האם Mullvad בטוח? ניתוח אבטחה, פרטיות וביקורת עצמאית
האם Mullvad בטוח? תוצאות ביקורת עצמאית, פרוטוקולי הצפנה, ניתוח שיפוט משפטי, בדיקת kill switch, והאימות של מדיניות no-logs.
ה-VPN-ים המאובטחים ביותר
האם Mullvad בטוח? הערכה ישירה
Mullvad מקבל ציון 86/100 במדד האמון שלנו. הוא פועל תחת שיפוט שוודי, גובה דמי מראש €5/חודש ללא חשבונות, ומאכף מדיניות no-logs מאומתת. ביקורות עצמאיות של Cure53 ו-Assured AB אישרו פרצות זעירות. Mullvad לא שמר אפס יומני חיבור, נתוני תנועה, או מידע זיהוי אישי על 700+ השרתים שלו ב-50+ מדינות.
שיפוט שוודי ובקשות נתונים משפטיות
שוודיה משתייכת לברית חלוקת מודיעין ה-14 Eyes. זה נשמע מדאיג במבט ראשון. בפועל, המסגרת החוקית מספרת סיפור מורכב יותר עבור ספקי VPN.
החוק השוודי אינו דורש מחברות VPN לשמור נתונים למשך זמן. ל-Mullvad אין חובה שמירה חובה של נתונים תחת תקנות הטלקומוניקציה השוודיות הנוכחיות. כלומר, הרשויות יכולות להוציא בקשות, אך ל-Mullvad אין כלום לסירוג.
באפריל 2023, המשטרה השוודית נכנסה פיזית למשרדי Mullvad בגותנבורג עם צו חיפוש. קציני המשטרה התכוונו להחרים מחשבים המכילים נתוני לקוחות. כוח Mullvad הסביר שלא קיימים נתוני לקוח בשום מכונה, והמשטרה עזבה עם ידיים ריקות. זה בדיקה בעולם האמיתי שהוכיחה שמדיניות no-logs עומדת תחת לחץ משפטי.
היסטוריית ביקורת עצמאית
Mullvad השלימה מספר ביקורות אבטחה של צד שלישי. כל ביקורת בדקה חלקים שונים של התשתית ויישומי הלקוח.
ביקורת Cure53 (2020)
Cure53, חברת בדיקת חדירה המבוססת בברלין, בדקה את אפליקציות Mullvad VPN ב-2020. הצוות זיהה 7 פרצות בסך הכל: 2 בדירוג חומרה בינונית, 5 בדירוג חומרה נמוכה. Mullvad תיקן את כל 7 הבעיות לפני פרסום דוח הביקורת המלא בציבור באתר שלה.
ביקורת Assured AB (2023)
Assured AB ערכה ביקורת תשתית של שרתי Mullvad ומערכות פנימיות ב-2023. הערכה כיסתה תצורות שרת, יישום הצפנה והליכי טיפול בנתונים. התוצאות אישרו שהתשתית של Mullvad תואמת לטענות no-logs הציבוריות שלה. לא התגלו פרצות קריטיות במהלך עסקה זו.
ביקורת יישום Cure53 (2023)
Cure53 חזרה בסיבוב שני ב-2023, בהתמקדות בקוד יישום מעודכן. ההמשך הזה מצא פחות בעיות מביקורת 2020. Mullvad טיפלה בכל הממצאים ושוב פרסמה את הדוח המלא לעיון הציבור.
פרסום דוחות ביקורת מלאים הוא נדיר בתעשיית VPN. Mullvad אינה מחטיאה ממצאים או בוחרת בניצחונות תוצאות. שקיפות זו מוסיפה משקל משמעותי לטענות האבטחה שלה.
מדיניות רישום: מה Mullvad שומרת ולא שומרת
נתונים שלא Mullvad לא אוספת
Mullvad אינה רושמת נתוני תנועה, חותמות זמן חיבור, משכי מפגש, או כתובות IP. היא לא שומרת שאילתות DNS, רשומות שימוש פס רחב, או הקצאות שרת VPN. פעילות חשבון נותרת לא מקושרת לחלוטין להתנהגות גלישה או מטא-נתונים חיבור.
נתונים שמעבדת Mullvad
Mullvad מעבדת את המספר הכולל של חיבורים בו-זמניים לכל חשבון (מוגבל ל-5). מונה זה קיים בזמן אמת ואינו כתוב לאחסון קבוע כלשהו. ברגע שתנותקת, מונה זה פוחת. אין רשומה היסטורית שנשארת.
Mullvad גם מעבדת נתוני עומס שרת מצטברים לטווח קצר לאופטימיזציה ביצועים. נתונים אלה מכילים אפס מידע הניתן לזיהוי משתמשים ומסתובבות באופן אוטומטי.
מערכת החשבונות
Mullvad יוצרת מספר חשבון אקראי בן 16 ספרות. אין דוא”ל, אין שם, אין סיסמה נדרשת. אתה יכול לשלם במזומן שנשלח בתוך מעטפה, Bitcoin, או Monero. עיצוב זה מחסל מידע זיהוי אישי מתהליך ההרשמה לחלוטין.
תקני הצפנה וזרימות
Mullvad תומכת בשני פרוטוקולים: WireGuard ו-OpenVPN. שתי ההטמעות משתמשות בתקנים קריפטוגרפיים חזקים וסקורים טוב.
יישום WireGuard
WireGuard משתמש ב-ChaCha20 להצפנה סימטרית, Curve25519 להחלפת מפתח, ו-BLAKE2s לתיוג. Mullvad מעדיפה WireGuard בכל הפלטפורמות. לחיצות יד חיבור מסתיימות תוך פחות מ-100 אלפיות שניות ברוב הרשתות.
יישום OpenVPN
חיבורי OpenVPN משתמשים ב-AES-256-GCM להצפנת ערוץ נתונים. החלפת מפתח מסתמכת על תעודות RSA-4096 עם אימות SHA-512. Mullvad מגדירה את OpenVPN עם tls-auth כדי למנוע טביעת אצבע ותקפי DDoS על המנהרה VPN.
מנהרות עמידות לקוונטום
Mullvad הוסיפה חילופי מפתח לאחר קוונטום למנהרות WireGuard ב-2023. תכונה זו משכבת Classic McEliece ו-Kyber על גבי ההצפנה WireGuard הסטנדרטית. Mullvad הייתה ה-VPN המסחרי הראשון לשחרר תכונה זו בכל הפלטפורמות שולחן העבודה.
הגנה Kill Switch והגנה דריסת DNS
התנהגות Kill Switch
Kill Switch של Mullvad מופעלת כברירת מחדל בכל הפלטפורמות. היא חוסמת את כל תנועת האינטרנט כאשר המנהרה VPN נופלת בחוקו. היישום פועל ברמת החומה, לא ברמת היישום. זה מונע דריסות גם אם אפליקציית Mullvad קורסת לגמרי.
ב-Linux, Mullvad משתמשת בכללי nftables כדי לכפות חסימת תנועה. ב-Windows, היא משנה את Windows Filtering Platform. ב-macOS, היא משתמשת בכללי packet filter. כל יישום מונע דריסות IPv4 ו-IPv6 בו-זמנית.
הגנה דריסת DNS
Mullvad מנתבת את כל שאילתות DNS דרך שרתי DNS מוצפנים שלה. האפליקציה חוסמת בקשות DNS של המערכת המנסות לעקוף את המנהרה. Mullvad מפעילה שרתי DNS בכל מיקום שרת VPN, ופותרת שאילתות באופן מקומי ללא העברה לצדדים שלישיים.
משתמשים יכולים גם להגדיר DNS מותאם בתוך האפליקציה. גם עם DNS מותאם, שאילתות עדיין נוסעות בתוך המנהרה המוצפנת. בדיקות דריסה עצמאיות באופן קבוע מראות אפס DNS, WebRTC, או דריסות IPv6 בכל לקוחות Mullvad.
אירועי אבטחה בעבר
פשיטת משטרה (אפריל 2023)
שישה קציני מהמשטרה הלאומית השוודית נכנסו למשרדי Mullvad בגותנבורג. הם נשאו צו חיפוש של בית משפט מחוזי המחפש מידע של לקוחות. ה-CEO של Mullvad הסביר שהחברה לא שומרת נתוני לקוח. המשטרה לא החרימה ציוד ועזבה לאחר שצוות משפטי Mullvad ערער על ישימות הצו.
אין הפרות נתונים ידועות
החל מ-מחזור הביקורת האחרון, Mullvad לא דיווחה על הפרות נתונים. לא נתונים של משתמשים שהופיעו בבסיסי נתונים דלופים. אין התקפות ממלוא כתב חיזוק חלות מכיוון ש-Mullvad אינה משתמשת בסיסמאות או כתובות דוא”ל. מערכת המספרים 16 ספרתית מגבילה משטח התקפה משמעותית.
חשיפות פרצויות
Mullvad שומרת על גישה פעילה לתחרות bug ופרסמה ייעוצי אבטחה בבלוג שלה. כל הפרצויות שנמצאו בעת ביקורות קיבלו תיקונים בתוך שבועות מגילוי. החברה לא חוותה ניצול zero-day של התשתית הייצור שלה.
תכונות אבטחה ייחודיות
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad פיתחה את DAITA כדי להתנגד להתקפות ניתוח תנועה. תכונה זו משלמת חבילות לגדלים אחידים ומזריקה דפוסי תנועה מתעתעים. היא מונעת מיריבים מזיהוי אילו אתרים משתמשים מבקרים בהתבסס על טביעות תנועה.
Encrypted DNS Over HTTPS (DoH)
Mullvad מציעה שירות DoH ציבורי ב-dns.mullvad.net. משתמשים יכולים להצפין שאילתות DNS גם ללא ה-VPN פועל. השירות כולל DNS profiles אופציוניים חסימת מודעות וחסימת עוקבים.
שרתים Diskless RAM-Only
Mullvad מפעילה את כל צי השרתים שלה במצב RAM-only. לא קיימות כוננים קשיים בשרתים. כל אתחול מוחק את כל הנתונים לחלוטין. ארכיטקטורה זו מבטיחה שהחרמות פיזיות של שרתים מניבות מידע שמיש אפס.
ניתוב Multihop
משתמשים יכולים לנתב תנועה דרך 2 שרתי VPN נפרדים במדינות שונות. זה מוסיף שכבת הצפנה שנייה ומפריד בין נקודת הכניסה לנקודת היציאה. Multihop הוא שניתן להגדיר ישירות בתוך האפליקציה ללא הגדרה ידנית.
ההערכה הסופית על אבטחת Mullvad
Mullvad משיגה את ציון האמון שלה 86/100 דרך ארכיטקטורה, לא הבטחות. שרתים RAM-only, אנונימיות חשבון, דוחות ביקורת פרסום, וגיטימי פשיטת משטרה מאומתים מפרידים אותה. דמי €5/חודש שטוח ללא בדיקות או הנחות משקפים חברה בעיתונות שירות ולא נפח מנויים. עבור משתמשים שנותנים עדיפות לאימות פרטיות על מספר תכנית, Mullvad נותרת בין האפשרויות החזקות ביותר בתוכה בכל 700+ שרתים שלה ב-50+ מדינות.
משאבים לדף זה
תרשימים ותמונות עזר מהבדיקות שלנו, לצפייה ושיתוף חופשי.
Mullvad משלבת אפליקציות שנסקרו באופן עצמאי, בקרות דליפה ותשתית שתוכננה למזעור נתוני הפעלה שמורים.
שאלות נפוצות
האם Mullvad בטוח באמת להשתמש?
כן. Mullvad מקבל ציון 86/100 במדד האמון שלנו, חזוק על ידי מדיניות no-logs מאומתת, שרתים RAM-only שמוחקים עם כל אתחול, וסיבוב שני של ביקורת עצמאית. Cure53 בדקה את היישומים ב-2020 ושוב ב-2023, בעוד Assured AB בדקה את התשתית ב-2023. שתי המעסקות לא מצאו בעיות קריטיות, וקתיות Mullvad פרסמה את הדוחות המלאים בציבור.
האם שיפוט שוודי של Mullvad חושף נתוני משתמש כי שוודיה היא חברה 14 Eyes?
לא בפועל. החוק השוודי אינו טילור חובת שמירת נתונים חובה על ספקי VPN, ולכן ל-Mullvad אין כלום להעביר גם אם הרשויות מבקשות זאת. זה נשמר באפריל 2023 כאשר המשטרה השוודית נכנסה למשרדי Mullvad בגותנבורג עם צו חיפוש המחפש רשומות לקוחות ועזבה ללא החרמת כלום, מכיוון שלא קיימים נתונים כאלה.
מה קרה במהלך פשיטת המשטרה השוודית של 2023 על Mullvad?
שישה קציני מהמשטרה הלאומית השוודית נכנסו למשרדי Mullvad בגותנבורג באפריל 2023 נושאים צו של בית משפט מחוזי המחפש מידע של לקוחות. ה-CEO של Mullvad הסביר שהחברה לא שומרת נתוני לקוח בעיצוב. המשטרה עזבה ללא החרמת ציוד או נתונים, בדיקה בעולם האמיתי של תביעת no-logs תחת לחץ משפטי ישיר.
מה ביקורות Cure53 של 2020 ו-2023 על Mullvad מצאו?
ביקורת Cure53 של 2020 על אפליקציות Mullvad זיהתה 7 פרצויות: 2 חומרה בינונית ו-5 חומרה נמוכה, כולן תוקנו לפני שהדוח פרסם ציבור. Cure53 חזרה ב-2023 כדי לבדוק קוד יישום מעודכן ומצאה פחות בעיות מהסיבוב הראשון. Mullvad טיפלה בכל ממצא ופרסמה שני דוחות מלאים ללא הגזמה.
מה ביקורת 2023 Assured AB כיסתה?
Assured AB בדקה את תשתית שרת Mullvad ומערכות פנימיות ב-2023, סקרה תצורות שרת, יישום הצפנה והליכי טיפול בנתונים. הערכה אישרה שתשתית Mullvad תואמת לטענות no-logs הציבוריות שלה, ללא פרצויות קריטיות שהתגלו. בשילוב עם שתי ביקורות יישום Cure53, Mullvad כעת היתה שניהם אפליקציות וערכות התשתית שלה מאומתות בעצמאות.
איך מערכת החשבון האנונימי של Mullvad פועלת?
Mullvad יוצרת מספר חשבון אקראי בן 16 ספרות במקום לדרוש דוא”ל, שם, או סיסמה. אתה יכול לשלם בכרטיס, Bitcoin, Monero, או מזומן שנשלח בתוך מעטפה. עיצוב זה מחסל מידע זיהוי אישי מההרשמה לחלוטין, וזה חלק מהסיבה שמדיניות no-logs שלה נשמרה בפשיטת המשטרה של 2023 על משרדי Mullvad בגותנבורג.
איזו הצפנה משתמשת Mullvad, והיא עמידה לקוונטום?
Mullvad מעדיפה WireGuard, משתמשת ב-ChaCha20 להצפנה, Curve25519 להחלפת מפתח, ו-BLAKE2s לתיוג. אפשרות OpenVPN שלה משתמשת ב-AES-256-GCM עם תעודות RSA-4096. ב-2023, Mullvad הוסיפה חילופי מפתח לאחר קוונטום שכבתה Classic McEliece ו-Kyber על גבי WireGuard סטנדרטי, מה שהופך אותה ל-VPN המסחרי הראשון לשחרר זאת בכל הפלטפורמות שולחן העבודה.
איזה מידע Mullvad באמת אוספת על החשבון שלי?
מאוד מעט. Mullvad עוקבת רק אחר מספר החיבורים בו-זמניים בזמן אמת, מוגבל ל-5, שמפחת לאפס ברגע שאתה מנותק ולעולם לא נכתב לאחסון קבוע. היא גם מעבדת נתוני עומס שרת מצטברים לטווח קצר ללא מידע הניתן לזיהוי משתמשים. תנועה, חותמות זמן, שאילתות DNS, וכתובות IP לא מוזקרות אף פעם.
האם Kill Switch של Mullvad חוסם באופן אמין דריסות אם החיבור נופל?
כן. Kill Switch של Mullvad פועל ברמת החומה ולא ברמת היישום, כך שהיא ממשיכה לחסום תנועה גם אם האפליקציה עצמה קורסת. היא משתמשת בנטבלס ב-Linux, ב-Windows Filtering Platform ב-Windows, וכללי packet filter ב-macOS, מונע אפילו IPv4 ו-IPv6 דריסות בכל יישום.
האם Mullvad מציעה בדיקה חינם או החזר אם אני לא מרוצה?
לא, Mullvad פועלת pay-as-you-go ללא תקופת בדיקה חינם. במקום חלון החזרה סטנדרטי, ימים שלא משומשו על יתרת החשבון שלך ניתנים להחזר אם אתה מחליט להפסיק. זה שונה מ-ProtonVPN ו-NordVPN, שתיהן תומכות בתוכניות בתשלום עם ערבות החזר כסף למשך 30 יום ולא מודל החזר מדורג.
כמה מכשירים אני יכול להפעיל על חשבון Mullvad אחד?
חשבון Mullvad אחד מכסה 5 חיבורים בו-זמניים, פחות מ-10 של NordVPN ובתוך טווח 1-10 שיחידות ProtonVPN תלוי בשכבת תוכנית. Mullvad אין דרישת חשבון לכל מכשיר מכיוון שההרשמה משתמשת רק במספר 16 ספרותי, כך שמכשירים מחוברים באופן עצמאי ללא קישור לזהות אישית.
איך תמחור שטוח של Mullvad משתווה ל-ProtonVPN ו-NordVPN?
Mullvad גובה שיעור שטוח יחיד של $5.50/חודש ללא שכבות הנחה לטווח ארוך, שלא כמו ProtonVPN (החל מ-$2.49/חודש בתוכנית הארוכה ביותר שלה) ו-NordVPN (החל מ-$3.49/חודש). בביצועים, Mullvad דרגה #7 מתוך 22 בלבן Speed Lab שלנו, מאחורי NordVPN ב-#1 אבל קדימה ProtonVPN ב-#12.
האם אני יכול לגשת ל-Netflix או Disney+ בצורה אמינה דרך Mullvad?
באופן עקבי. Mullvad אינה בנוי טכנולוגיה ייעודית להעביר גיאו-חסימות זרימה, לכן פלטפורמות גדולות כמו Netflix, Disney+, ו-Prime Video לעתים קרובות חסומות לחלוטין. היא כן תומכת ב-BBC iPlayer, 9Now, ו-Channel 4, כאשר התוצאות משתנות לפי שרת. אם זרימה אמינה של פלטפורמה גדולה חשובה ביותר, ספק עם תשתית זרימה ייעודית הוא התאמה טובה יותר.
מה אם Mullvad מחסומה ברשת מגבילה או עם חומות?
החלף להגדרות התעלמות ו-QUIC של Mullvad, בנוי במיוחד כדי להסתיר תנועת VPN להעביר אפילו ממעבר שלבי חסימה ברמת הרשת. ניתוב Multihop, המשלח תנועה דרך שני שרתים נפרדים במדינות שונות, יכול גם לעזור אם נקודת יציאה יחידה נחסמת. בדוק הגדרות אלה לפני שאתה מסתמך על החיבור בסביבה מגבילה.