Mullvad VPN vs RiseupVPN

Mullvad VPN

針對整筆紀錄。

2023 年 4 月的搜索票是這份紀錄中最有力的單一項目：警方到場辦公室，最後一無所獲，這是實務證據而非紙面資料，其老化速度遠比稽核慢。所有方案的定價都是每月固定 5 EUR；U04_price_monthly 的數值為 5.80（Mullvad 在其自有頁面上列出的 USD 等值）；U04b_price_yearly 為 69.60，即按該費率計算的全年價格。

RiseupVPN

針對整筆紀錄。

RiseupVPN 是 Riseup Networks 的免費用戶端；Riseup Networks 是一家自 1999 年起營運的美國 501(c)(4) 非營利集體（riseup.net）。該 VPN 本身不收取費用，完全靠捐款維持，因此 U04/U04b 為 not_applicable。RiseupVPN 是較早的 Bitmask/Riseup-Black 用戶端的重新品牌版本，建置於 LEAP 平台；其四個閘道（Seattle、Montreal、Paris、Amsterdam）全都位於依 countries.csv 負有留存義務的國家，且當地的託管採用實體而非虛擬形式。

Mullvad VPN

此紀錄目前仍未解決的事項。

稽核週期。 Mullvad 在應用程式儲存庫中公開稽核索引，而該索引如實說明了週期：索引明確表示主要應用程式稽核每兩年進行一次，其間另有額外稽核；因此，規律性被紀錄為重複但沒有固定間隔，而不是年度系列——沒有人自稱有年度週期。

兩份報告，同一日期。 兩項個別委託共用 2026-02-17，紀錄也列出兩者：Assured 對 GotaTun（使用者空間的 WireGuard 實作）進行的程式碼審查（無嚴重、高或中等問題；兩個低嚴重性問題及九項備註），以及 Leviathan 對 Android 應用程式進行的 Mobile App Profile 評估，其合規報告將 February 17, 2026 列為評估日期，並將 AL2 列為保證等級。同一日期、兩份報告，沒有矛盾。

為何數量是八。 稽核數量為八，是因為 GotaTun 審查不在應用程式儲存庫自己的清單中。在這些之前，一項歷時 30 人日、涵蓋全部五個平台的 X41 D-Sec 審查發現六個漏洞——三個高、兩個中等、一個低，沒有嚴重漏洞。

沒有任何委託涵蓋的內容。 這些委託沒有任何一項涵蓋伺服器群：每一項檢查的都是應用程式或通道通訊協定，因此伺服器群涵蓋範圍被紀錄為不適用，而不是樣本。基礎架構方面的無日誌聲明因此僅以 2023 年 4 月的搜查令為依據——瑞典警方為取得客戶資料而來，卻未帶走任何資料——而不是依據任何稽核。

可重現建置，僅限 Android。 可重現建置僅限 Android，自版本 2025.2 起提供，因此該欄位維持部分狀態；桌面版與 iOS 建置無法逐位元驗證。Turkey 是提供清單中唯一的義務國家，而其背後的主機代管尚未確認。

沒有任何關於要求的公開資料。 紀錄中的任何內容都不是依據業者公開的、關於其收到的要求的資料：沒有透明度報告，也沒有金絲雀通知，因此 2023 年 4 月的查扣是該項唯一依據。Kill-switch 涵蓋範圍與 P2P 政策尚未確認；最新稽核是通訊協定程式碼審查，而不是無日誌委託，因此 V11 未作說明，留存主要依據聲明。

RiseupVPN

此紀錄目前仍未解決的事項。

未陳述硬體所有權。 Riseup 自己的政府常見問題說明其核心 Seattle 基礎設施由其實際控制（「並非託管於雲端」），但沒有提到位於 Montreal、Paris 和 Amsterdam 的 VPN 閘道機器；這些機器位於典型的商業主機 IP 範圍內。C08_servers_ownership 維持未知，而不是根據 Seattle 的說明自行推定。

最低限度的 VPN 紀錄僅透過排除方式加以描述。 安全頁面列出 5 天輪替紀錄不包含的所有內容（沒有 IP、沒有指紋、沒有 DNS 請求、沒有中繼資料），但從未說明它包含什麼。C01 根據該排除清單填入 none_linkable，但想知道這些位元組實際是什麼的讀者，無法在此找到答案。

幾個易用性欄位完全沒有文件可供查閱。 在本次工作階段找到的任何 RiseupVPN 頁面中，都沒有提到分割通道、同時裝置上限、P2P 政策和串流存取；終止開關也僅確認適用於桌面系統匣用戶端，未確認適用於 Android。

唯一的獨立稽核是用戶端／基礎設施滲透測試，而不是紀錄稽核。 2025 年 SRLabs 報告檢查了 Bitmask 和 Menshen bridge registrar 的攔截及 DPI 風險；報告從未詢問 VPN 伺服器留存什麼，因此 V11_audit_findings 為 not_stated，而 C01 中的留存聲明僅建立在 Riseup 自己的說法上。

經常被用來指責 Riseup 的 2012 年扣押事件並未涉及 Riseup 自己的資料。 美國聯邦探員從 Riseup 與 May First/People Link 共用的共置設施帶走一台伺服器，但該機器及其資料屬於第三方租戶 European Counter Network；其中沒有任何 Riseup 帳號或使用者資料，這就是為什麼 P01_seizure_event 顯示 none_known，而不是將一項從未屬於 Riseup、也無從由 Riseup 抵抗的事件歸於它。