Onko Mullvad turvallinen? Turvallisuus, yksityisyys ja auditoinnin analyysi
Onko Mullvad turvallinen? Riippumattomat auditoinnin tulokset, salausprotokollat, lainkäyttöalueen analyysi, kill switch -testaus ja no-logs -käytännön vahvistus.
Turvallisimmat VPN-palvelut
Onko Mullvad turvallinen? Suora arvio
Mullvad saa 86/100 pisteen luottamusindeksissämme. Se toimii Ruotsin lainkäyttöalueella, veloittaa tasaisen 5 €/kk:n summan ilman tilejä ja vahvistaa verifioidun no-logs -käytännön. Cure53:n ja Assured AB:n riippumattomat auditoinnit vahvistivat minimaalisia haavoittuvuuksia. Mullvad ei tallenna yhteyslokin, liikennedataa tai henkilökohtaisia tietoja 700+ palvelimellaan 50+ maassa.
Ruotsin lainkäyttöalue ja lailliset tietopyynnöt
Ruotsi kuuluu 14 Eyes -tiedustelun jakamisen liittoon. Se kuulostaa ensi silmäyksellä huolestuttavalta. Käytännössä oikeuskehikko kertoo VPN-palveluntarjoajille hienovaraisemman tarinan.
Ruotsin laki ei velvoita VPN-yrityksiä säilyttämään käyttäjätietoja. Mullvadilla ei ole pakollista tietojen säilytysvelvoitetta nykyisten ruotsalaisten televiestintäasäädösten perusteella. Tämä tarkoittaa, että viranomaiset voivat antaa pyyntöjä, mutta Mullvadilla ei ole mitään tallennettua luovutettavaksi.
Huhtikuussa 2023 ruotsalaiset poliisit astuivat fyysisesti Mullvadin toimistoon Göteborgin kaupungissa oikeuden haun nojalla. Virkamiehet aikoivat takavarikoida asiakastietoja sisältäviä tietokoneita. Mullvad-henkilökunta selitti, että yhdelläkään koneella ei olut asiakastietoja, ja poliisit lähtivät tyhjin käsin. Tämä todellinen testi todisti no-logs -käytännön pysyvän oikeudellisen paineen alla.
Riippumattoman auditoinnin historia
Mullvad on suorittanut useita kolmannen osapuolen turvallisuusauditointeja. Jokainen auditointi tarkasteli infrastruktuurin ja asiakassovellusten eri osia.
Cure53 auditointi (2020)
Cure53, Berliinissa sijaitseva penetraatiotestauksen yritys, auditoi Mullvad VPN -sovelluksia vuonna 2020. Tiimi tunnisti yhteensä 7 haavoittuvuutta: 2 keskimääräisen vakavuuden tasoa, 5 matalan vakavuuden tasoa. Mullvad korjasi kaikki 7 ongelmaa ennen kuin julkaisi täydellisen auditointi raportin julkisesti verkkosivuillaan.
Assured AB auditointi (2023)
Assured AB suoritti Mullvadin palvelimien ja sisäisten järjestelmien infrastruktuuria koskevan auditoinnin vuonna 2023. Arviointi kattoi palvelimen konfiguraatiot, salauksen toteutuksen ja tietojen käsittelymenettelyt. Tulokset vahvistivat, että Mullvadin infrastruktuuri vastasi sen julkisia no-logs -väitteitä. Mitään kriittisiä haavoittuvuuksia ei löydetty tämän työn aikana.
Cure53 -sovellusauditointi (2023)
Cure53 palasi toisella kierroksella vuonna 2023 keskittyen päivitettyyn sovelluskoodiin. Tämä seurantatarkastus löysi vähemmän ongelmia kuin 2020-auditointi. Mullvad ratkaisi kaikki havainnot ja julkaisi jälleen täydellisen raportin julkiseen tarkasteluun ilman sensurointia.
Täydellisten auditointi raporttien julkaiseminen on harvinaista VPN-alalla. Mullvad ei poista havaintoja tai valitse suotuisia tuloksia. Tämä avoimuus lisää merkittävästi painoarvoa sen turvallisuusväitteille.
Lokikäytäntö: mitä Mullvad tallentaa ja mitä ei
Data, joita Mullvad ei kerää
Mullvad ei lokita liikennedataa, yhteysaikaleimoja, istuntojen kestoja tai IP-osoitteita. Se ei tallenna DNS-kyselyitä, kaistanleveysjaksokirjauksia tai VPN-palvelimen määrityksiä. Tilin toiminta pysyy täysin erottamattomana selauskäyttäytymisestä tai yhteysmetatiedoista.
Mullvad käsittelee dataa
Mullvad käsittelee yhtäaikaisten yhteyksien kokonaismäärää tiliä kohti (enintään 5 kpl). Tämä laskuri on reaaliaikainen, eikä sitä kirjoiteta pysyvästi tallennukseen. Heti kun katkaista yhteyden, laskuri pienenee. Mitään historiallista tietoa ei säily.
Mullvad käsittelee myös lyhytaikaisia koostetuja palvelimen kuormitustietoja suorituskyvyn optimointiin. Nämä tiedot sisältävät nolla käyttäjän tunnistettavissa olevaa tietoa ja kiertävät automaattisesti.
Järjestelmän tili
Mullvad generoi satunnaisen 16-numeroisen tilinumeron. Ei sähköpostia, nimeä, salasanaa. Voit maksaa kortilla, Bitcoinilla, Monerolla tai käteisellä lähetettyä kirjeessä. Tämä suunnittelu poistaa henkilökohtaiset tunnistetiedot kokonaan rekisteröintiprosessista.
Salausstandardit ja protokollat
Mullvad tukee kahta protokollaa: WireGuard ja OpenVPN. Molemmat toteutukset käyttävät vahvoja, hyvin tarkasteltuja kryptografisia standardeja.
WireGuard toteutus
WireGuard käyttää ChaCha20:ää symmetriseen salaukseen, Curve25519:ää avainten vaihtoon ja BLAKE2s:ää tiivistykseen. Mullvad käyttää WireGuardia oletuksena kaikilla alustoilla. Yhteyden kättelyt valmistuvat alle 100 millisekunnissa useimmissa verkoissa.
OpenVPN toteutus
OpenVPN -yhteydet käyttävät AES-256-GCM:ää data-kanavien salaukseen. Avainten vaihdossa käytetään RSA-4096-sertifikaatteja SHA-512-todennuksella. Mullvad konfiguroi OpenVPN:n tls-auth:lla sormenjäljityksen ja DDoS-hyökkäysten estämiseksi VPN-tunnelissa.
Kvanttinkestävät tunneli
Mullvad lisäsi post-kvanttavaihdolle vastustukseen WireGuard-tunnelit vuonna 2023. Tämä ominaisuus kerrostaa Classic McEliecen ja Kyberin avainten kapseloinnin tavallisen WireGuard-salauksen päälle. Mullvad oli ensimmäinen kaupallinen VPN, joka toimitti tämän ominaisuuden kaikkien työpöytäalustojen yli.
Kill Switch ja DNS vuototarkistus
Kill Switch -käyttäytyminen
Mullvad kill switch aktivoituu oletuksena kaikilla alustoilla. Se estää kaiken internet-liikenteen, kun VPN-tunneli putoaa odottamattomasti. Toteutus toimii palomuuritasolla, ei sovellustasolla. Tämä estää vuodot jopa silloin, jos Mullvad-sovellus kaatuu kokonaan.
Linuxissa Mullvad käyttää nftables-sääntöjä liikenteen estämisen pakottamiseksi. Windowsissa se muuttaa Windows Filtering Platformia. macOS:ssä se käyttää paketinsuodatinsääntöjä. Jokainen toteutus estää sekä IPv4- että IPv6-vuodot samanaikaisesti.
DNS vuototarkistus
Mullvad reitittää kaikki DNS-kyselyt oman salatun DNS-palvelimen kautta. Sovellus estää järjestelmän DNS-pyyntöjä, jotka yrittävät kiertää tunnelia. Mullvad käyttää DNS-palvelimia kaikissa VPN-palvelimen sijainnissa, ratkaisee kyselyt paikallisesti ilman kolmansien osapuolten eteenpäin lähettämistä.
Käyttäjät voivat myös määrittää mukautetun DNS:n sovelluksessa. Jopa mukautetulla DNS:llä kyselyt kulkevat salatun tunnelin sisällä. Riippumattomat vuototestit osoittavat johdonmukaisesti nolla DNS-, WebRTC- tai IPv6-vuotoja kaikissa Mullvad-asiakkaissa.
Aiemmat turvallisuustapahtumat
Poliisitarkastus (huhtikuu 2023)
Kuusi virkailijaa Ruotsin kansallisesta poliisista astui Mullvadin Göteborgin toimistoon. Heillä oli piirikäräjien etsintäkutsu asiakastietojen etsimiseksi. Mullvad-toimitusjohtaja selitti, että yritys ei tallenna asiakastietoja. Poliisit takavarikoivat mitään laitteita eivätkä lähteneet Mullvad-oikeustiimin haastettuaan etsintäkutsun soveltuvuutta.
Ei tunnettuja tietoja paljastumisia
Viimeisimmän auditointi jakson perusteella Mullvad on ilmoittanut nollasta tietoja paljastumisista. Mitään käyttäjädataa ei ole ilmestynyt vuotaneisiin tietokantoihin. Mitään tunnistetietojen täyttöä ei sovelleta, koska Mullvad ei käytä salasanoja tai sähköpostiosoitteita. 16-numeroinen tilinumerojärjestelmä rajoittaa hyökkäyspintaa huomattavasti.
Haavoittuvuuksien ilmoitukset
Mullvad ylläpitää aktiivista bug bounty -lähestymistapaa ja julkaisee turvallisuusvaroituksia blogissaan. Kaikki auditoinnin aikana löydetyt haavoittuvuudet saivat korjauksia viikkojen sisällä löytämisestä. Yritys ei ole joutunut minkään nollapäivän hyökkäyksen kohteeksi sen tuotantoinfrasta.
Ainutlaatuisia turvallisuusominaisuuksia
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad kehitti DAITA:n vastustukseen liikennteen analyysihyökkäyksiin. Tämä ominaisuus täyttää paketit tasaisiksi kooiksi ja injektoi silkkaa liikennettä. Se estää vastustajia tunnistamasta mitä verkkosivustoja käyttäjät vierailevat liikenteen sormenjäljien perusteella.
Salattu DNS HTTPS:n yli (DoH)
Mullvad tarjoaa julkisen DoH-palvelun osoitteessa dns.mullvad.net. Käyttäjät voivat salata DNS-kyselyt jopa ilman VPN:ää. Palvelu sisältää valinnaisen mainosten estämisen ja seurantohiuksien estämisen DNS-profiilit.
Levytön RAM-Only-palvelimet
Mullvad ajaa koko palvelinvastakkoinsa RAM-only -tilassa. Kovia levyjä ei ole palvelimissa. Jokainen uudelleenkäynnistys pyyhkii kaikki tiedot kokonaan. Tämä arkkitehtuuri varmistaa, että fyysiset palvelinsiepaukset tuottavat nolla käyttökelpoista tietoa.
Multihop-reititys
Käyttäjät voivat reitittää liikenteen 2 erillisen VPN-palvelimen kautta eri maissa. Tämä lisää toisen salauskerroksen ja erottaa tulopisteen poistumipisteestä. Multihop on konfiguroitavissa suoraan sovelluksessa ilman manuaalista asetusta.
Pohja Mullvadin turvallisuudesta
Mullvad ansaitsee 86/100 luottamuspisteensä arkkitehtuurin, ei lupausten kautta. RAM-only-palvelimet, tilianonyymisuus, julkaistut auditointi raportit ja verifioidun poliisitarkastuksen tulos erottavat sen. €5/kk tasainen hinta ilman kokeiluja tai alennuksia heijastaa yritystä, joka keskittyy palveluun tilaajien määrän sijaan. Käyttäjille, jotka asettavat etusijalle yksityisyyden vahvistuksen ominaisuuksien määrän sijaan, Mullvad pysyy yhtenä vahvimmista vaihtoehdoista 700+ palvelimen yli 50+ maassa.
Tämän sivun resurssit
Testeistämme peräisin olevia kaavioita ja viitekuvia – vapaasti katsottavissa ja jaettavissa.
Mullvad yhdistää itsenäisesti tarkastetut sovellukset, vuotosuojauksen ja infrastruktuurin, joka on suunniteltu minimoimaan tallennettu istuntotieto.
Usein kysytyt kysymykset
Onko Mullvad todella turvallinen käyttää?
Kyllä. Mullvad saa 86/100 pisteen luottamusindeksissämme, mitä tukevat verifioidun no-logs -käytäntö, RAM-only-palvelimet, jotka pyyhkivät jokaisen käynnistyksen yhteydessä, ja kaksi riippumatonta auditointia. Cure53 tutki sovelluksia vuonna 2020 ja uudelleen vuonna 2023, kun taas Assured AB auditioi infrastruktuuria vuonna 2023. Molemmat sitoumumat löysivät nolla kriittisiä ongelmia, ja Mullvad julkaisi täydellisiä raportteja julkisesti.
Alttistaako Mullvadin Ruotsin lainkäyttöalue käyttäjätiedot, koska Ruotsi on 14 Eyes-jäsen?
Ei käytännössä. Ruotsin laki ei aseta pakollista tietojen säilytysvelvoitetta VPN-palveluntarjoajille, joten Mullvadilla ei ole mitään luovutettavaksi jopa silloin, kun viranomaiset pyytävät sitä. Tämä pysyi paikallaan huhtikuussa 2023, kun ruotsalaiset poliisit astuivat Mullvadin Göteborgin toimistoon oikeuden haun nojalla, jossa etsittiin asiakastietoja, ja lähtivät ilman mitään siepattua mitään, koska sellaisia tietoja ei ollut olemassa.
Mitä tapahtui vuoden 2023 ruotsalaisella poliisitarkastuksella Mullvadissa?
Kuusi virkailijaa Ruotsin kansallisesta poliisista astui Mullvadin Göteborgin toimistoon huhtikuussa 2023 piirikäräjien siihen liittyvän etsintäkutsun kanssa, jossa etsittiin asiakastietoja. Mullvad-toimitusjohtaja selitti, että yritys ei säilytä asiakastietoja suunnittelulla. Poliisit lähtivät ilman laitteita tai tietoja siepattua, todellinen testi no-logs -väitteestä suoran oikeudellisen paineen alla.
Mitä Cure53:n vuosien 2020 ja 2023 auditoinnit Mullvadista löysivät?
Cure53:n vuonna 2020 suorittama Mullvad-sovellusten auditointi tunnisti 7 haavoittuvuutta: 2 keskimääräisen vakavuuden tasoa ja 5 matalan vakavuuden tasoa, kaikki korjattu ennen kuin raportti julkaistiin. Cure53 palasi vuonna 2023 auditoidakseen päivitettyä sovelluskoodia ja löysi vähemmän ongelmia kuin ensimmäisellä kierroksella. Mullvad ratkaisi jokaisen havainnon ja julkaisi molemmat täydellisiä raportteja ilman redaktointia.
Mitä vuoden 2023 Assured AB -auditointi kattoi?
Assured AB auditioi Mullvadin palvelimen infrastruktuuria ja sisäisiä järjestelmiä vuonna 2023, tarkastellen palvelimen konfiguraatioita, salauksen toteutusta ja tietojen käsittelymenettelyjä. Arviointi vahvisti, että Mullvadin infrastruktuuri vastasi sen julkisia no-logs -väitteitä, eikä mitään kriittisiä haavoittuvuuksia löydetty. Kahden Cure53-sovellusauditoinnin rinnalla Mullvadilla on nyt sekä sovellusten että taustainfrastruktuurin riippumaton varmennus.
Kuinka Mullvadin anonyymi tilinjärjestelmä todella toimii?
Mullvad generoi satunnaisen 16-numeroisen tilinumeron sähköpostin, nimen tai salasanan vaatimisen sijaan. Voit maksaa kortilla, Bitcoinilla, Monerolla tai käteisellä lähetettyä kuoressa. Tämä suunnittelu poistaa henkilökohtaiset tunnistetiedot kokonaan rekisteröintiprosessista, mikä on osa syytä siihen, miksi sen no-logs -käytäntö pysyi vuoden 2023 poliisitarkastuksessa sen Göteborgin toimistoon.
Mitä salausta Mullvad käyttää, ja onko se kvanttinkestävä?
Mullvad käyttää oletuksena WireGuardia, käyttäen ChaCha20:ää salaukseen, Curve25519:ää avainten vaihtoon ja BLAKE2s:ää tiivistykseen. Sen OpenVPN-vaihtoehto käyttää AES-256-GCM:ää RSA-4096-sertifikaattien kanssa. Vuonna 2023 Mullvad lisäsi post-kvanttavaihdoille Classic McEliecen ja Kyberin kerrostamisen tavallisen WireGuard-salauksen päälle, mikä teki siitä ensimmäisen kaupallisen VPN:n, joka toimitti tämän kaikilla työpöytäalustoilla.
Mitä tietoja Mullvad todella kerää tilestäni?
Hyvin vähän. Mullvad seuraa vain samanaikaisten yhteyksien määrää reaaliajassa, enintään 5, mikä pienenee nollaan heti kun piiritään, eikä sitä koskaan kirjoiteta pysyvästi tallennukseen. Se myös käsittelee lyhytaikaisia koostetuja palvelimen kuormitustietoja ilman käyttäjän tunnistettavissa olevia tietoja. Liikennettä, aikaleimauja, DNS-kyselyitä ja IP-osoitteita ei koskaan lokiteta.
Estääkö Mullvadin kill switch luotettavasti vuodot, jos yhteys putoaa?
Kyllä. Mullvadin kill switch toimii palomuuritasolla sovellustason sijaan, joten se jatkaa liikenteen estämistä jopa silloin, jos sovellus itse kaatuu. Se käyttää nftablesia Linuxissa, Windows Filtering Platformia Windowsissa ja paketinsuodatinsääntöjä macOS:ssä, estäen sekä IPv4- että IPv6-vuodot kaikilla toteutuksilla.
Tarjoaako Mullvad ilmaisen kokeilujakson tai palautuksen, jos en ole tyytyväinen?
Ei, Mullvad käyttää maksavana-mennessä-mallia ilman ilmaista kokeilujaksoa. Tavallisen palautusikkunan sijaan käyttämättömät päivät tilin saldolla ovat palautuskelpoisia, jos päätät lopettaa. Tämä eroaa ProtonVPN:stä ja NordVPN:stä, jotka molemmat vahvistuvat maksetut paketit 30 päivän rahapalautustakuulla tavallisen suhteellisen palautusmallin sijaan.
Kuinka monta laitetta voin ajaa yhdellä Mullvad-tilillä?
Yksi Mullvad-tili kattaa 5 samanaikaista yhteyttä, vähemmän kuin NordVPN:n 10 ja sisällä 1-10-alueella ProtonVPN tarjoaa riippuen paketinkerroksesta. Mullvadilla ei ole per-laite-tilinvaatimusta, koska rekisteröinti käyttää vain 16-numeroista numeroa, joten laitteet yhdistyvät itsenäisesti ilman henkilöllisyyskaavaa.
Kuinka Mullvadin tasainen hinnoittelu vertautuu ProtonVPN:iin ja NordVPN:iin?
Mullvad veloittaa yhden tasaisen koron alkaen $5.50/kk:sta ilman pitkäaikaisia alennussarjoja, toisin kuin ProtonVPN (alkaen $2.49/kk:sta sen pisimmällä paketilla) ja NordVPN (alkaen $3.49/kk:sta). Suorituskyvyssä Mullvad sijoittuu #7 22:sta Speed Lab -testissamme, NordVPN:n jäljessä #1:llä mutta ProtonVPN:n edellä #12:lla.
Voinko käyttää Netflix- tai Disney+ -ohjelmaa luotettavasti Mullvadin kautta?
Epäjohdonmukaisesti. Mullvad ei rakenna omistettua tekniikkaa striimaus-geoesteiden ohittamiseen, joten suuret alustat, kuten Netflix, Disney+ ja Prime Video, ovat usein estettyjä kokonaan. Se tukee BBC iPlayeria, 9Nowa ja Channel 4:ää, tulokset vaihtelevat palvelimen mukaan. Jos luotettava suurten alustojen striimaus on tärkeää, palveluntarjoaja, jolla on omistettu striimausinfrastruktuuri, on parempi valinta.
Mitä jos Mullvad estetään rajoittavalla tai palomuuroidulla verkolla?
Vaihda Mullvadin häirintään ja QUIC-asetuksiin, jotka on rakennettu erityisesti VPN-liikenteen naamioimiseen ja verkon tasolla olevan estämisen ohittamiseen. Multihop-reititys, joka lähettää liikenteen kahden erillisen palvelimen kautta eri maissa, voi myös auttaa, jos yhden poistumispisteen suodatetaan. Testaa nämä asetukset ennen kuin luottavat yhteyttä rajoittavassa ympäristössä.