục vụ từ nơi khác, điều này cho thấy đó có thể là vị trí ảo, nhưng điều đó mới chỉ được xác minh đối với Ấn Độ. Việc xác lập C09b_mandate_hosting là hạng mục bỏ ngỏ lớn nhất trên hồ sơ này.