Apakah Mullvad Aman? Analisis Keamanan, Privasi & Audit

Apakah Mullvad Aman? Penilaian Langsung

Mullvad mencapai skor 86/100 pada indeks kepercayaan kami. Beroperasi di bawah yurisdiksi Swedia, mengenakan biaya €5/bulan dengan tidak ada akun, dan memberlakukan kebijakan no-logs yang telah diverifikasi. Audit independen oleh Cure53 dan Assured AB mengkonfirmasi kerentanan minimal. Mullvad menyimpan nol log koneksi, data lalu lintas, atau informasi identitas pribadi di 700+ servernya di 50+ negara.

Yurisdiksi Swedia dan Permintaan Data Hukum

Swedia termasuk dalam aliansi berbagi intelijen 14 Mata. Itu terdengar mengkhawatirkan pada pandangan pertama. Dalam praktiknya, kerangka hukum menceritakan kisah yang lebih bernuansa untuk penyedia VPN.

Hukum Swedia tidak mengharuskan perusahaan VPN untuk menyimpan data pengguna. Mullvad tidak memiliki kewajiban retensi data wajib menurut peraturan telekomunikasi Swedia saat ini. Ini berarti otoritas dapat mengeluarkan permintaan, tetapi Mullvad tidak memiliki apa pun yang disimpan untuk diserahkan.

Pada April 2023, polisi Swedia secara fisik memasuki kantor Mullvad di Gothenburg dengan surat perintah pencarian. Petugas berniat untuk menyita komputer yang berisi data pelanggan. Staf Mullvad menjelaskan bahwa tidak ada data pelanggan yang ada di mesin mana pun, dan polisi pergi dengan tangan kosong. Tes dunia nyata itu membuktikan kebijakan no-logs berlaku di bawah tekanan hukum.

Riwayat Audit Independen

Mullvad telah menyelesaikan beberapa audit keamanan pihak ketiga. Setiap audit meneliti bagian berbeda dari infrastruktur dan aplikasi klien.

Audit Cure53 (2020)

Cure53, perusahaan penetration testing berbasis Berlin, melakukan audit aplikasi Mullvad VPN pada 2020. Tim mengidentifikasi total 7 kerentanan: 2 berperingkat keparahan sedang, 5 berperingkat keparahan rendah. Mullvad menambal semua 7 masalah sebelum menerbitkan laporan audit lengkap secara publik di websitenya.

Audit Assured AB (2023)

Assured AB melakukan audit infrastruktur server Mullvad dan sistem internal pada 2023. Penilaian mencakup konfigurasi server, implementasi enkripsi, dan prosedur penanganan data. Hasil mengkonfirmasi bahwa infrastruktur Mullvad sesuai dengan klaim no-logs publiknya. Tidak ada kerentanan kritis yang ditemukan selama keterlibatan ini.

Audit Aplikasi Cure53 (2023)

Cure53 kembali untuk putaran kedua pada 2023, berfokus pada kode aplikasi yang diperbarui. Tindak lanjut ini menemukan lebih sedikit masalah daripada audit 2020. Mullvad mengatasi semua temuan dan sekali lagi merilis laporan lengkap untuk tinjauan publik.

Menerbitkan laporan audit lengkap tidak umum dalam industri VPN. Mullvad tidak menyunting temuan atau memilih hasil yang menguntungkan. Transparansi itu menambah bobot signifikan pada klaim keamanannya.

Kebijakan Logging: Apa yang Mullvad Simpan dan Tidak Simpan

Data yang Mullvad Tidak Kumpulkan

Mullvad tidak mencatat data lalu lintas, stempel waktu koneksi, durasi sesi, atau alamat IP. Ia menyimpan tidak ada kueri DNS, catatan penggunaan bandwidth, atau penugasan server VPN. Aktivitas akun tetap sepenuhnya tidak tertaut pada perilaku browsing atau metadata koneksi.

Data yang Mullvad Proses

Mullvad memproses jumlah total koneksi simultan per akun (dibatasi hingga 5). Penghitung ini ada secara real-time dan tidak ditulis ke penyimpanan persisten apa pun. Saat Anda memutuskan sambungan, penghitung itu berkurang. Tidak ada catatan historis yang tetap.

Mullvad juga memproses data server load agregat jangka pendek untuk optimasi kinerja. Data ini mengandung nol informasi yang dapat diidentifikasi pengguna dan berputar secara otomatis.

Sistem Akun

Mullvad menghasilkan nomor akun 16 digit acak. Tidak ada email, tidak ada nama, tidak ada sandi yang diperlukan. Anda dapat membayar dengan uang tunai yang dikirim dalam amplop, Bitcoin, atau Monero. Desain ini menghilangkan informasi identitas pribadi dari proses pendaftaran sepenuhnya.

Standar Enkripsi dan Protokol

Mullvad mendukung dua protokol: WireGuard dan OpenVPN. Kedua implementasi menggunakan standar kriptografi yang kuat dan telah ditinjau dengan baik.

Implementasi WireGuard

WireGuard menggunakan ChaCha20 untuk enkripsi simetris, Curve25519 untuk pertukaran kunci, dan BLAKE2s untuk hashing. Mullvad default ke WireGuard di semua platform. Jabat tangan koneksi selesai dalam waktu kurang dari 100 milidetik di jaringan paling.

Implementasi OpenVPN

Koneksi OpenVPN menggunakan AES-256-GCM untuk enkripsi saluran data. Pertukaran kunci mengandalkan sertifikat RSA-4096 dengan autentikasi SHA-512. Mullvad mengkonfigurasi OpenVPN dengan tls-auth untuk mencegah fingerprinting dan serangan DDoS pada terowongan VPN.

Terowongan Tahan Quantum

Mullvad menambahkan pertukaran kunci tahan pasca-quantum ke terowongan WireGuard pada 2023. Fitur ini melapisi Classic McEliece dan enkapsulasi kunci Kyber di atas kriptografi WireGuard standar. Mullvad adalah VPN komersial pertama yang mengirimkan fitur ini di semua platform desktop.

Perlindungan Kill Switch dan DNS Leak

Perilaku Kill Switch

Kill switch Mullvad diaktifkan secara default di semua platform. Ia memblokir semua lalu lintas internet ketika terowongan VPN turun secara tak terduga. Implementasi beroperasi di tingkat firewall, bukan tingkat aplikasi. Ini mencegah kebocoran bahkan jika aplikasi Mullvad mogok sepenuhnya.

Di Linux, Mullvad menggunakan aturan nftables untuk memberlakukan pemblokiran lalu lintas. Di Windows, ia memodifikasi Platform Penyaringan Windows. Di macOS, ia menggunakan aturan packet filter. Setiap implementasi mencegah kebocoran IPv4 dan IPv6 secara bersamaan.

Perlindungan Kebocoran DNS

Mullvad mengarahkan semua kueri DNS melalui server DNS terenkripsinya sendiri. Aplikasi memblokir permintaan DNS sistem yang mencoba melewati terowongan. Mullvad mengoperasikan server DNS di setiap lokasi server VPN, menyelesaikan kueri secara lokal tanpa meneruskan ke pihak ketiga.

Pengguna juga dapat mengkonfigurasi DNS khusus dalam aplikasi. Bahkan dengan DNS khusus, kueri masih bepergian di dalam terowongan terenkripsi. Tes kebocoran independen secara konsisten menunjukkan nol kebocoran DNS, WebRTC, atau IPv6 di semua klien Mullvad.

Insiden Keamanan Masa Lalu

Penyerbuan Polisi (April 2023)

Enam petugas dari Kepolisian Nasional Swedia memasuki kantor Mullvad di Gothenburg. Mereka membawa surat perintah pengadilan distrik yang mencari informasi pelanggan. CEO Mullvad menjelaskan perusahaan tidak menyimpan data pelanggan. Polisi tidak menyita peralatan apa pun dan pergi setelah tim hukum Mullvad menantang penerapan surat perintah.

Tidak Ada Pelanggaran Data yang Diketahui

Pada siklus audit terbaru, Mullvad telah melaporkan nol pelanggaran data. Tidak ada data pengguna yang muncul di database yang bocor. Tidak ada serangan credential stuffing berlaku karena Mullvad tidak menggunakan sandi atau alamat email. Sistem nomor akun 16 digit membatasi permukaan serangan secara substansial.

Pengungkapan Kerentanan

Mullvad mempertahankan pendekatan bounty bug aktif dan menerbitkan pemberitahuan keamanan di blognya. Semua kerentanan yang ditemukan selama audit menerima patch dalam hitungan minggu penemuan. Perusahaan belum mengalami eksploitasi zero-day dari infrastruktur produksinya.

Fitur Keamanan Unik

DAITA (Pertahanan Terhadap Analisis Lalu Lintas Berbasis AI)

Mullvad mengembangkan DAITA untuk melawan serangan analisis lalu lintas. Fitur ini membuat padding paket ke ukuran seragam dan menyuntikkan pola lalu lintas penipu. Ini mencegah musuh mengidentifikasi situs web mana yang dikunjungi pengguna berdasarkan sidik jari lalu lintas.

DNS Terenkripsi Melalui HTTPS (DoH)

Mullvad menawarkan layanan DoH publik di dns.mullvad.net. Pengguna dapat mengenkripsi kueri DNS bahkan tanpa VPN berjalan. Layanan ini mencakup profil DNS pemblokiran iklan dan pemblokiran pelacak opsional.

Server Diskless RAM-Only

Mullvad menjalankan seluruh armada server dalam mode RAM-only. Tidak ada hard drive di server. Setiap reboot menghapus semua data sepenuhnya. Arsitektur ini memastikan bahwa penyitaan server fisik menghasilkan nol informasi yang dapat digunakan.

Perutean Multihop

Pengguna dapat mengarahkan lalu lintas melalui 2 server VPN terpisah di negara berbeda. Ini menambah lapisan enkripsi kedua dan memisahkan titik masuk dari titik keluar. Multihop dapat dikonfigurasi langsung dalam aplikasi tanpa pengaturan manual.

Garis Bawah tentang Keamanan Mullvad

Mullvad memperoleh skor kepercayaan 86/100 melalui arsitektur, bukan janji. Server RAM-only, anonimitas akun, laporan audit yang dipublikasikan, dan hasil penyerbuan polisi yang terverifikasi membedakannya. Tarif datar €5/bulan tanpa uji coba atau diskon mencerminkan perusahaan yang fokus pada layanan daripada volume pelanggan. Bagi pengguna yang memprioritaskan verifikasi privasi daripada jumlah fitur, Mullvad tetap menjadi salah satu opsi terkuat yang tersedia di 700+ servernya di 50+ negara.

Pertanyaan yang Sering Diajukan

SemuaKeamanan & PrivasiCara kerjanyaHarga

Apakah Mullvad benar-benar aman digunakan?

Ya. Mullvad mencapai skor 86/100 pada indeks kepercayaan kami, didukung oleh kebijakan no-logs yang telah diverifikasi, server RAM-only yang dihapus pada setiap reboot, dan dua putaran audit independen. Cure53 memeriksa aplikasi pada 2020 dan lagi pada 2023, sementara Assured AB melakukan audit infrastruktur pada 2023. Kedua keterlibatan tidak menemukan masalah kritis, dan Mullvad menerbitkan laporan lengkap secara publik.

Apakah yurisdiksi Swedia Mullvad mengekspos data pengguna karena Swedia adalah anggota 14 Mata?

Tidak dalam praktiknya. Hukum Swedia tidak memaksakan kewajiban retensi data wajib pada penyedia VPN, sehingga Mullvad tidak memiliki apa pun untuk diserahkan bahkan jika otoritas memintanya. Itu terbukti pada April 2023 ketika polisi Swedia memasuki kantor Mullvad di Gothenburg dengan surat perintah yang mencari catatan pelanggan dan pergi tanpa menyita apa pun, karena data seperti itu tidak ada.

Apa yang terjadi selama penyerbuan polisi Mullvad 2023?

Enam petugas dari Kepolisian Nasional Swedia memasuki kantor Mullvad di Gothenburg pada April 2023 membawa surat perintah pengadilan yang mencari informasi pelanggan. CEO Mullvad menjelaskan perusahaan tidak menyimpan data pelanggan sesuai desain. Polisi pergi tanpa menyita peralatan atau data, sebuah tes dunia nyata dari klaim no-logs di bawah tekanan hukum langsung.

Apa yang ditemukan audit Cure53 2020 dan 2023 terhadap Mullvad?

Audit Cure53 2020 terhadap aplikasi Mullvad mengidentifikasi 7 kerentanan: 2 keparahan sedang dan 5 keparahan rendah, semuanya ditambal sebelum laporan dipublikasikan. Cure53 kembali pada 2023 untuk melakukan audit kode aplikasi yang diperbarui dan menemukan lebih sedikit masalah daripada putaran pertama. Mullvad mengatasi setiap temuan dan menerbitkan kedua laporan lengkap tanpa redaksi.

Apa yang dicakup audit Assured AB 2023?

Assured AB melakukan audit infrastruktur server Mullvad dan sistem internal pada 2023, meninjau konfigurasi server, implementasi enkripsi, dan prosedur penanganan data. Penilaian mengkonfirmasi infrastruktur Mullvad sesuai dengan klaim no-logs publiknya, tanpa kerentanan kritis ditemukan. Dikombinasikan dengan dua audit aplikasi Cure53, Mullvad sekarang memiliki aplikasi dan infrastruktur backend yang telah diverifikasi secara independen.

Bagaimana sistem akun anonim Mullvad benar-benar berfungsi?

Mullvad menghasilkan nomor akun 16 digit acak daripada memerlukan email, nama, atau sandi. Anda dapat membayar dengan kartu, Bitcoin, Monero, atau uang tunai yang dikirim dalam amplop. Desain ini menghilangkan informasi identitas pribadi dari pendaftaran sepenuhnya, yang merupakan bagian dari alasan mengapa kebijakan no-logs-nya terbukti selama penyerbuan polisi 2023 di kantor Gothenburg-nya.

Enkripsi apa yang digunakan Mullvad, dan apakah tahan quantum?

Mullvad default ke WireGuard, menggunakan ChaCha20 untuk enkripsi, Curve25519 untuk pertukaran kunci, dan BLAKE2s untuk hashing. Opsi OpenVPN-nya menggunakan AES-256-GCM dengan sertifikat RSA-4096. Pada 2023, Mullvad menambahkan pertukaran kunci tahan pasca-quantum melapisi Classic McEliece dan Kyber di atas WireGuard standar, menjadikannya VPN komersial pertama yang mengirimkan ini di seluruh platform desktop.

Informasi apa yang benar-benar dikumpulkan Mullvad tentang akun saya?

Sangat sedikit. Mullvad hanya melacak jumlah koneksi simultan secara real-time, dibatasi 5, yang menurun ke nol saat Anda memutus sambungan dan tidak pernah ditulis ke penyimpanan persisten. Ia juga memproses data server load agregat jangka pendek tanpa informasi yang dapat diidentifikasi pengguna. Lalu lintas, stempel waktu, kueri DNS, dan alamat IP tidak pernah dicatat.

Apakah kill switch Mullvad secara andal memblokir kebocoran jika koneksi terputus?

Ya. Kill switch Mullvad berjalan di tingkat firewall daripada tingkat aplikasi, sehingga terus memblokir lalu lintas bahkan jika aplikasi itu sendiri mogok. Ia menggunakan aturan nftables di Linux, Platform Penyaringan Windows di Windows, dan aturan packet filter di macOS, mencegah kebocoran IPv4 dan IPv6 di semua implementasi.

Apakah Mullvad menawarkan uji coba gratis atau pengembalian dana jika saya tidak puas?

Tidak, Mullvad berjalan bayar sesuai penggunaan tanpa periode uji coba gratis. Alih-alih jendela pengembalian dana standar, hari-hari yang tidak digunakan pada saldo akun Anda dapat dikembalikan jika Anda memutuskan untuk berhenti. Ini berbeda dari ProtonVPN dan NordVPN, yang keduanya mendukung paket berbayar dengan jaminan uang kembali 30 hari daripada model pengembalian dana pro-rata.

Berapa banyak perangkat yang dapat saya jalankan pada satu akun Mullvad?

Satu akun Mullvad mencakup 5 koneksi simultan, kurang dari 10 NordVPN dan dalam kisaran 1-10 yang ditawarkan ProtonVPN tergantung tingkat paket. Mullvad tidak memiliki persyaratan akun per-perangkat karena pendaftaran hanya menggunakan nomor 16 digit, sehingga perangkat terhubung secara independen tanpa menghubungkan ke identitas pribadi.

Bagaimana harga datar Mullvad dibandingkan ProtonVPN dan NordVPN?

Mullvad mengenakan tarif datar tunggal mulai dari $5,50/bulan tanpa tingkat diskon jangka panjang, tidak seperti ProtonVPN (mulai dari $2,49/bulan pada paket terjanggal) dan NordVPN (mulai dari $3,49/bulan). Dalam hal kinerja, Mullvad menempati peringkat #7 dari 22 dalam Speed Lab kami, di belakang NordVPN di #1 tetapi di depan ProtonVPN di #12.

Bisakah saya mengakses Netflix atau Disney+ secara andal melalui Mullvad?

Tidak konsisten. Mullvad tidak membangun teknologi khusus untuk melewati geo-blok streaming, sehingga platform besar seperti Netflix, Disney+, dan Prime Video sering diblokir sepenuhnya. Ia mendukung BBC iPlayer, 9Now, dan Channel 4, dengan hasil bervariasi menurut server. Jika streaming platform besar yang andal penting, penyedia dengan infrastruktur streaming khusus adalah kecocokan yang lebih baik.

Apa jika Mullvad diblokir pada jaringan yang ketat atau berfirewall?

Beralih ke pengaturan obfuskasi dan QUIC Mullvad, yang dibangun khusus untuk menyamarkan lalu lintas VPN dan melewati pemblokiran tingkat jaringan. Perutean multihop, yang mengirimkan lalu lintas melalui dua server terpisah di negara berbeda, juga dapat membantu jika satu titik keluar disaring. Uji pengaturan ini sebelum Anda mengandalkan koneksi di lingkungan yang ketat.