Este NordVPN sigur? Audituri independente, criptare și revizuire de confidențialitate

Este NordVPN sigur?

Da. NordVPN utilizează criptarea AES-256, operează sub jurisdicția ușor pentru confidențialitate a Panamei și și-a făcut aplicațiile și serverele revizuite de Cure53, și spune că politica sa de fără înregistrări a fost auditată de Deloitte, deși niciun raport de auditor nu este public citibil. Un singur incident de server din 2018 a expus zero date de utilizatori. NordVPN a răspuns prin migrarea întregii sale infrastructuri pe servere RAM-only, întărind semnificativ poziția sa de securitate.

Această pagină acoperă securitatea în profunzime. Pentru performanța generală a serviciului și prețuri, consultați revizuirea NordVPN.

Incidentul de server din 2018: Ce s-a întâmplat de fapt

În martie 2018, o parte neautorizată a accesat un singur server NordVPN din Finlanda. Atacatorul a exploatat un instrument de gestionare la distanță lăsat activ de furnizorul de centru de date. NordVPN nu a instalat acest instrument. Centrul de date a făcut-o, fără a notifica NordVPN.

Atacatorul a obținut acces la serverul în sine. Nu a obținut acces la acreditările utilizatorului, activitatea de navigare sau informațiile contului. Serverul nu conținea jurnale de activitate deoarece politica fără jurnal a NordVPN a însemnat că nu au existat jurnal pentru a fi furate.

NordVPN a descoperit breșa în timpul unui audit intern și a divulgat-o public în octombrie 2019. Întârzierea a atras critici. Compania a recunoscut decalajul și l-a folosit ca catalizator pentru schimbări ample ale infrastructurii.

Cum a răspuns NordVPN

NordVPN a reziliat imediat contractul cu centrul de date finlandez. Apoi compania a lansat trei inițiative majore:

Migrație de servere doar în RAM. NordVPN și-a mutat întreaga rețea pe servere fără disc (doar RAM). Aceste servere nu pot stoca date persistent. Fiecare repornire șterge totul. Chiar și confiscarea fizică a unui server nu produce nimic util.

Program de bug bounty. NordVPN s-a asociat cu HackerOne pentru a permite cercetătorilor de securitate independenți să investigheze continuu sistemele sale. Cercetătorii câștigă recompense pentru descoperirea vulnerabilităților înainte ca atacatorii să le facă.

Program de audit independent. NordVPN spune că s-a angajat să efectueze audituri de securitate regulate de către terți. Aceasta a creat o responsabilitate externă continuă în loc de o simplă asigurare unică.

Incidentul din 2018 a afectat un server din mii. Nicio dată de utilizator nu a scăpat. Dar NordVPN a tratat-o ca pe un motiv pentru a reconstrui infrastructura din temelii. Răspunsul acela contează mai mult decât incidentul în sine.

Cronologia auditărilor NordVPN

Pretențiile de încredere fără verificare nu înseamnă nimic. NordVPN a publicat evaluări de securitate de la Cure53 și spune că a comandat angajamente de asigurare privind politica fără jurnale.

Evaluările de Securitate Cure53

Cure53[1], o firmă de securitate cu sediul la Berlin, a revizuit NordVPN de mai multe ori. Evaluarea sa din iulie-august 2022 a aplicațiilor desktop și mobile și a suplimentelor (raport datat 22 februarie 2023) a găsit 22 constatări, 6 dintre ele vulnerabilități, inclusiv 1 Critică (o escaladare a privilegiilor root pe Linux). Evaluarea sa din septembrie-octombrie 2022 a serverelor și a infrastructurii (raport datat 5 februarie 2023) a găsit 11 constatări și 1 vulnerabilitate, și a concluzionat că serverele prezintă o bază de securitate relativ stabilă. Evaluarea sa din mijlocul anului 2024 a aplicațiilor, extensiilor de browser și funcțiilor (raport datat 17 decembrie 2024) a găsit 31 de probleme, 22 dintre ele vulnerabilități și 4 Ridicate, fără constatări Critice.

Angajamentele de asigurare a politicii fără evidență din NordVPN

NordVPN spune că a comandat angajamente de asigurare a politicii fără evidență de la PwC (2018 și 2020) și Deloitte (2022 până în 2025). Acestea sunt comandate de NordVPN, și nu am putut găsi un raport public al auditorului, deci tratați-le ca fiind propriul cont al NordVPN. NordVPN le descrie pe pagina sa de audit fără evidență[2].

Concluzia: Infrastructura serverului NordVPN funcționează în conformitate cu politica sa fără jurnal. Compania nu stochează marcajele de timp de conectare, duratele sesiunilor, adresele IP, datele de navigare sau utilizarea lățimii de bandă.

Transparență continuă

NordVPN publică rapoarte de transparență[3] regulate care detaliază cererile de date guvernamentale. Aceste rapoarte arată consistent același rezultat: NordVPN nu are date de predat. Rapoartele acoperă, de asemenea, cererile de îndepărtare, statutul warrant canary și scrisorile de securitate națională.

Jurisdicția din Panama protejează confidențialitatea utilizatorului

Compania mamă a NordVPN, Tefincom S.A., operează conform legii panameze. Aceasta contează pentru trei motive concrete.

Nicio retenție obligatorie a datelor. Panama nu are legi care să cumpelească furnizorii de VPN să stocheze date de activitate a utilizatorului sau de conectare. Multe țări europene și nord-americane impun perioade de retenție de 6 la 24 de luni. Panama nu face asta.

În afara alianțelor de partajare a informațiilor. Panama se află în afara alianțelor Five Eyes, Nine Eyes și Fourteen Eyes. Aceste alianțe partajează date de informații între națiuni membre. Un VPN pe bază din SUA, Marea Britanie, Canada sau Australia se confruntă cu potențiala divulgare forțată. NordVPN nu.

Efectul practic asupra cererilor de date. Agențiile de aplicare a legii străine nu pot forța o companie panameza să producă înregistrări prin propriile sisteme juridice. Trebuie să lucreze prin tribunalele panameze. Chiar și atunci, NordVPN nu menține jurnale pentru a produce. Jurisdicția adaugă o barieră structurală pe lângă cea tehnică.

Criptarea AES-256 și opțiuni de protocol

NordVPN criptează tot traficul cu AES-256. Aceasta este aceeași normare de criptare pe care o folosește guvernul american pentru informații clasificate. Niciun atac cunoscut nu poate forța brute AES-256 într-un interval de timp practic. Estimările actuale sugerează că ar dura miliarde de ani cu puterea de calcul existentă.

Protocolul NordLynx

NordLynx este protocolul implicit al NordVPN. Se bazează pe WireGuard, care oferă viteze mari printr-un cod lean de 4.000 de linii. WireGuard singur are o limitare de confidențialitate: necesită stocarea adreselor IP statice pe server.

NordVPN a rezolvat asta cu un sistem dublu NAT (Network Address Translation). NAT-ul dublu atribuie o adresă de interfață dinamică fiecărei sesiuni. Când sesiunea se încheie, adresa dispare. Aceasta oferă câștigurile de viteză ale WireGuard fără compromisul de confidențialitate.

NordLynx este construit pe WireGuard, care menține supraîncărcarea protocolului scăzută; vitezele reale depind de conexiunea și distanța serverului dvs. Protocolul gestionează streaming-ul, jocurile și descărcările mari fără blocaje.

OpenVPN

OpenVPN rămâne disponibil pentru utilizatorii care preferă un protocol testat. Se execută atât pe TCP cât și pe UDP. TCP oferă fiabilitate pentru rețele restrictive. UDP oferă viteze mai rapide pentru utilizarea generală. Codul sursă deschis al OpenVPN a fost auditat extensiv de comunitatea de securitate de-a lungul a două decenii.

IKEv2/IPsec

IKEv2/IPsec funcționează bine pe dispozitivele mobile. Se reconectează rapid la schimbarea între rețelele Wi-Fi și celulare. NordVPN o perechează cu criptare AES-256. Acest protocol se potrivește utilizatorilor care se deplasează frecvent între rețele.

Kill Switch previne scurgeri de date în timpul căderii

Conexiunile VPN pot cădea. Când se întâmplă asta, traficul neprotejat poate scăpa către ISP-ul dumneavoastră. Kill switch-ul NordVPN previne asta.

Kill switch-ul monitorizează continuu conexiunea VPN. Dacă tunelul cade, blochează instantaneu tot traficul de internet. Nicio dată nu lădă dispozitivul dumneavoastră până când VPN se reconectează. NordVPN oferă două moduri de kill switch:

Kill switch la nivel de aplicație. Aceasta blochează accesul la internet pentru aplicații specifice atunci când VPN se deconectează. Alte aplicații continuă să funcționeze normal.

Kill switch la nivel de sistem. Aceasta blochează tot traficul de internet la nivel de dispozitiv. Nimic nu trece fără VPN. Aceasta este opțiunea mai sigură pentru sarcini critice din punct de vedere al confidențialității.

Protecția scurgerii DNS ține cererile private

Cererile DNS traduc numele de domenii în adrese IP. Fără protecție, aceste cereri pot scăpa către ISP-ul dumneavoastră chiar și în timp ce sunteți conectat la un VPN. NordVPN rutează toate cererile DNS prin propriii săi servere DNS criptate.

Aceasta previne ISP-ul dumneavoastră să vadă care site-uri vizitați. De asemenea, blochează furnizorii DNS de terță parte din înregistrarea modelelor dumneavoastră de navigare. Testele independente de scurgere DNS confirmă în mod constant că protecția NordVPN funcționează după cum se anunță.

Protecția Threat blochează malware și tracker-ii

Threat Protection funcționează la nivel de rețea. Blochează domeniile malițioase cunoscute înainte de a se încărca. Eliminează parametrii de urmărire din URL-uri. Identifică și oprește descărcările de malware.

Threat Protection funcționează chiar și atunci când nu sunteți conectat la un server VPN. Funcționează ca strat de securitate standalone pe platformele suportate. AV-TEST, un institut de securitate independent, a certificat capacitățile de blocare a malware-ului din Threat Protection.

Funcția scanează fișierele în timpul descărcării. Verifică URL-urile în baze de date de amenințări constant actualizate. Blochează anunțurile intruzive care deservesc adesea ca vectori de livrare a malware-ului.

Referințe

1. Nordvpn. f.d. Cure53. https://nordvpn.com/blog/cure53-latest-security-assessment/.
2. Nordvpn. f.d. pagina sa de audit fără evidență. https://nordvpn.com/blog/nordvpn-audit/.
3. Nordvpn. f.d. rapoarte de transparență. https://nordvpn.com/blog/nordvpn-transparency-report/.

Resurse pentru această pagină

Grafice și imagini de referință din cercetarea noastră, gratuite pentru vizualizare și partajare.

• 

• Is NordVPN Safe? Audits, Encryption & Privacy ReviewPDF · 1.3 MB

Întrebări frecvente

ToateSiguranță și confidențialitateCum funcționeazăPrețuriConfigurare și asistență

NordVPN este cu adevărat sigur de folosit?

Da. NordVPN criptează traficul cu AES-256, funcționează sub jurisdicția Panamei care nu impune retenția datelor, și și-a avut aplicațiile și infrastructura evaluate de Cure53, iar conform afirmațiilor sale, Deloitte a auditat politica sa de nicio evidență. Singura sa incidentă de securitate, o încălcare a unui singur server în Finlanda în 2018, nu a expus credențiale de utilizatori sau date de navigare, deoarece nu existau evidențe de salvat.

Ce exact s-a întâmplat în breșa NordVPN din 2018 și ar trebui să vă îngrijoreze acum?

Un atacator a exploatat un instrument de gestionare la distanță pe care centrul de date finlandez l-a lăsat activ fără cunoștința NordVPN, obținând acces la un server din mii fără credențiale de utilizator, jurnale de navigare sau date de cont pe el. NordVPN l-a divulgat în octombrie 2019, apoi și-a migrat întreaga rețea pe servere doar în RAM, a adăugat un bug bounty HackerOne și s-a angajat la audituri recurente de terță parte.

Care firme independente au auditat securitatea NordVPN?

NordVPN a publicat trei evaluări Cure53: aplicații și add-on-uri (raport din februarie 2023), servere și infrastructură (februarie 2023) și aplicații, extensii și caracteristici (decembrie 2024). În mod separat, NordVPN spune că a comandat angajamente de asigurare fără înregistrări de la PwC și Deloitte, dar nu am putut găsi un raport public al auditorului pentru acestea.

De ce NordVPN funcționează din Panama, și ce protejează de fapt această jurisdicție?

NordVPN’s parent, Tefincom S.A., este bazată în Panama în mod specific pentru că țara nu are legi obligatorii de păstrare a datelor și se află în afara alianțelor de partajare a inteligenței Five Eyes, Nine Eyes și Fourteen Eyes. Forțele de ordine străine trebuie să petiționeze tribunalele panameze pentru a obliga producerea de înregistrări, și chiar și atunci NordVPN spune că nu menține niciun jurnal de disponibil.

Ce criptare folosește NordVPN și poate fi realistic ruptă?

NordVPN utilizează AES-256, aceeași normă pe care o aplică guvernul american informațiilor clasificate, pe toate protocoalele sale. Niciun metod cunoscut nu poate forța brute AES-256 într-un interval practic. Estimările actuale pun o încercare de forță brută la miliarde de ani chiar și cu puterea de calcul modernă, ceea ce face criptarea în sine efectiv indestructibilă cu tehnologia de azi.

Ce este NordLynx și cum remediază defectul principal de confidențialitate al WireGuard?

NordLynx este protocolul implicit al NordVPN, construit pe codul lean al WireGuard pentru viteză, dar modificat pentru a rezolva defectul principal al WireGuard: necesitatea de a stoca o adresă IP statică per utilizator pe server. Sistemul dublu NAT al NordVPN atribuie fiecărei sesiuni o adresă temporară care dispare la deconectare, oferind performanța WireGuard fără a lăsa un identificator persistent în spate.

Cum oprește de fapt kill switch-ul NordVPN scurgerile de date atunci când o conexiune cade?

Kill switch-ul NordVPN monitorizează tunelul VPN continuu și blochează tot traficul de internet instantaneu când cade, deci nimic nu lădă dispozitivul dumneavoastră neprotejat până când conexiunea se restabilește. Oferă un mod la nivel de aplicație care blochează doar aplicațiile alese și un mod la nivel de sistem care blochează tot traficul dispozitivului, opțiunea mai strictă pentru sesiuni critice din punct de vedere al confidențialității, cum ar fi gestionarea datelor financiare.

NordVPN protejează împotriva scurgerilor DNS care ar putea expune navigarea dvs. furnizorului de internet?

Da. NordVPN direcționează toate interogările DNS prin propriile sale servere DNS criptate, în loc să utilizeze rezolverul implicit al furnizorului dvs. de internet, împiedicând furnizorul dvs. sau serviciile DNS terță parte să înregistreze ce site-uri vizitați. Puteți confirma că funcționează executând un test de scurgere DNS în timp ce sunteți conectat.

Ce blochează Threat Protection al NordVPN și funcționează fără VPN conectat?

Threat Protection blochează domeniile malițioase cunoscute înainte de a se încărca, elimină parametrii de urmărire din URL-uri și scanează fișierele descărcate pentru malware, tot la nivel de rețea. Funcționează ca strat de securitate standalone chiar și atunci când nu sunteți conectat la un server VPN. AV-TEST, un institut de securitate independent, a certificat capacitatea sa de blocare a malware-ului.

Cum se poziționează securitatea NordVPN în comparație cu ExpressVPN și ProtonVPN la un preț similar?

Toți trei încep de la aproximativ același punct de preț (NordVPN de la $3.49/lună, ExpressVPN de la $2.99/lună, ProtonVPN de la $3.49/lună) și oferă garanții de rambursare în 30 de zile, dar adâncimea auditării diferă. Evaluările Cure53 ale NordVPN se aliniază cu raportul de asigurare KPMG și auditurile Cure53 ale ExpressVPN, și ProtonVPN, care operează sub jurisdicția elvețiană și spune că politica sa fără jurnal a fost auditată de Securitum. NordVPN se clasează #1 din 22 în laboratorul nostru de viteză, agregate din teste publicate ale terților; ExpressVPN se clasează #8, ProtonVPN se clasează #12.

Există o modalitate de a testa afirmațiile de securitate ale NordVPN fără riscuri înainte de a vă angaja?

Da. NordVPN susține fiecare plan cu o garanție de rambursare de 30 de zile, oferindu-vă o lună întreagă pentru a testa kill switch-ul, protecția scurgerii DNS și Threat Protection dumneavoastră însuși înainte de a decide. Dacă caracteristicile de securitate ale NordVPN nu se țin în cadrul propriei dumneavoastră examinări în acea fereastră, puteți solicita o rambursare fără angajament pe termen lung.

Asigurarea mai multor dispozitive sub un singur cont NordVPN slăbește protecția sa de confidențialitate?

Nu. Un singur cont NordVPN acoperă 10 conexiuni simultane de dispozitive, iar fiecare conexiune rulează aceeași criptare AES-256, kill switch și protecție împotriva scurgerii DNS în mod independent. Adăugarea de dispozitive nu dilueaza securitatea, deoarece politica de înregistrări inexistente a NordVPN se aplică uniform pe fiecare dispozitiv conectat, mai degrabă decât să scaleze riscul în funcție de numărul de dispozitive.

Cum pot confirma că kill switch-ul NordVPN mă protejează de fapt înainte de a-l încredința?

Conectați-vă la un server NordVPN, apoi deconectați brusc Wi-Fi-ul dumneavoastră sau deconectați ethernet la mijlocul sesiunii pentru a forța o cădere. Un kill switch care funcționează taie tot traficul de internet instantaneu mai degrabă decât să se întoarcă la conexiunea dumneavoastră neprotejată. Kill switch-ul la nivel de sistem al NordVPN blochează tot traficul dispozitivului, în timp ce versiunea la nivel de aplicație restricționează doar aplicațiile alese, deci testați oricare dintre moduri plănuiți să vă bazați.

Ce ar trebui să faceți dacă vă îngrijorați o repetare a incidentului de server de tip 2018 al NordVPN?

Puțin acțiune este necesară din partea dumneavoastră deoarece răspunsul NordVPN a abordat cauzele fundamentale: și-a migrat întreaga rețea pe servere doar RAM care șterg datele la fiecare repornire, a adăugat un bug bounty HackerOne pentru testarea continuă a vulnerabilității și s-a angajat la audituri recurente de terță parte. Dacă sunteți preocupat, verificați rapoartele de transparență publicate ale NordVPN, care arată nicio dată disponibilă pentru a preda.