آیا NordVPN امن است؟ حسابرسیها، رمزنگاری و بررسی حریمخصوصی
آیا NordVPN امن است؟ نتایج حسابرسی مستقل، حادثه سرور سال 2018، تجزیه و تحلیل صلاحیت پانامایی، پروتکلهای رمزنگاری و آزمایش کیلسوئیچ.
امنترین VPNها
آیا NordVPN امن است؟
بله. NordVPN از رمزنگاری AES-256 استفاده میکند، تحت صلاحیت حریمخصوصی دوستانه پانامایی فعالیت دارد، و از چندین حسابرسی مستقل از جمله تأیید کامل بدونگزارش توسط Deloitte عبور کرده است. یک حادثه سرور منفرد در سال 2018 هیچ دادهای از کاربر را نشتنداد. NordVPN با انتقال کل زیرساخت خود به سرورهای فقطحافظهای RAM، وضعیت امنیتی خود را به میزان قابلتوجهی تقویت کرد.
این صفحه امنیت را بهطور عمیق پوشش میدهد. برای عملکرد و قیمتگذاری کلی سرویس، بررسی NordVPN ما را ببینید.
حادثه سرور 2018: واقعاً چه اتفاقی افتاد
در مارس 2018، یک طرف غیرمجاز به یک سرور NordVPN در فنلاند دسترسی پیدا کرد. مهاجم از یک ابزار مدیریت راهدوری استفاده کرد که توسط ارائهدهنده مرکز داده فعال گذاشته شده بود. NordVPN این ابزار را نصب نکرده بود. مرکز داده آن را بدون اطلاع NordVPN نصب کرده بود.
مهاجم به خود سرور دسترسی پیدا کرد. آنها به اعتبارات کاربر، فعالیت مرور یا اطلاعات حساب دسترسی نداشتند. سرور هیچ گزارش فعالیتی نداشت زیرا سیاست بدونگزارش NordVPN به این معنی بود که چیزی برای دزدی وجود ندارد.
NordVPN حادثه را در طول حسابرسی داخلی کشف کرد و آن را در اکتبر 2019 بهصورت عمومی فاش کرد. تأخیر انتقاد برانگیخت. شرکت این شکاف را پذیرفت و آن را بهعنوان محرکی برای تغییرات گسترده زیرساخت استفاده کرد.
NordVPN چگونه پاسخ داد
NordVPN فوراً قرارداد خود با مرکز داده فنلاندی را فسخ کرد. سپس شرکت سه ابتکار بزرگ را راهاندازی کرد:
انتقال سرور فقطRAM. NordVPN کل شبکه خود را به سرورهای بدوندیسک (فقطRAM) منتقل کرد. این سرورها نمیتوانند دادهها را بهطور دائمی ذخیره کنند. هر بوتمجدد همه چیز را حذف میکند. حتی تصرف فیزیکی سرور چیزی مفید نمیدهد.
برنامه جایزه اشکالات. NordVPN با HackerOne در ارتباط گرفت تا محققان امنیت مستقل بتوانند بهطور مستمر سیستمهای آن را بررسی کنند. محققان برای کشف آسیبپذیریها قبل از اینکه مهاجمان آن را کنند، پاداش میگیرند.
برنامه حسابرسی مستقل. NordVPN متعهد به حسابرسیهای امنیتی منظم شخص ثالث شد. این مسئولیت خارجی مستمر را بهجای اطمینان یکباره ایجاد کرد.
حادثه 2018 یک سرور از هزاران را تحتتأثیر قرار داد. هیچ داده کاربر نشتنشد. اما NordVPN آن را دلیلی برای بازسازی زیرساخت خود از پایهریزی بهبالا در نظر گرفت. این پاسخ بیشتر از خود حادثه اهمیت دارد.
جدول زمانی حسابرسی NordVPN
ادعاهای اعتماد بدون تأیید معنی ندارند. NordVPN خود را در معرض چندین حسابرسی مستقل توسط شرکتهای مشهور حفاظتسایبر قرار داده است.
حسابرسی امنیت برنامه VerSprite
VerSprite یک ارزیابی امنیتی از برنامههای NordVPN انجام داد. حسابرسی کلاینتهای VPN را برای آسیبپذیریها، نقاط ضعف کد و بردارهای حمله احتمالی بررسی کرد. VerSprite مسائل معمول نرمافزار پیچیده را پیدا کرد. NordVPN آنها را رفع کرد. این فرآیند یک خطمبنا برای آزمایش امنیت برنامه مستمر ایجاد کرد.
ارزیابی زیرساخت Cure53
Cure53[1]، یک شرکت امنیتی مستقر در برلین، حسابرسی در سطح زیرساخت انجام داد. تیم آنها پیکربندی سرور، معماری شبکه و سیستمهای پایانی NordVPN را بررسی کردند. Cure53 مناطقی برای بهبود شناسایی کرد و تأیید کرد که زیرساخت اصلی بهطور ایمن کار میکند. NordVPN نتایج را بهصورت عمومی منتشر کرد.
تأیید بدونگزارش Deloitte (2022)
این حسابرسی برای کاربران متمرکز بر حریمخصوصی بیشترین وزن دارد. Deloitte، یکی از شرکتهای بزرگ چهار، یک بررسی کامل از ادعاهای بدونگزارش NordVPN انجام داد. Deloitte پیکربندی سرور، کنترلهای فنی و کارکنان را بررسی کرد. NordVPN یافتههای حسابرسی Deloitte[2] را بهصورت عمومی منتشر کرد.
نتیجه: زیرساخت سرور NordVPN مطابق با سیاست بدونگزارش کار میکند. شرکت زمانبندی اتصال، مدت جلسه، آدرسهای IP، دادههای مرور یا میزان استفاده پهنایباند را ذخیره نمیکند.
شفافیت مستمر
NordVPN گزارشهای شفافیت[3] منظمی منتشر میکند که درخواستهای داده دولتی را شرح میدهد. این گزارشها بهطور مداوم نتیجه یکسانی را نشان میدهند: NordVPN هیچ دادهای برای تحویل ندارد. گزارشها همچنین پذیرش درخواستها، وضعیت شمع نگهبان و نامههای امنیت ملی را پوشش میدهند.
صلاحیت پانامایی حریمخصوصی کاربر را محافظت میکند
شرکت مادر NordVPN، Tefincom S.A.، تحت قانون پانامایی فعالیت میکند. این برای سه دلیل عملی اهمیت دارد.
بدون نگهداری داده اجباری. پانام هیچ قانونی ندارد که مجبر کند ارائهدهندگان VPN فعالیت کاربر یا داده اتصال را ذخیره کنند. بسیاری از کشورهای اروپایی و آمریکای شمالی دورههای نگهداری 6 تا 24 ماهه را اجباری میکنند. پانام اینطور نیست.
خارج از اتحادیههای اشتراکگذاری اطلاعات. پانام خارج از اتحادیههای نظارت Five Eyes، Nine Eyes و Fourteen Eyes است. این اتحادیهها دادههای اطلاعاتی را بین کشورهای عضو بهاشتراک میگذارند. یک VPN مستقر در ایالاتمتحده، بریتانیا، کانادا یا استرالیا با احتمال فاشکردن اجباری روبرو است. NordVPN اینطور نیست.
اثر عملی در درخواستهای داده. نیروهای اجرای قانون خارجی نمیتوانند شرکت پانامایی را از طریق سیستمهای حقوقی خود مجبور به تولید سوابق کنند. آنها باید از طریق دادگاههای پانامایی کار کنند. حتی در آنصورت، NordVPN هیچ گزارشی برای تولید ندارد. صلاحیت یک مانع ساختاری را در کنار موانع فنی اضافه میکند.
رمزنگاری AES-256 و گزینههای پروتکل
NordVPN تمام ترافیک را با AES-256 رمزنگاری میکند. این همان استاندارد رمزنگاریای است که دولت ایالاتمتحده برای اطلاعات محرمانه استفاده میکند. هیچ حمله معروفی نمیتواند AES-256 را در هیچ بازهای عملی brute-force کند. برآوردهای فعلی نشان میدهد که با قدرت محاسباتی موجود میلیاردها سال طول میکشد.
پروتکل NordLynx
NordLynx پروتکل پیشفرض NordVPN است. بر اساس WireGuard ساخته شده است، که سرعتهای بالا را از طریق یک codebase 4000 خطی کم انجام میدهد. WireGuard تنهایی محدودیت حریمخصوصی دارد: نیاز به ذخیره آدرسهای IP ایستا روی سرور دارد.
NordVPN این را با سیستم NAT دوگانه (ترجمه آدرس شبکه) حل کرد. NAT دوگانه یک آدرس رابط پویا به هر جلسه اختصاص میدهد. وقتی جلسه پایانیابد، آدرس ناپدید میشود. این سرعت WireGuard را بدون مبادله حریمخصوصی آن تحویل میدهد.
معیارهای عملکرد نشان میدهند که NordLynx سرعتهای بالاتر از 730 Mbps در اتصالهای gigabit میرسد. تأخیر پایین میماند. پروتکل streaming، بازیها و دانلودهای بزرگ را بدون تنگناهای بهرهوری انجام میدهد.
OpenVPN
OpenVPN برای کاربرانی که یک پروتکل آزمایششده ترجیح میدهند در دسترس است. هم از TCP و هم UDP اجرا میشود. TCP قابلیت اطمینان برای شبکههای محدود فراهم میکند. UDP برای استفاده عمومی سرعتهای بیشتری تحویل میدهد. codebase منبعباز OpenVPN توسط جامعه امنیتی در دو دهه بسیار حسابرسی شده است.
IKEv2/IPsec
IKEv2/IPsec بر روی دستگاههای موبایل خوب کار میکند. هنگام تبدیل بین شبکههای Wi-Fi و سلولی دوبارهاتصال سریع میشود. NordVPN آن را با رمزنگاری AES-256 جفت میکند. این پروتکل برای کاربرانی که بین شبکهها حرکت میکنند مناسب است.
کیلسوئیچ از نشتهای داده در طول قطعها جلوگیری میکند
اتصالات VPN میتوانند قطع شوند. وقتی این اتفاق میافتد، ترافیک محافظتنشده میتواند به ISP شما فرار کند. کیلسوئیچ NordVPN این را جلوگیری میکند.
کیلسوئیچ اتصال VPN را بهطور مستمر نظارت میکند. اگر تونل قطعشود، تمام ترافیک اینترنت را فوراً مسدود میکند. هیچ دادهای تا زمان اتصال مجدد VPN از دستگاه شما بیرون نمیرود. NordVPN دو حالت کیلسوئیچ ارائه میدهد:
کیلسوئیچ سطح برنامه. این دسترسی اینترنت برای برنامههای خاص هنگام قطع VPN را مسدود میکند. برنامههای دیگر بهطور نرمال ادامه مییابند.
کیلسوئیچ سطح سیستم. این تمام ترافیک اینترنت در سراسر دستگاه را مسدود میکند. بدون VPN چیزی عبور نمیکند. این گزینه امنتر برای وظایف حساس حریمخصوصی است.
حفاظت از نشت DNS درخواستهای شما را خصوصی نگه میدارد
درخواستهای DNS نامهای دامنه را به آدرسهای IP تبدیل میکنند. بدون حفاظت، این درخواستها میتوانند حتی در اتصال VPN نیز به ISP شما نشت کنند. NordVPN تمام درخواستهای DNS را از طریق سرورهای DNS رمزنگاریشده خود هدایت میکند.
این از ISP شما جلوگیری میکند تا ببیند کدام وبسایتها را بازدید میکنید. همچنین جلوگیری میکند ارائهدهندگان DNS شخص ثالث از ثبت الگوهای مرور شما. آزمایشهای مستقل نشت DNS بهطور مداوم تأیید میکنند که حفاظت NordVPN همانطور که تبلیغ میشود کار میکند.
حفاظت تهدید بدافزار و ردگیرها را مسدود میکند
حفاظت تهدید در سطح شبکه کار میکند. دامنههای مخرب معروف را قبل از بارگذاری مسدود میکند. پارامترهای ردگیری را از URL حذف میکند. دانلودهای بدافزار را شناسایی و متوقف میکند.
حفاظت تهدید حتی زمانی کار میکند که متصل به سرور VPN نباشید. بهعنوان یک لایه امنیتی مستقل روی سیستمهای پشتیبانیشده کار میکند. AV-TEST، یک موسسه امنیتی مستقل، قابلیتهای مسدودسازی بدافزار حفاظت تهدید را تأیید کرده است.
ویژگی فایلها را در طول دانلود اسکن میکند. URL را در برابر پایگاههای داده تهدید بهروزشده مدام بررسی میکند. تبلیغات مزاحم را که اغلب بهعنوان بردار تحویل بدافزار کار میکنند مسدود میکند.
Sources
سوالات پرتکرار
آیا NordVPN واقعاً برای استفاده امن است؟
بله. NordVPN ترافیک را با AES-256 رمزنگاری میکند، تحت صلاحیت پانامایی بدون نگهداری داده فعالیت میکند، و از حسابرسیهای مستقل VerSprite، Cure53 و تأیید بدونگزارش 2022 Deloitte عبور کرده است. تنها حادثه امنیتی آن، یک سرور تنهایی در فنلاند در سال 2018، صفر اعتبارات کاربر یا دادههای مرور را نشتداد زیرا هیچ گزارشی برای دزدی وجود نداشت.
دقیقاً در نقض سال 2018 NordVPN چه اتفاقی افتاد و آیا باید اکنون نگران باشید؟
یک مهاجم از ابزار مدیریت راهدور استفاده کرد که مرکز داده فنلاندی بدون اطلاع NordVPN فعال گذاشت و به یک سرور از هزاران دسترسی پیدا کرد که روی آن هیچ اعتبارات کاربری، گزارشهای مرور یا دادههای حساب نبود. NordVPN آن را در اکتبر 2019 فاش کرد، سپس کل شبکه خود را به سرورهای فقطRAM منتقل کرد، یک جایزه اشکال HackerOne اضافه کرد و خود را به حسابرسیهای شخص ثالث مکرر متعهد کرد.
کدام شرکتهای مستقل ادعاهای حسابرسی امنیتی و بدونگزارش NordVPN را بررسی کردهاند؟
تاکنون سه شرکت. VerSprite برنامههای NordVPN را برای آسیبپذیریهای کد و بردارهای حمله ارزیابی کرد، Cure53 پیکربندی سرور و زیرساخت پایانی را حسابرسی کرد، و Deloitte یک تأیید کامل بدونگزارش 2022 انجام داد که تأیید میکند NordVPN هیچ زمانبندی اتصال، آدرسهای IP، مدت جلسه یا دادههای پهنایباند ذخیره نمیکند. تمام نتایج بهصورت عمومی در سایت NordVPN منتشر شدهاند.
NordVPN چرا از پانام فعالیت میکند و آن صلاحیت واقعاً چه محافظتی فراهم میکند؟
شرکت مادر NordVPN، Tefincom S.A.، به خصوص از پانام است زیرا آن کشور هیچ قانون نگهداری اجباری داده ندارد و خارج از اتحادیههای اشتراکگذاری اطلاعات Five Eyes، Nine Eyes و Fourteen Eyes است. اجرای قانون خارجی باید از طریق دادگاههای پانامایی درخواست کند، و حتی در آنصورت NordVPN مطابق سیاست بدونگزارش تأییدشده توسط Deloitte هیچ گزارشی برای تحویل ندارد.
NordVPN از چه رمزنگاری استفاده میکند و آیا واقعاً میتواند شکسته شود؟
NordVPN در تمام پروتکلهای خود از AES-256 استفاده میکند، همان استانداردی که دولت ایالاتمتحده برای اطلاعات محرمانه اعمال میکند. هیچ روش شناختهشدهای نمیتواند AES-256 را در یک بازهی عملی brute-force کند. برآوردهای فعلی یک تلاش brute-force را حتی با قدرت محاسباتی مدرن در میلیاردها سال قرار میدهد و رمزنگاری را خود بهطور موثر با فناوری امروزی غیرقابل شکستن میسازد.
NordLynx چیست و چگونه نقص اصلی حریمخصوصی WireGuard را حل میکند؟
NordLynx پروتکل پیشفرض NordVPN است که بر روی codebase کم WireGuard برای سرعت ساخته شده است اما برای حل نقطه ضعف اصلی WireGuard اصلاح شده است: نیاز به ذخیره یک آدرس IP ایستا برای هر کاربر روی سرور. سیستم NAT دوگانه NordVPN به هر جلسه یک آدرس موقتی اختصاص میدهد که در قطع اتصال ناپدید میشود و عملکرد WireGuard را بدون رهگذاری شناسه پایدار بهعقب رها نمیکند.
کیلسوئیچ NordVPN چگونه از نشتهای داده زمانیکه اتصال قطع شود جلوگیری میکند؟
کیلسوئیچ NordVPN تونل VPN را بهطور مستمر نظارت میکند و تمام ترافیک اینترنت را در لحظه قطع آن مسدود میکند تا هیچ چیز از دستگاه شما بدون حفاظت بیرون نرود تا اتصال بازیابی شود. حالت سطح برنامه را ارائه میدهد که فقط برنامههای انتخابشده را مسدود میکند و حالت سطح سیستم را مسدود میکند که تمام ترافیک دستگاه را مسدود میکند و گزینه سختگیرانهتر برای جلسات حساس حریمخصوصی مانند مدیریت دادههای مالی است.
آیا NordVPN در برابر نشتهای DNS که میتواند مرور شما را به ISP شما فاش کند محافظت میکند؟
بله. NordVPN تمام درخواستهای DNS را از طریق سرورهای DNS رمزنگاریشده خود بهجای resolver پیشفرض ISP شما هدایت میکند که جلوگیری میکند ارائهدهنده یا خدمات DNS شخص ثالث از ثبت وبسایتهایی که بازدید میکنید. آزمایشهای DNS leak مستقل منتشرشده در اسناد امنیتی NordVPN تأیید میکند که این حفاظت بدون نشتی در طول آزمایش کار میکند.
حفاظت تهدید NordVPN چه چیزها را مسدود میکند و آیا بدون VPN متصل کار میکند؟
حفاظت تهدید دامنههای مخرب شناختهشده را قبل از بارگذاری مسدود میکند، پارامترهای ردگیری را از URL حذف میکند و فایلهای دانلودشده را برای بدافزار اسکن میکند، همه در سطح شبکه. حتی زمانی که متصل به سرور VPN نیستید بهعنوان یک لایه امنیتی مستقل روی سیستمهای پشتیبانیشده کار میکند. AV-TEST، یک موسسه امنیتی مستقل، قابلیت مسدودسازی بدافزار آن را تأیید کرده است.
امنیت NordVPN در برابر ExpressVPN و ProtonVPN با قیمت مشابه چگونه است؟
هر سه نزدیک به نقطه قیمت یکسان شروع میشوند (NordVPN و ExpressVPN از 3.49 دلار/ماه، ProtonVPN از 2.49 دلار/ماه) و تضمین بازگشت پول 30 روزه را دارند، اما عمق حسابرسی متفاوت است. تأیید بدونگزارش Deloitte و حسابرسی زیرساخت Cure53 NordVPN در کنار حسابرسیهای PwC و Cure53 ExpressVPN و حسابرسی Securitum ProtonVPN تحت صلاحیت سوئیسی قرار دارد. NordVPN در بین 22 VPN در Speed Lab ما رتبه #1 دارد، از آزمایشگاههای مستقل جمعآوری شده است؛ ExpressVPN رتبه #8، ProtonVPN رتبه #12 است.
آیا راهی برای آزمایش ادعاهای امنیتی NordVPN بدون ریسک قبل از تعهد وجود دارد؟
بله. NordVPN هر طرح را با تضمین بازگشت پول 30 روزه پشتیبانی میکند و یک ماه کامل برای آزمایش کیلسوئیچ، حفاظت از نشت DNS و حفاظت تهدید را برای خود قبل از تصمیمگیری فراهم میکند. اگر ویژگیهای امنیتی NordVPN تحت بررسی خود در آن پنجره 30 روزه عمل نکند، میتوانید بازپرداخت بدون تعهد درازمدت درخواست کنید.
آیا تامین امن کردن دستگاههای متعدد تحت یک حساب NordVPN حفاظت حریمخصوصی را تضعیف میکند؟
خیر. یک حساب NordVPN تک 10 اتصال دستگاه همزمان را پوشش میدهد و هر اتصال رمزنگاری AES-256 یکسان، کیلسوئیچ و حفاظت از نشت DNS را بهصورت مستقل اجرا میکند. اضافه کردن دستگاهها امنیت را تضعیف نمیکند زیرا سیاست بدونگزارش NordVPN تأییدشده توسط Deloitte 2022 بهطور یکسان در هر دستگاه متصل اعمال میشود تا اینکه ریسک را با تعداد دستگاه مقیاسبندی میکند.
چگونه میتوانم تأیید کنم کیلسوئیچ NordVPN واقعاً از من محافظت میکند قبل از اینکه به آن اعتماد کنم؟
به سرور NordVPN متصل شوید، سپس بیدرنگ Wi-Fi را قطع کنید یا ethernet را در میانه جلسه بدون اتصال فیزیکی قطع کنید تا یک قطعکردن را اجباری کنید. یک کیلسوئیچ کاری تمام ترافیک اینترنت را فوری مسدود میکند بهجای برگشت به اتصال بدون حفاظت شما. کیلسوئیچ سطح سیستم NordVPN تمام ترافیک دستگاه را مسدود میکند در حالیکه نسخه سطح برنامه فقط برنامههای انتخابشده را محدود میکند، بنابراین هر کدام گزینهای را که قصد دارید به آن تکیه کنید بررسی کنید.
اگر نگران تکرار حادثه NordVPN مانند سال 2018 هستید چه باید بکنید؟
اقدام کمی از سوی شما ضروری است زیرا پاسخ NordVPN علل ریشهای را برطرف کرد: تمام شبکه خود را به سرورهای فقطRAM منتقل کرد که داده را هر بوت مجدد پاک میکند، برنامه جایزه اشکال HackerOne را برای آزمایش نقاط ضعف مستمر اضافه کرد و خود را به حسابرسیهای شخص ثالث مکرر متعهد کرد. اگر نگران هستید گزارشهای شفافیت منتشرشده NordVPN را بررسی کنید که هیچ داده موجود برای تحویل را نشان میدهند.