A Mullvad i sigurt? Analiza e Auditimit, Sigurisë dhe Privatësisë

A Mullvad i sigurt? Një Vlerësim i Drejtpërdrejtë

Mullvad merr 83/100 në indeksin tonë të besimit. Funksionon nën juridiksionin suedez, ngarkon një tarifë fikse €5/muaj pa llogari, dhe publikon një politikë pa regjistrime. Auditimet e jashtme nga Cure53, Assured AB dhe të tjerë nuk gjetën regjistrim të aktivitetit të klientëve në serverët që u dhanë. Mullvad thotë se ruhet zero regjistrime lidhjeje, të dhëna të trafikut, ose informacione personale të identifikueshme në serverët e tij.

Juridiksioni Suedez dhe Kërkimet e Dhënave Ligjore

Suedia bën pjesë në aleancën e ndarjes së inteligjencës 14 Eyes. Kjo duket alarmante në shikim të parë. Në praktikë, korniza ligjore tregon një histori më të nuancuar për ofruesit e VPN-it.

Ligji suedez nuk kërkon që kompanive të VPN-it të ruajnë të dhënat e përdoruesit. Mullvad nuk ka asnjë obligim të detyrueshëm të ruajtjes së të dhënave sipas rregulloreve aktuale suedeze të telekomunikacionit. Kjo do të thotë se autoritetet mund të dërgojnë kërkesa, por Mullvad nuk ka asgjë të ruajtur për të dorëzuar.

Në prill 2023, policia suedeze hyrë fizikisht në zyrën e Mullvad në Gothenburg me një urdhër kërkimi. Oficerët synuan të konfiskojnë kompjuterët që përmbanin të dhënat e klientëve. Stafi i Mullvad shpjegoi se nuk ekziston asnjë të dhënë e klientit në asnjë makinë, dhe policia u largua pa mënyra. Atë provë në botën reale vërtetoi se politika pa regjistrime qëndron nën presionin ligjor.

Historiku i Auditimit të Pavarur

Mullvad ka publikuar raporte nga disa firma sigurie të jashtme. Secila ka ekzaminuar pjesë të ndryshme të infrastrukturës ose aplikacioneve, dhe Mullvad i urdhëroi të gjitha ato.

Cure53 Auditi i Infrastrukturës (2020)

Cure53, një firmë penetration testing me bazë në Berlin, auditoi infrastrukturën e Mullvad në nëntor dhe dhjetor të 2020. Ajo gjeti gjashtë cenueshmëri dhe gjashtë çështje të tjera, deri në severitet të lartë, dhe ngrit shqetësime në lidhje me dizajnin e kontejnerëve dhe mbrojtjen në thellësi. Ajo nuk arriti të zbulonte asnjë informacion të identifikimit personal të lidhur me përdoruesit përfundimtarë. Mullvad thotë se të gjitha gjetjet u zgjidhen, dhe raporti është publik.

Auditi i Serverit Relay të Assured AB (2022)

Assured AB auditoi tre serverë relay të Mullvad (dy WireGuard, një OpenVPN) nga prilli deri në maj të 2022 dhe shkroi se konfigurimi është i shëndoshë dhe nuk tregoi shenja të informacionit të drejtpërdrejtë të klientit. Llogaria vetë e Mullvad thotë se serverët e audituar ishin makina të reja të kërkimit që asnjë klient nuk u lidhej.

Auditi i Radically Open Security (2023)

Radically Open Security testoi dy serverë Mullvad vetëm në RAM në maj dhe qershor të 2023 dhe gjeti asnjë regjistrim të të dhënave të aktivitetit të përdoruesit. Ajo shkroi se nuk mund ta validonte se makinat reale të prodhimit janë konfiguruar në të njëjtën mënyrë, dhe ajo shënoi se administratorët me akses SSH mund të prekën në mënyrë teknike trafikun VPN të prodhimit. Mullvad tha se ishte duke zbatuar auditin e komandës dhe po hetonte heqjen e SSH.

Auditi i Staging Server të Cure53 (2024)

Cure53 auditoi një server staging OpenVPN dhe një WireGuard në qershor të 2024, gjeti dy çështje (një të ulët, një të mesme) dhe nuk gjeti asnjë mënyrë për të komprometuar anonimitetin ose integritetin e trafikut të përdoruesit.

Auditi i Aplikacioneve X41 D-Sec (2024)

X41 D-Sec auditoi aplikacionet e Mullvad për Android, iOS dhe desktop nga tetor deri në nëntor të 2024. Ajo gjeti gjashtë cenueshmëri (asnjë kritike, tri të larta, dy të mesme, një të ulët), konkludoi se aplikacionet kanë një nivel të lartë sigurie, dhe Mullvad i rregulloi ato.

Mullvad publikon këto raporte, gjë që është e pazakontë në industrinë VPN. Çdo audit u urdhërua nga Mullvad, mbulon një pikë në kohë, dhe asnjë nuk ekzaminoi serverët e prodhimit, kështu që raportet tregojnë atë që audituesit gjetën në makinat që iu dhanë, jo verifikimin e vazhdueshëm.

Politika e Regjistrimeve: Çfarë Mullvad Ruan dhe Nuk Ruan

Të Dhënat Që Mullvad Nuk Mbledh

Mullvad nuk regjistron të dhënat e trafikut, kohën e lidhjes, kohëzgjatjen e sesionit ose adresat IP. Nuk ruan asnjë pyetje DNS, regjistrime të përdorimit të gjerësisë së brezit ose caktime të serverit VPN. Aktiviteti i llogarisë mbetet plotësisht i shkëputur nga sjellja e shfletimit ose të dhënat e metapëlqimit të lidhjes.

Të Dhënat Që Mullvad Përpunon

Mullvad përpunon numrin e përgjithshëm të lidhjeve të njëkohshme për llogarinë (e kufizuar në 5). Ky numërues ekziston në kohë reale dhe nuk shkruhet në asnjë ruajtje të vazhdueshme. Në momentin që shkëputeni, ai numërues zvogëlohet. Asnjë regjistrim historik nuk mbetet.

Mullvad gjithashtu përpunon të dhëna të ngarkesës së serverit të ngjashme afatshkurtër për optimizimin e performancës. Këto të dhëna nuk përmbajnë informacione të identifikueshme të përdoruesit dhe rrotullohen automatikisht.

Sistemi i Llogarisë

Mullvad gjeneron një numër llogarie të rastësishëm 16-shifror. Asnjë email, asnjë emër, asnjë fjalëkalim i nevojshëm. Mund të paguani me karte, Bitcoin ose Monero. Ky dizajn eliminon plotësisht informacionin personal të identifikueshëm nga procesi i regjistrimit.

Standardet e Enkriptimit dhe Protokollet

Mullvad mbështet dy protokolle: WireGuard dhe OpenVPN. Të dyja implementimet përdorin standarde kriptografike të forta dhe të rishqyrtuara mirë.

Implementimi i WireGuard

WireGuard përdor ChaCha20 për enkriptimin simetrik, Curve25519 për shkëmbimin e çelësit dhe BLAKE2s për hash. Mullvad parazgjedh WireGuard në të gjitha platformat. Dora e lidhjes përfundohet në më pak se 100 milisekonda në shumicën e rrjeteve.

Implementimi i OpenVPN

Lidhjet e OpenVPN përdorin AES-256-GCM për enkriptimin e kanalit të të dhënave. Shkëmbimi i çelësit mbështetet në sertifikatat RSA-4096 me autentikimin SHA-512. Mullvad konfiguroi OpenVPN me tls-auth për të parandaluar gishtrimin dhe sulmet DDoS në tunelin VPN.

Tunelet Rezistente ndaj Kuantumit

Mullvad shtoi shkëmbimin e çelësit pas-kuantumit në tunelet WireGuard në 2023. Kjo veçori shtresa klasike McEliece dhe Kyber në krye të kriptografisë standarde të WireGuard. Mullvad ishte VPN-i i parë komercial që i dërgoi këto veçori në të gjitha platformat e desktopit.

Kill Switch dhe Mbrojtja e DNS Leak

Sjellja e Kill Switch

Kill switch-u i Mullvad aktivizohet sipas parazgjedhjes në të gjitha platformat. Ajo bllokon të gjithë trafikun e internetit kur tuneli VPN bie në mënyrë të papritshme. Implementimi funksionon në nivelin e firewall-it, jo në nivelin e aplikacionit. Kjo parandalon nxjerrjen përmes edhe nëse aplikacioni Mullvad rrëzohet plotësisht.

Në Linux, Mullvad përdor rregullat nftables për të dhënë bllokimin e trafikut. Në Windows, ajo modifikon Platformën e Filtrimit të Windows. Në macOS, ajo përdor rregullat e filtrit të paketave. Çdo zbatim parandalon nxjerrjen e IPv4 dhe IPv6 në të njëjtën kohë.

Mbrojtja e DNS Leak

Mullvad cakton të gjithë pyetjet DNS përmes serverëve të tij të DNS-it të enkriptuar. Aplikacioni bllokon kërkesën e DNS të sistemit që përpiqet të anashkalon tunelin. Mullvad operon serverët DNS në çdo vendndodhje të serverit VPN, duke zgjidhur pyetjet në vendin pa u përcjellur në palë të treta.

Përdoruesit mund të konfiguroni gjithashtu DNS të personalizuar brenda aplikacionit. Edhe me DNS të personalizuar, pyetjet ende udhëtojnë brenda tunelit të enkriptuar. Testet e nxjerrjes së pavarura tregojnë në mënyrë konsistente zero nxjerjet e DNS, WebRTC ose IPv6 në të gjithë klientët e Mullvad.

Incidente të Sigurisë në të Kaluarën

Razia e Policisë (Prill 2023)

Gjashtë oficerë nga Policia Kombëtare Suedeze hynë në zyrën e Mullvad në Gotenburg. Ata përndasin një urdhër kërkimi nga gjykata e rrethit që kërkonte informacione të klientëve. Drejtori ekzekutiv i Mullvad shpjegoi se kompania nuk ruaj asnjë të dhënë të klientëve. Policia nuk konfiskoi asnjë pajisje dhe u largua pasi ekipi ligjor i Mullvad sfidoi përshtatshmërinë e urdhrit.

Asnjë Shkelje të Njohur të të Dhënave

Deri në ciklin më të fundit të auditimit, Mullvad ka raportuar zero shkelje të të dhënave. Asnjë të dhënë përdoruesi nuk ka shfaqur në bazat e të dhënave të rrjedhura. Asnjë sulm i “credential stuffing” nuk zbatohet sepse Mullvad nuk përdor fjalëkalime ose adresa email. Sistemi i numrit 16-shifror të llogarisë kufizon ndjeshëm sipërfaqen e sulmit.

Zbulime të Vulnerabiliteteve

Mullvad ndjek një qasje aktive të shpërblimit të gabimeve dhe boton këshilla sigurie në blogun e tij. Mullvad thotë se vulnerabilitetet e gjetura gjatë auditimeve u rregulluan. Kompania nuk ka përjetuar ndonjë shfrytëzim zero-day të infrastrukturës së saj të prodhimit.

Veçoritë Unike të Sigurisë

DAITA (Defense Against AI-Guided Traffic Analysis)

Mullvad zhvilloi DAITA për të kundërvënë sulmete të analizës së trafikut. Kjo veçori pakat e pads në madhësi uniforme dhe injektoni modele të trafikut të rremë. Kjo parandalon armiqtë të identifikojnë cilat faqe interneti vizitojnë përdoruesit bazuar në gishtra të trafikut.

DNS i Enkriptuar Përmes HTTPS (DoH)

Mullvad ofron një shërbim publik DoH në dns.mullvad.net. Përdoruesit mund të enkriptojnë pyetjet DNS edhe pa ekzekutuar VPN-in. Shërbimi përfshin profile DNS optional bllokimi i reklamave dhe bllokimi i ndjekjeve.

Serverë Vetëm RAM pa Disk

Mullvad drejton të gjithë flotën e serverit në mënyrë vetëm RAM. Asnjë hard drive nuk ekziston në serverët. Çdo rinisje fshij të gjithë të dhënat plotësisht. Kjo arkitekturë siguron se sekuestrat fizik të serverit japin informacione zero të përdorshme.

Rutimi Multihop

Përdoruesit mund të dërgojnë trafikun përmes 2 serverëve VPN të veçantë në vende të ndryshme. Kjo shton një shtresë të dytë enkriptimi dhe ndan pikën e hyrjes nga pika dalëse. Multihop është i konfigurueshem drejtpërdrejt brenda aplikacionit pa konfigurimin manual.

Përfundimi Përfundimtar mbi Sigurimin e Mullvad

Mullvad fiton rezultatin e besimit 83/100 përmes arkitekturës, jo premtimeve. Serverët RAM-only, anonimati i llogarisë, raportet e auditit të botuar dhe rezultati i verifikuar i rrazës me policinë e dallojnë atë. Shkalla e sheshtë €5/muaj pa prova ose zbritje pasqyron një kompani të fokusuar në shërbim sesa në vëllimin e abonentëve. Për përdoruesit që prioritizojnë verifikimin e privatësisë mbi numrin e veçorive, Mullvad mbetet një nga opsionet më të forta të disponueshme në të gjithë rrjetin e serverit të tij.

Burime për këtë faqe

Grafikë dhe imazhe referuese nga kërkimet tona, të lira për t'u parë dhe ndarë.

• 

• Is Mullvad Safe? Security, Privacy & Audit AnalysisPDF · 1.2 MB

Pyetjet e Shpeshta

Të gjithaSiguri dhe PrivatësiSi funksiononÇmim

A ka Mullvad të sigurt për të përdorur?

Po. Mullvad shënon 83/100 në indeksin tonë të besimit, mbështetur nga një politikë e botuar e pa-regjistrime, serverë vetëm RAM që fshihen në çdo rinisje, dhe disa auditim të jashtëm. Cure53 auditi infrastrukturën në 2020 dhe një server staging në 2024, Assured AB auditi serverat e rilejimit në 2022, dhe X41 D-Sec auditi aplikacionet në 2024. Asnjëri nuk ekzaminoi serverët e prodhimit, dhe Mullvad publikoi raportet.

A Juridiksioni suedez i Mullvad i exponon të dhënat e përdoruesit pasi Suedia është anëtar 14 Eyes?

Jo në praktikë. Ligji suedez nuk bëhet obligim i detyrueshëm të ruajtjes së të dhënave për ofruesit e VPN, kështu që Mullvad nuk ka asgjë për t’u dorëzuar edhe nëse autoritetet i kërkojnë. Kjo qëndron në prill 2023 kur policia suedeze hyrë në zyrën e Mullvad në Gothenburg me një urdhër kërkimi në kërkim të regjistrimeve të klientit dhe u largua pa konfiskuar asgjë, pasi nuk ekzistonte një të dhënë të tilla.

Çfarë ndodhi gjatë raidit të policisë suedeze të 2023 në Mullvad?

Gjashtë oficerë nga Policia Kombëtare Suedeze hynë në zyrën e Mullvad në Gothenburg në prill 2023 me një urdhër gjykatese të rrethit në kërkim të informacionit të klientit. Shefi i ekzekutivit të Mullvad shpjegoi se kompania nuk ruan të dhënat e klientit sipas dizajnit. Policia u largua pa konfiskuar pajisjet ose të dhënat, një provë në botën reale e pretendimit pa regjistrime nën presion ligjor të drejtpërdrejtë.

Çfarë gjeti Cure53 në auditimet e Mullvad?

Auditi i infrastrukturës së Cure53 në vitin 2020 zbuloi gjashtë vulnerabilitete dhe gjashtë çështje të ndryshme, deri në shkallë të lartë, dhe nuk mund të zbulonte asnjë informacion të identifikimit personal të lidhur me përdoruesit përfundimtarë. Mullvad thotë se të gjithë gjetjet u zgjidhen. Auditi i Cure53 në qershor 2024 i dy serverave të staging-ut zbuloi dy çështje (një e ulët, një mesatare) dhe asnjë mënyrë për të komprometuar anonimitetin ose integritetin e trafikut të përdoruesit. Asnjë audit nuk shqyrtoi serverë në prodhim.

Çfarë mbuloi auditimet e Assured AB?

Assured AB auditoi tre serverë relay të Mullvad (dy WireGuard, një OpenVPN) nga prilli në maj 2022 dhe shkroi se konfigurimi është i shëndoshë dhe nuk tregoi shenja të informacionit të drejtpërdrejtë të klientit. Serverët ishin të freskaprovisjonuar për auditin, kështu që rezultati nuk mbuloi flotën e prodhimit. Së bashku me auditat e Cure53 dhe Radically Open Security të serverëve dhe auditin e X41 D-Sec të aplikacioneve, Mullvad ka botuar rishikime të jashtme të të dyja aplikacioneve dhe të konfigurimit të serverit.

Si funksionon në të vërtetë sistemi i llogarisë anonime të Mullvad?

Mullvad gjeneron një numër llogarie të rastësishëm 16-shifror në vend që të kërkojë një email, emër ose fjalëkalim. Mund të paguani me kartë, Bitcoin, Monero ose paratë të dërguar me postë në një zarf. Ky dizajn heq informacionin personal të identifikueshëm nga regjistrimi plotësisht, që është pjesë e arsyes pse politika e saj pa regjistrime qëndroi gjatë raidit të policisë të 2023 në zyrën e saj në Gothenburg.

Çfarë enkriptimi përdor Mullvad dhe a është rezistent ndaj kuantumit?

Mullvad parazgjedh WireGuard, duke përdorur ChaCha20 për enkriptimin, Curve25519 për shkëmbimin e çelësit dhe BLAKE2s për hash. Opsioni i OpenVPN-it përdor AES-256-GCM me sertifikatat RSA-4096. Në 2023, Mullvad shtoi shkëmbimin e çelësit pas-kuantumit shtresë klasike McEliece dhe Kyber në krye të WireGuard-it standard, duke e bërë atë VPN-in e parë komercial për të dërguar këtë në të gjitha platformat e desktopit.

Çfarë informacioni mbledhë Mullvad në të vërtetë në lidhje me llogarinë time?

Shumë pak. Mullvad ndjek vetëm numrin e lidhjeve të njëkohshme në kohë reale, të kufizuar në 5, e cila zvogëlohet në zero në momentin që shkëputeni dhe nuk shkruhet në ruajtje të vazhdueshme. Ai gjithashtu përpunon të dhëna të ngarkesës së serverit të ngjashme afatshkurtër pa informacione të identifikueshme të përdoruesit. Trafiku, kohëmarkimet, pyetjet DNS dhe adresat IP nuk regjistrohen kurrë.

A kill switch i Mullvad bllokon në mënyrë të besueshme nxjerrjet nëse lidhja bie?

Po. Kill switch i Mullvad funksionon në nivelin e firewall-it në vend të nivelit të aplikacionit, kështu që ajo vazhdon të bllokojë trafikun edhe nëse aplikacioni vetë rrëzohet. Ai përdor nftables në Linux, Platformën e Filtrimit të Windows në Windows dhe rregullat e filtrit të paketave në macOS, duke parandaluar nxjerrjet e IPv4 dhe IPv6 në çdo zbatim.

A Mullvad ofron një provë të lirë ose rimbursi nëse nuk jam i kënaqur?

Jo, Mullvad drejton pagesë sipas përdorimit pa një periudhë të provës të lirë. Në vend të një dritare standarde rimbursi, ditët e papërdorura në balancën e llogarisë tuaj janë të rimbursueshme nëse vendosni të ndaloni. Kjo ndryshon nga ProtonVPN dhe NordVPN, të cilat të dyja mbështesin planet e pagjuara me një garanci rimbursi 30-ditore në vend të një modeli rimbursi pro-rated.

Sa pajisje mund të ekzekutoj në një llogari të vetme Mullvad?

Një llogari e vetme Mullvad mbulon 5 lidhje të njëkohshme, më pak se NordVPN 10 dhe brenda kërkimit 1-10 ProtonVPN ofron në varësi të nivelit të planit. Mullvad nuk ka asnjë kërkesë llogarie për pajisje pasi regjistrimi përdor vetëm një numër 16-shifror, kështu që pajisjet lidhen në mënyrë të pavarur pa u lidhur me identitetin personal.

Si ndryshon çmimet e sheshta të Mullvad krahasuar me ProtonVPN dhe NordVPN?

Mullvad ngarkon një përqindje të vetme të sheshta nga $5.50/muaj pa shkallë zbritjesh afatgjata, ndryshe nga ProtonVPN (nga $3.49/muaj në planin e tij më të gjatë) dhe NordVPN (nga $3.49/muaj). Sa i përket performancës, Mullvad renditet #7 nga 22 në Speed Lab-in tonë, pas NordVPN në #1 por para ProtonVPN në #12.

A mund të qaset Netflix ose Disney+ në mënyrë të besueshme përmes Mullvad?

Jo në mënyrë konsistente. Mullvad nuk ndërton teknologji të dedikuar për të kaluar bllokim gjeografik të rrjedhave, kështu që platformat e mëdha si Netflix, Disney+ dhe Prime Video bllokohen shpesh plotësisht. Ai suporton BBC iPlayer, 9Now dhe Channel 4, me rezultate të ndryshme sipas serverit. Nëse rrjedhja e besueshme e platformës kryesore është më e rëndësishmja, një ofrues me infrastrukturë të dedikuar të rrjedhjes është një përshtatje më e mirë.

Çfarë nëse Mullvad bllokohet në një rrjet restriktiv ose me firewall?

Kaloni në cilësimet e maskimit dhe QUIC të Mullvad, të ndërtuara posaçërisht për maskimin e trafikut VPN dhe për të kaluar bllokimin në nivelin e rrjetit. Rutimi Multihop, i cili dërgon trafikun përmes dy serverëve të veçantë në vende të ndryshme, mund të ndihmojë edhe nëse një pikë dalëse e vetme filtohet. Testoni këto cilësime përpara se të mbështeteni në lidhjen në një mjedis restriktiv.