Er Mullvad trygt? Sikkerhet, personvern og revisjonanalyse
Er Mullvad trygt? Uavhengige revisjonsresultater, krypteringsprotokoller, jurisdiksjonanalyse, kill switch-testing og verifisering av no-logs-policy.
De sikreste VPN-ene
Er Mullvad trygt? En direkte vurdering
Mullvad scorer 86/100 på vår tillitsindeks. Det opererer under svensk jurisdiksjon, tar €5/måned med ingen kontoer, og håndhever en verifisert no-logs-policy. Uavhengige revisjoner av Cure53 og Assured AB bekreftet minimale sårbarheter. Mullvad lagrer null tilkoblingsforsøk, trafikdata eller personlig identifiserende informasjon på sine 700+ servere på tvers av 50+ land.
Svensk jurisdiksjon og juridiske dataspørsmål
Sverige tilhører 14 Eyes-alliansen for etterretningsdeling. Det høres alarmerende ut ved første øyekast. I praksis forteller det juridiske rammeverket en mer nyansert historie for VPN-leverandører.
Svensk lov krever ikke at VPN-selskaper beholder brukerdata. Mullvad har ingen obligatorisk databevaringsplikt under gjeldende svenske telekommtelekommunikasjonsbestemmelser. Dette betyr at myndighetene kan sende inn forespørsler, men Mullvad har ingenting lagret å levere over.
I april 2023 entret svensk politi fysisk Mullvads kontor i Göteborg med en ranssakingsordre. Offiserer hadde til hensikt å beslaglegge datamaskiner som inneholdt kundedata. Mullvad-ansatte forklarte at det ikke fantes kundedata på noen maskiner, og politiet dro tomhendt. Den reelle testen beviste at no-logs-policyen holder under juridisk press.
Uavhengig revisjonshistorikk
Mullvad har gjennomført flere revisjoner fra tredjeparter. Hver revisjon undersøkte ulike deler av infrastrukturen og klientapplikasjoner.
Cure53-revisjon (2020)
Cure53, et Berlin-basert penetrasjonstestingfirma, reviderte Mullvad VPN-appene i 2020. Teamet identifiserte 7 sårbarheter totalt: 2 vurdert som medium alvorlighetsgrad, 5 vurdert som lav alvorlighetsgrad. Mullvad patset alle 7 problemene før publisering av hele revisjonsrapporten offentlig på sitt nettsted.
Assured AB-revisjon (2023)
Assured AB gjennomførte en revisjonen av Mullvads servere og interne systemer i 2023. Vurderingen dekket serverkonfigurasjoner, krypteringsimplementering og datahåndteringsprosedyrer. Resultatene bekreftet at Mullvads infrastruktur samsvarte med dets offentlige no-logs-påstander. Ingen kritiske sårbarheter ble oppdaget under denne revisjonen.
Cure53-apprevisjonen (2023)
Cure53 kom tilbake for en andre runde i 2023, med fokus på oppdatert appkode. Denne oppfølgingen fant færre problemer enn 2020-revisjonen. Mullvad løste alle funn og ga igjen ut den komplette rapporten til offentlig gjennomgang.
Publisering av fulle revisjonsrapporter er uvanlig i VPN-industrien. Mullvad redigerer ikke funn eller plukker ut gunstige resultater. Den åpenheten legger betydelig vekt til sikkerhetskravene.
Loggingspolicy: Hva Mullvad lagrer og ikke lagrer
Data Mullvad samler ikke inn
Mullvad logger ikke trafikdata, tilkoblings-tidsstempler, øktvarigheter eller IP-adresser. Det lagrer ingen DNS-spørsmål, båndbredderegistreringer eller VPN-serveroppgaver. Kontoaktivitet forblir helt koblet fra fra nettleseradferd eller tilkoblingsmetadata.
Data Mullvad behandler
Mullvad behandler totalt antall samtidige tilkoblinger per konto (begrenset til 5). Denne telleren eksisterer i sanntid og er ikke skrevet til noen permanent lagring. Øyeblikket du kobler fra, reduseres telleren. Ingen historisk registrering opprettholdes.
Mullvad behandler også kortsiktig aggregert serverbelastningsdata for ytelsesoptimalisering. Disse dataene inneholder null brukeridetifiserbar informasjon og roteres automatisk.
Kontosystemet
Mullvad genererer et tilfeldig 16-sifret kontonummer. Ingen e-postadresse, intet navn, intet passord nødvendig. Du kan betale med kort, Bitcoin eller Monero. Denne utformingen eliminerer personlig identifiserende informasjon fra påmeldingsprosessen helt.
Krypteringsstandarder og protokoller
Mullvad støtter to protokoller: WireGuard og OpenVPN. Begge implementeringer bruker sterke, godt gjennomgåtte kryptografiske standarder.
WireGuard-implementering
WireGuard bruker ChaCha20 for symmetrisk kryptering, Curve25519 for nøkkeltilgang og BLAKE2s for hashing. Mullvad bruker WireGuard som standard på alle plattformer. Tilkoblingshåndtrykk fullføres på under 100 millisekunder på de fleste nettverk.
OpenVPN-implementering
OpenVPN-tilkoblinger bruker AES-256-GCM for datakanalskryptering. Nøkkeltilgang er avhengig av RSA-4096-sertifikater med SHA-512-autentisering. Mullvad konfigurerer OpenVPN med tls-auth for å forhindre fingerprinting og DDoS-angrep på VPN-tunnelen.
Kvante-resistente tunneler
Mullvad la til post-quantum-nøkkeltilgang til WireGuard-tunneler i 2023. Denne funksjonen lager Classic McEliece og Kyber-nøkkelinkapsulering på toppen av standard WireGuard-kryptering. Mullvad var den første kommersielle VPN-en til å levere denne funksjonen på tvers av stasjonære plattformer.
Kill Switch og DNS-lekkutvern
Kill Switch-oppførsel
Mullvads kill switch aktiveres som standard på alle plattformer. Den blokkerer all internetttrafikk når VPN-tunnelen faller uventet. Implementeringen opererer på brannmurnivå, ikke applikasjonsnivå. Dette forhindrer lekkasjer selv om Mullvad-appen krasjer helt.
På Linux bruker Mullvad nftables-regler for å håndheve trafikkkblokering. På Windows endrer den Windows Filtering Platform. På macOS bruker den pakkefilterregler. Hver implementering forhindrer både IPv4- og IPv6-lekkasjer samtidig.
DNS-lekkutvern
Mullvad ruter alle DNS-spørsmål gjennom sine egne krypterte DNS-servere. Appen blokkerer system-DNS-forespørsler som forsøker å omgå tunnelen. Mullvad opererer DNS-servere på hver VPN-serverplassering, som løser spørsmål lokalt uten videreformidling til tredjeparter.
Brukere kan også konfigurere egendefinert DNS innen appen. Selv med egendefinert DNS, reiser spørsmål innenfor den krypterte tunnelen. Uavhengige lekkasjetester viser konsekvent null DNS-, WebRTC- eller IPv6-lekkasjer på tvers av alle Mullvad-klienter.
Tidligere sikkerhetshendelser
Politiraid (april 2023)
Seks offiserer fra det svenske nasjonale politiet entret Mullvads Göteborg-kontor. De bar en tingrettskjennelse for å søke etter kundeinformasjon. Mullvads administrerende direktør forklarte at selskapet ikke lagrer kundedata. Politiet beslagla ingen utstyr og dro etter at Mullvads juridiske team utfordret kjennelsens relevans.
Ingen kjente datainnbrudd
Frem til siste revisjonssyklus har Mullvad rapportert null datainnbrudd. Ingen brukerdata har dukket opp i lekkede databaser. Ingen credential stuffing-angrep gjelder fordi Mullvad ikke bruker passord eller e-postadresser. 16-sifret kontonummersystem begrenset angrepsflaten betydelig.
Sårbarhetsafsløringer
Mullvad opprettholder en aktiv bug bounty-tilnærming og publiserer sikkerhetsvarsler på bloggen sin. Alle sårbarheter som finnes under revisjoner mottok oppdateringer innen uker av oppdagelsen. Selskapet har ikke opplevd noen null-dagers-utnyttelse av produksjonsinforstrukturen.
Unike sikkerhetsfunksjoner
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad utviklet DAITA for å motvirke trafikk-analyserangrep. Denne funksjonen fyller ut pakker til enhetlige størrelser og injiserer bedragerisk trafikkmønstre. Det forhindrer motstandere fra å identifisere hvilke nettsider brukere besøker basert på trafikk-fingeravtrykk.
Kryptert DNS over HTTPS (DoH)
Mullvad tilbyr en offentlig DoH-tjeneste på dns.mullvad.net. Brukere kan kryptere DNS-spørsmål selv uten at VPN kjører. Tjenesten inkluderer valgfri annonseblokkering og tracker-blokkeringsprofiler for DNS.
Diskløse RAM-only-servere
Mullvad kjører hele serverflåten sin i RAM-only-modus. Ingen harddisker finnes i serverne. Hver omstart sletter alle data helt. Denne arkitekturen sikrer at fysiske serverbeslag gir null brukbar informasjon.
Multihop-ruting
Brukere kan rute trafikk gjennom 2 separate VPN-servere i ulike land. Dette legger til et andre krypteringslag og skiller inngangspunktet fra utgangspunktet. Multihop er direkte konfigurerbar innen appen uten manuell oppsett.
Konklusjonen om Mullvads sikkerhet
Mullvad tjener sin 86/100-tillitsscore gjennom arkitektur, ikke løfter. RAM-only-servere, kontoanonymitet, publiserte revisjonsrapporter og et verifisert politiraidresultat skiller det fra. €5/måned flat rente uten prøver eller rabatter gjenspeiler et selskap fokusert på tjeneste snarere enn abonnentvolum. For brukere som prioriterer privatverifisering over funksjonstelling, forblir Mullvad et av de sterkeste alternativene tilgjengelig på tvers av 700+ servere i 50+ land.
Ressurser for denne siden
Diagrammer og referansebilder fra testingen vår, gratis å se og dele.
Mullvad kombinerer uavhengig gjennomgåtte apper, lekkasjesikring og infrastruktur designet for å minimere lagrede sesjonsdata.
Ofte stilte spørsmål
Er Mullvad faktisk trygt å bruke?
Ja. Mullvad scorer 86/100 på vår tillitsindeks, støttet av en verifisert no-logs-policy, RAM-only-servere som sletter på hver omstart, og to revisjonsrunder fra uavhengige parter. Cure53 undersøkte appene i 2020 og igjen i 2023, mens Assured AB reviderte infrastrukturen i 2023. Begge revisjoner fant ingen kritiske problemer, og Mullvad publiserte hele rapportene offentlig.
Eksponerer Mullvads svenske jurisdiksjon brukerdata siden Sverige er et 14 Eyes-medlem?
Ikke i praksis. Svensk lov pålegger ingen obligatorisk databevaringsplikt for VPN-leverandører, så Mullvad har ingenting å levere over selv om myndighetene forespør det. Det holdt stand i april 2023 da svensk politi entret Mullvads Göteborg-kontor med en ransakingsordre som søkte etter kunderegistre og dro uten å beslaglegge noe, siden ingen slik data fantes.
Hva skjedde under 2023 svensk politiraid på Mullvad?
Seks offiserer fra det svenske nasjonale politiet entret Mullvads Göteborg-kontor i april 2023 som bar en tingrettskjennelse som søkte etter kundeinformasjon. Mullvads administrerende direktør forklarte at selskapet ikke beholder kundedata etter design. Politiet dro uten å beslaglegge utstyr eller data, en reell test av no-logs-påstanden under direkte juridisk press.
Hva fant Cure53s 2020 og 2023-revisjoner av Mullvad?
Cure53s 2020-revisjon av Mullvad-appene identifiserte 7 sårbarheter: 2 medium alvorlighetsgrad og 5 lav alvorlighetsgrad, alle patset før rapporten ble offentliggjort. Cure53 kom tilbake i 2023 for å revidere oppdatert appkode og fant færre problemer enn den første runden. Mullvad løste ethvert funn og publiserte begge hele rapportene uten redigering.
Hva dekket 2023 Assured AB-revisjonen?
Assured AB reviderte Mullvads serverinfrastruktur og interne systemer i 2023, og gjennomgikk serverkonfigurasjoner, krypteringsimplementering og datahåndteringsprosedyrer. Vurderingen bekreftet at Mullvads infrastruktur samsvarte med dets offentlige no-logs-påstander, med ingen kritiske sårbarheter oppdaget. Kombinert med to Cure53-apprevisjoner har Mullvad nå både appene og backend-infrastrukturen uavhengig verifisert.
Hvordan fungerer Mullvads anonyme kontosystem egentlig?
Mullvad genererer et tilfeldig 16-sifret kontonummer i stedet for å kreve en e-postadresse, navn eller passord. Du kan betale med kort, Bitcoin, Monero eller kontanter sendt per post i en konvolutt. Denne utformingen fjerner personlig identifiserende informasjon fra påmelding helt, som er del av hvorfor no-logs-policyen holdt stand under 2023-politiraidet på Göteborg-kontoret.
Hvilken kryptering bruker Mullvad, og er den kvante-resistent?
Mullvad bruker WireGuard som standard, med ChaCha20 for kryptering, Curve25519 for nøkkeltilgang og BLAKE2s for hashing. Dens OpenVPN-alternativ bruker AES-256-GCM med RSA-4096-sertifikater. I 2023 la Mullvad til post-quantum-nøkkeltilgang som lager Classic McEliece og Kyber på toppen av standard WireGuard, noe som gjør det den første kommersielle VPN-en til å levere dette på tvers av stasjonære plattformer.
Hvilken informasjon samler Mullvad faktisk om kontoen min?
Svært lite. Mullvad sporer bare antall samtidige tilkoblinger i sanntid, begrenset til 5, som reduseres til null øyeblikket du kobler fra og er aldri skrevet til vedvarende lagring. Det behandler også kortsiktig aggregert serverbelastningsdata med ingen brukeridetifiserbar informasjon. Trafikk, tidsstempler, DNS-spørsmål og IP-adresser blir aldri loggført.
Blokkerer Mullvads kill switch pålitelig lekkasjer hvis tilkoblingen faller?
Ja. Mullvads kill switch kjører på brannmurnivå snarere enn applikasjonsnivå, så den fortsetter med å blokkere trafikk selv om appen selv krasjer. Den bruker nftables på Linux, Windows Filtering Platform på Windows og pakkefilterregler på macOS, og forhindrer både IPv4- og IPv6-lekkasjer på tvers av alle implementeringer.
Tilbyr Mullvad en gratis prøveversjon eller refusjon hvis jeg ikke er fornøyd?
Nei, Mullvad kjører pay-as-you-go uten gratis prøveperiode. I stedet for et standard refusjonsvinduer, er ubrukte dager på saldoen din refunderbar hvis du beslutter å slutte. Dette skiller seg fra ProtonVPN og NordVPN, som begge har betalte planene med en 30-dagers pengene-tilbake-garanti snarere enn en pro-ratert refusjonsmodell.
Hvor mange enheter kan jeg kjøre på en Mullvad-konto?
En enkelt Mullvad-konto dekker 5 samtidige tilkoblinger, mindre enn NordVPNs 10 og innen 1-10-området ProtonVPN tilbyr avhengig av plantype. Mullvad har ingen per-enhet-kontokrav siden påmelding bare bruker et 16-sifret nummer, så enheter kobler seg uavhengig uten å knytte til personlig identitet.
Hvordan sammenlignes Mullvads faste prising med ProtonVPN og NordVPN?
Mullvad tar en enkelt flat rente fra $5,50/måned uten langsiktige rabattlag, i motsetning til ProtonVPN (fra $2,49/måned på sin lengste plan) og NordVPN (fra $3,49/måned). På ytelse rangerer Mullvad #7 av 22 i vår Speed Lab, bak NordVPN på #1 men foran ProtonVPN på #12.
Kan jeg få tilgang til Netflix eller Disney+ pålitelig gjennom Mullvad?
Inkonsekvent. Mullvad bygger ikke dedikert teknologi for å komme forbi geo-blokkering for streaming, så større plattformer som Netflix, Disney+ og Prime Video blir ofte blokkert helt. Det støtter BBC iPlayer, 9Now og Channel 4, med resultater som varierer etter server. Hvis pålitelig streaming av store plattformer betyr mest, er en leverandør med dedikert streaming-infrastruktur bedre tilpasset.
Hva hvis Mullvad blir blokkert på et restriktivt eller brannmurnet nettverk?
Bytt til Mullvads obfuskerings- og QUIC-innstillinger, bygd spesielt for å skjule VPN-trafikk og komme forbi nettverksnivå-blokkering. Multihop-ruting, som sender trafikk gjennom to separate servere i ulike land, kan også hjelpe hvis ett enkelt utgangspunkt blir filtrert. Test disse innstillingene før du er avhengig av tilkoblingen i et restriktivt miljø.