Безопасна ли Mullvad? Анализ безопасности, конфиденциальности и аудита
Безопасна ли Mullvad? Результаты независимых аудитов, протоколы шифрования, анализ юрисдикции, тестирование kill switch и проверка политики отсутствия логов.
Самые безопасные VPN
Безопасна ли Mullvad? Прямая оценка
Mullvad получает 86/100 баллов по нашему индексу доверия. Он работает под юрисдикцией Швеции, взимает фиксированную плату €5/месяц без учетных записей и обеспечивает проверенную политику отсутствия логов. Независимые аудиты от Cure53 и Assured AB подтвердили минимальное количество уязвимостей. Mullvad не хранит логи подключений, данные трафика или личную информацию на 700+ серверах в 50+ странах.
Шведская юрисдикция и запросы юридических данных
Швеция входит в альянс обмена разведданными 14 Eyes. На первый взгляд это звучит тревожно. Однако правовая база рассказывает более сложную историю для поставщиков VPN.
Шведское законодательство не требует от компаний VPN хранить данные пользователей. Mullvad не имеет обязательства по хранению данных согласно действующим шведским нормам телекоммуникаций. Это означает, что органы власти могут выдавать запросы, но Mullvad не хранит ничего для передачи.
В апреле 2023 года шведская полиция физически вошла в офис Mullvad в Гётеборге с ордером на обыск. Офицеры намеревались изъять компьютеры, содержащие данные клиентов. Персонал Mullvad объяснил, что на машинах нет данных клиентов, и полиция ушла с пустыми руками. Этот реальный тест доказал, что политика отсутствия логов выдерживает юридическое давление.
История независимых аудитов
Mullvad прошел несколько аудитов безопасности третьей стороны. Каждый аудит изучал разные части инфраструктуры и приложений клиента.
Аудит Cure53 (2020)
Cure53, берлинская фирма, занимающаяся тестированием на проникновение, провела аудит приложений Mullvad VPN в 2020 году. Команда выявила 7 уязвимостей: 2 средней серьезности, 5 низкой серьезности. Mullvad исправил все 7 проблем перед тем, как опубликовать полный отчет аудита на своем веб-сайте.
Аудит Assured AB (2023)
Assured AB провела аудит инфраструктуры серверов Mullvad и внутренних систем в 2023 году. Оценка охватила конфигурации серверов, реализацию шифрования и процедуры обработки данных. Результаты подтвердили, что инфраструктура Mullvad соответствует его публичным заявлениям об отсутствии логов. Критических уязвимостей обнаружено не было.
Аудит приложений Cure53 (2023)
Cure53 вернулась во второй раз в 2023 году, сосредоточившись на обновленном коде приложения. Это дополнительное изучение выявило меньше проблем, чем аудит 2020 года. Mullvad решила все проблемы и снова опубликовала полный отчет для общественного ознакомления.
Публикация полных отчетов аудитов редко встречается в индустрии VPN. Mullvad не редактирует результаты и не выбирает благоприятные результаты. Такая прозрачность придает значительный вес ее заявлениям о безопасности.
Политика логирования: что Mullvad хранит и что не хранит
Данные, которые Mullvad не собирает
Mullvad не логирует данные трафика, временные метки подключений, продолжительность сеансов или IP-адреса. Она не хранит запросы DNS, записи об использовании полосы пропускания или назначения VPN-серверов. Активность учетной записи остается полностью не связанной с поведением при просмотре или метаданными подключения.
Данные, обрабатываемые Mullvad
Mullvad обрабатывает общее количество одновременных подключений на учетную запись (ограничено 5). Этот счетчик существует в реальном времени и не записывается в какое-либо постоянное хранилище. Как только вы отключаетесь, счетчик уменьшается. Никаких исторических записей не сохраняется.
Mullvad также обрабатывает краткосрочные совокупные данные нагрузки сервера для оптимизации производительности. Эти данные содержат нулевую информацию о идентификации пользователя и автоматически ротируются.
Система учетной записи
Mullvad генерирует случайный 16-значный номер учетной записи. Не требуется электронная почта, имя или пароль. Вы можете оплатить картой, Bitcoin или Monero. Такая схема полностью исключает личную информацию из процесса регистрации.
Стандарты шифрования и протоколы
Mullvad поддерживает два протокола: WireGuard и OpenVPN. Обе реализации используют сильные, хорошо рецензируемые криптографические стандарты.
Реализация WireGuard
WireGuard использует ChaCha20 для симметричного шифрования, Curve25519 для обмена ключами и BLAKE2s для хеширования. Mullvad по умолчанию использует WireGuard на всех платформах. Рукопожатия подключения завершаются менее чем за 100 миллисекунд на большинстве сетей.
Реализация OpenVPN
Подключения OpenVPN используют AES-256-GCM для шифрования канала данных. Обмен ключами полагается на сертификаты RSA-4096 с аутентификацией SHA-512. Mullvad настраивает OpenVPN с tls-auth для предотвращения отпечатков пальцев и DDoS-атак на туннель VPN.
Туннели, устойчивые к квантовым компьютерам
Mullvad добавила обмен ключами после квантового периода для туннелей WireGuard в 2023 году. Эта функция наслаивает Classic McEliece и Kyber на стандартную криптографию WireGuard. Mullvad была первым коммерческим VPN, который добавил эту функцию на всех настольных платформах.
Kill Switch и защита от утечек DNS
Поведение Kill Switch
Kill switch Mullvad активируется по умолчанию на всех платформах. Он блокирует весь интернет-трафик при неожиданном падении туннеля VPN. Реализация работает на уровне брандмауэра, а не на уровне приложения. Это предотвращает утечки даже если приложение Mullvad полностью упадет.
На Linux Mullvad использует правила nftables для обеспечения блокировки трафика. На Windows она изменяет платформу фильтрации Windows. На macOS она использует правила фильтра пакетов. Каждая реализация предотвращает утечки как IPv4, так и IPv6 одновременно.
Защита от утечек DNS
Mullvad маршрутизирует все запросы DNS через свои собственные зашифрованные DNS-серверы. Приложение блокирует системные запросы DNS, которые пытаются обойти туннель. Mullvad управляет DNS-серверами в каждом месте VPN-сервера, разрешая запросы локально без пересылки третьим сторонам.
Пользователи также могут настроить пользовательский DNS в приложении. Даже при пользовательском DNS запросы все еще перемещаются внутри зашифрованного туннеля. Независимые тесты утечек постоянно показывают нулевые утечки DNS, WebRTC или IPv6 во всех клиентах Mullvad.
Прошлые инциденты безопасности
Полицейский рейд (апрель 2023)
Шесть офицеров шведской национальной полиции вошли в офис Mullvad в Гётеборге. Они имели ордер районного суда на поиск информации о клиентах. Генеральный директор Mullvad объяснил, что компания не хранит данные клиентов. Полиция не изъяла оборудование и ушла после того, как юридическая команда Mullvad оспорила применимость ордера.
Нет известных утечек данных
По состоянию на последний цикл аудита Mullvad сообщила о нулевых утечках данных. Никакие данные пользователей не появились в утекших базах данных. Атаки со своением учетных данных не применяются, потому что Mullvad не использует пароли или адреса электронной почты. Система 16-значного номера учетной записи значительно ограничивает поверхность атаки.
Раскрытие уязвимостей
Mullvad поддерживает активный подход к поиску ошибок и публикует уведомления об уязвимостях в своем блоге. Все уязвимости, найденные во время аудитов, были исправлены в течение нескольких недель после обнаружения. Компания не испытала никаких эксплуатаций нулевого дня своей производственной инфраструктуры.
Уникальные функции безопасности
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad разработала DAITA для противодействия атакам анализа трафика. Эта функция дополняет пакеты до унифицированных размеров и вводит поддельные шаблоны трафика. Это предотвращает попытки противника определить, какие веб-сайты посещают пользователи, на основе отпечатков трафика.
Зашифрованный DNS через HTTPS (DoH)
Mullvad предлагает общественный сервис DoH на dns.mullvad.net. Пользователи могут шифровать запросы DNS даже без запуска VPN. Сервис включает опциональное блокирование рекламы и блокирование рекомендуемых профилей DNS трекеров.
Серверы только в оперативной памяти без жестких дисков
Mullvad работает на серверах, которые используют только оперативную память. На серверах нет жестких дисков. Каждая перезагрузка полностью стирает все данные. Эта архитектура обеспечивает, что физическое захоронение серверов не приносит никакой полезной информации.
Многоскачковая маршрутизация
Пользователи могут направлять трафик через 2 отдельных VPN-сервера в разных странах. Это добавляет второй уровень шифрования и разделяет точку входа от точки выхода. Многоскачок можно настроить прямо в приложении без ручной установки.
Итоговый вывод о безопасности Mullvad
Mullvad получает свой балл 86/100 на основе архитектуры, а не обещаний. Серверы только в оперативной памяти, анонимность учетной записи, опубликованные отчеты аудитов и проверенный результат полицейского рейда отличают ее от конкурентов. Фиксированная плата €5/месяц без пробных периодов или скидок отражает компанию, ориентированную на сервис, а не на объем подписчиков. Для пользователей, которые приоритизируют проверку конфиденциальности над количеством функций, Mullvad остается одним из самых сильных вариантов на 700+ серверах в 50+ странах.
Ресурсы для этой страницы
Графики и справочные изображения из наших тестов — доступны для просмотра и распространения.
Mullvad сочетает независимо проверенные приложения, защиту от утечек и инфраструктуру, разработанную для минимизации хранимых данных сессий.
Часто задаваемые вопросы
Действительно ли Mullvad безопасна в использовании?
Да. Mullvad получает 86/100 баллов по нашему индексу доверия, подкрепленный проверенной политикой отсутствия логов, серверами только в оперативной памяти, которые стираются при каждой перезагрузке, и двумя раундами независимого аудита. Cure53 изучала приложения в 2020 году и снова в 2023 году, а Assured AB провела аудит инфраструктуры в 2023 году. Обе проверки не выявили критических проблем, и Mullvad опубликовала полные отчеты публично.
Подвергает ли шведская юрисдикция Mullvad данные пользователя, поскольку Швеция входит в альянс 14 Eyes?
Нет, на практике. Шведское законодательство не налагает обязательного хранения данных на поставщиков VPN, поэтому у Mullvad нет ничего для передачи даже если органы власти выдадут запрос. Это подтвердилось в апреле 2023 года, когда шведская полиция вошла в офис Mullvad в Гётеборге с ордером на поиск записей о клиентах и ушла, не изъяв ничего, так как никаких таких данных не существовало.
Что произошло во время полицейского рейда Mullvad в 2023 году?
Шесть офицеров шведской национальной полиции вошли в офис Mullvad в Гётеборге в апреле 2023 года с ордером районного суда на поиск информации о клиентах. Генеральный директор Mullvad объяснил, что компания по дизайну не сохраняет данные клиентов. Полиция ушла, не изъяв оборудование или данные, что стало реальным тестом заявления об отсутствии логов при прямом юридическом давлении.
Что выявили аудиты Cure53 2020 и 2023 годов Mullvad?
Аудит Cure53 приложений Mullvad 2020 года выявил 7 уязвимостей: 2 средней серьезности и 5 низкой серьезности, все исправленные перед тем, как отчет был опубликован. Cure53 вернулась в 2023 году для аудита обновленного кода приложения и выявила меньше проблем, чем в первом раунде. Mullvad решила все проблемы и опубликовала оба полные отчета без редакции.
Что охватывал аудит Assured AB 2023 года?
Assured AB провела аудит серверной инфраструктуры Mullvad и внутренних систем в 2023 году, изучив конфигурации серверов, реализацию шифрования и процедуры обработки данных. Оценка подтвердила, что инфраструктура Mullvad соответствует ее публичным заявлениям об отсутствии логов, без обнаруженных критических уязвимостей. Вместе с двумя аудитами приложений Cure53 у Mullvad теперь есть независимая проверка как приложений, так и серверной инфраструктуры.
Как на самом деле работает анонимная система учетной записи Mullvad?
Mullvad генерирует случайный 16-значный номер учетной записи вместо того, чтобы требовать электронную почту, имя или пароль. Вы можете оплатить карточкой, Bitcoin, Monero или наличными, отправленными в конверте. Такая конструкция полностью исключает личную информацию из процесса регистрации, что частично объясняет, почему ее политика отсутствия логов выдержала полицейский рейд 2023 года в гётеборгском офисе.
Какое шифрование использует Mullvad и устойчиво ли оно к квантовым компьютерам?
Mullvad по умолчанию использует WireGuard, применяя ChaCha20 для шифрования, Curve25519 для обмена ключами и BLAKE2s для хеширования. Его вариант OpenVPN использует AES-256-GCM с сертификатами RSA-4096. В 2023 году Mullvad добавила обмен ключами после квантового периода, наслаивая Classic McEliece и Kyber на стандартную криптографию WireGuard, став первым коммерческим VPN, который добавил это на всех настольных платформах.
Какую информацию Mullvad действительно собирает о моей учетной записи?
Очень мало. Mullvad отслеживает только количество одновременных подключений в реальном времени, ограниченное 5, которое уменьшается до нуля при отключении и никогда не записывается в постоянное хранилище. Она также обрабатывает краткосрочные совокупные данные нагрузки сервера без информации о идентификации пользователя. Трафик, временные метки, запросы DNS и IP-адреса никогда не логируются.
Надежно ли блокирует утечки kill switch Mullvad при разрыве соединения?
Да. Kill switch Mullvad работает на уровне брандмауэра, а не на уровне приложения, поэтому он продолжает блокировать трафик даже если само приложение упадет. Он использует nftables на Linux, платформу фильтрации Windows на Windows и правила фильтра пакетов на macOS, предотвращая утечки как IPv4, так и IPv6 во всех реализациях.
Предлагает ли Mullvad бесплатный пробный период или возврат, если я не доволен?
Нет, Mullvad работает по схеме оплаты по мере использования без бесплатного пробного периода. Вместо стандартного окна возврата неиспользованные дни на балансе вашей учетной записи подлежат возврату, если вы решите прекратить. Это отличается от ProtonVPN и NordVPN, которые оба поддерживают платные планы гарантией возврата денег в течение 30 дней, а не моделью пропорционального возврата.
Сколько устройств я могу использовать на одной учетной записи Mullvad?
Одна учетная запись Mullvad охватывает 5 одновременных подключений, меньше чем 10 NordVPN и в пределах диапазона 1-10, который предлагает ProtonVPN в зависимости от уровня плана. У Mullvad нет требования о учетной записи для каждого устройства, поскольку регистрация использует только 16-значный номер, поэтому устройства подключаются независимо без связи с личной идентичностью.
Как плоская цена Mullvad сравнивается с ProtonVPN и NordVPN?
Mullvad взимает единую фиксированную ставку от $5.50/месяц без уровней долгосрочных скидок, в отличие от ProtonVPN (от $2.49/месяц на самом длинном плане) и NordVPN (от $3.49/месяц). По производительности Mullvad занимает #7 из 22 в нашей Speed Lab, позади NordVPN на #1, но впереди ProtonVPN на #12.
Могу ли я надежно получить доступ к Netflix или Disney+ через Mullvad?
Непостоянно. Mullvad не разрабатывает специальную технологию для обхода геоблокировки потокового контента, поэтому основные платформы, такие как Netflix, Disney+ и Prime Video, часто полностью заблокированы. Она поддерживает BBC iPlayer, 9Now и Channel 4, с результатами, варьирующимися в зависимости от сервера. Если надежная потоковая передача основных платформ имеет наибольшее значение, провайдер со специальной инфраструктурой потоковой передачи будет лучше.
Что если Mullvad заблокирована в ограничивающей или защищенной сети?
Переключитесь на обфускацию Mullvad и параметры QUIC, специально разработанные для маскировки VPN-трафика и обхода блокировки на уровне сети. Многоскачковая маршрутизация, которая отправляет трафик через два отдельных сервера в разных странах, также может помочь, если отдельная точка выхода фильтруется. Протестируйте эти параметры перед тем, как полагаться на соединение в ограничивающей среде.