Er Mullvad öruggt? Greining á öryggi, persónuvernd og endurskoðun

Er Mullvad öruggt? Bein mat

Mullvad fær 86/100 á trúnaðarvísitölu okkar. Það starfar undir sænskri lögsögu, rukkar flatt €5/mánuð án reikninga og framfylgir staðfestri stefnu um engin skrár. Óháðar endurskoðanir frá Cure53 og Assured AB staðfestu lágmarksöryggisflöt. Mullvad geymir engar tengiskrár, umferðargögn eða auðkennanlegar persónuupplýsingar á 700+ netþjónum sínum um 50+ lönd.

Sænsk lögsögu og lagaleg gagnabeiðni

Svíþjóð tilheyrir samstarfi 14 auglýsinga um greiningu. Það hljómar skellilegra við fyrstu sýn. Í reynd sögurnar löglegt rammi flóknari sögu fyrir VPN-veitendur.

Sænsk lög krafa ekki VPN-fyrirtæki um að halda gögnum notenda. Mullvad hefur enga skylda til að halda gögnum samkvæmt gildandi sænskum reglum um fjarskipti. Þetta þýðir að yfirvöld geta gefið út beiðnir, en Mullvad hefur ekkert geymt til að afhenda.

Í apríl 2023 fóru sænskir lögreglumenn líkamlega inn í skrifstofu Mullvad í Gautaborg með leitarvali. Þjónar ætluðu sér að taka tölvur sem innihéldu gögn viðskiptavina. Starfsmenn Mullvad útskýrðu að engin gögn viðskiptavina væru til á neinum vélum og lögreglumenn fóru tómir hendur. Sú raunveruleg tilraun sannaði að stefnu um engin skrár gildi undir lagalegum þrýstingi.

Óháð endurskoðunarsaga

Mullvad hefur lokið mörgum óháðum öryggisendurskoðunum. Hver endurskoðun skoðaði mismunandi hluta innviða og forrita fyrir viðskiptavini.

Endurskoðun Cure53 (2020)

Cure53, sænskt spjaraðastarf frá Berlín, endurskoðaði Mullvad VPN-forrit árið 2020. Liðið benti á 7 veikleika samtals: 2 metnar miðlungs alvarleiki, 5 metnar lágir alvarleiki. Mullvad lagfærði öll 7 atriði áður en fullt endurskoðunarskýrslu var birt opinberlega á vefsíðu sinni.

Endurskoðun Assured AB (2023)

Assured AB gerði innviðaendurskoðun á netþjónum og innri kerfum Mullvad árið 2023. Matið náði til þjónnastillinga, dulritunarbókunar og gagnameðhöndlunarverkaflæða. Niðurstöður staðfestu að innviðir Mullvad samsvöruðu opinberri stefnu um engin skrár. Engin mikil öryggisflöt fannst á þessari vinnslu.

Forritaendurskoðun Cure53 (2023)

Cure53 kom aftur fyrir seinni hring árið 2023 með áherslu á uppfærðan forritakóða. Þessi eftirfylgni fann færri atriði en endurskoðun 2020. Mullvad tók á öllum niðurstöðum og gaf út allt skýrslu aftur fyrir almenning til endurskoðunar.

Að gefa út heilar endurskoðunarskýrslur er óalgengt í VPN-iðnaðinum. Mullvad dregur ekki til baka niðurstöður og velur ekki ábendingar með hagstæðum niðurstöðum. Þessi gagnsæi bætir verulega vægi öryggiskrafna þess.

Skrárstefna: Hvað Mullvad geymir og geymist ekki

Gögn sem Mullvad safnar ekki

Mullvad skrár ekki umferðargögn, tengitíma, tímabil setu eða IP-töl. Það geymir engar DNS-fyrirspurnir, bandbreiddarskrár eða VPN-netþjónaúthlutun. Virkni reiknings er alveg ótengd vafrana og tengigögnum.

Gögn sem Mullvad vinnsla

Mullvad vinnsla heildarfjölda samstilltra tenginga á reikning (háðar 5). Þessi teljari er til í rauntíma og er ekki skrifuð á neinum varanlegu geymslu. Um leið og þú aftengjist minnkar sá teljari. Engin sögulega skrá er eftir.

Mullvad vinnslar einnig skammtíma heildri netþjónaálagsönn fyrir frammistöðuaðlögun. Þessi gögn innihalda engar auðkennanlegar upplýsingar notenda og snúast sjálfkrafa.

Reikningskerfið

Mullvad myndar handahófi 16 stafa reikningsnúmer. Engin tölvupóstur, engin nafn, engin lykilorð nauðsynleg. Þú getur borgað með peningum sem sendur eru með umslögum, Bitcoin eða Monero. Þessi hönnun útilokar auðkennanlegar persónuupplýsingar frá skráningnarferlinu alveg.

Dulritunarvalkir og samskiptareglur

Mullvad styður tvö samskiptareglur: WireGuard og OpenVPN. Báðar innleiðingar nota sterka, vel endurskoðuð dulmál staðla.

WireGuard útfærsla

WireGuard notar ChaCha20 til samhverfrar dulkóðunar, Curve25519 fyrir skiptasamkomulag og BLAKE2s fyrir kjötkássa. Mullvad varsnaðir WireGuard á öllum kerfum. Tengingarhönd og hönd ljúka á innan 100 millisekúndum á flestum netum.

OpenVPN útfærsla

OpenVPN tengingar nota AES-256-GCM fyrir dulkóðun gagnaleits. Skipti lykils byggja á RSA-4096 skírteinum með SHA-512 auðkenningu. Mullvad stillir OpenVPN með tls-auth til að koma í veg fyrir fingrafar og DDoS árásir á VPN-göngina.

Kvantanótaleg þrek

Mullvad bætti eftir-quantum lyklagengi við WireGuard göngur árið 2023. Þessi aðgerð lagoksa Classic McEliece og Kyber lyklaflutning á efstu staðlaðri WireGuard dulmáli. Mullvad var fyrsti verslunarekin VPN til að senda þessa aðgerð um borð skjáborðskerfi.

Drepaknappur og DNS-leka vernd

Drepaknapps hegðun

Drepaknappur Mullvad virkjast sjálfkrafa á öllum kerfum. Það lokar allri netumferð þegar VPN-göng fellur óvænt. Framkvæmdin starfar á eldveggja stigi, ekki á forritstigi. Þetta kemur í veg fyrir leka jafnvel þótt Mullvad-forritið hrynji algjörlega.

Á Linux notar Mullvad nftables reglur til að framfylgja umferðarblökkun. Á Windows breytir það Windows Filtering Platform. Á macOS notar það pakkaflutningareglur. Hver útfærsla kemur í veg fyrir bæði IPv4 og IPv6 leka samtímis.

DNS leka vernd

Mullvad leitar öllum DNS-fyrirspurnum með dulritun DNS-netþjóna sín. Forritið lokar kerfum DNS-beiðnum sem reyna að slípa um göngina. Mullvad rekur DNS-netþjóna á hverri VPN-netþjónastaðsetningu, leysir fyrirspurnir á staðnum án þess að flytja til þriðja aðila.

Notendur geta einnig skilgreint sérsniðið DNS innan forritsins. Jafnvel með sérsniðnum DNS ferðast fyrirspurnir ásamt dulritaðri göng. Óháðir þjófnaðarpróf sýna stöðugt núll DNS, WebRTC eða IPv6 leka um alla Mullvad viðskiptavini.

Fyrri öryggistilvik

Lögregla Rið (apríl 2023)

Sex þjónar úr sænsku þjóðarlögreglu fóru inn í skrifstofu Mullvad í Gautaborg. Þeir báru úrskurð úrskurðar dóms þar sem leitað var eftir viðskiptavina upplýsingum. Forstjóri Mullvad útskýrði að fyrirtækið geymir engar gögn viðskiptavina. Lögreglumenn tóku ekkert tæki og fóru eftir að löglegt teymi Mullvad andmælti beitingu úrskurðarins.

Engin þekkt gagnasundur

Frá og með nýjustu endurskoðun hefur Mullvad greint frá núll gagnasundum. Engin gögn notenda hafa birst í þeirri straumkasti. Engar árásir á innskráningu gilta vegna þess að Mullvad notar engin lykilorð eða tölvupóstföng. 16 stafa reikningsnúmerakerfið takmarkar árásarflöt verulega.

Veikleiki birtingu

Mullvad heldur uppi virkri nálgun á gríðlum fyrir villur og birtir öryggistilkynningar á bloggi sínu. Öll veikleiki sem finnast við endurskoðun fengu bætur innan vikna frá uppgötvaningu. Fyrirtækið hefur ekki upplifað neina núll-dagar nýtingu á framleiðsluinnviðum sinni.

Einstök öryggis eiginleikar

DAITA (vörn gegn AI-útleiðri umferðargreiningu)

Mullvad þróaði DAITA til að takast á við umferðagreiningu árásir. Þessi eiginleiki fyllingir pakka til einsleitrar stærðar og sprautar falsað umferðarmynstur. Það kemur í veg fyrir að óvinir beri kennsl á hvaða vefsíður notendur heimsækja byggt á umferðarfingraferjum.

Dulritaður DNS yfir HTTPS (DoH)

Mullvad býður opinbera DoH þjónustu á dns.mullvad.net. Notendur geta dulritað DNS-fyrirspurnir jafnvel án þess að VPN sé keyrt. Þjónustan inniheldur valfrjálsa auglýsingarblökkun og DNS-prófíla um rakningarblökkun.

Diskurþolir RAM-aðeins netþjónar

Mullvad rekur alla netþjóna sína í RAM-aðeins ham. Engar ertu diska eru til í netþjónum. Hver endurræsing þurrkar öll gögn algjörlega. Þessi arkitektúr tryggir að lichtar netþjón siglingar skili núll nothæfum upplýsingum.

Multihop leið

Notendur geta sent umferð í gegnum 2 aðskildar VPN-netþjóna í mismunandi löndum. Þetta bætir annarri dulritunarlögu og aðskilur innganginn frá útganginum. Multihop er stillanlegt beint innan forritsins án handvirks uppsetning.

Neðurstöðunni um öryggi Mullvad

Mullvad fer fram á 86/100 trúnaðarskor sínum með arkitektúr, ekki loforðum. RAM-aðeins netþjónar, reikningsanonymity, birtar endurskoðunarskýrslur og staðfest lögregluhót niðurstaða aðgreina það. €5/mánuð flat gjald með engu prófum eða afsláttum endurspegla fyrirtæki með áherslu á þjónustu frekar en áskrifandi magn. Fyrir notendur sem leggja áherslu á persónuvernd staðfestingu yfir eiginleika tali, Mullvad helst einn af styrkustu valkostum tiltækum um 700+ netþjóna í 50+ löndum.

Tilföng fyrir þessa síðu

Gröf og tilvísunarmyndir úr prófunum okkar, ókeypis að skoða og deila.

• 

• Is Mullvad Safe? Security, Privacy & Audit AnalysisPDF · 1.2 MB

Algengar spurningar

AlltÖryggi og næðiHvernig það virkarVerðlagning

Er Mullvad í raun öruggt að nota?

Já. Mullvad fær 86/100 á trúnaðarvísitölu okkar, studd staðfestri stefnu um engin skrár, RAM-aðeins netþjónum sem þurrka við hverja endurræsingu og tveimur lotum óháðrar endurskoðunar. Cure53 skoðaði forritin árið 2020 og aftur árið 2023, en Assured AB endurskoðaði innviði árið 2023. Báðar innleiðingar fundu engin mikil atriði og Mullvad gaf út heilar skýrslur opinberlega.

Beri sænsk lögsögu Mullvad gögn notenda út þar sem Svíþjóð er 14 auglýsingar meðlimur?

Ekki í reynd. Sænsk lög kveða ekki á um skyldu til að halda gögnum fyrir VPN-veitendur, þannig að Mullvad hefur ekkert til að afhenda jafnvel þótt yfirvöld beri fram beiðnir. Það hélt á apríl 2023 þegar sænskir lögreglumenn gengu inn í skrifstofu Mullvad í Gautaborg með úrskurð þar sem leitað var eftir viðskiptavina skrám og fóru án þess að fanga neitt, þar sem engin slík gögn væru til.

Hvað gerðist við sænsku lögregluhót Mullvad árið 2023?

Sex þjónar úr sænsku þjóðarlögreglu gengu inn í skrifstofu Mullvad í Gautaborg í apríl 2023 með úrskurði sem leitað var eftir viðskiptavina upplýsingum. Forstjóri Mullvad útskýrði að fyrirtækið haldi engu gögnum viðskiptavina eftir hönnun. Lögreglumenn fóru án þess að fanga tæki eða gögn, raunveruleg tilraun á engin skrár stefnunni undir beinum lagalegum þrýstingi.

Hvað fundu endurskoðanir Cure53 á árum 2020 og 2023 á Mullvad?

Endurskoðun Cure53 á Mullvad forritum árið 2020 benti á 7 veikleika: 2 miðlungs alvarleiki og 5 lágar alvarleiki, allir bætir áður en skýrsla fór opinberlega. Cure53 kom aftur árið 2023 til að endurskoða uppfærðan forritakóða og fann færri atriði en fyrri hringurinn. Mullvad tók á öllum niðurstöðum og gaf út báðar heilar skýrslur án endurskrifunar.

Hvað náði endurskoðun Assured AB árið 2023 yfir?

Assured AB endurskoðaði innviði og innri kerfi Mullvad árið 2023, endurskoðaði netþjónaprófílur, dulritunarbókunar og gagnameðhöndlunarverkaflæði. Matið staðfesti að innviðir Mullvad samsvöruðu opinberri stefnu um engin skrár, með engu miklu öryggisflöt uppgötvuðu. Ásamt tveimur Cure53 forritaendurskoðun hefur Mullvad nú fengið óhád staðfestingu á bæði forritum og bakvinnslu.

Hvernig virkar anóníma reikningur Mullvad í raun?

Mullvad myndar handahófi 16 stafa reikningsnúmer í stað þess að krefjast tölvupósts, nafns eða lykilorðs. Þú getur borgað með kortum, Bitcoin, Monero eða peningum sem sendir eru með umslögum. Þessi hönnun dregur auðkennanlegar persónuupplýsingar frá skráningu algjörlega, sem er hluti af því af hverju engin skrár stefnu þess hélt á meðan lögregluhót á skrifstofu sinni í Gautaborg árið 2023.

Hvaða dulritun notar Mullvad og er hún kvantanótaleg?

Mullvad varsnaðir WireGuard, notar ChaCha20 fyrir dulkóðun, Curve25519 fyrir skiptasamkomulag og BLAKE2s fyrir kjötkássa. OpenVPN valkostur hans notar AES-256-GCM með RSA-4096 skírteinum. Árið 2023 bætti Mullvad eftir-quantum lyklagengi við WireGuard göngur sem lagoksa Classic McEliece og Kyber á efstu staðlaða WireGuard, sem gerir hann fyrsta verslunareina VPN til að senda þetta um borð skjáborðskerfum.

Hvaða upplýsingar safnar Mullvad í raun um reikning minn?

Mjög lítið. Mullvad fylgist aðeins með fjölda samstilltra tenginga í rauntíma, háðar 5, sem minnkar í núll um leið og þú aftengjist og er aldrei skrifað á varanlega geymslu. Hann vinnslar einnig skammtíma heildri netþjónaálagsönn án auðkennun notenda. Umferð, tímastimplar, DNS fyrirspurnir og IP tölur eru aldrei skrá.

Blokkera drepaknappur Mullvad áreiðanlega leka ef tenging fellur?

Já. Drepaknappur Mullvad keyrir á eldveggja stigi frekar en forritstigi, þannig að hann heldur áfram að loka umferð jafnvel þótt forritið sjálft hrynji. Hann notar nftables á Linux, Windows Filtering Platform á Windows og pakkaflutningsreglur á macOS, kemur í veg fyrir bæði IPv4 og IPv6 leka um allar innleiðingar.

Býður Mullvad ókeypis tilraun eða endurgreiðslu ef ég er ekki ánægð?

Nei, Mullvad keyrir bera og greiða með engu ókeypis prófunartímabili. Í stað venjulegs endurgreiðslugluggs eru ónotuðir dagar á reikningsjöfnuði þínum endurgreiðanlegir ef þú ákveður að stöðva. Þetta er ólíkt ProtonVPN og NordVPN, sem báðir eru með greitt áætlanir með 30 daga peningaendurgreiðslu tryggingu frekar en hlutfallslegt endurgreiðslulíkan.

Hversu mörg tæki get ég keyrt á einum Mullvad reikningi?

Einn Mullvad reikningur nær til 5 samstilltra tenginga, færri en 10 NordVPN og innan 1-10 svið sem ProtonVPN býður eftir áætlun. Mullvad hefur enga kröfu um reikning á hvert tæki þar sem skráning notar aðeins 16 stafa númer, þannig að tæki tengast óháð án þess að tengja við persónuauðkenni.

Hvernig ber sæmilega verðlagning Mullvad saman við ProtonVPN og NordVPN?

Mullvad rukkar staka flata hlutfall frá $5,50/mánuð án langtíma afsláttar þrepa, ólíkt ProtonVPN (frá $3.49/mánuð á lengstu áætlun sinni) og NordVPN (frá $3.49/mánuð). Á frammistöðu, Mullvad raðar #7 af 22 í Speed Lab okkar, á eftir NordVPN á #1 en fyrir framan ProtonVPN á #12.

Get ég fengið aðgang að Netflix eða Disney+ áreiðanlega í gegnum Mullvad?

Ósamlögu. Mullvad byggir ekki sérsniðna tækni til að komast hjá streymis geó-blokkum, þannig að stóri pallir eins og Netflix, Disney+ og Prime Video eru oft bokaðir beint. Það styður BBC iPlayer, 9Now og Channel 4, með niðurstöðum sem eru mismunandi eftir netþjóni. Ef áreiðanlegt stærri pallastremming skiptir mestu máli er veitandi með sérsniðinni streymis innviðum betri aðlögun.

Hvað ef Mullvad fær lokað á takmarkandi eða eldveggis net?

Skiptu yfir í obfuscation og QUIC stillingu Mullvad, byggt sérstaklega til að dylja VPN umferð og komast í gegnum netkerfis blökkun. Multihop leið, sem sendir umferð í gegnum tvær aðskildar netþjóna í mismunandi löndum, getur einnig hjálpað ef ein útkoma er síuð. Prófaðu þessar stillingu áður en þú treystir á tengingu í takmarkandi umhverfi.