CactusVPN và IVPN

Mã nhận dạng ở cấp ứng dụng và thông tin công bố trên cửa hàng. C07a, C12 và X12 vẫn chưa xác định: trong phiên này chưa đọc biểu mẫu an toàn dữ liệu của Play Store hoặc nhãn quyền riêng tư của Apple, và cuộc kiểm toán của Securitum chỉ bao quát cấu hình phía máy chủ cùng việc xử lý DNS/lưu lượng, không bao quát những gì ứng dụng khách di động hoặc ứng dụng khách tiện ích mở rộng tự chúng truyền đến các cửa hàng ứng dụng hoặc SDK phân tích.

Tính minh bạch và canary. Không có đường dẫn /transparency, /transparency-report, /warrant-canary hoặc /canary nào trên trang web phân giải được, và không có trang tương tự nào xuất hiện trong sơ đồ trang; đó là sự vắng mặt được phát hiện qua việc kiểm tra, không phải một "none" có nguồn dẫn, vì vậy cả hai trường vẫn chưa xác định thay vì được đánh dấu là none.

Cuộc kiểm toán chưa được công bố. Cuộc kiểm toán Cure53 thường niên lần thứ tám được lên lịch vào tháng 7 năm 2026 và chưa có báo cáo nào cho năm 2025 hoặc 2026 được công bố, đó là lý do ngày của báo cáo mới nhất là tháng 4 năm 2024.

Sự cố tháng 8 năm 2026. Vào tháng 8 năm 2026, một kẻ tấn công đã khai thác một lỗ hổng trong BTCPay Server tự lưu trữ, trước khi lỗ hổng này được công khai, và lấy đi các khoản tiền vận hành Lightning của chính IVPN. IVPN tự nguyện công bố thông tin này bốn ngày sau đó và giới hạn phạm vi ở máy đó: các gateway VPN không bị ảnh hưởng, không hồ sơ khách hàng nào bị truy cập, không tiền của khách hàng nào bị mất.

Vì sao việc này không tốn phí. Mô hình không tính phí cho việc này, đó chính là điểm cốt lõi — một nhà vận hành công bố như vậy kịp thời đang hành xử theo cách mà lĩnh vực này được định hướng để ghi nhận, và mục ghi này có mặt để người đọc biết sự việc đã xảy ra chứ không phải để thay đổi một con số.

Phạm vi của các cuộc đánh giá. Cuộc kiểm thử xâm nhập ứng dụng (iOS, Android, Electron, daemon) được thực hiện vào tháng 3 năm 2022 và cuộc đánh giá gateway/hệ điều hành máy chủ vào tháng 2 năm 2023; không cuộc nào kiểm tra chính tuyên bố không lưu nhật ký, như báo cáo năm 2023 nêu rõ, vì vậy việc lưu giữ dữ liệu chỉ dựa vào tuyên bố trong chính sách quyền riêng tư.

Báo cáo mới nhất không phải là báo cáo liên quan. Đợt kiểm toán tháng 4 năm 2024, là đợt thứ sáu của Cure53 với IVPN, đã kiểm thử trang web tài khoản khách hàng, API và dịch vụ lưu trữ; trang phạm vi của chính đợt này nêu rõ ứng dụng máy khách và máy chủ VPN nằm ngoài phạm vi, nên đợt này không mở rộng bằng chứng về ứng dụng hay cổng kết nối, và V03_audit_subject ghi nhận unknown cho đợt này thay vì tiếp tục ghi nhận điểm đó. Đợt kiểm toán thứ bảy, về các dịch vụ email và DNS mới, chỉ được thông báo là sẽ diễn ra vào tháng 5 năm 2025; chưa có báo cáo nào được công bố.

Những gì trang chính chưa bao giờ xác lập. Chỉ dùng RAM được ghi nhận là một phần vì IVPN mô tả đây là quá trình chuyển đổi với các đợt triển khai thử nghiệm đang được thực hiện, và chưa thông báo hoàn tất. Quyền sở hữu phần cứng máy chủ (thuê hay sở hữu), việc sửa đổi lưu lượng tại điểm thoát và khu vực pháp lý cá nhân của chủ sở hữu hưởng lợi đều chưa xác lập: không có trang IVPN chính nào nêu bất kỳ điều nào trong ba điều này, cũng không nêu quy mô cơ sở người dùng.

Ba trường được cơ sở kiến thức trả lời, chứ không phải các trang được đọc khi điền lần đầu. Việc phân bổ IP được chia sẻ theo thiết kế — "crowding" dồn người dùng vào cùng một địa chỉ để hạn chế khả năng quy kết. P2P được cho phép ở mọi nơi, nhưng IVPN đề nghị khách hàng tránh các điểm thoát tại Hoa Kỳ, với lý do áp lực DMCA từ nhà cung cấp thượng nguồn. Dịch vụ phát trực tuyến không có bảo đảm, dù công ty nói rằng nhiều khách hàng vẫn truy cập được dịch vụ này.