AirVPN vs Windscribe

AirVPN

针对整条记录。

AirVPN 是一家在意大利佩鲁贾注册的独资企业（"AirVPN di Paolo Brini"），并明确拒绝向意大利居民提供服务（每个页面的页脚以及服务条款 §1 中均有说明）——实际效果是，其自身的本国管辖地无法强制其记录本国居民客户的数据，但这并不能证明其享有更广泛的日志记录义务豁免。

AirVPN 仅以 EUR 定价（airvpn.org/buy/）：每月 7.00 EUR，每年 49 EUR（每月 4.08 EUR），续订时价格不变。U04_price_monthly（8.11）为每月 7.00 EUR，U04b_price_yearly（56.74）为每年 49 EUR 的总价；两者均按 1.158 EUR/USD 的汇率换算为 USD——Mullvad 在同一日期的自有定价页面公布了该汇率，并显示 5 EUR 为 5.79 USD——因此可信度为 C，且该汇率有第二个来源。多年期套餐最低降至每月 2.75 EUR。

一个值得注意的实践数据点：United States v. Klyushin（D. Mass.，案卷号 61629108，文件 #183 和 #217）的美国联邦法院公开庭审记录（通过 CourtListener/RECAP 找到）显示，执法部门的笔录设备直接安装在托管公司（DediPath）处，而不是 AirVPN 处，用于监控 AirVPN 某台服务器在 2020 年 1 月至 2 月期间的 IP；AirVPN 自己的员工在其论坛上的回复确认，公司并不知道该监听或未参与其中，并且该设备必须安装在 AirVPN 自有系统之外。

这在 P12_case_history 中记录为 court_order/nothing_produced 事件，来源是 AirVPN 自己在论坛上的确认（而不是 PACER PDF 本身；这些 PDF 对自动抓取返回 403，只能通过二手摘要阅读）。

Windscribe

针对整条记录。

三个管辖地提出了三项独立要求，没有一项产生数据，而且三项都有日期。这就是为评估该做法而建立的记录路径：它的分量超过审计，因为后者是渗透测试，而不是无日志评估。

在 Windscribe 自己的功能页面上，U08 为 desktop_only：Firewall 随 Windows、Mac 和 Linux 应用提供，而在 Android 和 iOS 上，该页面转而引导用户使用操作系统自己的 Always-On VPN。这是平台提供的功能，而非服务商提供的功能；字段所计入的正是这一点区别。

U12b 同样仅部分确认，依据相同——营销页面承诺可解锁，而支持文章称公司无法保证所有流媒体服务都能运行，第二篇文章则将 Netflix 仅显示 Originals 归因于 Netflix 自己的 VPN 检测。

AirVPN

此记录目前仍未解决的事项。

无人核查的留存。 从未委托进行独立审计（V01=no；这是基于评审者之间的共识，以及没有发现 AirVPN 发布过相关公告，而不是基于 AirVPN 的主要否认）——留存（C01）完全依赖服务商自己的隐私声明，从未由外部方核查。

没有透明度报告，也没有金丝雀。 在 airvpn.org 上找不到政府/法律请求的透明度报告，也找不到担保金丝雀（P05、P07 未知）——该网站确实定期发布“任务”报告，但这些报告涉及向 NGO 捐款，而非执法请求，因此不能确认 P05。

论坛主题显示的情况。 论坛主题显示，用户曾反复要求 AirVPN 提供担保金丝雀，但工作人员从未确认存在这样的金丝雀；这具有提示性，但不是主要否认，因此 P07 保持为未知，而不是“无”。

无人公布的数量。 因此，请求/数据移交数量也均为未知（P08、P09），订阅者总数也从未披露（M08 未知）——AirVPN 只公布实时同时连接用户计数器，而不公布注册用户或订阅者总数，因此这里的沉默/不知情具有实际权重。

构建与渗透测试。 AirVPN 自己的源码构建页面（eddie.website/support/build/）没有记录可复现构建，也找不到专门针对客户端/基础设施的渗透测试（V13、V14 未知）。终止开关范围和拆分隧道行为的来源是第三方评审，而不是 AirVPN 自己的文档（U08、U09 的可信度为 C），因为无法通过该网站的路由直接访问相关 FAQ 页面（这些页面通过 JavaScript 渲染，而普通抓取只返回加载外壳）。

Windscribe

此记录目前仍未解决的事项。

渗透测试发现的内容。 安全得分依据 2024 年 6 月的 Packetlabs 报告，并按不利方向解读该报告。渗透测试发现，IKEv2 服务将连接用户的源 IP 以及会话开始和结束时间存储在易失性内存中，也存储在磁盘上；微服务日志中还带有 OpenVPN 凭据、WireGuard 预共享密钥和 IKEv2 用户名。

复测及其自身的限定。 三周后的复测确认上述问题均已修复——但报告自身的结论称，这“并未涵盖所发现内容中记录的每一项”，并将该发现的一部分归因于测试节点上部署不当的配置。

为何依据该发现评估留存。 因此，留存依据审计员证明可访问的内容，而不是依据政策声明的内容进行评估，完整性通道则记录了两者之间的差距。应将其理解为一个节点上两年前的发现，而不是当前测量结果：范围仅包括 ca-023.windscribe.com；只有覆盖更多服务器的新一期评估才能对此作出定论。

从未读取的榜单。 提供的国家榜单从未被读取，因此既无法计算国家易用性得分，也无法计算义务交集——Windscribe 公开了物理/虚拟的区分，因此只要读取该榜单，C09b 在此即可作答。用户规模同样尚未确认，这使暴露区间所依据的信息少于应有水平。

如今三个事件各自引用的出处。 AIN.UA 仍保留 2021 年 6 月 24 日被扣押的乌克兰服务器，Windscribe 自己的博客则保留 2025 年 4 月 11 日被驳回的希腊案件。荷兰扣押事件以及扣押字段本身如今引用 Windscribe 自己的无日志页面，而不是最初报道此事的联盟付费媒体：公司对自身被扣押事件的说明属于第一手资料，而不是他人对该事件的说明。乌克兰事件的日期取扣押发生日，而不是文章发布日期。