Je NordVPN bezpečné? Audity, šifrování a recenze soukromí

Je NordVPN bezpečné?

Ano. NordVPN používá šifrování AES-256, působí v rámci panámy vhodné jurisdikce pro ochranu soukromí a jeho aplikace a servery byly prověřeny společností Cure53. NordVPN tvrdí, že jeho zásada zákazu protokolování byla auditována společností Deloitte, ačkoli není veřejně dostupná žádná zpráva auditora. Jeden incident se serverem v roce 2018 nezpůsobil únos žádných údajů uživatelů. NordVPN reagoval migrací celé své infrastruktury na servery pouze s pamětí RAM, což výrazně posílilo jeho bezpečnostní postavení.

Tato stránka se zabývá bezpečností do hloubky. Celkový přehled výkonu služby a cen najdete v našem recenzi NordVPN.

Incident se serverem z roku 2018: Co se skutečně stalo

V březnu 2018 získala neoprávněná osoba přístup k jednomu serveru NordVPN ve Finsku. Útočník zneužil nástroj pro vzdálenou správu, který ponechal aktivní poskytovatel datového centra. NordVPN tento nástroj nenainstaloval. Datové centrum to udělalo bez upozornění NordVPN.

Útočník získal přístup k samotnému serveru. Nezískal přístup k přihlašovacím údajům uživatelů, aktivitě prohlížení ani informacím o účtu. Server neobsahoval žádné protokoly aktivit, protože politika bez záznamů NordVPN znamenala, že neexistovaly žádné, které by bylo možné ukrást.

NordVPN objevil porušení během interního auditu a veřejně jej zveřejnil v říjnu 2019. Zpoždění si vyžádalo kritiku. Společnost uznal mezeru a použil ji jako katalizátor pro rozsáhlé změny infrastruktury.

Jak NordVPN zareagoval

NordVPN okamžitě ukončil smlouvu s finským datovým centrem. Poté společnost spustila tři velké iniciativy:

Migrace serveru pouze v paměti RAM. NordVPN přesunul celou svou síť na servery bez disku (pouze RAM). Tyto servery nemohou data ukládat trvale. Každý restart všechno smaže. Fyzické zadržení serveru nepřinese nic užitečného.

Program bug bounty. NordVPN partnerství s HackerOne, aby nezávislí bezpečnostní výzkumníci mohli nepřetržitě testovat jeho systémy. Výzkumníci získávají odměny za objevení zranitelností před útočníky.

Program nezávislých auditů. NordVPN tvrdí, že se zavázala k pravidelným bezpečnostním auditům třetích stran. Tím vznikla trvalá externí odpovědnost namísto jednorázového ujištění.

Incident z roku 2018 se týkal jednoho serveru z tisíců. Neunikla žádná data uživatelů. Ale NordVPN si s tím zacházel jako s důvodem k přestavbě celé infrastruktury od základů. Ta odpověď je důležitější než samotný incident.

Časová osa auditů NordVPN

Důvěra v bez ověření neznačí nic. NordVPN zveřejnila bezpečnostní posudky od Cure53 a tvrdí, že si objednala zapojení zajišťující audit zásad bez logů.

Bezpečnostní posouzení Cure53

Cure53[1], berlínská bezpečnostní společnost, několikrát prověřila NordVPN. Její přezkum desktopových a mobilních aplikací a doplňků z července-srpna 2022 (zpráva z 22. února 2023) identifikoval 22 zjištění, z nichž 6 bylo zranitelností, včetně 1 kritické (eskalace oprávnění root na Linuxu). Její přezkum serverů a infrastruktury ze září-října 2022 (zpráva z 5. února 2023) identifikoval 11 zjištění a 1 zranitelnost a dospěl k závěru, že servery vykazují relativně stabilní bezpečnostní základ. Její přezkum aplikací, rozšíření prohlížeče a funkcí ze středu roku 2024 (zpráva z 17. prosince 2024) identifikoval 31 problémů, z nichž 22 bylo zranitelností a 4 vysoké, bez kritických zjištění.

Závaznos Angažmá NordVPN Bez Záznamů

NordVPN tvrdí, že si objednala závazná angažmá bez záznamů od společnosti PwC (2018 a 2020) a Deloitte (2022 až 2025). Tato angažmá si objednala NordVPN, a my jsme nemohli najít veřejně dostupnou zprávu auditorů, proto s nimi zacházejte jako s vlastním vysvětlením NordVPN. NordVPN je popisuje na své stránce auditu bez záznamů[2].

Závěr: Infrastruktura serverů NordVPN funguje v souladu s jeho politikou bez záznamů. Společnost neukládá časové razítka připojení, doby relace, IP adresy, data o prohlížení ani využití šířky pásma.

Probíhající transparentnost

NordVPN zveřejňuje pravidelné zprávy o transparentnosti[3] podrobně popisující vládní požadavky na data. Tyto zprávy konzistentně ukazují stejný výsledek: NordVPN nemá žádná data k předání. Zprávy také pokrývají žádosti o stažení, stav vlajky Canary a ohlášení o národní bezpečnosti.

Panamská jurisdikce chrání soukromí uživatele

Mateřská společnost NordVPN, Tefincom S.A., funguje v panamském právu. To má smysl ze tří konkrétních důvodů.

Žádná povinná retenční lhůta údajů. Panama nemá zákony vyžadující, aby poskytovatelé VPN ukládali aktivitu uživatelů nebo data připojení. Mnoho evropských a severoamerických zemí vyžaduje retenční období 6 až 24 měsíců. Panama ne.

Mimo aliance pro sdílení zpravodajství. Panama se nachází mimo dohody Five Eyes, Nine Eyes a Fourteen Eyes. Tyto aliance sdílejí zpravodajské údaje mezi členskými státy. VPN sídlící v USA, Velké Británii, Kanadě nebo Austrálii čelí možnosti nátlakového zveřejnění. NordVPN ne.

Praktický účinek na žádosti o data. Zahraniční orgány činnými v trestním řízení nemohou prostřednictvím vlastních právních systémů nutit panamskou společnost, aby produkovala záznamy. Musí pracovat prostřednictvím panamských soudů. I pak NordVPN neudržuje žádné protokoly k vytvoření. Jurisdikce přidává strukturální překážku na vrcholu technické.

Šifrování AES-256 a možnosti protokolu

NordVPN šifruje veškerý provoz pomocí AES-256. Toto je stejný standard šifrování, který americká vláda používá pro klasifikované informace. Žádný známý útok nemůže hrubě vynutit AES-256 v nějakém praktickém časovém rámci. Současné odhady naznačují, že by trvalo miliardy let se stávajícím výpočetním výkonem.

Protokol NordLynx

NordLynx je výchozím protokolem NordVPN. Staví na WireGuardu, který poskytuje vysoké rychlosti díky štíhlému kódovému stavu 4 000 řádků. WireGuard sám má omezení soukromí: vyžaduje ukládání statických IP adres na serveru.

NordVPN to vyřešil systémem dvojitého NAT (Network Address Translation). Dvojitý NAT přiřadí každé relaci dynamickou adresu rozhraní. Když skončí relace, adresa zmizí. To poskytuje zisky rychlosti WireGuardu bez jeho kompromisu soukromí.

NordLynx je postaven na WireGuardu, který si udržuje nízkou režii protokolu; skutečné rychlosti závisí na vaší připojení a vzdálenosti serveru. Protokol zvládá streamování, hraní her a velké stahování bez úzkých míst.

OpenVPN

OpenVPN zůstává dostupný pro uživatele, kteří preferují vyzkoušený protokol. Běží přes TCP i UDP. TCP zajišťuje spolehlivost pro omezující sítě. UDP poskytuje rychlejší rychlosti pro obecné použití. Otevřený zdrojový kód OpenVPN byl rozsáhle auditován bezpečnostní komunitou po dobu dvou dekád.

IKEv2/IPsec

IKEv2/IPsec dobře funguje na mobilních zařízeních. Rychle se znovu připojuje při přepínání mezi sítěmi Wi-Fi a mobilními sítěmi. NordVPN jej spáruje se šifrováním AES-256. Tento protokol je vhodný pro uživatele, kteří se pohybují mezi sítěmi často.

Kill Switch zabraňuje úniku dat během poklesů

Připojení VPN se mohou přerušit. Když se to stane, nechráněný provoz se může dostat do vašeho ISP. Kill switch NordVPN to brání.

Kill switch neustále monitoruje vaše připojení VPN. Pokud se tunel přeruší, okamžitě zablokuje veškerý internetový provoz. Žádná data neopustí vaše zařízení, dokud se VPN znovu nepřipojí. NordVPN nabízí dva režimy kill switche:

Kill switch na úrovni aplikace. Toto blokuje přístup na internet pro konkrétní aplikace, když se VPN odpojí. Ostatní aplikace pracují normálně.

Kill switch na úrovni systému. Toto blokuje veškerý internetový provoz na úrovni zařízení. Nic se bez VPN neobejde. Toto je bezpečnější možnost pro úkoly kritické pro soukromí.

Ochrana DNS úniku udržuje dotazy soukromé

Požadavky DNS překládají názvy domén na IP adresy. Bez ochrany se tyto požadavky mohou dostat k vašemu ISP i při připojení k VPN. NordVPN směruje všechny dotazy DNS přes své vlastní šifrované DNS servery.

To brání vašemu ISP v tom, aby viděl, které weby navštěvujete. Také blokuje poskytovatelům DNS třetích stran v zaznamenávání vašich vzorců prohlížení. Nezávislé testy úniku DNS konzistentně potvrzují, že ochrana NordVPN funguje podle propagace.

Ochrana hrozeb blokuje malware a trackery

Ochrana hrozeb funguje na síťové úrovni. Blokuje známé škodlivé domény, než se načtou. Odstraňuje parametry sledování z adres URL. Identifikuje a zastavuje stahování malwaru.

Ochrana hrozeb funguje i když nejste připojeni k serveru VPN. Funguje jako samostatná bezpečnostní vrstva na podporovaných platformách. AV-TEST, nezávislý bezpečnostní institut, certifikoval schopnosti blokování malwaru Threat Protection.

Tato funkce skenuje soubory během stahování. Kontroluje adresy URL proti neustále aktualizovaným databázím hrozeb. Blokuje obtěžující reklamy, které často slouží jako vektory doručování malwaru.

Reference

1. Nordvpn. b.d. Cure53. https://nordvpn.com/blog/cure53-latest-security-assessment/.
2. Nordvpn. b.d. stránce auditu bez záznamů. https://nordvpn.com/blog/nordvpn-audit/.
3. Nordvpn. b.d. zprávy o transparentnosti. https://nordvpn.com/blog/nordvpn-transparency-report/.

Zdroje pro tuto stránku

Grafy a referenční obrázky z našeho výzkumu, zdarma k zobrazení a sdílení.

• 

• Is NordVPN Safe? Audits, Encryption & Privacy ReviewPDF · 1.3 MB

Často kladené otázky

VšeBezpečnost a soukromíJak to fungujeCenyNastavení a podpora

Je NordVPN skutečně bezpečný k použití?

Ano. NordVPN šifruje přenosy pomocí AES-256, působí pod panamskou jurisdikcí bez povinnosti uchovávat data a měly jeho aplikace a infrastrukturu posouzeny společností Cure53, přičemž říká, že Deloitte auditovala jeho zásadu bez záznamů. Jedinou bezpečnostní incidentem byla jediná porušení serveru ve Finsku v roce 2018, které neodhalilo žádné přihlašovací údaje nebo údaje o prohlížení uživatelů, protože nebyly uchovány žádné záznamy k ukradení.

Co se přesně stalo v porušení NordVPN z roku 2018 a mělo by vás to znepokojovat nyní?

Útočník zneužil nástroj pro vzdálenou správu, který finské datové centrum ponechal aktivní bez vědomí NordVPN, získal přístup k jednomu serveru z tisíců bez přihlašovacích údajů uživatelů, protokolů prohlížení nebo údajů o účtu. NordVPN jej zveřejnil v říjnu 2019, poté migroval celou svou síť na servery pouze RAM, přidal HackerOne bug bounty a zavázal se k opakujícím se auditům třetích stran.

Které nezávislé firmy auditovaly zabezpečení NordVPN?

NordVPN zveřejnila tři posudky od Cure53: aplikace a doplňky (zpráva z února 2023), servery a infrastruktura (únor 2023) a aplikace, rozšíření a funkce (prosinec 2024). Odděleně NordVPN uvádí, že si objednala posouzení zásad bez logů od PwC a Deloitte, ale nepodařilo se nám najít veřejně dostupnou zprávu auditora.

Proč NordVPN funguje z Panamy a jakou ochranu tato jurisdikce vlastně poskytuje?

Mateřská společnost NordVPN, Tefincom S.A., sídlí v Panamě konkrétně proto, že země nemá zákony nařizující povinné uchovávání údajů a nachází se mimo aliance sdílení zpravodajských informací Five Eyes, Nine Eyes a Fourteen Eyes. Orgány činné v trestním řízení ze zahraničí musí požádat panamské soudy, aby si vynutil přístup k záznamům, a i pak NordVPN tvrdí, že nemá žádné záznamy k předání.

Jaké šifrování NordVPN používá a lze jej realisticky prolomit?

NordVPN používá AES-256, stejný standard, který americká vláda aplikuje na klasifikované informace, na všech svých protokolech. Žádná známá metoda nemůže hrubě vynutit AES-256 v praktickém časovém rámci. Současné odhady dávají pokus o hrubou sílu na miliardy let, i se stávajícím výpočetním výkonem, což činí šifrování samo o sobě fakticky nerozborné s dnešní technologií.

Co je NordLynx a jak řeší hlavní soukromí vady WireGuard?

NordLynx je výchozím protokolem NordVPN, postaveným na štíhlém kódovém stavu WireGuard pro rychlost, ale upravený tak, aby vyřešil základní slabinu WireGuard: nutnost uložení statické IP adresy na uživatele na serveru. Systém dvojitého NAT NordVPN přiřadí každé relaci dočasnou adresu, která zmizí při odpojení, což poskytuje výkon WireGuard bez ponechání trvalého identifikátoru.

Jak přesně kill switch NordVPN zastavuje úniky dat, když se připojení přeruší?

Kill switch NordVPN neustále monitoruje tunel VPN a blokuje veškerý internetový provoz v okamžiku jeho výpadku, takže nic neopustí vaše zařízení nechráněné, dokud se připojení neobnoví. Nabízí režim na úrovni aplikace, který blokuje pouze vybrané aplikace, a režim na úrovni systému, který blokuje veškerý provoz zařízení, přísnější možnost pro relace kritické pro soukromí, jako je manipulace s finančními údaji.

Chrání NordVPN před úniky DNS, které by mohly vyzradit vašeho poskytovatele internetu, které weby navštěvujete?

Ano. NordVPN směruje všechny DNS dotazy přes své vlastní šifrované DNS servery místo výchozího resolveru poskytovatele internetu, což zabrání vašemu poskytovateli a službám třetích stran v záznamech, které weby navštěvujete. Ověřit to můžete spuštěním testu úniku DNS během připojení.

Co blokuje Threat Protection NordVPN a funguje bez připojení VPN?

Threat Protection blokuje známé škodlivé domény, než se načtou, odstraňuje parametry sledování z adres URL a skenuje stažené soubory na malware, vše na úrovni sítě. Funguje jako samostatná bezpečnostní vrstva i když nejste připojeni k serveru VPN. AV-TEST, nezávislý bezpečnostní institut, certifikoval jeho schopnost blokování malwaru.

Jak se bezpečnost NordVPN srovnává s ExpressVPN a ProtonVPN při podobné ceně?

Všechny tři služby začínají přibližně stejnou cenou (NordVPN od $3.49/měsíc, ExpressVPN od $2.99/měsíc, ProtonVPN od $3.49/měsíc) a nabízejí 30denní záruku vrácení peněz, ale hloubka auditů se liší. Hodnocení bezpečnosti NordVPN od společnosti Cure53 se řadí po boku zprávy o ujištění KPMG a auditů Cure53 od ExpressVPN, a ProtonVPN, který operuje pod švýcarskou jurisdikcí a tvrdí, že jeho zásadu no-logs ověřila společnost Securitum. NordVPN se řadí na #1 z 22 v našem Speed Lab, agregováno z publikovaných testů třetích stran; ExpressVPN se řadí na #8, ProtonVPN na #12.

Existuje způsob, jak otestovat tvrzení NordVPN o bezpečnosti bez rizika před závazkem?

Ano. NordVPN podporuje každý plán 30denní zárukou vrácení peněz, která vám dává celý měsíc k testování kill switche, ochrany před únikem DNS a Threat Protection samotného, než se rozhodnete. Pokud bezpečnostní funkce NordVPN v tomto okně neudrží účinnost vašeho vlastního zkoumání, můžete požádat o vrácení bez dlouhodobého závazku.

Oslabuje zabezpečení více zařízení v jednom účtu NordVPN ochranu soukromí?

Ne. Jeden účet NordVPN pokrývá 10 simultánních připojení zařízení a každé připojení provozuje stejné šifrování AES-256, kill switch a ochranu před únikem DNS nezávisle. Přidávání zařízení nesnižuje bezpečnost, protože zásada bez protokolování NordVPN se aplikuje jednotně na všechna připojená zařízení spíše než aby zvyšovala riziko s počtem zařízení.

Jak mohu potvrdit, že kill switch NordVPN mě skutečně chrání, než na něj budu spoléhat?

Připojte se k serveru NordVPN a poté náhle odpojte Wi-Fi nebo vytáhněte ethernet uprostřed relace a vnoťte pokles. Fungující kill switch okamžitě přeruší veškerý internetový provoz spíše než se vrátí k vašemu nechráněnému připojení. Kill switch NordVPN na úrovni systému blokuje veškerý provoz zařízení, zatímco verze na úrovni aplikace omezuje pouze vybrané aplikace, takže otestujte podle toho, kterou režim plánujete podporovat.

Co byste měli dělat, pokud se obáváte opakování incidentu se serverem NordVPN ze stylu roku 2018?

Na vaší straně je potřeba málo opatření, protože odpověď NordVPN řešila základní příčiny: migroval celou svou síť na servery pouze RAM, které smaž data při každém restartu, přidal HackerOne bug bounty pro nepřetržité testování zranitelností a zavázal se k opakujícím se auditům třetích stran. Pokud jste znepokojen, zkontrolujte zveřejněné zprávy o transparentnosti NordVPN, které ukazují žádná data k předání.