האם NordVPN בטוח? ביקורות בלתי תלויות, הצפנה ובדיקת פרטיות

האם NordVPN בטוח?

כן. NordVPN משתמש בהצפנת AES-256, פועל תחת תחום השיפוט הידידותי לפרטיות של פנמה, והאפליקציות והשרתים שלו נבדקו על ידי Cure53, וטוען שמדיניות הו־לוגים שלו נבדקה על ידי Deloitte, אם כי לא ניתן לקרוא כל דוח מבקר בפומבי. תקרית שרת יחידה בשנת 2018 חשפה אפס נתוני משתמשים. NordVPN הגיב בהעברת כל התשתית שלו לשרתים בזיכרון בלבד (RAM), וחיזק משמעותית את יציבת האבטחה שלו.

דף זה מכסה ביטחון בעומק. לביצועי השירות הכללים וטעמי מחיר, ראה את סקירת NordVPN שלנו.

תקרית השרת של 2018: מה בעצם קרה

במרץ 2018, צד לא מורשה קיבל גישה לשרת NordVPN יחיד בפינלנד. התוקף ניצל כלי ניהול מרחוק שהשאיר פעיל על ידי ספק מרכז הנתונים. NordVPN לא התקין את הכלי הזה. מרכז הנתונים עשה זאת, ללא הודעה ל-NordVPN.

התוקף קיבל גישה לשרת עצמו. הוא לא קיבל גישה לאישורי משתמש, פעילות גלישה, או מידע חשבון. השרת לא החזיק יומני פעילות כי מדיניות אי-הרישום של NordVPN פירושה שלא היו קיימים כדי לגנוב.

NordVPN גילה את הפרצה במהלך ביקורת פנימית וחשף אותה לציבור באוקטובר 2019. ההשהיה משכה ביקורת. החברה הודתה בפער והשתמשה בו כזרז לשינויים תשתיתיים ניכרים.

כיצד NordVPN הגיב

NordVPN סיימה את החוזה שלה עם מרכז הנתונים הפיני מיד. לאחר מכן החברה שיגרה שלוש יוזמות עיקריות:

העברת שרתים בזיכרון בלבד. NordVPN העבירה את כל הרשת שלה לשרתים ללא דיסק (בזיכרון בלבד). שרתים אלה לא יכולים לאחסן נתונים בתמיד. כל הפעלה מחדש מוחקת הכל. אפילו תפיסה פיזית של שרת מניבה כלום שימושי.

תוכנית ציד באגים. NordVPN שיתפה פעולה עם HackerOne כדי לאפשר לחוקרי אבטחה עצמאיים לבדוק את המערכות שלה באופן רציף. חוקרים מרוויחים תגמול על גילוי פגיעויות לפני שתוקפים יעשו זאת.

תוכנית ביקורת עצמאית. NordVPN אומרת שהתחייבה לביקורות אבטחה של צד שלישי קבועות. זה יצר אחריות חיצונית מתמשכת במקום הבטחת חד-פעמית.

התקרית של 2018 השפיעה על שרת אחד מתוך אלפים. לא חדרו נתוני משתמש. אך NordVPN התייחסה אליה כסיבה לבנות מחדש את התשתית שלה מאפס. התגובה הזו חשובה יותר מהתקרית עצמה.

ציר הזמן של ביקורות NordVPN

טענות בטיחות ללא אימות אינן ערכות כלום. NordVPN פרסמה הערכות אבטחה מאת Cure53 וטוענת שהזמינה התחייבויות אימות no-logs.

הערכות אבטחה של Cure53

Cure53[1], חברת אבטחה מבסיס ברלין, בדקה את NordVPN מספר פעמים. הסקירה שלה מיולי-אוגוסט 2022 של אפליקציות שולחן העבודה והנייד והתוספים (דוח מ-22 בפברואר 2023) מצאה 22 ממצאים, 6 מהם פגיעויות, כולל 1 קריטית (הצפת הרשאות root בלינוקס). הסקירה שלה מספטמבר-אוקטובר 2022 של שרתים ותשתית (דוח מ-5 בפברואר 2023) מצאה 11 ממצאים ופגיעות אחת, והסיקה שהשרתים מציגים בסיס אבטחה יציב יחסית. הסקירה שלה מאמצע 2024 של אפליקציות, הרחבות דפדפן ותכונות (דוח מ-17 בדצמבר 2024) מצאה 31 בעיות, 22 מהן פגיעויות ו-4 בדרגה גבוהה, ללא ממצאים קריטיים.

עסקות הביטחון של NordVPN ללא יומנים

NordVPN אומרת שהיא הזמינה עסקות ביטחון ללא יומנים מ-PwC (2018 ו-2020) ו-Deloitte (2022 עד 2025). עסקות אלו הוזמנו על ידי NordVPN, ולא מצאנו דוח מבקר שניתן לקרוא בפומבי, לכן התייחסו אליהם כהצהרה של NordVPN עצמה. NordVPN מתארת אותם בעמוד ביקורת ללא יומנים[2] שלה.

המסקנה: תשתית השרת של NordVPN פועלת בהתאם למדיניות אי-הרישום שלה. החברה לא שומרת חותמות זמן חיבור, משכי הפעלה, כתובות IP, נתוני גלישה, או שימוש בפס רוחב.

שקיפות מתמשכת

NordVPN מפרסמת דוחות שקיפות[3] קבועים המפרטים בקשות נתונים של ממשלה. דוחות אלה מראים ברציפות את אותה תוצאה: ל-NordVPN אין נתונים להעביר. הדוחות גם מכסים בקשות הסרה, מצב כנר אזהרה, ומכתבי אבטחה לאומיים.

תחום פנמה מגן על פרטיות המשתמש

חברת ההורים של NordVPN, Tefincom S.A., פועלת תחת החוק הפנמי. זה משנה לשלוש סיבות קונקרטיות.

לא שמירה חובה של נתונים. לפנמה אין חוקים המחייבים ספקי VPN לשמור על נתוני פעילות משתמש או נתוני חיבור. מדינות אירופיות ובצפון אמריקה רבות מחייבות תקופות שמירה של 6 עד 24 חודשים. פנמה לא.

מחוץ לברית הבריתות בחלוקת מודיעין. פנמה נמצאת מחוץ לברית Five Eyes, Nine Eyes, ו-Fourteen Eyes. בריתות אלה חולקות נתוני מודיעין בין מדינות חברות. VPN שבסיסו בארה”ב, בריטניה, קנדה, או אוסטרליה עומדות מול חשיפה מאולצת אפשרית. NordVPN לא.

השפעה מעשית על בקשות נתונים. סוכנויות אכיפת חוק זרות לא יכולות לכפות על חברה פנמית להפיק רשומות דרך המערכות המשפטיות שלהן. הם חייבים לעבוד דרך בתי משפט פנמים. אפילו אז, NordVPN שומרת על כלום יומנים להפיק. התחום מוסיף מחסום מבני על גבי זה הטכני.

הצפנה AES-256 ואפשרויות פרוטוקול

NordVPN מצפינה את כל התעבורה ב-AES-256. זהו אותו תקן הצפנה שממשלת ארה”ב משתמשת בו עבור מידע סווג. לא ידוע התקפה יכולה לפרוץ בכוח AES-256 בכל מרווח זמן מעשי. הערכות נוכחיות מציעות שזה ייקח מיליארדי שנים עם כוח מחשוב קיים.

פרוטוקול NordLynx

NordLynx הוא הפרוטוקול ברירת המחדל של NordVPN. הוא בנוי על WireGuard, המספק מהירויות גבוהות דרך קובץ קוד דק של 4,000 שורות. WireGuard בלבד יש מגבלת פרטיות: הוא דורש שמירת כתובות IP סטטיות על השרת.

NordVPN פתרה זאת בעזרת מערכת NAT כפולה (תרגום כתובות רשת). ה-NAT כפול מקצה כתובת ממשק דינמית לכל הפעלה. כאשר ההפעלה מסתיימת, הכתובת נעלמת. זה מספק הגבר מהירות של WireGuard ללא פשרון פרטיות.

בנצ’מארק ביצועים מראים NordLynx משיג מהירויות מעל 730 Mbps על חיבורי גיגה-ביט. הזמן ההשהיה נשאר נמוך. הפרוטוקול מטפל בזרימה, משחקים, והורדות גדולות ללא צווארי בקבוק.

OpenVPN

OpenVPN נשאר זמין למשתמשים המעדיפים פרוטוקול שנבדק בקרב. הוא רץ על פני TCP וגם UDP. TCP מספק אמינות עבור רשתות מגבילות. UDP משלחת מהירויות מהירות יותר לשימוש כללי. קודם הקוד הפתוח של OpenVPN עברה ביקורת נרחבת על ידי קהילת האבטחה לאורך שני עשורים.

IKEv2/IPsec

IKEv2/IPsec עובד טוב בהתקנים ניידים. הוא מתחבר מחדש במהירות בעת עברה בין רשתות Wi-Fi וסלולריות. NordVPN משלבת אותו עם הצפנה AES-256. פרוטוקול זה מתאים למשתמשים העברה בין רשתות בתדירות גבוהה.

מתג השבתה מונע דליפות נתונים בעת ירידות

חיבורי VPN יכולים ליפול. כאשר הם עושים זאת, תעבורה לא מוגנת יכולה להיחמץ ל-ISP שלך. מתג ההשבתה של NordVPN מונע זאת.

מתג ההשבתה מנטר את חיבור ה-VPN שלך ברציפות. אם הנהר נוצר, היא חוסמת את כל התעבורה של אינטרנט מיידית. לא נתונים עוזבים את ההתקן שלך עד שה-VPN מתחבר מחדש. NordVPN מציעה שני מצבי מתג השבתה:

מתג השבתה ברמת יישום. זה חוסם גישה לאינטרנט עבור יישומים ספציפיים כאשר ה-VPN מתנתק. יישומים אחרים ממשיכים לעבוד בדרך כלל.

מתג השבתה ברמת מערכת. זה חוסם את כל התעבורה של אינטרנט ברחבי ההתקן. כלום לא עובר ללא ה-VPN. זה האפשרות הבטוחה יותר לעבודות קריטיות לפרטיות.

הגנת דליפת DNS שומרת על שאילתות פרטיות

שאילתות DNS תרגמות שמות תחום לכתובות IP. ללא הגנה, שאילתות אלה יכולות להדלוף ל-ISP שלך גם כשמחובר ל-VPN. NordVPN מנתבת את כל שאילתות DNS דרך שרתי DNS מוצפנים משלה.

זה מונע מה-ISP שלך לראות אילו אתרים אתה מבקר. זה גם חוסם ספקי DNS של צד שלישי מרישום דפוסי הגלישה שלך. בדיקות דליפת DNS בלתי תלויות באופן עקבי מאשרות שהגנת NordVPN עובדת כמצוין.

הגנת איום חוסמת תוכנות זדוניות ועקומות

הגנת איום פועלת ברמת הרשת. היא חוסמת תחומים זדוניים ידועים לפני שהם טעינים. היא מסלקת פרמטרי עקיבה מכתובות URL. היא מזהה ועוצרת הורדות תוכנות זדוניות.

הגנת איום עובדת גם כאשר אתה לא מחובר לשרת VPN. היא מתפקדת כשכבת אבטחה עצמאית בפלטפורמות תמוכות. AV-TEST, מכון אבטחה בלתי תלוי, הסמיכה את יכולות חסימת התוכנות הזדוניות של Threat Protection.

התכונה סורקת קבצים במהלך הורדה. היא בודקת כתובות URL מול בסיסי נתונים של איום המעודכנים ברציפות. היא חוסמת מודעות הטרדניות שלעתים קרובות משמשות כווקטורי הספקת תוכנות זדוניות.

מקורות

1. Nordvpn. ללא תאריך. Cure53. https://nordvpn.com/blog/cure53-latest-security-assessment/.
2. Nordvpn. ללא תאריך. ביקורת ללא יומנים. https://nordvpn.com/blog/nordvpn-audit/.
3. Nordvpn. ללא תאריך. דוחות שקיפות. https://nordvpn.com/blog/nordvpn-transparency-report/.

משאבים לדף זה

תרשימים ותמונות עזר מהמחקר שלנו, חינמיים לצפייה ושיתוף.

• 

• Is NordVPN Safe? Audits, Encryption & Privacy ReviewPDF · 1.3 MB

שאלות נפוצות

הכולבטיחות ופרטיותאיך זה עובדתמחורהגדרה ותמיכה

האם NordVPN בטוח לשימוש בפועל?

כן. NordVPN מצפין תעבורה עם AES-256, פועל תחת משפט פנמה החסין מ-data-retention, וההנדסה שלו והשרתים הוערכו על ידי Cure53, ו-Deloitte אמר שביצע ביקורת על מדיניות no-logs שלו. התקרית הביטחונית היחידה שלו, הפרה של שרת יחיד בפינלנד ב-2018, חשפה אפס הרשאות משתמש או נתוני גלישה מאחר ולא היו רישומים לגנוב.

מה בדיוק קרה בפרצה של NordVPN ב-2018, וזה צריך להדאיג אתך עכשיו?

תוקף ניצל כלי ניהול מרחוק שמרכז הנתונים הפיני השאיר פעיל ללא ידיעת NordVPN, קיבל גישה לשרת אחד מתוך אלפים ללא אישורי משתמש, יומני גלישה, או נתוני חשבון. NordVPN חשפה אותה באוקטובר 2019, ואז העבירה את כל הרשת שלה לשרתים בזיכרון בלבד, הוסיפה באג בונטי של HackerOne, והתחייבה לביקורות צד שלישי חוזרות ונשנות.

אילו חברות בלתי תלויות ביצעו ביקורת על אבטחת NordVPN?

NordVPN פרסמה שלוש הערכות של Cure53: אפליקציות והרחבות (דוח מתאריך פברואר 2023), שרתים ותשתית (פברואר 2023) ואפליקציות, הרחבות ותכונות (דצמבר 2024). בנפרד, NordVPN טוענת שהזמינה התחייבויות ביקורת ללא רישומים מ-PwC ו-Deloitte, אך לא הצלחנו למצוא דוח מתקבל על הדעת לציבור עבורן.

למה NordVPN פועלת מפנמה, ומה התחום המשפטי הזה בעצם מגן?

ההורה של NordVPN, Tefincom S.A., מבוססת בפנמה במיוחד כי במדינה אין חוקי שמירת נתונים חובה וזו נמצאת מחוץ לברית Five Eyes, Nine Eyes ו-Fourteen Eyes של חלוקת מודיעין. רשויות אכיפת חוק זרות חייבות להגיש עתירה לבתי משפט פנמיים כדי לכפות גילוי רשומות, וגם אז NordVPN אומרת שהיא שומרת על אפס רישומים להעברה.

איזו הצפנה משתמשת NordVPN, וזה בר-שבירה באופן יותר.

NordVPN משתמשת ב-AES-256, התקן זהה שממשלת ארה”ב מיישמת על מידע סווג, על כל הפרוטוקולים שלה. אין שיטה ידועה שיכולה לפרוץ בכוח AES-256 במרווח זמן מעשי. הערכות נוכחיות שומות ניסיון פורץ בכוח בשיעור של מיליארדי שנים אפילו עם כוח מחשוב מודרני, מה שהופך את ההצפנה עצמה לבעצם לא שבירה עם הטכנולוגיה של ימינו.

מה הוא NordLynx, וכיצד הוא מתקן את הפגם העיקרי של פרטיות של WireGuard?

NordLynx הוא הפרוטוקול ברירת המחדל של NordVPN, בנוי על בסיס קוד דק של WireGuard לעבור אך שונה לפתרון החולשה העיקרית של WireGuard: הצורך לשמור כתובת IP סטטית ליוזר על השרת. מערכת ה-NAT הכפולה של NordVPN מקצה לכל הפעלה כתובת זמנית שנעלמת בעת ניתוק, המספקת ביצועי WireGuard ללא השארת מזהה קבוע מאחורי.

כיצד מתג ההשבתה של NordVPN בעצם עוצר דליפות נתונים כאשר חיבור נפל?

מתג ההשבתה של NordVPN מנטר את נהר ה-VPN ברציפות וחוסם את כל התעבורה של אינטרנט ברגע שהוא נוצר, כך שלא נתונים עוזבים את ההתקן שלך ללא הגנה עד שהחיבור מתחדש. הוא מציע מצב ברמת יישום החוסם רק יישומים שנבחרו ומצב ברמת מערכת החוסם את כל תעבורת ההתקן, האפשרות הקפדנית יותר לפעלויות קריטיות לפרטיות כגון התמודדות עם נתונים פיננסיים.

האם NordVPN מגן מפני דליפות DNS שיכולות לחשוף את הגלישה שלך לספק האינטרנט שלך?

כן. NordVPN מנתב את כל שאילתות ה-DNS דרך שרתי ה-DNS המוצפנים שלו במקום פותר ה-DNS ברירת המחדל של ספק האינטרנט שלך, מה שמונע מספק האינטרנט שלך או משירותי DNS של צד שלישי מרישום אילו אתרים אתה מבקר. אתה יכול לאשר שזה עובד על ידי הפעלת בדיקת דליפת DNS בזמן התחברות.

מה חוסם הגנת הie של NordVPN, וזה עובד ללא חיבור VPN?

הגנת איום חוסמת תחומים זדוניים ידועים לפני שהם טעינים, מסלקת פרמטרי עקיבה מכתובות URL, וסורקת קבצים שהורדו עבור תוכנות זדוניות, הכל ברמת הרשת. היא מתפקדת כשכבת אבטחה עצמאית גם כאשר אתה לא מחובר לשרת VPN. AV-TEST, מכון אבטחה בלתי תלוי, הסמיכה את יכולות חסימת התוכנות הזדוניות שלה.

איך הביטחון של NordVPN משתווה ל-ExpressVPN וProtonVPN במחיר דומה?

שלושתם מתחילים בנקודת מחיר דומה (NordVPN מ-$3.49/חודש, ExpressVPN מ-$2.99/חודש, ProtonVPN מ-$3.49/חודש) ודורגים 30 יום ערבות החזר כספי, אך עומק הביקורת שונה. הערכות Cure53 של NordVPN עומדות לצד דוח ההשגחה של KPMG וביקורות Cure53 של ExpressVPN, ו-ProtonVPN, המפעילה את עצמה תחת שיפוט שוויצרי ואומרת שמדיניות no-logs שלה עברה ביקורת על ידי Securitum. NordVPN דורגת #1 מתוך 22 ב-Speed Lab שלנו, מצטברת ממבחנים שפורסמו על ידי צד שלישי; ExpressVPN דורגת #8, ProtonVPN דורגת #12.

האם יש דרך לבדוק את טענות אבטחת NordVPN ללא סיכון לפני התחייבות?

כן. NordVPN תומכת בכל תוכנית עם 30-יום הבטחה כסף-חזרה, מה שנותן לך חודש מלא לבדוק את מתג ההשבתה, הגנת דליפת DNS, והגנת איום בעצמך לפני החלטה. אם תכונות האבטחה של NordVPN לא עומדות בביקורת שלך בתוך חלון זה, אתה יכול לבקש החזר עם אין התחייבות ארוכת מועד.

האם הגנה על מספר התקנים תחת חשבון NordVPN אחד משחיתה את הגנות הפרטיות שלך?

לא. חשבון NordVPN יחיד מכסה 10 חיבורי התקנים בו-זמנית, וכל חיבור מפעיל הצפנה AES-256, kill switch והגנה מפני דליפת DNS באופן עצמאי. הוספת התקנים לא משחיתה את האבטחה מכיוון שמדיניות no-logs של NordVPN חלה באופן אחיד על כל התקן מחובר במקום לשנות סיכון בהתאם למספר ההתקנים.

כיצד אני יכול לאשר שמתג ההשבתה של NordVPN בעצם מגן עלי לפני שאני סומך עליו?

התחבר לשרת NordVPN, ואז נתק את ה-Wi-Fi שלך או פתוח ethernet בחוזקה באמצע התור כדי לכפות ירידה. מתג השבתה עובד מקטע את כל התעבורה של אינטרנט מיד במקום לחזור לחיבור ללא הגנה שלך. מתג ההשבתה ברמת המערכת של NordVPN חוסם את כל התעבורה של התקן, בעוד הגרסה ברמת היישום מגביל רק אפליקציות שנבחרו, אז בדוק אילו מצב אתה מתכנן להסתמך עליו.

מה כדאי לך לעשות אם אתה דואג לחזור של תקרית בסגנון שרת NordVPN של 2018?

פעולה קטנה נדרשת מצדך מכיוון שהתגובה של NordVPN טיפלה בגורמים שורשיים: היא העבירה את כל הרשת שלה לשרתים בזיכרון בלבד שמוחקים נתונים על כל הפעלה מחדש, הוסיפה באג בונטי של HackerOne לבדיקת פגיעויות מתמשכת, והתחייבה לביקורות צד שלישי חוזרות ונשנות. אם דאוג, בדוק דוחות שקיפות פורסמים של NordVPN, המראים ללא נתונים זמינים להעביר.