Czy Mullvad jest bezpieczny? Analiza bezpieczeństwa, prywatności i audytu
Czy Mullvad jest bezpieczny? Niezależne wyniki audytu, protokoły szyfrowania, analiza jurysdykcji, testowanie kill switch i weryfikacja polityki no-logs.
Najbezpieczniejsze sieci VPN
Czy Mullvad jest bezpieczny? Bezpośrednia ocena
Mullvad uzyskuje 86/100 na naszym indeksie zaufania. Działa pod szwedzką jurysdykcją, pobiera ryczałt €5/miesiąc bez kont i egzekwuje zweryfikowaną politykę no-logs. Niezależne audyty przeprowadzone przez Cure53 i Assured AB potwierdziły minimalne luki w zabezpieczeniach. Mullvad nie przechowuje żadnych dzienników połączeń, danych o ruchu ani danych osobowych na ponad 700 serwerach w 50+ krajach.
Szwedzka jurysdykcja i prawne żądania danych
Szwecja należy do sojuszu wymiany informacji 14 Eyes. Na pierwszy rzut oka brzmi to alarmująco. W praktyce ramy prawne opowiadają bardziej zniuansowaną historię dla dostawców sieci VPN.
Prawo szwedzkie nie wymaga od firm VPN przechowywania danych użytkowników. Mullvad nie ma obowiązkowego przechowywania danych zgodnie z obecnymi szwedzkimi przepisami telekomunikacyjnymi. Oznacza to, że władze mogą wydawać żądania, ale Mullvad nie ma niczego przechowywanego do przekazania.
W kwietnia 2023 roku szwedzka policja fizycznie weszła do biura Mullvada w Göteborgu z nakazem przeszukania. Funkcjonariusze zamierzali przejąć komputery zawierające dane klientów. Pracownicy Mullvada wyjaśnili, że na żadnych maszynach nie istnieją dane klientów, a policja wyszła z pustymi rękami. Ten test w rzeczywistym świecie udowodnił, że polityka no-logs ma zastosowanie pod presją prawną.
Historia niezależnych audytów
Mullvad ukończył wiele audytów bezpieczeństwa od trzecich stron. Każdy audyt badał różne części infrastruktury i aplikacji klienckich.
Audyt Cure53 (2020)
Cure53, berlińska firma zajmująca się testami penetracyjnymi, zbadała aplikacje Mullvad VPN w 2020 roku. Zespół zidentyfikował 7 luk w zabezpieczeniach: 2 o średniej ważności, 5 o niskiej ważności. Mullvad naprawił wszystkie 7 problemów przed opublikowaniem pełnego raportu audytu na swojej stronie internetowej.
Audyt Assured AB (2023)
Assured AB przeprowadził audyt infrastruktury serwerów Mullvada i systemów wewnętrznych w 2023 roku. Ocena obejmowała konfiguracje serwerów, implementację szyfrowania i procedury obsługi danych. Wyniki potwierdziły, że infrastruktura Mullvada odpowiadała jego publicznym twierdzeniom no-logs. Podczas tego zaangażowania nie wykryto żadnych krytycznych luk w zabezpieczeniach.
Audyt aplikacji Cure53 (2023)
Cure53 powróciła na drugą rundę w 2023 roku, koncentrując się na zaktualizowanym kodzie aplikacji. Ta kontynuacja wykazała mniej problemów niż audyt z 2020 roku. Mullvad rozwiązał wszystkie ustalenia i ponownie opublikował pełny raport do publicznego przeglądu.
Publikowanie pełnych raportów audytów jest rzadkością w branży VPN. Mullvad nie redaguje ustaleń ani nie wybiera selektywnie korzystnych wyników. Ta przejrzystość dodaje znaczną wagę jego roszczeniom bezpieczeństwa.
Polityka logowania: co Mullvad przechowuje i czego nie przechowuje
Dane, które Mullvad nie zbiera
Mullvad nie rejestruje danych o ruchu, znaczników czasu połączenia, czasu trwania sesji ani adresów IP. Nie przechowuje zapytań DNS, rekordów użycia przepustowości ani przypisań serwera VPN. Aktywność konta pozostaje całkowicie niezwiązana z zachowaniem przeglądania lub metadanymi połączenia.
Dane, które Mullvad przetwarza
Mullvad przetwarza całkowitą liczbę jednoczesnych połączeń na konto (ograniczone do 5). Ten licznik istnieje w czasie rzeczywistym i nie jest zapisywany w żadnym trwałym magazynie. W momencie rozłączenia ten licznik zmniejsza się. Żaden rekord historyczny nie pozostaje.
Mullvad również przetwarza krótkoterminowe zagregowane dane obciążenia serwera w celu optymalizacji wydajności. Te dane zawierają zero informacji umożliwiających identyfikację użytkownika i automatycznie się rotują.
System kont
Mullvad generuje losowy 16-cyfrowy numer konta. Brak e-maila, brak imienia, brak hasła. Możesz płacić kartą, Bitcoin lub Monero. Ten projekt całkowicie eliminuje dane osobowe z procesu rejestracji.
Standardy szyfrowania i protokoły
Mullvad obsługuje dwa protokoły: WireGuard i OpenVPN. Obie implementacje używają silnych, dobrze sprawdzonych standardów kryptograficznych.
Implementacja WireGuard
WireGuard używa ChaCha20 do szyfrowania symetrycznego, Curve25519 do wymiany kluczy i BLAKE2s do haszowania. Mullvad domyślnie używa WireGuard na wszystkich platformach. Handshaki połączeń kończą się w mniej niż 100 milisekundach w większości sieci.
Implementacja OpenVPN
Połączenia OpenVPN używają AES-256-GCM do szyfrowania kanału danych. Wymiana kluczy opiera się na certyfikatach RSA-4096 z uwierzytelnianiem SHA-512. Mullvad konfiguruje OpenVPN za pomocą tls-auth, aby zapobiec fingerprrintingowi i atakom DDoS na tunel VPN.
Tunele odporne na kwantowe
Mullvad dodał wymianę kluczy odporne na post-kwantowe do tuneli WireGuard w 2023 roku. Ta funkcja układa Classic McEliece i Kyber key encapsulation na standardową kryptografię WireGuard. Mullvad był pierwszą komercyjną siecią VPN, która wyprowadziła tę funkcję na wszystkie platformy desktopowe.
Kill Switch i ochrona przed wyciekami DNS
Zachowanie Kill Switch
Kill switch Mullvada domyślnie aktywuje się na wszystkich platformach. Blokuje cały ruch internetowy, gdy tunel VPN zostanie niespodziewanie przerwany. Implementacja działa na poziomie zapory sieciowej, a nie na poziomie aplikacji. Zapobiega to wyciekom nawet jeśli aplikacja Mullvada całkowicie się zawiesi.
W systemie Linux Mullvad używa reguł nftables do egzekwowania blokowania ruchu. W systemie Windows modyfikuje Windows Filtering Platform. W systemie macOS używa reguł packet filter. Każda implementacja zapobiega wyciekom zarówno IPv4 jak i IPv6 jednocześnie.
Ochrona przed wyciekami DNS
Mullvad kieruje wszystkie zapytania DNS przez swoje własne szyfrowane serwery DNS. Aplikacja blokuje systemowe żądania DNS, które próbują ominąć tunel. Mullvad obsługuje serwery DNS w każdej lokalizacji serwera VPN, rozwiązując zapytania lokalnie bez przekazywania do stron trzecich.
Użytkownicy mogą również skonfigurować niestandardowy DNS w aplikacji. Nawet przy niestandardowym DNS zapytania podróżują wewnątrz zaszyfrowanego tunelu. Niezależne testy wycieków konsekwentnie pokazują zero wycieków DNS, WebRTC lub IPv6 na wszystkich klientach Mullvada.
Przeszłe incydenty bezpieczeństwa
Nalot policji (kwietnia 2023)
Sześciu funkcjonariuszy z Krajowego Biura Policji Szwecji weszło do biura Mullvada w Göteborgu. Mieli nakaz sądu okręgowego szukający informacji o klientach. Dyrektor generalny Mullvada wyjaśnił, że firma nie przechowuje danych klientów. Policja nie przejęła żadnego sprzętu i wyszła po zakwestionowaniu przez zespół prawny Mullvada stosowania nakazu.
Brak znanych naruszeń danych
Do ostatniego cyklu audytu Mullvad nie zgłosił żadnych naruszeń danych. Żadne dane użytkownika nie pojawiły się w wycieciach baz danych. Żadne ataki stuffingu kredencjali nie mają zastosowania, ponieważ Mullvad nie używa haseł ani adresów e-mail. System 16-cyfrowych numerów kont znacznie ogranicza powierzchnię ataku.
Ujawnienia luk w zabezpieczeniach
Mullvad utrzymuje aktywne podejście do bug bounty i publikuje doradztwa bezpieczeństwa na swoim blogu. Wszystkie luki znalezione podczas audytów otrzymały poprawki w ciągu tygodni od odkrycia. Firma nie doświadczyła żadnej eksploatacji zero-day swojej infrastruktury produkcyjnej.
Unikalne funkcje bezpieczeństwa
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad opracował DAITA, aby przeciwdziałać atakom analizy ruchu. Ta funkcja dopełnia pakiety do jednakowych rozmiarów i wstrzykuje falseywne wzorce ruchu. Zapobiega to temu, że przeciwnicy zidentyfikują, które strony internetowe odwiedzają użytkownicy na podstawie fingerprrintów ruchu.
Szyfrowany DNS przez HTTPS (DoH)
Mullvad oferuje publiczną usługę DoH pod adresem dns.mullvad.net. Użytkownicy mogą szyfrować zapytania DNS nawet bez uruchomionej sieci VPN. Usługa zawiera opcjonalne blokowanie reklam i profilów blokujących trackery DNS.
Serwery tylko w pamięci RAM bez dysków
Mullvad uruchamia całą flotę serwerów w trybie tylko RAM. Na serwerach nie istnieją dyski twarde. Każdy restart całkowicie usuwa wszystkie dane. Ta architektura gwarantuje, że fizyczne przejęcia serwerów przynoszą zero użytecznych informacji.
Routing wieloskokowy
Użytkownicy mogą kierować ruch przez 2 oddzielne serwery VPN w różnych krajach. Dodaje to drugą warstwę szyfrowania i oddziela punkt wejścia od punktu wyjścia. Routing wieloskokowy można konfigurować bezpośrednio w aplikacji bez ręcznej konfiguracji.
Podsumowanie w sprawie bezpieczeństwa Mullvada
Mullvad zarabia swoją ocenę 86/100 na podstawie architektury, a nie obietnic. Serwery działające tylko w pamięci RAM, anonimowość konta, opublikowane raporty audytów i zweryfikowany wynik nalotu policji wyróżniają go. Ryczałt €5/miesiąc bez okresów próbnych lub rabatów odzwierciedla firmę skoncentrowaną na usłudze, a nie na wielkości subskrypcji. Dla użytkowników, którzy priorytetyzują weryfikację prywatności nad liczbą funkcji, Mullvad pozostaje jedną z najsilniejszych dostępnych opcji na ponad 700 serwerach w 50+ krajach.
Zasoby dla tej strony
Wykresy i obrazy referencyjne z naszych testów, dostępne do przeglądania i udostępniania.
Mullvad łączy niezależnie sprawdzone aplikacje, kontrolę wycieków i infrastrukturę zaprojektowaną w celu minimalizacji przechowywanych danych sesji.
Często zadawane pytania
Czy Mullvad jest rzeczywiście bezpieczny w użyciu?
Tak. Mullvad uzyskuje 86/100 na naszym indeksie zaufania, wsparty zweryfikowaną polityką no-logs, serwerami działającymi tylko w pamięci RAM, które są czyszczane przy każdym restarcie, i dwoma rundami niezależnych audytów. Cure53 zbadała aplikacje w 2020 roku i ponownie w 2023 roku, podczas gdy Assured AB zbadała infrastrukturę w 2023 roku. Oba zaangażowania nie wykazały żadnych krytycznych problemów, a Mullvad opublikował pełne raporty publicznie.
Czy szwedzka jurysdykcja Mullvada narusza dane użytkowników, ponieważ Szwecja jest członkiem 14 Eyes?
Nie w praktyce. Prawo szwedzkie nie nakłada obowiązkowego przechowywania danych na dostawców sieci VPN, dlatego Mullvad nie ma niczego do przekazania nawet jeśli władze o to poproszą. To sprawdziło się w kwietnia 2023 roku, gdy szwedzka policja weszła do biura Mullvada w Göteborgu z nakazem szukającym rejestrów klientów i wyszła bez przejęcia czegokolwiek, ponieważ takie dane nie istniały.
Co się stało podczas nalotu szwedzkiej policji na Mullvada w 2023 roku?
Sześciu funkcjonariuszy z Krajowego Biura Policji Szwecji weszło do biura Mullvada w Göteborgu w kwietnia 2023 roku z nakazem sądu szukającym informacji o klientach. Dyrektor generalny Mullvada wyjaśnił, że firma z założenia nie przechowuje danych klientów. Policja wyszła bez przejęcia sprzętu lub danych, rzeczywisty test twierdzenia no-logs pod bezpośrednią presją prawną.
Co odkryli audyty Cure53 z 2020 i 2023 roku u Mullvada?
Audyt Cure53 z 2020 roku aplikacji Mullvada zidentyfikował 7 luk w zabezpieczeniach: 2 o średniej ważności i 5 o niskiej ważności, wszystkie naprawione przed opublikowaniem raportu. Cure53 powróciła w 2023 roku, aby zbadać zaktualizowany kod aplikacji i znalazła mniej problemów niż pierwsza runda. Mullvad rozwiązał każde ustalenie i opublikował oba pełne raporty bez redagowania.
Jakie było zakresu audytu Assured AB z 2023 roku?
Assured AB zbadała infrastrukturę serwerów Mullvada i systemy wewnętrzne w 2023 roku, przeglądając konfiguracje serwerów, implementację szyfrowania i procedury obsługi danych. Ocena potwierdziła, że infrastruktura Mullvada odpowiadała jego publicznym twierdzeniom no-logs, bez krytycznych luk w zabezpieczeniach. W połączeniu z dwoma audytami aplikacji Cure53, Mullvad ma teraz zarówno swoje aplikacje jak i infrastrukturę backend niezależnie zweryfikowane.
Jak dokładnie funkcjonuje anonimowy system kont Mullvada?
Mullvad generuje losowy 16-cyfrowy numer konta zamiast wymagać e-maila, imienia lub hasła. Możesz płacić kartą, Bitcoin, Monero lub gotówką wysłaną w kopercie. Ten projekt całkowicie usuwa dane osobowe z procesu rejestracji, co jest częścią powodu, dla którego jego polityka no-logs przetrwała nalot policji w 2023 roku na jego biuro w Göteborgu.
Jakie szyfrowanie używa Mullvad i czy jest odporne na kwantowe?
Mullvad domyślnie używa WireGuard, używając ChaCha20 do szyfrowania, Curve25519 do wymiany kluczy i BLAKE2s do haszowania. Jego opcja OpenVPN używa AES-256-GCM z certyfikatami RSA-4096. W 2023 roku Mullvad dodał wymianę kluczy odporne na post-kwantowe warstw Classic McEliece i Kyber na standardową kryptografię WireGuard, co czyni go pierwszą komercyjną siecią VPN, która to przeprowadziła na wszystkich platformach desktopowych.
Jakie informacje Mullvad faktycznie zbiera na temat mojego konta?
Bardzo mało. Mullvad śledzi tylko liczbę jednoczesnych połączeń w czasie rzeczywistym, ograniczoną do 5, która zmniejsza się do zera w momencie rozłączenia i nigdy nie jest zapisywana w trwałym magazynie. Przetwarza również krótkoterminowe zagregowane dane obciążenia serwera bez informacji umożliwiających identyfikację użytkownika. Ruch, znaczniki czasu, zapytania DNS i adresy IP nigdy nie są rejestrowane.
Czy kill switch Mullvada niezawodnie blokuje wycieki, jeśli połączenie zostanie przerwane?
Tak. Kill switch Mullvada działa na poziomie zapory sieciowej, a nie na poziomie aplikacji, dlatego nadal blokuje ruch nawet jeśli sama aplikacja się zawiesi. Używa nftables w systemie Linux, Windows Filtering Platform w systemie Windows i reguł packet filter w systemie macOS, zapobiegając wyciekom zarówno IPv4 jak i IPv6 na wszystkich implementacjach.
Czy Mullvad oferuje bezpłatny okres próbny lub zwrot pieniędzy, jeśli nie jestem zadowolony?
Nie, Mullvad działa na zasadzie płać-za-to bez bezpłatnego okresu próbnego. Zamiast standardowego okna zwrotu, niewykorzystane dni na saldzie konta można zwrócić, jeśli zdecydujesz się przestać. To różni się od ProtonVPN i NordVPN, które wsparły płatne plany 30-dniową gwarancją zwrotu pieniędzy, a nie modelem zwrotu proporcjonalnego.
Ile urządzeń mogę uruchomić na jednym koncie Mullvada?
Pojedyncze konto Mullvada obejmuje 5 jednoczesnych połączeń, mniej niż 10 NordVPN i w zakresie 1-10, który ProtonVPN oferuje w zależności od poziomu planu. Mullvad nie ma wymogu konta na urządzenie, ponieważ rejestracja używa tylko 16-cyfrowego numeru, dlatego urządzenia łączą się niezależnie bez powiązania z tożsamością osobistą.
Jak płaskie ceny Mullvada porównują się do ProtonVPN i NordVPN?
Mullvad pobiera jedną ryczałtową stawkę od $5.50/miesiąc bez poziomów rabatów długoterminowych, w przeciwieństwie do ProtonVPN (od $2.49/miesiąc na najdłuższy plan) i NordVPN (od $3.49/miesiąc). Na wydajność Mullvad zajmuje #7 z 22 w naszym Speed Lab, za NordVPN na #1, ale przed ProtonVPN na #12.
Czy mogę niezawodnie uzyskać dostęp do Netflix lub Disney+ przez Mullvada?
Niespójnie. Mullvad nie buduje dedykowanej technologii, aby przejść przez geo-blokady streamingowe, dlatego główne platformy takie jak Netflix, Disney+ i Prime Video są często całkowicie zablokowane. Obsługuje BBC iPlayer, 9Now i Channel 4, z wynikami różniącymi się w zależności od serwera. Jeśli niezawodny dostęp do głównych platform streamingowych ma znaczenie, dostawca z dedykowaną infrastrukturą streamingową jest lepszym wyborem.
Co zrobić, jeśli Mullvad zostanie zablokowany na restrykcyjnej lub zafirowańskiej sieci?
Przełącz się na ustawienia obfuskacji i QUIC Mullvada, zbudowane specjalnie, aby przyśnieżyć ruch VPN i przejść przez blokowanie na poziomie sieci. Routing wieloskokowy, który wysyła ruch przez dwa oddzielne serwery w różnych krajach, może również pomóc, jeśli jeden punkt wyjścia jest filtrowany. Przetestuj te ustawienia przed poleganiem na połączeniu w restrykcyjnym środowisku.