OVPN vs RiseupVPN

RiseupVPN

针对整条记录。

RiseupVPN 是 Riseup Networks 的免费客户端。Riseup Networks 是一家自 1999 年起运营的美国 501(c)(4) 非营利集体（riseup.net）；该 VPN 本身不收取费用，完全依靠捐赠维持，因此 U04/U04b 为 not_applicable。RiseupVPN 是较早的 Bitmask/Riseup-Black 客户端的重新品牌版本，构建于 LEAP 平台之上；其四个网关（西雅图、蒙特利尔、巴黎、阿姆斯特丹）均位于根据 countries.csv 承担日志记录义务的国家，且当地托管采用物理方式而非虚拟方式。

OVPN

此记录目前仍未解决的事项。

没有独立审计。 在 OVPN 的网站、新闻报道或帮助文档中，未找到对其自身系统进行的第三方安全、基础设施或无日志审计；对其无日志声明最接近对抗性测试的是 2020 年的瑞典法院程序，但那不是审计，也没有详细说明当前的 WireGuard/OpenVPN 技术栈。

所有者集团的历史早于 OVPN 的收购。 促成本记录纳入的负面判定（X04）是针对 AnchorFree（Pango 的公司前身）于 2017 年提出的一项投诉，涉及 Hotspot Shield 的广告网络数据共享——这比 Pango 收购 OVPN 早六年。该事项从未由 FTC 裁决，且 OVPN 自身的基础设施和政策已在本记录中单独记录。

公司结构分散于两个实体。 OVPN 当前的服务条款和隐私声明将 OVPN Inc.（加利福尼亚州雷德伍德城）列为契约（数据）的一方，而 OVPN 自身的帮助中心将 OVPN Integritet AB（瑞典，组织编号 556999-4469）列为运营方。两者都被描述为由同一最终所有者 Pango 控制；对于特定用户，其基础设施和法律责任由哪个实体持有，未进一步确定。

RiseupVPN

此记录目前仍未解决的事项。

未说明硬件所有权。 Riseup 自己的政府常见问题页面描述了其西雅图核心基础设施的实际控制权（“不托管在云中”），但没有说明位于蒙特利尔、巴黎和阿姆斯特丹的 VPN 网关机器；这些机器使用的 IP 地址段通常属于商业主机。C08_servers_ownership 仍为未知，而不是根据西雅图的说明作出假定。

最低限度的 VPN 日志仅通过排除来描述。 安全页面列出了 5 天轮换日志不包含的所有内容（没有 IP、没有指纹、没有 DNS 请求、没有元数据），但从未说明它实际包含什么。C01 根据这份排除清单填为 none_linkable，但想知道这些字节实际上是什么的读者在这里找不到答案。

有几个易用性字段完全没有可供查阅的文档。 在本次查找中发现的任何 RiseupVPN 页面上，都没有提及分流、同时使用的设备数量限制、P2P 政策或流媒体访问；而终止开关仅在桌面托盘客户端上得到确认，Android 上则未得到确认。

唯一的独立审计是客户端/基础设施渗透测试，而不是日志审计。2025 年的 SRLabs 报告检查了 Bitmask 和 Menshen bridge registrar 的拦截与 DPI 风险；报告从未询问 VPN 服务器留存什么，因此 V11_audit_findings 为 not_stated，而 C01 中的留存声明仅凭 Riseup 自身的说法。

经常被用来指责 Riseup 的 2012 年扣押事件并未涉及 Riseup 自己的数据。 美国联邦人员从 Riseup 与 May First/People Link 共用的一处托管设施中带走了一台服务器，但该机器及其数据属于第三个租户 European Counter Network；其中没有 Riseup 账户或用户数据，这就是为何 P01_seizure_event 记为 none_known，而不是将一个从来不是 Riseup 需要应对的事件计入其中。