Czy NordVPN jest bezpieczny? Audyty, szyfrowanie i przegląd prywatności

Czy NordVPN jest bezpieczny?

Tak. NordVPN wykorzystuje szyfrowanie AES-256, działa na mocy przepisów Panama, jurysdykcji przyjaznej dla prywatności, i miał swoje aplikacje oraz serwery przeanalizowane przez firmę Cure53, oraz zapewnia, że jego polityka bez logów została zbadana przez firmę Deloitte, chociaż żaden raport audytora nie jest publicznie dostępny. Pojedynczy incydent serwerowy w 2018 roku nie ujawnił żadnych danych użytkowników. NordVPN odpowiedział, migrując całą swoją infrastrukturę na serwery działające wyłącznie w pamięci RAM, znacznie zwiększając swoją postawę bezpieczeństwa.

Ta strona zawiera dogłębne omówienie bezpieczeństwa. Aby zapoznać się z ogólną wydajnością usługi i cennikiem, zobacz nasz przegląd NordVPN.

Incydent serwerowy z 2018 roku: co się faktycznie stało

W marcu 2018 roku nieautoryzowana osoba uzyskała dostęp do pojedynczego serwera NordVPN w Finlandii. Osoba atakująca wykorzystała narzędzie zdalnego zarządzania pozostawione aktywnym przez dostawcę centrum danych. NordVPN nie zainstalowało tego narzędzia. Zainstalowało je centrum danych, bez powiadomienia NordVPN.

Osoba atakująca uzyskała dostęp do samego serwera. Nie uzyskała dostępu do poświadczeń użytkownika, aktywności przeglądania lub informacji o koncie. Serwer nie zawierał dzienników aktywności, ponieważ polityka braku dzienników NordVPN oznaczała, że żaden nie istniał do kradzieży.

NordVPN odkryło naruszenie podczas wewnętrznego audytu i ujawniło je publicznie w październiku 2019 roku. Opóźnienie wzbudziło krytykę. Firma przyznała się do luki i wykorzystała ją jako impuls do przeprowadzenia gruntownych zmian infrastruktury.

Jak NordVPN zareagowało

NordVPN natychmiast rozwiązało umowę z fińskim centrum danych. Następnie firma uruchomiła trzy główne inicjatywy:

Migracja serwerów działających wyłącznie w pamięci RAM. NordVPN przeniósło całą sieć na serwery bez dysku (działające wyłącznie w pamięci RAM). Te serwery nie mogą przechowywać danych na stałe. Każdy restart usuwa wszystko. Nawet fizyczne przejęcie serwera nie daje niczego użytecznego.

Program nagrody za błędy. NordVPN nawiązało partnerstwo z HackerOne, aby niezależni badacze bezpieczeństwa mogli stale badać jego systemy. Badacze zarabiają nagrody za odkrycie luk w zabezpieczeniach, zanim zrobią to osoby atakujące.

Program niezależnych audytów. NordVPN twierdzi, że zobowiązał się do regularnych audytów bezpieczeństwa przeprowadzanych przez strony trzecie. Stworzyło to trwającą zewnętrzną odpowiedzialność zamiast jednorazowego zapewnienia.

Incydent z 2018 roku dotyczył jednego serwera z tysięcy. Żadne dane użytkownika nie wyciekły. Jednak NordVPN potraktowało to jako powód do przebudowy całej infrastruktury od podstaw. Ta reakcja jest ważniejsza niż sam incydent.

Oś czasu audytów NordVPN

Twierdzenia dotyczące zaufania bez weryfikacji nic nie znaczą. NordVPN opublikował oceny bezpieczeństwa firmy Cure53 i twierdzi, że zlecił zaangażowania w zakresie audytu polityki braku dzienników.

Oceny bezpieczeństwa firmy Cure53

Cure53[1], firma zajmująca się bezpieczeństwem z siedzibą w Berlinie, wielokrotnie przeprowadziła przegląd NordVPN. Jej przegląd z lipca-sierpnia 2022 r. aplikacji mobilnych i stacjonarnych oraz dodatków (raport z 22 lutego 2023 r.) wykazał 22 ustalenia, w tym 6 luk w zabezpieczeniach, w tym 1 Krytyczną (eskalacja uprawnień root w systemie Linux). Jej przegląd z września-października 2022 r. serwerów i infrastruktury (raport z 5 lutego 2023 r.) wykazał 11 ustaleń i 1 lukę w zabezpieczeniach, a także stwierdził, że serwery wykazują stosunkowo stabilną podstawę bezpieczeństwa. Jej przegląd z połowy 2024 r. aplikacji, rozszerzeń przeglądarki i funkcji (raport z 17 grudnia 2024 r.) wykazał 31 problemów, w tym 22 luki w zabezpieczeniach i 4 przypadki High, bez ustaleń Krytycznych.

Zaangażowania NordVPN w zakresie potwierdzenia braku logów

NordVPN mówi, że zlecił zaangażowania w zakresie potwierdzenia braku logów od PwC (2018 i 2020) oraz Deloitte (2022 do 2025). Zaangażowania te są finansowane przez NordVPN, i nie mogliśmy znaleźć publicznie dostępnego raportu audytora, dlatego traktuj je jako własne oświadczenie NordVPN. NordVPN opisuje je na swojej stronie audytu braku logów[2].

Wniosek: infrastruktura serwerowa NordVPN funkcjonuje zgodnie z jego polityką braku dzienników. Firma nie przechowuje znaczników czasu połączeń, czasu trwania sesji, adresów IP, danych przeglądania ani użycia przepustowości.

Bieżąca przejrzystość

NordVPN publikuje regularne raporty przejrzystości[3] zawierające szczegóły dotyczące żądań danych od rządu. Te raporty konsekwentnie pokazują ten sam rezultat: NordVPN nie ma danych do przekazania. Raporty obejmują również żądania usunięcia, status warrantów kanarków i listy bezpieczeństwa narodowego.

Jurysdykcja Panamy chroni prywatność użytkownika

Firma macierzysta NordVPN, Tefincom S.A., funkcjonuje zgodnie z prawem panamskim. To ma znaczenie z trzech konkretnych powodów.

Brak obowiązkowego przechowywania danych. Panama nie ma praw wymagających od dostawców VPN przechowywania aktywności użytkownika lub danych połączeń. Wiele krajów europejskich i północnoamerykańskich nakazuje okresy przechowywania od 6 do 24 miesięcy. Panama tego nie robi.

Poza sojuszami wymiany informacji wywiadowczych. Panama znajduje się poza sojuszami wymiany informacji wywiadowczych Five Eyes, Nine Eyes i Fourteen Eyes. Te sojusze dzielą się danymi wywiadowczymi między krajami członkowskimi. Sieć VPN zlokalizowana w USA, Wielkiej Brytanii, Kanadzie lub Australii grozi potencjalnym wymuszoną ujawnieniem. NordVPN tego nie robi.

Praktyczny efekt na żądania danych. Zagraniczne agencje egzekucji prawa nie mogą zmusić panamskiej firmy do udostępnienia zapisów poprzez własne systemy prawne. Muszą pracować poprzez sądy panamskie. Nawet wtedy NordVPN nie prowadzi dzienników do dostarczenia. Jurysdykcja dodaje strukturalną barierę na szczycie technicznej.

Szyfrowanie AES-256 i opcje protokołu

NordVPN szyfruje cały ruch za pomocą AES-256. To ten sam standard szyfrowania, który rząd USA wykorzystuje dla informacji niejawnych. Brak znanych ataków, które mogłyby brute-force AES-256 w rozsądnym czasie. Obecne szacunki sugerują, że zajęłoby to miliardy lat przy obecnej mocy obliczeniowej.

Protokół NordLynx

NordLynx jest domyślnym protokołem NordVPN. Bazuje na WireGuard, który zapewnia wysokie prędkości poprzez leaną bazę kodu 4000 linii. Sam WireGuard ma ograniczenie prywatności: wymaga przechowywania statycznych adresów IP na serwerze.

NordVPN rozwiązało to za pomocą systemu podwójnego NAT (Network Address Translation). Podwójny NAT przypisuje dynamiczny adres interfejsu do każdej sesji. Gdy sesja się kończy, adres znika. To zapewnia zyski prędkości WireGuard bez kompromisu prywatności.

Benchmarki wydajności pokazują, że NordLynx osiąga prędkości powyżej 730 Mb/s na połączeniach gigabitowych. Opóźnienie pozostaje niskie. Protokół obsługuje streaming, gry i duże pobierania bez wąskich gardeł.

OpenVPN

OpenVPN pozostaje dostępny dla użytkowników preferujących sprawdzony w boju protokół. Działa zarówno przez TCP, jak i UDP. TCP zapewnia niezawodność w sieciach restrykcyjnych. UDP zapewnia szybsze prędkości w ogólnym użytkowaniu. Kod open-source OpenVPN był gruntownie poddawany audytowi przez społeczność bezpieczeństwa przez dwie dekady.

IKEv2/IPsec

IKEv2/IPsec dobrze sprawdza się na urządzeniach mobilnych. Szybko się ponownie łączy przy przełączaniu się między sieciami Wi-Fi i komórkowymi. NordVPN łączy go z szyfrowaniem AES-256. Ten protokół odpowiada użytkownikom, którzy często przechodzą między sieciami.

Kill Switch zapobiega wyciekom danych podczas przerwań

Połączenia VPN mogą zostać przerwane. Gdy to się stanie, niezabezpieczony ruch może uciec do Twojego dostawcy usług internetowych. Kill switch NordVPN zapobiega temu.

Kill switch monitoruje Twoje połączenie VPN w sposób ciągły. Jeśli tunel się przerywa, natychmiast blokuje cały ruch internetowy. Żadne dane nie opuszczą Twoje urządzenie, dopóki sieć VPN się nie ponownie połączy. NordVPN oferuje dwa tryby kill switch:

Kill switch na poziomie aplikacji. To blokuje dostęp do internetu dla określonych aplikacji, gdy sieć VPN się rozłączy. Inne aplikacje działają normalnie.

Kill switch na poziomie systemu. To blokuje cały ruch internetowy na poziomie urządzenia. Nic się nie przesuwa bez sieci VPN. To jest bezpieczniejsza opcja do zadań krytycznych dla prywatności.

Ochrona wycieków DNS utrzymuje zapytania w prywatności

Żądania DNS tłumaczą nazwy domen na adresy IP. Bez ochrony, te żądania mogą wyciec do Twojego dostawcy usług internetowych nawet podczas połączenia z siecią VPN. NordVPN trasuje wszystkie zapytania DNS przez własne szyfrowane serwery DNS.

To zapobiega widzeniu przez Twojego dostawcę usług internetowych, które strony odwiedzasz. Blokuje również dostawcom DNS stron trzecich logowanie Twoich wzorców przeglądania. Niezależne testy wycieków DNS konsekwentnie potwierdzają, że ochrona NordVPN funkcjonuje zgodnie z ogłoszeniem.

Ochrona przed zagrożeniami blokuje złośliwe oprogramowanie i śledzące

Threat Protection funkcjonuje na poziomie sieci. Blokuje znane złośliwe domeny, zanim się załadują. Usuwa parametry śledzące z adresów URL. Identyfikuje i zatrzymuje pobieranie złośliwego oprogramowania.

Threat Protection działa nawet jeśli nie masz połączenia z serwerem VPN. Funkcjonuje jako samodzielna warstwa bezpieczeństwa na obsługiwanych platformach. AV-TEST, niezależny instytut bezpieczeństwa, certyfikował możliwości blokowania złośliwego oprogramowania przez Threat Protection.

Funkcja skanuje pliki podczas pobierania. Sprawdza adresy URL wobec stale aktualizowanych baz danych zagrożeń. Blokuje natrętne reklamy, które często służą jako wektory dostarczania złośliwego oprogramowania.

Odnośniki

1. Nordvpn. b.d. Cure53. https://nordvpn.com/blog/cure53-latest-security-assessment/.
2. Nordvpn. b.d. stronie audytu braku logów. https://nordvpn.com/blog/nordvpn-audit/.
3. Nordvpn. b.d. raporty przejrzystości. https://nordvpn.com/blog/nordvpn-transparency-report/.

Zasoby dla tej strony

Wykresy i obrazy referencyjne z naszych badań, dostępne bezpłatnie do przeglądania i udostępniania.

• 

• Is NordVPN Safe? Audits, Encryption & Privacy ReviewPDF · 1.3 MB

Często zadawane pytania

WszystkieBezpieczeństwo i prywatnośćJak to działaCenyKonfiguracja i pomoc techniczna

Czy NordVPN jest rzeczywiście bezpieczny w użyciu?

Tak. NordVPN szyfruje ruch przy użyciu AES-256, działa na podstawie panamskiego prawa bez obowiązku przechowywania danych i miał swoje aplikacje oraz infrastrukturę ocenione przez Cure53, a także mówi, że Deloitte przeprowadził audyt jego polityki braku logów. Jedyny incydent bezpieczeństwa – jednoserowowa włamania w Finlandii w 2018 roku – nie spowodował ujawnienia żadnych danych uwierzytelniających użytkowników ani danych przeglądania, ponieważ żadne logi nie istniały, aby je ukraść.

Co dokładnie się stało w naruszeniu NordVPN z 2018 roku i czy powinno Cię to niepokoić teraz?

Osoba atakująca wykorzystała narzędzie zdalnego zarządzania, które fińskie centrum danych pozostawiło aktywnym bez wiedzy NordVPN, uzyskując dostęp do jednego serwera spośród tysięcy, na którym nie było poświadczeń użytkownika, dzienników przeglądania ani danych konta. NordVPN ujawniło to w październiku 2019 roku, a następnie przemigrowało całą sieć na serwery działające wyłącznie w pamięci RAM, dodało bounty HackerOne i zobowiązało się do powtarzających się audytów stron trzecich.

Które niezależne firmy przeprowadziły audyty bezpieczeństwa NordVPN?

NordVPN opublikował trzy oceny Cure53: aplikacje i dodatki (raport z lutego 2023 r.), serwery i infrastruktura (luty 2023 r.) i aplikacje, rozszerzenia i funkcje (grudzień 2024 r.). Oddzielnie NordVPN twierdzi, że zamówił analizy potwierdzające brak dzienników od PwC i Deloitte, ale nie mogliśmy znaleźć publicznie dostępnego raportu audytora.

Dlaczego NordVPN działa z Panamy i jaką ochronę zapewnia ta jurysdykcja?

Spółka-matka NordVPN, Tefincom S.A., ma siedzibę w Panamie właśnie dlatego, że kraj ten nie ma obowiązkowych przepisów o retencji danych i leży poza sojuszami wywiadowczymi Five Eyes, Nine Eyes i Fourteen Eyes. Zagraniczne organy ścigania muszą wystąpić do panamskich sądów o wymuszenie wydania zapisów, a nawet wtedy NordVPN twierdzi, że nie przechowuje żadnych logów, które mógłby przekazać.

Jakie szyfrowanie NordVPN wykorzystuje i czy można je realnie złamać?

NordVPN wykorzystuje AES-256, ten sam standard, który rząd USA stosuje do informacji niejawnych, we wszystkich swoich protokołach. Brak znanych metod na brute-force AES-256 w rozsądnym czasie. Obecne szacunki umieszczają próbę brute-force na miliardy lat, nawet przy nowoczesnej mocy obliczeniowej, co czyni samo szyfrowanie praktycznie niezniszczalnym przy dzisiejszej technologii.

Co to jest NordLynx i jak naprawia główną wadę prywatności WireGuard?

NordLynx jest domyślnym protokołem NordVPN, zbudowanym na lean bazie kodu WireGuard dla prędkości, ale zmodyfikowanym aby rozwiązać podstawową słabość WireGuard: potrzebę przechowywania statycznego adresu IP na użytkownika na serwerze. System podwójnego NAT NordVPN przypisuje każdej sesji tymczasowy adres, który znika po rozłączeniu, dostarczając wydajność WireGuard bez pozostawiania trwałego identyfikatora.

Jak kill switch NordVPN faktycznie zatrzymuje wyciek danych, gdy połączenie się przerywa?

Kill switch NordVPN monitoruje tunel VPN w sposób ciągły i blokuje cały ruch internetowy natychmiast, gdy się przerywa, więc nic nie opuszcza Twoje urządzenie bez ochrony, dopóki połączenie się nie przywróci. Oferuje tryb na poziomie aplikacji, który blokuje tylko wybrane aplikacje, i tryb na poziomie systemu, który blokuje cały ruch urządzenia, bardziej surowa opcja dla sesji krytycznych dla prywatności, takich jak obsługa danych finansowych.

Czy NordVPN chroni przed wyciekami DNS, które mogłyby ujawnić moją przeglądarkę dostawcy internetu?

Tak. NordVPN kieruje wszystkie zapytania DNS przez swoje własne szyfrowane serwery DNS zamiast domyślnego resolvera dostawcy internetu, uniemożliwiając Twojemu dostawcy lub usługom DNS trzecich stron rejestrowanie odwiedzanych witryn. Możesz potwierdzić, że to działa, uruchamiając test wycieku DNS podczas połączenia.

Co blokuje Threat Protection NordVPN i czy funkcjonuje bez połączenia VPN?

Threat Protection blokuje znane złośliwe domeny, zanim się załadują, usuwa parametry śledzące z adresów URL i skanuje pobierane pliki pod kątem złośliwego oprogramowania, wszystko na poziomie sieci. Funkcjonuje jako samodzielna warstwa bezpieczeństwa nawet gdy nie masz połączenia z serwerem VPN. AV-TEST, niezależny instytut bezpieczeństwa, certyfikowała jego możliwość blokowania złośliwego oprogramowania.

Jak bezpieczeństwo NordVPN wypada w porównaniu z ExpressVPN i ProtonVPN w podobnej cenie?

Wszystkie trzy rozpoczynają od zbliżonego punktu cenowego (NordVPN od $3.49/miesiąc, ExpressVPN od $2.99/miesiąc, ProtonVPN od $3.49/miesiąc) i oferują gwarancję zwrotu pieniędzy w ciągu 30 dni, ale głębokość audytów się różni. Oceny bezpieczeństwa NordVPN firmy Cure53 stoją obok raportu zapewnienia jakości KPMG i audytów Cure53 ExpressVPN, a ProtonVPN, który działa na podstawie prawa szwajcarskiego i twierdzi, że jego polityka no-logs została zbadana przez Securitum. NordVPN zajmuje #1 miejsce spośród 22 w naszej Speed Lab, zagregowane z opublikowanych testów stron trzecich; ExpressVPN zajmuje #8, ProtonVPN zajmuje #12.

Czy jest sposób na testowanie roszczeń bezpieczeństwa NordVPN bez ryzyka przed zaangażowaniem się?

Tak. NordVPN zabezpiecza każdy plan 30-dniową gwarancją zwrotu pieniędzy, dając Ci cały miesiąc na testowanie kill switch, ochrony przed wyciekom DNS i Threat Protection samodzielnie przed podjęciem decyzji. Jeśli funkcje bezpieczeństwa NordVPN nie wytrzymają Twojej własnej kontroli w tym oknie, możesz poprosić o zwrot pieniędzy bez długoterminowego zaangażowania.

Czy zabezpieczanie wielu urządzeń na jednym koncie NordVPN osłabia jego ochronę prywatności?

Nie. Jedno konto NordVPN obejmuje 10 jednoczesnych połączeń urządzeń, a każde połączenie uruchamia takie samo szyfrowanie AES-256, kill switch i ochronę przed wyciekami DNS niezależnie. Dodanie urządzeń nie osłabia bezpieczeństwa, ponieważ polityka braku logów NordVPN obowiązuje jednostkowo na każdym podłączonym urządzeniu, a nie skaluje ryzyko wraz z liczbą urządzeń.

Jak mogę potwierdzić, że kill switch NordVPN mnie faktycznie chroni, zanim uwierzę mu?

Połącz się z serwerem NordVPN, a następnie nagle odłącz Wi-Fi lub odłącz ethernet w środku sesji, aby wymusić przerwę. Działający kill switch natychmiast odcina cały ruch internetowy zamiast wracania do Twojego niezabezpieczonego połączenia. Kill switch na poziomie systemu NordVPN blokuje cały ruch urządzenia, podczas gdy wersja na poziomie aplikacji ogranicza się tylko do wybranych aplikacji, dlatego testuj niezależnie od tego, który tryb planujesz używać.

Co powinieneś zrobić, jeśli martwisz się powtórzeniem incydentu serwerowego NordVPN w stylu 2018?

Nie jest wymagana żadna akcja ze Twojej strony, ponieważ odpowiedź NordVPN rozwiązała przyczyny główne: przemigrował całą sieć na serwery działające wyłącznie w pamięci RAM, które wymazują dane przy każdym restarcie, dodał bounty HackerOne do ciągłego testowania podatności na zagrożenia i zobowiązał się do powtarzających się audytów stron trzecich. Jeśli martwisz się, sprawdź opublikowane raporty przejrzystości NordVPN, które pokazują, że żadne dane nie są dostępne do przekazania.