Mullvad VPN vs RiseupVPN

Mullvad VPN

此记录目前仍未解决的事项。

审计频率。 Mullvad 在应用仓库中发布了审计索引，而且该索引如实说明了频率：索引明确指出，主应用审计每两年进行一次，中间还会有额外审计；因此，规律性被记录为以无固定间隔重复，而不是年度系列——没有任何人声称存在年度频率。

两份报告，同一日期。 两个独立项目共用 2026-02-17，记录将两者都列出：Assured 对 GotaTun（用户空间 WireGuard 实现）的代码审查（无严重、高危或中危问题；有两个低危问题和九条备注），以及 Leviathan 对 Android 应用进行的 Mobile App Profile 评估，其合规报告给出的评估日期为 2026 年 2 月 17 日，保证级别为 AL2。同一日期，两份报告，没有矛盾。

为何数量为八。 审计数量为八，是因为 GotaTun 审查不在应用仓库自己的列表中。在此之前，一次覆盖全部五个平台、耗时 30 人日的 X41 D-Sec 审查发现了六个漏洞——三个高危、两个中危、一个低危，没有严重漏洞。

没有任何项目涵盖的内容。 这些项目没有一个涵盖服务器群组：它们每一个审查的都是应用或隧道协议，因此服务器群组覆盖范围被记录为不适用，而不是样本。基础设施方面的无日志声明因此依托于 2023 年 4 月的搜查令——瑞典警方为获取客户数据而来，却空手而归——而不是任何审计。

可复现构建，仅限 Android。 可复现构建仅适用于 Android，从版本 2025.2 起提供，因此该字段仍为部分覆盖；桌面版和 iOS 构建无法逐位验证。土耳其是所提供列表中唯一的义务国家，其背后的托管情况未确认。

没有发布任何关于要求的信息。 记录中的任何内容都不依赖于服务商发布的、关于其收到的要求的信息：没有透明度报告，也没有秘密命令金丝雀，因此 2023 年 4 月的扣押是唯一依据。终止开关覆盖范围和 P2P 政策均未确认；最新审计是协议代码审查，而不是无日志项目，因此 V11 未作说明，留存主要依赖该声明。

RiseupVPN

此记录目前仍未解决的事项。

未说明硬件所有权。 Riseup 自己的政府常见问题页面描述了其西雅图核心基础设施的实际控制权（“不托管在云中”），但没有说明位于蒙特利尔、巴黎和阿姆斯特丹的 VPN 网关机器；这些机器使用的 IP 地址段通常属于商业主机。C08_servers_ownership 仍为未知，而不是根据西雅图的说明作出假定。

最低限度的 VPN 日志仅通过排除来描述。 安全页面列出了 5 天轮换日志不包含的所有内容（没有 IP、没有指纹、没有 DNS 请求、没有元数据），但从未说明它实际包含什么。C01 根据这份排除清单填为 none_linkable，但想知道这些字节实际上是什么的读者在这里找不到答案。

有几个易用性字段完全没有可供查阅的文档。 在本次查找中发现的任何 RiseupVPN 页面上，都没有提及分流、同时使用的设备数量限制、P2P 政策或流媒体访问；而终止开关仅在桌面托盘客户端上得到确认，Android 上则未得到确认。

唯一的独立审计是客户端/基础设施渗透测试，而不是日志审计。2025 年的 SRLabs 报告检查了 Bitmask 和 Menshen bridge registrar 的拦截与 DPI 风险；报告从未询问 VPN 服务器留存什么，因此 V11_audit_findings 为 not_stated，而 C01 中的留存声明仅凭 Riseup 自身的说法。

经常被用来指责 Riseup 的 2012 年扣押事件并未涉及 Riseup 自己的数据。 美国联邦人员从 Riseup 与 May First/People Link 共用的一处托管设施中带走了一台服务器，但该机器及其数据属于第三个租户 European Counter Network；其中没有 Riseup 账户或用户数据，这就是为何 P01_seizure_event 记为 none_known，而不是将一个从来不是 Riseup 需要应对的事件计入其中。

Mullvad VPN

针对整条记录。

2023年4月的搜查令是这份记录中最有力的单项证据：警方到过办公室，却什么也没带走，这是实务证据而非纸面证据，其老化速度远慢于审计。所有期限的价格均为每月固定 5 EUR；U04_price_monthly 为 5.80（Mullvad在其自有页面上注明的美元等值金额）；U04b_price_yearly 为 69.60，即按该价格计算的全年费用。

RiseupVPN

针对整条记录。

RiseupVPN 是 Riseup Networks 的免费客户端。Riseup Networks 是一家自 1999 年起运营的美国 501(c)(4) 非营利集体（riseup.net）；该 VPN 本身不收取费用，完全依靠捐赠维持，因此 U04/U04b 为 not_applicable。RiseupVPN 是较早的 Bitmask/Riseup-Black 客户端的重新品牌版本，构建于 LEAP 平台之上；其四个网关（西雅图、蒙特利尔、巴黎、阿姆斯特丹）均位于根据 countries.csv 承担日志记录义务的国家，且当地托管采用物理方式而非虚拟方式。