Norton VPN — đánh giá bảo mật bởi HushFleet

Norton VPN đã được đội ngũ HushFleet đánh giá và xếp vào dải Không khuyến nghị, với điểm bảo mật 4/100 và điểm tiện dụng 80/100. Trong bảng xếp hạng bảo mật tổng thể của các nhà cung cấp VPN, nó đứng hạng 42 trên 68. VPN thương mại, khu vực pháp lý của công ty Hoa Kỳ. Nó có một cuộc kiểm toán bảo mật độc lập: chỉ có bản tóm tắt báo cáo được công bố, cấp độ bằng chứng A.

Phương pháp luận: 3.7.0
Lược đồ: 3.7.0
Công bố: 14 tháng 9, 2026

Thông số kỹ thuật

Được ghi nhận, không bao giờ tính điểm

7 trường có mặt trên hồ sơ này mà không đi vào điểm số, và chính hợp đồng dữ liệu nêu rõ điều đó trong trường: scored: false. Chúng có mặt ở đây vì một người đọc hỏi ai sở hữu công ty này, hoặc ai đã ký cuộc kiểm toán, đang hỏi điều mà hồ sơ trả lời được — và vì một giá trị không bao giờ chạm vào phép tính nên được đặt rõ ràng bên ngoài nó thay vì lặng lẽ trộn lẫn vào.

Quốc gia có điểm thoát

Mọi quốc gia mà nhà cung cấp cung cấp một điểm thoát, được đếm từ chính trang máy chủ của nó: 103. Không có số lượng máy chủ theo từng quốc gia ở đây và không có tổng số máy chủ toàn hệ thống ở bất kỳ đâu trên trang — hợp đồng dữ liệu không mang theo cả hai, và một con số không ai có thể xác định nguồn còn tệ hơn một con số vắng mặt. Các quốc gia 5 được đánh dấu bắt buộc áp đặt nghĩa vụ lưu giữ dữ liệu; dấu đó đến từ chính bảng quốc gia của phương pháp luận, không phải từ nhà cung cấp.

Loại: VPN thương mại Dải: Không khuyến nghị Khu vực pháp lý: Hoa Kỳ Lưu giữ dữ liệu: Dấu thời gian kết nối Giao thức: WireGuard Nhóm sở hữu: Gen Digital

Bởi đội ngũ HushFleet

Lựa chọn thay thế

Nếu đây không phải lựa chọn phù hợp

Loại dịch vụ	VPN thương mại — bảo mật dẫn đầu
Điểm bảo mật	4 trên 100 · Không khuyến nghị
Điểm tiện dụng	80 trên 100 · trạng thái đã biết · 67% đã xác lập · 61,8% trọng số đã đọc
Pháp nhân	Gen Digital Inc.
Khu vực pháp lý	Hoa Kỳ
Chủ sở hữu cuối cùng	Publicly traded on NASDAQ (GEN); no single controlling shareholder documented
Mức phơi nhiễm	Trung bình · kênh chủ đạo: khu vực pháp lý
Lưu giữ dữ liệu	Dấu thời gian kết nối
Kiểm toán gần nhất	VerSprite · 3 thg 9, 2025 · Lặp lại, không theo khoảng thời gian cố định · Có, và báo cáo đã được đọc
Quốc gia có điểm thoát	103
Giao thức	WireGuard OpenVPN IPsec Giao thức được làm rối
Hoạt động dưới sự kiểm duyệt gắt gao	không xác định
Giao thức yếu nhất vẫn còn hỗ trợ	IPsec
DNS riêng bên trong đường hầm	không xác định
Nền tảng	Windows macOS iOS Android Android TV Apple TV Fire TV
Số thiết bị dùng cùng lúc	10
Công tắc ngắt kết nối	không xác định
Phân tách đường truyền	Khả dụng
Đăng ký tài khoản	Chỉ một địa chỉ email
Gói miễn phí	Chỉ có bản dùng thử
Cho phép P2P	không xác định
Có thể truy cập các dịch vụ phát trực tuyến lớn	Có thể truy cập
Giá, theo tháng	chưa công bố
Giá, theo năm	$39.99 một năm khi gia hạn, thanh toán một lần

Các quốc gia được cung cấp chịu nghĩa vụ lưu giữ dữ liệuC09_mandate_countries	Các Tiểu Vương quốc Ả Rập Thống nhất Ấn Độ Kazakhstan Thổ Nhĩ Kỳ Việt Nam
Quốc gia của chủ sở hữu hưởng lợi tối caoM11_owner_jurisdiction	US
Khóa cụm nhóm sở hữuM15_owner_group	Gen Digital
Ngày chủ sở hữu hiện tại nắm quyền kiểm soátM16_control_since	2022-10-12
Vai trò của thương hiệu này trong nhómM17_brand_role	principal
Hạ tầng dùng chung với các dịch vụ cùng cụmM18_shared_infrastructure	không xác định
Tổng số cuộc kiểm toán đã công bốV10_audit_count	3

Điểm bảo mật đến từ đâu

Tám kênh, mỗi kênh đặt ra một câu hỏi cho hồ sơ đã công bố và đọc một tập hợp trường dữ liệu được nêu tên để trả lời câu hỏi đó. Chúng nhân với nhau chứ không cộng lại — hệ số bên cạnh một kênh là phần còn lại sau áp lực mà kênh đó tìm thấy, và hãy mở một kênh để xem mọi trường dữ liệu mà nó đã đọc, đúng như cách nó được lưu trữ. Cách mô hình hoạt động

Trường bảo mật

67 55 trong số đó cấp dữ liệu cho một kênh

Đã xác lập

50 17 còn ở trạng thái unknown, 0 không áp dụng

Độ đầy đủ

72% tỷ lệ mà mô hình có thể cân nhắc

Trích dẫn

69 trên 16 tài liệu

Mỗi giá trị đều mang theo căn cứ mà nó dựa vào, và mô hình cân nhắc bốn cấp độ này khác nhau. Trọng số, sau đó là số trích dẫn trên hồ sơ này nằm ở cấp độ đó:

A trọng số 1,00 · 29 ở đâyB trọng số 0,85 · 40 ở đây

Các trọng số là của chính methodology.json; một tuyên bố được thấy trong chính văn bản gốc có giá trị hơn cùng tuyên bố đó khi được báo cáo lại qua bên thứ hai. Ngày ở cuối một hàng là ngày giá trị đó được đọc lần gần nhất.

Một kênh không định giá mọi trường mà nó đọc. Những trường đã được định giá sẽ có dấu ở viền và mang theo mức mà chúng đã cộng thêm; mọi trường còn lại đều đã được đọc nhưng không tốn điểm nào. Chỉ kênh nào tính toán theo từng trường mới có thể đánh dấu một trường — các kênh còn lại tự định giá bằng các tham số in phía trên hàng của chúng.

Vẫn còn để ngỏ trên hồ sơ này.

Tình trạng máy chủ chưa được lập tài liệu. Cả thông báo quyền riêng tư lẫn hai báo cáo VerSprite đã công bố đều không nêu Edge server chỉ dùng RAM hay dùng đĩa lưu trữ cố định, địa chỉ IP của VPN được dùng chung giữa người dùng hay dành riêng, Norton có vận hành các trình phân giải DNS của riêng mình bên trong đường hầm hay không, hoặc ai sở hữu phần cứng nền tảng. Cả bốn đều được ghi là unknown thay vì một giá trị theo hướng nào.

Phân chia vật lý/ảo theo từng quốc gia được đọc từ phần tóm tắt của một trang, không được xác minh theo từng hàng. Một lần kết xuất trực tiếp xác nhận cột này là văn bản thực, không phải biểu tượng, và khu vực châu Mỹ khớp chính xác với phần tóm tắt — nhưng ba khu vực còn lại, khoảng 90 trong số 103 quốc gia được liệt kê, được lấy từ phần tóm tắt bảng của một công cụ fetch thay vì được mở từng mục một. C09b_mandate_hosting được ghi là mixed trên cơ sở đó.

phần còn lại của những gì để ngỏ — thêm 377 từ

Không có vụ thu giữ, lệnh của tòa án hoặc chế độ lệnh bí mật nào được lập tài liệu dành riêng cho VPN. Báo cáo minh bạch hàng quý nêu rằng các yêu cầu được trả lời là không có gì để cung cấp vì không có gì được lưu giữ, nhưng đó là một tuyên bố tổng hợp định kỳ, không phải một vụ việc có ngày tháng như P12_case_history — vì vậy không ghi nhận điểm theo tuyến thực tiễn nào, và P04_mandate_response cùng P11_gag_order_regime vẫn chưa xác định vì thiếu tài liệu nêu rõ một trong hai.

Việc Norton VPN có dùng chung cơ sở hạ tầng backend với các thương hiệu VPN chị em của Gen Digital (Avast SecureLine, AVG Secure VPN, Avira Phantom VPN) hay không vẫn chưa xác lập. Bản thân phạm vi của các báo cáo VerSprite chỉ giới hạn ở các Edge server của "Norton VPN" mà không nói đội máy chủ đó chỉ dành riêng cho Norton hay được chia sẻ trong toàn bộ danh mục, vì vậy M18_shared_infrastructure là chưa xác định thay vì được giả định theo hướng nào.

Có gói theo tháng thực sự, nhưng không có giá của gói này. Bộ phận hỗ trợ của Norton xác nhận rằng Norton VPN cụ thể có cung cấp hình thức thanh toán theo tháng, không kèm cam kết hằng năm, nhưng không có trang nào có thể truy cập trong phiên này hiển thị mức giá theo tháng thực tế — chỉ có ba gói theo năm cùng giá năm đầu và giá gia hạn. U04_price_monthly vẫn là không xác định thay vì lấy tổng giá theo năm chia cho mười hai.

Năm ra mắt, công bố về truyền thông đánh giá và các điều khoản của chương trình liên kết chưa được xác lập. Không có trang nào ghi ngày Norton VPN (tách biệt với bộ Norton 360 nói chung) được phát hành lần đầu, và phiên này không khảo sát mức độ bao phủ của các bài đánh giá bên thứ ba hoặc cơ cấu chi trả của chương trình liên kết, vì vậy M07, X08, X10 và X11 là không xác định thay vì được mặc định là không có vấn đề.

Về toàn bộ hồ sơ.

Lịch sử nhóm sở hữu (X04_owner_group_history = sanctioned_or_prosecuted, M14_inclusion_basis = adverse_record) dựa trên lệnh tháng 2 năm 2024 của FTC đối với Avast về việc bán dữ liệu duyệt web được thu thập qua các sản phẩm chống vi-rút và tiện ích mở rộng trình duyệt của họ trong giai đoạn từ năm 2014 đến năm 2020, trong khi tiếp thị các sản phẩm đó là sản phẩm bảo vệ quyền riêng tư.

Avast là một thương hiệu cùng nhóm dưới cùng công ty mẹ Gen Digital Inc. (NASDAQ: GEN) với Norton, được hình thành khi NortonLifeLock và Avast sáp nhập và đổi tên vào tháng 10 năm 2022 — lệnh của FTC có trước vụ sáp nhập đó từ hai đến tám năm và chỉ nêu tên Avast Limited, không nêu Norton, NortonLifeLock hoặc Gen Digital.

phần còn lại của những gì để ngỏ — thêm 727 từ

Lây lan theo cụm (quy tắc R02) yêu cầu phát hiện đã ghi ngày tháng trên trục nói dối do chính thương hiệu cùng nhóm thực hiện sau M16_control_since muộn hơn, nhưng trường hợp này không đáp ứng yêu cầu đó, nên không ghi nhận lây lan theo nhánh này; bản thân phát hiện về nhóm sở hữu vẫn được ghi nhận vì đó là lịch sử của nhóm, bất kể thời điểm lây lan.

Vệ sinh kho ứng dụng là nơi có dữ kiện yếu nhất trong hồ sơ này: nhãn quyền riêng tư trên App Store của chính Apple dành cho "Norton VPN – Fast & Secure" (id1095519285) khai báo một Mã nhận dạng trong mục "Dữ liệu được sử dụng để theo dõi bạn" — danh mục App Tracking Transparency dành cho các mã nhận dạng quảng cáo giữa các ứng dụng — và một mã nhận dạng riêng "ID người dùng" trong mục "Quảng cáo hoặc tiếp thị của nhà phát triển".

Biểu mẫu an toàn dữ liệu của Google Play dành cho cùng ứng dụng (gói com.symantec.securewifi) ít cụ thể hơn nhưng nhất quán: "ID thiết bị hoặc ID khác" phục vụ chức năng ứng dụng, cùng với Vị trí (chính xác, tùy chọn, dùng cho phân tích) và quyền truy cập SMS/MMS, cả hai đều không được đề cập trong thông báo quyền riêng tư riêng của VPN. C12_device_identifier và C07a_app_sdk được thiết lập từ nhãn của Apple theo cách đọc bất lợi hơn trong hai cách đọc; X12_store_data_declaration được đặt thành undisclosed_behaviour do khoảng trống về vị trí và SMS so với thông báo quyền riêng tư, chứ không phải contradicts_no_logs, vì không điều gì trong số này là việc ghi lưu lượng VPN mà tuyên bố không lưu nhật ký thực sự phủ nhận.

Hai đợt đánh giá của VerSprite được trích dẫn ở cấp A: Đánh giá tác động quyền riêng tư kỹ thuật tháng 9 năm 2025 (hạ tầng backend, không lưu nhật ký) và đánh giá mã nguồn giao thức Mimic tháng 11 năm 2025, cả hai đều được mở và đọc dưới dạng PDF đầy đủ thay vì lấy từ bài đăng blog mô tả chúng, dù có tiêu đề "Executive Summary Report" —

Khu vực pháp lýCó thể buộc cung cấp những gì đang tồn tại mà không cho nhà cung cấp có quyền lên tiếng không?5 trường đã đọc · 2 còn chưa xác định · 63,6 điểm áp lực×0,364

Nơi công ty đặt trụ sở 0.6, nơi chủ sở hữu của nó đặt trụ sở 0.45, các điểm thoát mà nó cung cấp 0.09, chế độ lệnh bí mật 0.05 — một hoàn cảnh, được định giá một lần chứ không cộng dồn.

Lưu trữ tại các quốc gia chịu nghĩa vụ mà nhà cung cấp cung cấpC09b_mandate_hosting

mixed

Bus.norton.com13 thg 9, 2026

Báo cáo sự cố về C09b_mandate_hosting

Quốc gia thành lập áp đặt nghĩa vụ lưu giữ dữ liệuC10_company_under_mandate

yes

Asec.gov12 thg 10, 2022

Báo cáo sự cố về C10_company_under_mandate

Chủ sở hữu hưởng lợi thuộc chế độ lưu giữ dữ liệuC11_owner_under_mandate

yes

Asec.gov12 thg 10, 2022

Báo cáo

Được tính toán

×0,043 của một hồ sơ sạch độ đầy đủ 72%

Điểm sụt giảm đến từ đâu: Khu vực pháp lý. Đây là kênh mà rủi ro của hồ sơ này tập trung vào — riêng nó đã đưa một hồ sơ sạch xuống còn ×0,364, và thanh trên cùng được tô đầy đến mức đó.

Mức phơi nhiễm được ghi nhận là medium và tình trạng liêm chính là clean.

So với phần còn lại của sổ đăng ký, hồ sơ này vượt trội nhất ở kênh Sự thiếu hiểu biết — ×0,788 trong khi mức trung bình của sổ đăng ký là ×0,662 — và kém nhất ở kênh Khu vực pháp lý, ×0,364 so với ×0,680.

Điểm đã công bố

Mỗi hàng ở trên là một trường của hồ sơ đã công bố, và mỗi hàng đều có thể bị phản bác: mỗi hàng đều mang nút Báo cáo, hoặc nêu vấn đề về toàn bộ hồ sơ. Một đính chính có nguồn đi kèm sẽ được thực hiện ngay trong ngày, và nếu nó làm thay đổi điểm số thì nó cũng làm thay đổi hạng.

V02_report_publication

summary_only

Vệ sinhDữ liệu nhận dạng nào được thu thập trong quá trình sử dụng, và ứng dụng khách có thể được kiểm tra không?12 trường đã đọc · 6 còn chưa xác định · 24,3 điểm áp lực×0,757

Một tổng có giới hạn trần — kênh duy nhất thực hiện phép cộng: 0.243 trên tổng khả dĩ 0.28, từ các trường được đánh dấu bên dưới.

Máy chủ chỉ dùng RAM, không ổ đĩaC02_ram_only

không xác định+0,018

không có gì được công bố · được ghi nhận là asserted

Báo cáo sự cố về C02_ram_only

Mô hình phân bổ IPC03_ip_sharing

không xác định+0,012

không có gì được công bố · được ghi nhận là asserted

Báo cáo sự cố về C03_ip_sharing

Đăng ký không cần emailC04_signup_no_email

no+0,025

Bus.norton.com13 thg 9, 2026

Báo cáo sự cố về C04_signup_no_email

Tùy chọn thanh toán ẩn danhC05_payment_anonymous

+0,025

Bsupport.norton.com13 thg 9, 2026

Báo cáo sự cố về C05_payment_anonymous

DNS riêng bên trong đường hầmC06_own_dns_in_tunnel

không xác định+0,012

không có gì được công bố · được ghi nhận là asserted

Báo cáo sự cố về C06_own_dns_in_tunnel

Danh mục SDK bên thứ ba tệ nhất trong ứng dụngC07a_app_sdk

ads+0,040

Bapps.apple.com13 thg 9, 2026

Báo cáo sự cố về C07a_app_sdk

Danh mục trình theo dõi bên thứ ba tệ nhất trên trang webC07b_site_trackers

ads+0,020

Bus.norton.com13 thg 9, 2026

Báo cáo sự cố về C07b_site_trackers

Ai sở hữu phần cứngC08_servers_ownership

không xác định+0,009

không có gì được công bố · được ghi nhận là asserted

Báo cáo sự cố về C08_servers_ownership

Giao thức yếu nhất vẫn được cung cấpC13_weakest_protocol

ipsec+0,050

Bus.norton.com13 thg 9, 2026

Báo cáo sự cố về C13_weakest_protocol

Mã nguồn ứng dụng khách đã công bốV12_client_open_source

không xác định+0,018

không có gì được công bố · được ghi nhận là asserted

Báo cáo sự cố về V12_client_open_source

Bản dựng có thể tái lậpV13_reproducible_builds

không xác định+0,014

không có gì được công bố · được ghi nhận là asserted

Báo cáo sự cố về V13_reproducible_builds

Kiểm thử xâm nhập riêng đối với ứng dụng khách hoặc hạ tầngV14_pentest_exists

yes_verified

Aus.norton.com24 thg 11, 2025

Báo cáo sự cố về V14_pentest_exists

Thông số kỹ thuật

Được ghi nhận, không bao giờ tính điểm

Quốc gia có điểm thoát

Nếu đây không phải lựa chọn phù hợp

Norton VPN

Điểm bảo mật đến từ đâu

Proton VPN

Mullvad VPN

IVPN