Este Mullvad sigur? Analiza auditului de securitate, confidențialitate și independentă

Este Mullvad sigur? O evaluare directă

Mullvad obține 83/100 la indexul nostru de încredere. Funcționează sub jurisdicția suedeză, percepe o taxă fixă de €5/lună fără conturi și publică o politică de non-înregistrare. Auditurile externe realizate de Cure53, Assured AB și altele nu au găsit nicio înregistrare a activității clienților pe serverele care le-au fost furnizate. Mullvad declară că stochează zero jurnale de conexiune, date de trafic sau informații de identificare personală pe serverele sale.

Jurisdicția suedeză și cererile legale de date

Suedia aparține alianței de schimb de informații 14 Eyes. Sună alarming la prima vedere. În practică, cadrul legal spune o poveste mai nuanțată pentru furnizorii de VPN.

Legea suedeză nu impune companiilor VPN să reții date de utilizator. Mullvad nu are nicio obligație legală de păstrare a datelor conform reglementărilor suedeneze actuale de telecomunicații. Aceasta înseamnă că autoritățile pot emite cereri, dar Mullvad nu are nimic stocat de transmis.

În aprilie 2023, poliția suedeză a intrat fizic în biroul Mullvad din Gothenburg cu un mandat de percheziție. Ofițerii intenționau să confisce calculatoare care conțineau date de clienți. Personalul Mullvad a explicat că nu existau date de clienți pe nicio mașină, și poliția a plecat cu mâinile goale. Acel test din lumea reală a dovedit că politica fără jurnale se menține sub presiune legală.

Istoricul auditurilor independente

Mullvad a publicat rapoarte de la mai multe firme de securitate externe. Fiecare a examinat diferite părți din infrastructură sau din aplicații, iar Mullvad a comandat toate acestea.

Auditul infrastructurii Cure53 (2020)

Cure53, o firmă de testare de penetrare cu sediul la Berlin, a auditat infrastructura Mullvad în noiembrie și decembrie 2020. A găsit șase vulnerabilități și șase probleme diverse, până la severitate înaltă, și a ridicat preocupări cu privire la designul containerelor și apărarea în profunzime. Nu a putut descoperi nicio informație de identificare personală legată de utilizatorii finali. Mullvad spune că toate constatările au fost rezolvate, iar raportul este public.

Auditul serverelor releu Assured AB (2022)

Assured AB a auditat trei servere releu Mullvad (două WireGuard, una OpenVPN) din aprilie până în mai 2022 și a scris că configurația este corectă și nu a arătat niciun semn de informații directe despre clienți. Contul propriu Mullvad spune că serverele auditate au fost mașini recent aprovizionate cărora niciun client nu s-a conectat.

Auditul Radically Open Security (2023)

Radically Open Security a testat două servere Mullvad doar în RAM în mai și iunie 2023 și nu a găsit nicio înregistrare a datelor de activitate ale utilizatorului. A scris că nu a putut valida că mașinile de producție reale sunt configurate în același mod, și a evidențiat faptul că administratorii cu acces SSH ar putea tehnologic intercepta traficul VPN de producție. Mullvad a spus că implementa auditarea comenzilor și investiga eliminarea SSH.

Auditul serverului de testare Cure53 (2024)

Cure53 a auditat un server de testare OpenVPN și unul WireGuard în iunie 2024, a găsit două probleme (una scăzută, una medie) și nu a găsit nicio modalitate de a compromite anonimitatea sau integritatea traficului utilizatorului.

Auditul aplicației X41 D-Sec (2024)

X41 D-Sec a auditat aplicațiile Mullvad pentru Android, iOS și desktop din octombrie până în noiembrie 2024. A găsit șase vulnerabilități (niciuna critică, trei înalte, două medii, una scăzută), a concluzionat că aplicațiile au un nivel înalt de securitate, iar Mullvad le-a remediat.

Mullvad publică aceste rapoarte, ceea ce este neobișnuit în industria VPN. Fiecare audit a fost comandat de Mullvad, acoperă o anumită perioadă, și niciuna nu a examinat servere de producție, deci rapoartele arată ce au găsit auditorii pe mașinile care li s-au dat, nu o verificare continuă.

Politica de jurnalizare: ce stochează Mullvad și ce nu stochează

Date pe care Mullvad nu le colectează

Mullvad nu jurnalizează date de trafic, marcaje de timp ale conexiunilor, durate de sesiune sau adrese IP. Nu stochează interogări DNS, înregistrări de utilizare a benzii de lățime sau atribuiri de server VPN. Activitatea contului rămâne complet neconectată de comportamentul de navigare sau metadate de conexiune.

Date pe care Mullvad le procesează

Mullvad procesează numărul total de conexiuni simultane pe cont (limitat la 5). Acest contor există în timp real și nu este scris în nicio stocare persistentă. În momentul în care vă deconectați, acel contor scade. Nicio înregistrare istorică nu persista.

Mullvad prelucrează, de asemenea, date agregate de sarcină pe server pe termen scurt pentru optimizarea performanței. Aceste date conțin zero informații de identificare a utilizatorului și se rotesc automat.

Sistemul de cont

Mullvad generează un număr aleatoriu de 16 cifre. Fără email, fără nume, fără parolă necesară. Puteți plăti cu card, Bitcoin sau Monero. Acest design elimină complet informațiile de identificare personală din procesul de înregistrare.

Standarde de criptare și protocoale

Mullvad acceptă două protocoale: WireGuard și OpenVPN. Ambele implementări utilizează standarde criptografice puternice și bine revizuite.

Implementarea WireGuard

WireGuard utilizează ChaCha20 pentru criptare simetrică, Curve25519 pentru schimbul de chei și BLAKE2s pentru hashing. Mullvad implicit alegerea WireGuard pe toate platformele. Apreturile de conexiune se completează în sub 100 de milisecunde pe majoritatea rețelelor.

Implementarea OpenVPN

Conexiunile OpenVPN utilizează AES-256-GCM pentru criptare pe canal de date. Schimbul de chei se bazează pe certificatele RSA-4096 cu autentificare SHA-512. Mullvad configurează OpenVPN cu tls-auth pentru a preveni amprenta digitală și atacuri DDoS pe tunelul VPN.

Tuneluri rezistente la cuantică

Mullvad a adăugat schimb de chei post-cuantic la tunelurile WireGuard în 2023. Această caracteristică suprapune Classic McEliece și Kyber key encapsulation pe top criptografiei WireGuard standard. Mullvad a fost primul VPN comercial care a livrat această caracteristică pe toate platformele desktop.

Kill Switch și protecție împotriva scurgerilor DNS

Comportamentul Kill Switch

Kill switch-ul Mullvad se activează implicit pe toate platformele. Blochează tot traficul de internet atunci când tunelul VPN se cade neașteptat. Implementarea funcționează la nivelul firewall-ului, nu la nivelul aplicației. Aceasta previne scurgerile chiar dacă aplicația Mullvad se prăbușește complet.

Pe Linux, Mullvad utilizează reguli nftables pentru a impune blocarea traficului. Pe Windows, modifică Windows Filtering Platform. Pe macOS, utilizează reguli de filtru de pachete. Fiecare implementare previne scurgerile IPv4 și IPv6 simultan.

Protecția scurgerii DNS

Mullvad direcționează toate interogările DNS prin propriile sale servere DNS criptate. Aplicația blochează cererile DNS de sistem care încearcă să ocolească tunelul. Mullvad operează servere DNS pe fiecare locație de server VPN, rezolvând interogările local fără a le transmite către terți.

Utilizatorii pot, de asemenea, să configureze DNS personalizat în cadrul aplicației. Chiar și cu DNS personalizat, interogările se deplasează în interiorul tunelului criptat. Testele independente de scurgere arată consistent zero scurgeri DNS, WebRTC sau IPv6 în todos clienții Mullvad.

Incidente de Securitate din Trecut

Percheziție Poliție (aprilie 2023)

Șase ofițeri din Poliția Națională Suedeză au intrat în biroul Mullvad din Göteborg. Aveau un mandat de percheziție de la tribunalul districtual care cerea informații despre clienți. CEO-ul Mullvad a explicat că compania nu stochează date despre clienți. Poliția nu a confiscat niciun echipament și a plecat după ce echipa juridică Mullvad a contestat aplicabilitatea mandatului.

Nicio Încălcare de Date Cunoscute

Până la cel mai recent ciclu de audit, Mullvad a raportat zero încălcări de date. Nicio dată a utilizatorilor nu a apărut în baze de date compromise. Nu se aplică atacuri de credential stuffing, deoarece Mullvad nu folosește parole sau adrese de email. Sistemul de numere de cont de 16 cifre limitează substanțial suprafața de atac.

Dezvăluiri de Vulnerabilități

Mullvad menține o abordare activă de bug bounty și publică avize de securitate pe blogul său. Mullvad declară că vulnerabilitățile găsite în timpul auditurilor au fost corectate. Compania nu a experimentat nicio exploatare zero-day a infrastructurii sale de producție.

Caracteristici unice de securitate

DAITA (Defense Against AI-Guided Traffic Analysis)

Mullvad a dezvoltat DAITA pentru a combate atacurile de analiză a traficului. Această caracteristică umple pachete la dimensiuni uniforme și injectează modele de trafic înșelător. Aceasta previne ca adversarii să identifice care site-uri accesează utilizatorii pe baza amprentelor de trafic.

DNS criptat peste HTTPS (DoH)

Mullvad oferă un serviciu DoH public la dns.mullvad.net. Utilizatorii pot cripta interogările DNS chiar și fără a avea VPN activ. Serviciul include profiluri DNS opționale de blocare a anunțurilor și urmărire.

Servere RAM-only fără disc

Mullvad rulează întreaga flotă de servere în mod RAM-only. Nu există discuri hard în servere. Fiecare repornire șterge complet toate datele. Această arhitectură asigură că capturile fizice de servere generează zero informații utilizabile.

Ruting Multihop

Utilizatorii pot dirija traficul prin 2 servere VPN separate în țări diferite. Aceasta adaugă un al doilea strat de criptare și separă punctul de intrare de punctul de ieșire. Multihop este configurabil direct în aplicație fără configurare manuală.

Linia de fond a securității Mullvad

Mullvad și-a câștigat scorul de 83/100 pe indexul de încredere prin arhitectură, nu prin promisiuni. Serverele doar în RAM, anonimatul contului, rapoartele de audit publicate și rezultatul verificat al unei percheziții polițiești o disting. Tariful plat de €5/lună fără încercări gratuite sau reduceri reflectă o companie concentrată pe serviciu, nu pe volumul de abonați. Pentru utilizatorii care acordă prioritate verificării confidențialității în locul numărului de caracteristici, Mullvad rămâne una dintre cele mai puternice opțiuni disponibile pe întreaga sa rețea de servere.

Resurse pentru această pagină

Grafice și imagini de referință din cercetarea noastră, gratuite pentru vizualizare și partajare.

• 

• Is Mullvad Safe? Security, Privacy & Audit AnalysisPDF · 1.2 MB

Întrebări frecvente

ToateSiguranță și confidențialitateCum funcționeazăPrețuri

Este Mullvad cu adevărat sigur de utilizat?

Da. Mullvad obține 83/100 pe indexul nostru de încredere, susținut de o politică de nicio jurnal publicată, servere doar în RAM care se șterg la fiecare repornire, și mai multe audituri externe. Cure53 a auditat infrastructura în 2020 și un server de staging în 2024, Assured AB a auditat servere de releu în 2022, iar X41 D-Sec a auditat aplicațiile în 2024. Niciuna nu a examinat servere de producție, și Mullvad a publicat rapoartele.

Jurisdicția suedeză a Mullvad expune datele utilizatorilor deoarece Suedia este un membru al 14 Eyes?

Nu în practică. Legea suedeză nu impune nicio obligație legală de păstrare a datelor pe furnizorii de VPN, deci Mullvad nu are nimic de transmis chiar dacă autoritățile o cer. Aceasta a rezistat în aprilie 2023 când poliția suedeză a intrat în biroul Mullvad din Gothenburg cu un mandat de percheziție în căutarea înregistrărilor de clienți și a plecat fără a confisca nimic, deoarece nu existau astfel de date.

Ce s-a întâmplat în percheziția poliției suedeneze din 2023 pe Mullvad?

Șase ofițeri din Poliția Națională Suedeză au intrat în biroul Mullvad din Gothenburg în aprilie 2023 purtând un mandat al curții districtuale în căutarea informațiilor de clienți. CEO-ul Mullvad a explicat că compania nu reține date de clienți prin design. Poliția a plecat fără a confisca echipă sau date, un test din lumea reală al afirmației fără jurnale sub presiune legală directă.

Ce a găsit Cure53 în auditurile Mullvad?

Auditul infrastructurii Cure53 din 2020 a identificat șase vulnerabilități și șase probleme diverse, până la severitate ridicată, și nu a putut descoperi nicio informație de identificare personală asociată utilizatorilor finali. Mullvad declară că toate constatările au fost rezolvate. Auditul Cure53 din iunie 2024 pe doi servere de staging a găsit două probleme (una ușoară, una medie) și nicio cale de compromitere a anonimității sau integrității traficului utilizatorilor. Nici un audit nu a examinat servere de producție.

Ce a acoperit auditarea Assured AB?

Assured AB a auditat trei servere de releu Mullvad (două WireGuard, una OpenVPN) din aprilie până în mai 2022 și a constatat că configurația este corectă și nu a arătat semne de informații directe ale clienților. Serverele au fost proaspăt configurate pentru audit, deci rezultatul nu acoperă flota de producție. Împreună cu auditările serverelor de la Cure53 și Radically Open Security și auditarea aplicațiilor de la X41 D-Sec, Mullvad a publicat revizuiri externe ale atât aplicațiilor sale, cât și configurării serverelor.

Cum funcționează de fapt sistemul de cont anonim al Mullvad?

Mullvad generează un număr aleatoriu de 16 cifre în loc să necesite un email, nume sau parolă. Puteți plăti cu card, Bitcoin, Monero sau numerar trimis prin poștă în plic. Acest design elimină complet informațiile de identificare personală din proces de înregistrare, care este partea din care politica sa fără jurnale a rezistat în percheziția poliției din 2023 pe biroul din Gothenburg.

Ce criptare utilizează Mullvad și este rezistentă la cuantică?

Mullvad implicit alegerea WireGuard, utilizând ChaCha20 pentru criptare, Curve25519 pentru schimbul de chei și BLAKE2s pentru hashing. Opțiunea sa OpenVPN utilizează AES-256-GCM cu certificatele RSA-4096. În 2023, Mullvad a adăugat schimbul de chei post-cuantic suprapunând Classic McEliece și Kyber pe top WireGuard standard, făcând-o primul VPN comercial care livra aceasta pe toate platformele desktop.

Ce informații colectează de fapt Mullvad despre contul meu?

Foarte puțin. Mullvad urmărește doar numărul de conexiuni simultane în timp real, limitat la 5, care scade la zero în momentul în care vă deconectați și nu este niciodată scris în stocare persistentă. Prelucrează, de asemenea, date agregate de sarcină pe server pe termen scurt fără informații de identificare a utilizatorului. Traficul, marcajele de timp, interogările DNS și adresele IP nu sunt niciodată jurnalizate.

Kill switch-ul Mullvad blochează în mod fiabil scurgerile dacă conexiunea se cade?

Da. Kill switch-ul Mullvad rulează la nivel firewall mai degrabă decât la nivel de aplicație, deci continuă blocarea traficului chiar dacă aplicația se prăbușește. Utilizează nftables pe Linux, Windows Filtering Platform pe Windows și reguli de filtru de pachete pe macOS, prevenind scurgerile IPv4 și IPv6 în toate implementările.

Oferă Mullvad o încercare gratuită sau rambursare dacă nu sunt mulțumit?

Nu, Mullvad rulează cu plată pe măsură în care folosiți, fără perioadă de probă gratuită. În loc de o fereastră de rambursare standard, zilele neutilizate din balanța contului sunt rambursabile dacă decideți să vă opriți. Aceasta diferă de ProtonVPN și NordVPN, care ambele susțin planurile plătite cu o garanție de rambursare de 30 de zile mai degrabă decât un model de rambursare pro-rata.

Câte dispozitive pot rula pe un singur cont Mullvad?

Un singur cont Mullvad acoperă 5 conexiuni simultane, mai puțin decât 10 ale NordVPN și în intervalul 1-10 al ProtonVPN în funcție de nivelul planului. Mullvad nu are nicio cerință de cont per-dispozitiv deoarece înregistrarea utilizează doar un număr de 16 cifre, deci dispozitivele se conectează independent fără legătură cu identitatea personală.

Cum se compară prețurile fixe ale Mullvad cu ProtonVPN și NordVPN?

Mullvad aplică o rată plată și uniformă de la $5.50/lună fără niveluri de reducere pe termen lung, spre deosebire de ProtonVPN (de la $3.49/lună pe planul său pe cea mai lungă perioadă) și NordVPN (de la $3.49/lună). La performanță, Mullvad se clasează #7 din 22 în laboratorul nostru de viteză, în spatele NordVPN pe locul #1, dar înaintea ProtonVPN pe locul #12.

Pot accesa Netflix sau Disney+ în mod fiabil prin Mullvad?

Inconsecvent. Mullvad nu construiește tehnologie dedicată pentru a ocoli blocurile de geo pe streaming, deci platforme majore ca Netflix, Disney+ și Prime Video sunt deseori blocate complet. Acceptă BBC iPlayer, 9Now și Channel 4, cu rezultate variabile după server. Dacă streamingul fiabil de platformă majoră contează cel mai mult, un furnizor cu infrastructură dedicată de streaming este mai potrivit.

Ce se întâmplă dacă Mullvad este blocat pe o rețea restrictivă sau cu firewall?

Comutați la setările de obfuscație și QUIC ale Mullvad, construite specific pentru a masca traficul VPN și a ocoli blocarea la nivel de rețea. Ruting Multihop, care trimite traficul prin două servere separate în țări diferite, poate ajuta, de asemenea, dacă un singur punct de ieșire este filtrat. Testați aceste setări înainte de a vă baza pe conexiune într-un mediu restrictiv.