هل Mullvad آمن؟ تحليل الأمان والخصوصية والتدقيق

هل Mullvad آمن؟ تقييم مباشر

يحصل Mullvad على 86/100 في مؤشر الثقة لدينا. يعمل تحت الولاية القضائية السويدية، ويفرض رسومًا ثابتة بقيمة 5 يورو شهريًا دون الحاجة إلى حسابات، ويطبّق سياسة عدم الاحتفاظ بالسجلات المُتحقق منها. أكدت عمليات التدقيق المستقلة التي أجرتها Cure53 وAssured AB وجود ثغرات أمنية طفيفة. لا يخزّن Mullvad أي سجلات اتصال أو بيانات مرور أو معلومات تعريف شخصية على أكثر من 700 خادم في أكثر من 50 دولة.

الولاية القضائية السويدية والطلبات القانونية للبيانات

تنتمي السويد إلى تحالف مشاركة الاستخبارات المعروف بـ”14 عينًا”. قد يبدو هذا مثيرًا للقلق للوهلة الأولى. غير أن الإطار القانوني يروي قصة أكثر دقة بالنسبة لمزودي خدمات VPN.

لا يُلزم القانون السويدي شركات VPN بالاحتفاظ ببيانات المستخدمين. لا يوجد أي التزام إلزامي بالاحتفاظ بالبيانات على Mullvad بموجب لوائح الاتصالات السلكية واللاسلكية السويدية الحالية. وهذا يعني أن السلطات يمكنها إصدار طلبات، لكن Mullvad ليس لديه أي شيء مخزّن لتسليمه.

في أبريل 2023، دخلت الشرطة السويدية فعليًا إلى مكتب Mullvad في غوتنبرغ بموجب أمر تفتيش. كان الضباط ينوون مصادرة أجهزة الكمبيوتر التي تحتوي على بيانات العملاء. أوضح موظفو Mullvad أنه لا توجد بيانات للعملاء على أي من الأجهزة، وغادر الضباط خالي الوفاض. أثبت هذا الاختبار الواقعي أن سياسة عدم الاحتفاظ بالسجلات تصمد أمام الضغط القانوني.

سجل عمليات التدقيق المستقلة

أتمّ Mullvad عدة عمليات تدقيق أمني أجرتها جهات خارجية. فحص كل تدقيق أجزاء مختلفة من البنية التحتية وتطبيقات العميل.

تدقيق Cure53 (2020)

أجرت Cure53، وهي شركة اختبار اختراق مقرها برلين، تدقيقًا على تطبيقات Mullvad VPN في عام 2020. حدّد الفريق 7 ثغرات أمنية إجمالًا: 2 بدرجة خطورة متوسطة، و5 بدرجة خطورة منخفضة. قام Mullvad بتصحيح جميع الثغرات السبع قبل نشر تقرير التدقيق الكامل على موقعه الإلكتروني.

تدقيق Assured AB (2023)

أجرت Assured AB تدقيقًا على البنية التحتية لخوادم Mullvad وأنظمته الداخلية في عام 2023. شمل التقييم إعدادات الخادم وتطبيق التشفير وإجراءات معالجة البيانات. أكدت النتائج أن بنية Mullvad التحتية تتطابق مع ادعاءاتها العلنية بعدم الاحتفاظ بالسجلات. لم يُكتشف أي ثغرات حرجة خلال هذه المشاركة.

تدقيق تطبيق Cure53 (2023)

عادت Cure53 في جولة ثانية عام 2023، مركّزةً على كود التطبيق المحدّث. وجد هذا التدقيق المتابع مشكلات أقل مقارنةً بتدقيق 2020. عالج Mullvad جميع النتائج ونشر مرة أخرى التقرير الكامل للمراجعة العامة.

نشر تقارير التدقيق الكاملة أمر غير شائع في صناعة VPN. لا يُعدّل Mullvad النتائج أو يختار النتائج الإيجابية فحسب. تُضيف هذه الشفافية ثقلًا كبيرًا لادعاءاته الأمنية.

سياسة الاحتفاظ بالسجلات: ما يخزّنه Mullvad وما لا يخزّنه

البيانات التي لا يجمعها Mullvad

لا يسجّل Mullvad بيانات المرور أو طوابع وقت الاتصال أو مدد الجلسات أو عناوين IP. ولا يخزّن استعلامات DNS أو سجلات استخدام النطاق الترددي أو تعيينات خادم VPN. يظل نشاط الحساب غير مرتبط تمامًا بسلوك التصفح أو بيانات وصف الاتصال.

البيانات التي يعالجها Mullvad

يعالج Mullvad العدد الإجمالي للاتصالات المتزامنة لكل حساب (بحد أقصى 5). يوجد هذا العداد في الوقت الفعلي ولا يُكتب في أي تخزين دائم. بمجرد قطع الاتصال، يتناقص العداد. لا يستمر أي سجل تاريخي.

يعالج Mullvad أيضًا بيانات حِمل الخادم الإجمالية قصيرة الأمد لتحسين الأداء. لا تحتوي هذه البيانات على أي معلومات يمكن تحديد هوية المستخدم منها وتتجدد تلقائيًا.

نظام الحساب

يُنشئ Mullvad رقم حساب عشوائيًا مكوّنًا من 16 رقمًا. لا بريد إلكتروني، ولا اسم، ولا كلمة مرور مطلوبة. يمكنك الدفع نقدًا عبر البريد في ظرف، أو بعملة Bitcoin، أو بعملة Monero. يُلغي هذا التصميم المعلومات التعريفية الشخصية من عملية التسجيل كليًّا.

معايير التشفير والبروتوكولات

يدعم Mullvad بروتوكولين: WireGuard وOpenVPN. يستخدم كلا التطبيقين معايير تشفير قوية ومراجَعة جيدًا.

تطبيق WireGuard

يستخدم WireGuard تشفير ChaCha20 للتشفير المتماثل، وCurve25519 لتبادل المفاتيح، وBLAKE2s للتجزئة. يُعيّن Mullvad WireGuard كبروتوكول افتراضي على جميع المنصات. تكتمل مصافحات الاتصال في أقل من 100 ميلي ثانية على معظم الشبكات.

تطبيق OpenVPN

تستخدم اتصالات OpenVPN تشفير AES-256-GCM لقناة البيانات. يعتمد تبادل المفاتيح على شهادات RSA-4096 مع مصادقة SHA-512. يُهيّئ Mullvad OpenVPN باستخدام tls-auth لمنع البصمات الرقمية وهجمات DDoS على نفق VPN.

أنفاق مقاومة للحوسبة الكمية

أضاف Mullvad تبادل مفاتيح ما بعد الكم إلى أنفاق WireGuard في 2023. تُضيف هذه الميزة طبقات تشفير Classic McEliece وKyber لتغليف المفاتيح فوق تشفير WireGuard القياسي. كان Mullvad أول VPN تجاري يُطلق هذه الميزة عبر منصات سطح المكتب.

مفتاح الإيقاف وحماية تسرب DNS

سلوك مفتاح الإيقاف

يُفعّل مفتاح الإيقاف في Mullvad افتراضيًا على جميع المنصات. يحجب كل حركة مرور الإنترنت عند انقطاع نفق VPN بشكل غير متوقع. يعمل التطبيق على مستوى جدار الحماية، وليس على مستوى التطبيق. هذا يمنع التسريبات حتى لو تعطّل تطبيق Mullvad كليًّا.

على Linux، يستخدم Mullvad قواعد nftables لتطبيق حجب حركة المرور. على Windows، يُعدّل منصة Windows Filtering Platform. على macOS، يستخدم قواعد تصفية الحزم. يمنع كل تطبيق تسريبات IPv4 وIPv6 في آنٍ واحد.

حماية تسرب DNS

يُوجّه Mullvad جميع استعلامات DNS عبر خوادم DNS المشفّرة الخاصة به. يحجب التطبيق طلبات DNS للنظام التي تحاول تجاوز النفق. يُشغّل Mullvad خوادم DNS في كل موقع من مواقع خادم VPN، لحل الاستعلامات محليًا دون إعادة توجيهها إلى أطراف ثالثة.

يمكن للمستخدمين أيضًا تهيئة DNS مخصص داخل التطبيق. حتى مع DNS المخصص، لا تزال الاستعلامات تسير داخل النفق المشفّر. تُظهر اختبارات التسرب المستقلة باستمرار صفرًا من تسريبات DNS أو WebRTC أو IPv6 عبر جميع عملاء Mullvad.

حوادث الأمن السابقة

مداهمة الشرطة (أبريل 2023)

دخل ستة ضباط من الشرطة الوطنية السويدية إلى مكتب Mullvad في غوتنبرغ، وكانوا يحملون أمر تفتيش صادرًا عن محكمة مقاطعة يطلبون فيه معلومات العملاء. أوضح الرئيس التنفيذي لـ Mullvad أن الشركة لا تخزّن بيانات العملاء. لم تُصادَر أي معدات وغادر الضباط بعد أن طعن الفريق القانوني لـ Mullvad في انطباق أمر التفتيش.

لا اختراقات بيانات معروفة

اعتبارًا من آخر دورة تدقيق، لم يُبلّغ Mullvad عن أي اختراقات للبيانات. لم تظهر بيانات المستخدمين في أي قواعس بيانات مسرَّبة. لا تنطبق هجمات حشو بيانات الاعتماد لأن Mullvad لا يستخدم كلمات مرور أو عناوين بريد إلكتروني. يُقلّص نظام رقم الحساب المكوّن من 16 رقمًا سطح الهجوم تقليصًا ملحوظًا.

الإفصاح عن الثغرات الأمنية

يحتفظ Mullvad بنهج نشط لمكافأة اكتشاف الأخطاء وينشر تنبيهات الأمان على مدونته. تلقّت جميع الثغرات المكتشفة خلال عمليات التدقيق تصحيحاتٍ في غضون أسابيع من اكتشافها. لم تتعرض الشركة لأي استغلال ثغرات يوم الصفر في بنيتها التحتية الإنتاجية.

ميزات أمنية فريدة

DAITA (الدفاع ضد تحليل حركة المرور الموجّه بالذكاء الاصطناعي)

طوّر Mullvad ميزة DAITA لمواجهة هجمات تحليل حركة المرور. تُوحّد هذه الميزة أحجام الحزم وتُدخل أنماطًا وهمية لحركة المرور. وهي تمنع الخصوم من تحديد المواقع الإلكترونية التي يزورها المستخدمون استنادًا إلى بصمات حركة المرور.

DNS المشفّر عبر HTTPS (DoH)

يوفّر Mullvad خدمة DoH عامة على dns.mullvad.net. يمكن للمستخدمين تشفير استعلامات DNS حتى بدون تشغيل VPN. تتضمن الخدمة ملفات تعريف DNS اختيارية لحجب الإعلانات وحجب المتتبعين.

خوادم ذاكرة الوصول العشوائي عديمة الأقراص

يُشغّل Mullvad أسطول خوادمه بالكامل في وضع الذاكرة العشوائية (RAM) فقط. لا توجد أقراص صلبة في الخوادم. يمسح كل إعادة تشغيل جميع البيانات كليًّا. يضمن هذا التصميم أن مصادرة الخوادم المادية لن تُسفر عن أي معلومات قابلة للاستخدام.

التوجيه متعدد المسارات (Multihop)

يمكن للمستخدمين توجيه حركة المرور عبر خادمَي VPN منفصلَين في دولتين مختلفتين. وهذا يُضيف طبقة تشفير ثانية ويفصل نقطة الدخول عن نقطة الخروج. يمكن تهيئة Multihop مباشرةً داخل التطبيق دون إعداد يدوي.

الخلاصة حول أمان Mullvad

يكسب Mullvad درجة الثقة 86/100 من خلال التصميم المعماري، لا الوعود. خوادم الذاكرة العشوائية، وإخفاء هوية الحساب، وتقارير التدقيق المنشورة، والنتيجة المُتحقق منها للمداهمة الشرطية تميّزه. يعكس السعر الثابت البالغ 5 يورو شهريًا دون فترات تجريبية أو خصومات شركةً مُركّزةً على الخدمة لا على حجم المشتركين. بالنسبة للمستخدمين الذين يُقدّمون التحقق من الخصوصية على عدد الميزات، يظل Mullvad أحد أقوى الخيارات المتاحة عبر أكثر من 700 خادم في أكثر من 50 دولة.

الأسئلة الشائعة

الكلالأمان والخصوصيةكيفية العملالتسعير

هل Mullvad آمن فعلاً للاستخدام؟

نعم. يحصل Mullvad على 86/100 في مؤشر الثقة لدينا، مدعومًا بسياسة عدم احتفاظ بالسجلات مُتحقق منها، وخوادم تعمل على الذاكرة العشوائية فقط تمسح عند كل إعادة تشغيل، وجولتين من التدقيق المستقل. فحصت Cure53 التطبيقات عام 2020 ومرة أخرى عام 2023، بينما قيّمت Assured AB البنية التحتية عام 2023. كلا العملتين لم تجد مشاكل حرجة، ونشر Mullvad التقارير الكاملة علنًا.

هل تعرّض الولاية القضائية السويدية لـ Mullvad بيانات المستخدمين نظرًا لأن السويد عضو في 14 عينًا؟

ليس عمليًا. القانون السويدي لا يفرض أي التزام إلزامي بالاحتفاظ بالبيانات على مزودي خدمات VPN، لذلك Mullvad ليس لديه شيء لتسليمه حتى إذا طلبت السلطات ذلك. صمد هذا في أبريل 2023 عندما دخلت الشرطة السويدية مكتب Mullvad في غوتنبرغ بأمر تفتيش يطلب سجلات العملاء وغادرت دون مصادرة أي شيء، لأن هذه البيانات لم تكن موجودة.

ماذا حدث خلال مداهمة الشرطة السويدية لـ Mullvad عام 2023؟

دخل ستة ضباط من الشرطة الوطنية السويدية مكتب Mullvad في غوتنبرغ في أبريل 2023 يحملون أمر تفتيش من محكمة المقاطعة يطلبون معلومات العملاء. شرح الرئيس التنفيذي لـ Mullvad أن الشركة لا تحتفظ ببيانات العملاء بالتصميم. غادر الضباط دون مصادرة المعدات أو البيانات، وهو اختبار واقعي للمطالبة بعدم الاحتفاظ بالسجلات تحت ضغط قانوني مباشر.

ماذا وجدت تدقيقات Cure53 لعام 2020 و2023 على Mullvad؟

حدّد تدقيق Cure53 عام 2020 لتطبيقات Mullvad 7 ثغرات: 2 بدرجة خطورة متوسطة و5 بدرجة خطورة منخفضة، تم تصحيحها جميعًا قبل نشر التقرير. عادت Cure53 عام 2023 لتدقيق كود التطبيق المحدّث ووجدت مشاكل أقل من الجولة الأولى. عالج Mullvad كل نتيجة ونشر كلا التقريرين الكاملين دون تحرير.

ماذا غطّى تدقيق Assured AB عام 2023؟

قيّمت Assured AB البنية التحتية لخوادم Mullvad والأنظمة الداخلية عام 2023، مراجعةً إعدادات الخادم وتطبيق التشفير وإجراءات معالجة البيانات. أكد التقييم أن بنية Mullvad التحتية تتطابق مع ادعاءاتها العلنية بعدم الاحتفاظ بالسجلات، دون اكتشاف ثغرات حرجة. بالاقتران مع تدقيقي تطبيق Cure53، خضع Mullvad الآن للتحقق المستقل من تطبيقاته وبنيتها التحتية.

كيف يعمل نظام الحساب المجهول لـ Mullvad فعليًا؟

ينشئ Mullvad رقم حساب عشوائيًا مكوّنًا من 16 رقمًا بدلاً من طلب بريد إلكتروني أو اسم أو كلمة مرور. يمكنك الدفع ببطاقة أو Bitcoin أو Monero أو نقود عبر البريد في ظرف. يزيل هذا التصميم المعلومات التعريفية الشخصية من التسجيل كليًّا، وهو جزء من سبب صمود سياسة عدم الاحتفاظ بالسجلات أثناء مداهمة الشرطة عام 2023 على مكتب Mullvad في غوتنبرغ.

ما التشفير الذي يستخدمه Mullvad، وهل هو مقاوم للحوسبة الكمية؟

يستخدم Mullvad افتراضيًا WireGuard، مع ChaCha20 للتشفير وCurve25519 لتبادل المفاتيح وBLAKE2s للتجزئة. خيار OpenVPN يستخدم AES-256-GCM مع شهادات RSA-4096. في عام 2023، أضاف Mullvad تبادل مفاتيح ما بعد الكم يضع Classic McEliece وKyber فوق WireGuard القياسي، مما يجعله أول VPN تجاري يُطلق هذا على منصات سطح المكتب.

ما المعلومات التي يجمعها Mullvad فعليًا عن حسابي؟

القليل جدًا. يتتبع Mullvad فقط عدد الاتصالات المتزامنة في الوقت الفعلي، مقتصر على 5، وينخفض إلى صفر في اللحظة التي تقطع الاتصال، ولا يُكتب أبدًا في تخزين دائم. يعالج أيضًا بيانات حِمل الخادم الإجمالية قصيرة الأمد بدون معلومات تعريفية للمستخدم. لا تُسجّل حركة المرور أو طوابع الوقت أو استعلامات DNS أو عناوين IP أبدًا.

هل يعمل مفتاح الإيقاف في Mullvad بشكل موثوق لحجب التسريبات عند انقطاع الاتصال؟

نعم. يعمل مفتاح الإيقاف في Mullvad على مستوى جدار الحماية بدلاً من مستوى التطبيق، لذلك يستمر في حجب حركة المرور حتى إذا تعطّل التطبيق نفسه. يستخدم nftables على Linux و Windows Filtering Platform على Windows وقواعد تصفية الحزم على macOS، منعًا لتسريبات IPv4 و IPv6 عبر كل تطبيق.

هل يقدم Mullvad نسخة تجريبية مجانية أو رد أموال إذا لم أكن راضيًا؟

لا، يعمل Mullvad بنموذج الدفع حسب الاستخدام دون فترة تجريبية مجانية. بدلاً من نافذة رد أموال قياسية، الأيام غير المستخدمة على رصيد حسابك قابلة للاسترجاع إذا قررت الإيقاف. يختلف هذا عن ProtonVPN و NordVPN، اللذان يدعمان الخطط المدفوعة بضمان استرجاع أموال لمدة 30 يومًا بدلاً من نموذج رد الأموال حسب التناسب.

كم عدد الأجهزة التي يمكنني تشغيلها على حساب Mullvad واحد؟

يغطي حساب Mullvad واحد 5 اتصالات متزامنة، أقل من 10 من NordVPN وضمن النطاق 1-10 الذي يوفره ProtonVPN حسب مستوى الخطة. Mullvad لا يوجد متطلب حساب لكل جهاز حيث يستخدم التسجيل فقط رقم 16 رقمي، لذلك تتصل الأجهزة بشكل مستقل دون ربطها بالهوية الشخصية.

كيف يتنافس التسعير الثابت لـ Mullvad مع ProtonVPN و NordVPN؟

يفرض Mullvad سعرًا ثابتًا واحدًا من 5.50 دولار/شهر بدون مستويات خصم طويلة الأجل، على عكس ProtonVPN (من 2.49 دولار/شهر على أطول خطة) و NordVPN (من 3.49 دولار/شهر). في الأداء، يحتل Mullvad المرتبة #7 من 22 في معمل السرعة لدينا، خلف NordVPN في المرتبة #1 لكن أمام ProtonVPN في المرتبة #12.

هل يمكنني الوصول إلى Netflix أو Disney+ بشكل موثوق عبر Mullvad؟

بشكل غير متسق. لا يبني Mullvad تقنية مخصصة للالتفاف حول حجب البث الجغرافي، لذلك المنصات الكبرى مثل Netflix و Disney+ و Prime Video غالبًا ما تُحجب تمامًا. يدعم BBC iPlayer و 9Now و Channel 4، مع نتائج متغيرة حسب الخادم. إذا كان البث الموثوق للمنصات الكبرى مهمًا جدًا، فإن مزود بتقنية بث مخصصة يكون خيارًا أفضل.

ماذا إذا حُجب Mullvad على شبكة مقيّدة أو بها جدار حماية؟

انتقل إلى إعدادات الإخفاء والـ QUIC في Mullvad، المصممة خصيصًا لإخفاء حركة مرور VPN والالتفاف حول حجب مستوى الشبكة. يمكن لتوجيه Multihop، الذي يرسل حركة المرور عبر خادمين منفصلين في دول مختلفة، أيضًا المساعدة إذا كانت نقطة خروج واحدة تُصفّى. اختبر هذه الإعدادات قبل الاعتماد على الاتصال في بيئة مقيّدة.