Безопасен ли NordVPN? Аудиты, шифрование и обзор приватности

Безопасен ли NordVPN?

Да. NordVPN использует шифрование AES-256, работает в соответствии с благоприятным для конфиденциальности законодательством Панамы и прошла проверку приложений и серверов компанией Cure53, а также, по её словам, её политика отсутствия логирования была проверена Deloitte, хотя публичный отчёт аудитора недоступен. Единственный инцидент с сервером в 2018 году не привёл к утечке пользовательских данных. В ответ на это NordVPN перенесла всю свою инфраструктуру на серверы, работающие только в оперативной памяти, что значительно повысило уровень её безопасности.

На этой странице подробно рассматривается безопасность. Общую информацию о производительности сервиса и ценах см. в нашем обзоре NordVPN.

Инцидент с сервером в 2018 году: что на самом деле произошло

В марте 2018 года несанкционированная сторона получила доступ к одному серверу NordVPN в Финляндии. Злоумышленник использовал инструмент удаленного управления, оставленный активным поставщиком центра обработки данных. NordVPN не установил этот инструмент. Это сделал центр обработки данных без уведомления NordVPN.

Злоумышленник получил доступ к самому серверу. Он не получил доступ к учетным данным пользователей, истории просмотров или информации об аккаунтах. На сервере не было логов деятельности, так как политика NordVPN об отсутствии логов означала, что их просто не было.

NordVPN обнаружил брешь во время внутреннего аудита и раскрыл ее публично в октябре 2019 года. Задержка вызвала критику. Компания признала пробел и использовала его как катализатор для масштабных изменений инфраструктуры.

Как NordVPN ответил

NordVPN немедленно разорвал контракт с финским центром обработки данных. Затем компания запустила три крупных инициативы:

**Миграция на серверы с памятью. ** NordVPN перенесла всю сеть на бездисковые (только оперативная память) серверы. Эти серверы не могут сохранять данные постоянно. Каждая перезагрузка стирает все. Даже физический захват сервера не приносит ничего полезного.

**Программа поиска уязвимостей. ** NordVPN сотрудничала с HackerOne, чтобы позволить независимым исследователям безопасности постоянно проверять свои системы. Исследователи получают награды за обнаружение уязвимостей до того, как их найдут злоумышленники.

Программа независимых аудитов. NordVPN заявляет, что взяла на себя обязательство проводить регулярные аудиты безопасности третьими лицами. Это создало постоянную внешнюю ответственность вместо разовых гарантий.

Инцидент 2018 года затронул один сервер из тысяч. Данные пользователей не утекли. Но NordVPN рассматривала это как причину для полного перестроения своей инфраструктуры с нуля. Этот ответ имеет значение больше, чем сам инцидент.

Временная шкала аудитов NordVPN

Доверять утверждениям без проверки нельзя. NordVPN опубликовала оценки безопасности от Cure53 и сообщает, что заказала проверки политики отсутствия логов.

Оценки безопасности Cure53

Cure53[1], берлинская фирма по безопасности, несколько раз проводила аудит NordVPN. Её проверка приложений для компьютера и мобильных устройств и расширений в июле-августе 2022 года (отчёт от 22 февраля 2023) выявила 22 проблемы, 6 из них уязвимости, включая 1 критическую (эскалация привилегий в Linux). Проверка серверов и инфраструктуры в сентябре-октябре 2022 года (отчёт от 5 февраля 2023) выявила 11 проблем и 1 уязвимость, и пришла к выводу, что серверы демонстрируют относительно стабильную основу безопасности. Проверка приложений, расширений для браузера и функций в середине 2024 года (отчёт от 17 декабря 2024) выявила 31 проблему, 22 из них уязвимости и 4 высокой критичности, без критических результатов.

Гарантийные обязательства NordVPN об отсутствии логов

NordVPN заявляет, что заказала гарантийные обязательства об отсутствии логов у PwC (2018 и 2020) и Deloitte (2022–2025). Эти проверки были заказаны самой NordVPN, и мы не смогли найти публично доступный отчет аудитора, поэтому воспринимайте это как собственное утверждение NordVPN. NordVPN описывает их на странице аудита без логов[2].

Вывод: инфраструктура серверов NordVPN работает в соответствии с его политикой об отсутствии логов. Компания не сохраняет временные метки подключений, продолжительность сеансов, IP-адреса, данные просмотров или использование полосы пропускания.

Постоянная прозрачность

NordVPN публикует регулярные отчеты о прозрачности[3], в которых подробно описываются запросы данных от правительства. Эти отчеты постоянно показывают один и тот же результат: NordVPN не имеет данных для передачи. Отчеты также охватывают запросы на удаление, статус ордера на молчание и письма национальной безопасности.

Юрисдикция Панамы защищает приватность пользователей

Материнская компания NordVPN, Tefincom S.A., работает в соответствии с законодательством Панамы. Это важно по трем конкретным причинам.

**Отсутствие обязательного хранения данных. ** В Панаме нет законов, требующих от поставщиков VPN хранить данные о деятельности пользователя или информацию о подключении. Многие страны Европы и Северной Америки требуют периодов хранения от 6 до 24 месяцев. Панама этого не требует.

**Вне соглашений об обмене разведывательной информацией. ** Панама находится вне альянсов по наблюдению Five Eyes, Nine Eyes и Fourteen Eyes. Эти альянсы обмениваются данными разведки между странами-членами. VPN, расположенная в США, Великобритании, Канаде или Австралии, подвергается потенциальному принудительному раскрытию. NordVPN этого не делает.

**Практический эффект на запросы данных. ** Иностранные правоохранительные органы не могут заставить панамскую компанию предоставить записи через свои собственные правовые системы. Они должны работать через панамские суды. Даже в этом случае NordVPN не ведет логов для предоставления. Юрисдикция добавляет структурный барьер сверху к техническому.

Шифрование AES-256 и варианты протоколов

NordVPN шифрует весь трафик с помощью AES-256. Это тот же стандарт шифрования, который использует правительство США для секретной информации. Нет известной атаки, которая могла бы взломать AES-256 методом перебора в любые практически возможные сроки. Текущие оценки предполагают, что это заняло бы миллиарды лет с имеющейся вычислительной мощностью.

Протокол NordLynx

NordLynx - это протокол по умолчанию NordVPN. Он построен на WireGuard, который обеспечивает высокие скорости через компактный код из 4000 строк. Сам WireGuard имеет ограничение приватности: требует хранение статических IP-адресов на сервере.

NordVPN решила это с помощью системы двойного NAT (Network Address Translation). Двойной NAT назначает каждому сеансу динамический адрес интерфейса. Когда сеанс заканчивается, адрес исчезает. Это обеспечивает выигрыш WireGuard в скорости без компромисса в приватности.

NordLynx построен на основе WireGuard, что обеспечивает низкие накладные расходы протокола; реальные скорости зависят от вашего соединения и расстояния до сервера. Протокол справляется с потоковой передачей, играми и крупными загрузками без узких мест.

OpenVPN

OpenVPN остается доступным для пользователей, которые предпочитают проверенный протокол. Он работает как через TCP, так и через UDP. TCP обеспечивает надежность для ограниченных сетей. UDP обеспечивает более быстрые скорости для общего использования. Открытый исходный код OpenVPN был тщательно проверен сообществом безопасности в течение двух десятилетий.

IKEv2/IPsec

IKEv2/IPsec хорошо работает на мобильных устройствах. Он быстро переподключается при переключении между сетями Wi-Fi и мобильной сетью. NordVPN сочетает это с шифрованием AES-256. Этот протокол подходит для пользователей, которые часто переходят между сетями.

Kill Switch предотвращает утечки данных при разрывах соединения

VPN-соединения могут разорваться. Когда они разрываются, незащищенный трафик может попасть к вашему провайдеру. Kill switch NordVPN предотвращает это.

Kill switch непрерывно отслеживает ваше VPN-соединение. Если туннель разрывается, он мгновенно блокирует весь интернет-трафик. Никакие данные не покидают ваше устройство до переподключения VPN. NordVPN предлагает два режима kill switch:

**Kill switch на уровне приложения. ** Это блокирует доступ в интернет для конкретных приложений при разрыве VPN. Другие приложения продолжают работать нормально.

**Kill switch на уровне системы. ** Это блокирует весь интернет-трафик по всему устройству. Ничего не проходит без VPN. Это более безопасный вариант для критичных для приватности задач.

Защита от утечек DNS сохраняет конфиденциальность запросов

DNS-запросы переводят доменные имена в IP-адреса. Без защиты эти запросы могут попасть к вашему провайдеру даже при подключении к VPN. NordVPN направляет все DNS-запросы через свои собственные зашифрованные DNS-серверы.

Это предотвращает просмотр вашим провайдером того, какие веб-сайты вы посещаете. Это также блокирует сторонние DNS-провайдеры от регистрации ваших привычек просмотра. Независимые тесты утечек DNS постоянно подтверждают, что защита NordVPN работает должным образом.

Threat Protection блокирует вредоносное ПО и трекеры

Threat Protection работает на сетевом уровне. Он блокирует известные вредоносные домены до их загрузки. Он удаляет параметры отслеживания из URL-адресов. Он определяет и останавливает загрузки вредоноса.

Threat Protection работает даже если вы не подключены к VPN-серверу. Он функционирует как автономный уровень безопасности на поддерживаемых платформах. AV-TEST, независимый институт безопасности, сертифицировал возможности Threat Protection по блокировке вредоноса.

Функция сканирует файлы во время загрузки. Она проверяет URL-адреса по постоянно обновляемым базам данных угроз. Она блокирует навязчивые объявления, которые часто служат векторами распространения вредоноса.

Источники

1. Nordvpn. б.д. Cure53. https://nordvpn.com/blog/cure53-latest-security-assessment/.
2. Nordvpn. б.д. странице аудита без логов. https://nordvpn.com/blog/nordvpn-audit/.
3. Nordvpn. б.д. отчеты о прозрачности. https://nordvpn.com/blog/nordvpn-transparency-report/.

Ресурсы для этой страницы

Графики и справочные изображения из наших исследований — просматривайте и делитесь бесплатно.

• 

• Is NordVPN Safe? Audits, Encryption & Privacy ReviewPDF · 1.3 MB

Часто задаваемые вопросы

ВсеБезопасность и приватностьКак это работаетЦеныНастройка и поддержка

Действительно ли NordVPN безопасен в использовании?

Да. NordVPN шифрует трафик с помощью AES-256, работает под юрисдикцией Панамы, где нет требований к хранению данных, и прошел оценку безопасности приложений и инфраструктуры компанией Cure53, а также, по его словам, прошел аудит политики отсутствия логов Deloitte. Единственный инцидент безопасности — взлом одного сервера в Финляндии в 2018 году — не привел к утечке учетных данных или истории просмотров пользователей, так как логов для кражи не было.

Что именно произошло в брешь NordVPN в 2018 году, и должно ли это вас волновать сейчас?

Злоумышленник использовал инструмент удаленного управления, который финский центр обработки данных оставил активным без ведома NordVPN, получив доступ к одному серверу из тысяч, на котором не было учетных данных пользователей, логов просмотров или данных аккаунтов. NordVPN раскрыла это в октябре 2019 года, затем перенесла всю сеть на серверы только с оперативной памятью, добавила программу поиска уязвимостей HackerOne и обязалась проводить повторяющиеся аудиты третьей стороной.

Какие независимые фирмы провели аудит безопасности NordVPN?

NordVPN опубликовала три оценки Cure53: приложений и дополнений (отчёт от февраля 2023 года), серверов и инфраструктуры (февраль 2023 года) и приложений, расширений и функций (декабрь 2024 года). Отдельно NordVPN утверждает, что заказала проверки политики отсутствия логов у PwC и Deloitte, но мы не смогли найти публично доступные отчёты аудиторов для них.

Почему NordVPN работает из Панамы и какую защиту обеспечивает эта юрисдикция?

Компания-владелец NordVPN, Tefincom S.A., базируется в Панаме специально потому, что в стране отсутствуют законы об обязательном сохранении данных и она находится вне альянсов обмена разведданными Five Eyes, Nine Eyes и Fourteen Eyes. Органы иностранной правоохраны должны подавать петиции в панамские суды для принудительного получения записей, и даже в этом случае NordVPN заявляет, что не хранит журналы для предоставления.

Какое шифрование использует NordVPN и может ли оно реально быть взломано?

NordVPN использует AES-256, тот же стандарт, который применяет правительство США к секретной информации, во всех своих протоколах. Нет известного метода взлома AES-256 методом перебора в практически возможные сроки. Текущие оценки предполагают попытку перебора в миллиарды лет даже с современной вычислительной мощностью, делая само шифрование практически неломаемым с использованием сегодняшних технологий.

Что такое NordLynx и как это решает основной недостаток приватности WireGuard?

NordLynx - это протокол NordVPN по умолчанию, построенный на компактном коде WireGuard для скорости, но модифицированный для решения основной слабости WireGuard: необходимости хранить статический IP-адрес пользователя на сервере. Система двойного NAT NordVPN назначает каждому сеансу временный адрес, который исчезает при отключении, обеспечивая производительность WireGuard без оставления постоянного идентификатора позади.

Как kill switch NordVPN на самом деле останавливает утечки данных при разрыве соединения?

Kill switch NordVPN непрерывно отслеживает VPN-туннель и блокирует весь интернет-трафик в момент его разрыва, так что ничего не покидает ваше устройство незащищенным до восстановления соединения. Он предлагает режим на уровне приложения, который блокирует только выбранные приложения, и режим на уровне системы, который блокирует весь трафик устройства, более строгий вариант для критичных для приватности сеансов, таких как работа с финансовыми данными.

Защищает ли NordVPN от утечек DNS, которые могут раскрыть ваш просмотр интернета вашему интернет-провайдеру?

Да. NordVPN маршрутизирует все DNS-запросы через свои собственные зашифрованные DNS-серверы вместо серверов вашего интернет-провайдера по умолчанию, предотвращая возможность вашего поставщика услуг или сторонних DNS-сервисов вести журнал посещаемых вами сайтов. Вы можете подтвердить, что это работает, запустив тест утечки DNS во время подключения.

Что блокирует Threat Protection NordVPN и работает ли это без подключения VPN?

Threat Protection блокирует известные вредоносные домены до их загрузки, удаляет параметры отслеживания из URL-адресов и сканирует загружаемые файлы на вредоносное ПО, все на сетевом уровне. Он функционирует как автономный уровень безопасности даже если вы не подключены к VPN-серверу. AV-TEST, независимый институт безопасности, сертифицировал его возможности по блокировке вредоноса.

Как безопасность NordVPN сравнивается с ExpressVPN и ProtonVPN при похожей цене?

Все три начинаются примерно с одной цены (NordVPN от $3.49/мес., ExpressVPN от $2.99/мес., ProtonVPN от $3.49/мес.) и дают 30-дневную гарантию возврата денег, но глубина аудитов различается. Оценки Cure53 для NordVPN соседствуют с отчётом KPMG об уверенности и аудитами Cure53 у ExpressVPN, а ProtonVPN работает под швейцарской юрисдикцией и заявляет, что его политика отсутствия логов проверена компанией Securitum. NordVPN занимает #1 из 22 в нашем Speed Lab по совокупным данным опубликованных сторонних тестов; ExpressVPN занимает #8, ProtonVPN занимает #12.

Есть ли способ протестировать утверждения NordVPN о безопасности без риска перед обязательством?

Да. NordVPN поддерживает все планы гарантией возврата денег на 30 дней, давая вам полный месяц для тестирования kill switch, защиты от утечек DNS и Threat Protection самостоятельно перед решением. Если функции безопасности NordVPN не выдержат вашу собственную проверку в течение этого периода, вы можете запросить возврат без долгосрочного обязательства.

Ослабляет ли защита конфиденциальности при защите нескольких устройств под одной учётной записью NordVPN?

Нет. Одна учётная запись NordVPN охватывает 10 одновременных подключений устройств, и каждое соединение независимо работает с одинаковым шифрованием AES-256, kill switch и защитой от утечек DNS. Добавление устройств не ослабляет безопасность, поскольку политика отсутствия логов NordVPN применяется равномерно ко всем подключённым устройствам, а не масштабирует риск в зависимости от количества устройств.

Как я могу подтвердить, что kill switch NordVPN на самом деле меня защищает, перед тем как на него полагаться?

Подключитесь к серверу NordVPN, затем резко отключите Wi-Fi или отсоедините кабель Ethernet во время сеанса, чтобы принудить разрыв. Работающий kill switch срезает весь интернет-трафик мгновенно, а не возвращается к вашему незащищенному соединению. Kill switch NordVPN на уровне системы блокирует весь трафик устройства, в то время как версия на уровне приложения ограничивает только выбранные приложения, поэтому протестируйте тот режим, на который вы планируете полагаться.

Что нужно делать, если вы беспокоитесь о повторении инцидента NordVPN 2018 года с сервером?

Мало действий требуется с вашей стороны, поскольку ответ NordVPN решил основные причины: компания перенесла всю сеть на серверы только с оперативной памятью, которые стирают данные при каждой перезагрузке, добавила программу поиска уязвимостей HackerOne для непрерывного тестирования уязвимостей и обязалась проводить повторяющиеся аудиты третьей стороной. Если беспокойтесь, проверьте опубликованные отчеты о прозрачности NordVPN, которые показывают отсутствие доступных данных для передачи.