A është NordVPN i sigurt? Auditime, Enkriptim & Rishqyrtim i Privatësisë

A është NordVPN i Sigurt?

Po. NordVPN përdor enkriptimin AES-256, operon nën juridiksionin e përshtatshëm për privatësinë të Panamasë, dhe aplikacionet dhe serverët e tij janë rishikuar nga Cure53, dhe thotë se politika e tij pa regjistrim është audituar nga Deloitte, megjithëse asnjë raport i auditorit nuk është i lexueshëm në publik. Një incident i vetëm i serverit në 2018 nuk ekspozoi të dhëna të përdoruesve. NordVPN u përgjigj duke migruar të gjithë infrastrukturën e tij në serverë vetëm RAM, duke forcuar ndjeshëm qëndrimin e tij të sigurisë.

Kjo faqe mbulon sigurimin në thellësi. Për përformancën e përgjithshme të shërbimit dhe çmimet, shihni rishqyrtimin tonë të NordVPN.

Incidenti i 2018-ës: Çfarë Në Të Vërtetë Ndodhi

Në mars 2018, një palë e paautorizuar hyri në një server të vetëm të NordVPN në Finlandë. Sulmuesit shfrytëzoi një mjet menaxhimi të largët të lënë aktiv nga furnizuesi i qendrës së të dhënave. NordVPN nuk e instaloi këtë mjet. Qendra e të dhënave e bëri, pa njoftuar NordVPN.

Sulmuesit fitoi hyrje në vetë serverin. Ata nuk fituan hyrje në kredencialet e përdoruesve, aktivitetin e shfletimit, ose informacionin e llogarisë. Serveri nuk përmbante asnjë log aktiviteti sepse politika pa-log e NordVPN nënkuptonte se asgjë nuk ekzistonte për tu vjedhur.

NordVPN zbulon shkeljen gjatë një auditi të brendshëm dhe e bëri publike në tetor 2019. Vonesa tërhoqi kritika. Kompania pranoi boshllëkun dhe e përdori atë si katalizator për ndryshime të gjerë të infrastrukturës.

Si u Përgjigj NordVPN

NordVPN përfundoi kontratën e saj me qendrën e të dhënave finlandeze menjëherë. Pastaj kompania nxiti tre iniciativa kryesore:

Migrimi i serverit vetëm në RAM. NordVPN e lëvizi të gjithë rrjetin e saj në serverë pa disk (vetëm RAM). Këta serverë nuk mund të ruajnë të dhëna në mënyrë të përhershme. Çdo ristartime e fsheh gjithçka. Edhe sekuestrimi fizik i një serveri nuk jep asgjë të dobishme.

Programi i shpërblimit të gabimeve. NordVPN u bashkua me HackerOne për t’i lejuar kërkuesit e sigurimit të pavarur të kërkojnë në mënyrë të vazhdueshme sistemet e tij. Kërkuesit fitojnë shpërblimet për zbulimin e dobësive përpara se ta bëjnë sulmuesit.

Programi i auditit të pavarur. NordVPN thotë se ka angazhuar veten për auditimin e rregullt të sigurisë nga palë të treta. Kjo krijoi përgjegjësi të vazhdueshme të jashtme në vend të sigurimit njëherësh.

Incidenti i 2018-ës prek një server nga mijëra. Asnjë të dhënë e përdoruesit nuk rrjedh. Por NordVPN e trajtoi atë si arsyetim për të rindërtuar infrastrukturën e saj nga themeli. Këta përgjigje kanë më shumë rëndësi se vetë incidenti.

Kronologjia e Auditimit të NordVPN

Pretendimet e besimit pa verifikim nuk do të thotë asgjë. NordVPN ka botuar vlerësimet e sigurisë nga Cure53 dhe thotë se ka porositur angazhime të sigurimit të politikës pa log.

Vlerësimet e Sigurimit nga Cure53

Cure53[1], një firmë sigurimi me bazë në Berlin, ka rishikuar NordVPN disa herë. Rishikimi i saj në korrik-gusht 2022 i aplikacioneve desktop dhe mobile dhe shtesave (raporti i datuar 22 shkurt 2023) zbuloi 22 gjetje, 6 prej tyre dobësime, përfshirë 1 Kritik (një përshkallëzim të privilezheve rrënjë Linux). Rishikimi i saj në shtator-tetor 2022 i serverëve dhe infrastrukturës (raporti i datuar 5 shkurt 2023) zbuloi 11 gjetje dhe 1 dobësim, dhe përfundoi se serverët tregojnë një themel sigurimi relativisht të qëndrueshëm. Rishikimi i saj në mes të 2024 të aplikacioneve, zgjerimeve të shfletuesit dhe veçorive (raporti i datuar 17 dhjetor 2024) zbuloi 31 probleme, 22 prej tyre dobësime dhe 4 të Larta, pa gjetje Kritike.

Angazhimet e Sigurimit pa Regjistrime të NordVPN

NordVPN thotë se ka urdhëruar angazhime sigurimi pa regjistrime nga PwC (2018 dhe 2020) dhe Deloitte (2022 deri 2025). Këto janë të porosaruara nga NordVPN, dhe ne nuk gjetëm një raport audituri të lexueshëm publikisht, kështu që trajtuajini si përshkrimin e NordVPN-it. NordVPN i përshkruan ato në faqen e auditimit pa regjistrime[2].

Përfundimi: infrastruktura e serverit të NordVPN operon në përputhje me politikën pa-log të saj. Kompania nuk ruan kohën e lidhjes, kohëzgjatjen e seancës, adresat IP, të dhënat e shfletimit ose përdorimin e gjerësisë së brezit.

Transparenca në Vazhdim

NordVPN publikon raportet e rregullta të transparencës[3] duke detajizuar kërkesmat për të dhëna të qeverisë. Këta raporte tregojnë në mënyrë konsistente të njëjtin rezultat: NordVPN nuk ka të dhëna për dorëzim. Raportet gjithashtu mbulojnë kërkesmat e prishjes, statusin e garancisë së trimës dhe letrat e sekretit kombëtar.

Juridiksioni i Panamës Mbron Privatësinë e Përdoruesit

Kompania mëmë e NordVPN, Tefincom S.A., operon nën ligjin e Panamës. Kjo ka rëndësi për tre arsye konkrete.

Asnjë kërkesë për mbajtje të detyrueshme të të dhënave. Panamaja nuk ka ligje që kërkojnë nga ofruesit e VPN-it të ruajnë të dhënat e aktivitetit të përdoruesit ose të lidhjes. Shumë vende evropiane dhe nord-amerikane kërkojnë periudha mbajtjeje prej 6 deri 24 muajsh. Panamaja nuk do.

Jashtë aleancave të ndarjes së informacioneve të inteligjencës. Panamaja qëndron jashtë marrëveshjeve të ndarjes së inteligjencës të Pesë Syve, Nëntë Syve dhe Katërmbëdhjetë Syve. Këto aleancat ndajnë të dhënat e inteligjencës midis vendeve anëtare. Një VPN bazuar në SH, MB, Kanadë ose Australi përballet me mundësinë e zbulimit të detyrueshëm. NordVPN nuk do.

Efekti praktik në kërkesmat e të dhënave. Agjencitë e zbatimit të ligjit të huaj nuk mund të detyrojnë një shoqëri panamese të prodhojë regjistrime përmes sistemeve të tyre ligjore. Ata duhet të punojnë përmes gjykatave të Panamës. Edhe atëherë, NordVPN nuk ruan asnjë log për prodhim. Juridiksioni shton një pengesë strukturore në krye të asaj teknike.

Enkriptimi AES-256 dhe Opsionet e Protokollit

NordVPN enkripron të gjithë trafikun me AES-256. Ky është i njëjti standard enkriptimi që qeveria amerikane përdor për informacionin e klasifikuar. Asnjë sulm i njohur nuk mund të thyejë me forcë AES-256 në asnjë periudhë praktike. Vlerësimet aktuale sugjerojnë se do të duhej miliarda vjetësh me fuqinë llogaritëse ekzistuese.

Protokolli NordLynx

NordLynx është protokolli parazgjedhje i NordVPN. Ajo ndërton në WireGuard, i cili ofron shpejtësi të larta përmes një kodeksu të pjerrët 4,000 rresht. Vetë WireGuard ka një kufizim i privatësisë: kërkon ruajtjen e adresave IP statike në serverin.

NordVPN zgjidhi këtë me një sistem dyfishtë NAT (Përkthimi i Adresës së Rrjetit). NAT-a e dyfisht cakton një adresë ndërfaqeje dinamike për çdo seancë. Kur përfundon seanca, adresa zhduket. Kjo jep fitimin e shpejtësisë WireGuard pa këmbimin e privatësisë.

NordLynx është ndërtuar mbi WireGuard, i cili mbante overhead-in e protokollit të ulët; shpejtësitë reale varen nga lidhja juaj dhe distanca e serverit. Protokolli trajton streaming, lojëra dhe shkarkim të mëdha pa bllokime.

OpenVPN

OpenVPN mbetet në dispozicion për përdoruesit që preferojnë një protokoll të provuar në betejë. Ajo punon mbi TCP dhe UDP. TCP siguron besueshmëri për rrjetet restriktive. UDP ofron shpejtësi më të shpejta për përdorimin e përgjithshëm. Kodeksi i hapur i burim të OpenVPN u rishqyrtim në mënyrë të gjerë nga komuniteti i sigurimit gjatë dy dekadave.

IKEv2/IPsec

IKEv2/IPsec funksionon mirë në pajisjet celulare. Rikonektohet shpejt kur kaloni midis rrjeteve Wi-Fi dhe celulare. NordVPN e çifton atë me enkriptimin AES-256. Ky protokoll përshtatet për përdoruesit që lëvizin midis rrjeteve shpesh.

Kill Switch Parandalon Rrjedhjen e të Dhënave Gjatë Rënieve

Lidhjet VPN mund të bien. Kur bëjnë, trafikun e mbrojtur mund të arratisë në ISP tuaj. Kill switch i NordVPN parandalon këtë.

Kill switch monitoron lidhjen tuaj VPN në mënyrë të vazhdueshme. Nëse tuneli bie, ajo bllokon të gjithë trafikun e internetit në çast. Asnjë të dhënë nuk largohet nga pajisja juaj derisa VPN të rikonektohej. NordVPN ofron dy mënyra të kill switch:

Kill switch në nivelin e aplikacionit. Ky bllokon hyrjen në internet për aplikacione specifike kur VPN shkëputet. Aplikacione të tjera vazhdojnë të punojnë normalisht.

Kill switch në nivelin e sistemit. Ky bllokon të gjithë trafikun e internetit në gjithë pajisjen. Asgjë nuk kalon pa VPN. Ky është opsioni më i sigurt për detyrat kritike të privatësisë.

Mbrojtja e Rrjedhjeve DNS Mban Pyetjet Private

Kërkimet DNS përkthejnë emrat e domenit në adresa IP. Pa mbrojtje, këto pyetje mund të rjedhin në ISP tuaj edhe ndërkohë që lidhet në VPN. NordVPN rrugë të gjitha pyetjeve DNS përmes serverëve të tij të enkriptuar DNS.

Kjo parandalon ISP tuaj të sheh cilat faqe ju vizitoni. Gjithashtu bllokon ofruesit e DNS të palëve të treta nga regjistri i modeleve tuaja të shfletimit. Testet e pavarura të rrjedhjeve DNS konfirmojnë në mënyrë konsistente se mbrojtja e NordVPN funksionon siç reklamohet.

Mbrojtja nga Kërcënimet Bllokon Malvera dhe Gjurmuesit

Mbrojtja nga Kërcënimet operon në nivelin e rrjetit. Ajo bllokon domene të njohura si të dëmshme përpara se të ngarkohen. Ajo heq parametrat e ndjekjes nga URL-at. Ajo identifikon dhe ndalon shkarkesat e malverit.

Mbrojtja nga Kërcënimet funksionon edhe kur nuk jeni të lidhur në një server VPN. Ajo funksionon si shtresa e izoluar e sigurimit në platforma të mbështetjes. AV-TEST, një institutt i pavarur i sigurisë, ka sertifikuar aftësitë e bllokimit të malverit të Mbrojtjes nga Kërcënimet.

Karakteristika skanim skedarë gjatë shkarkimit. Ajo kontrollon URL-at kundër bazave të të dhënave të kërcënimeve të përditësuara në mënyrë të vazhdueshme. Ajo bllokon reklamat invazive që shpesh shërbejnë si vektorë të dorëzimit të malverit.

Referenca

1. Nordvpn. pa datë. Cure53. https://nordvpn.com/blog/cure53-latest-security-assessment/.
2. Nordvpn. pa datë. faqen e auditimit pa regjistrime. https://nordvpn.com/blog/nordvpn-audit/.
3. Nordvpn. pa datë. transparencës. https://nordvpn.com/blog/nordvpn-transparency-report/.

Burime për këtë faqe

Grafikë dhe imazhe referuese nga kërkimet tona, të lira për t'u parë dhe ndarë.

• 

• Is NordVPN Safe? Audits, Encryption & Privacy ReviewPDF · 1.3 MB

Pyetje të Shpeshta

Të gjithaSiguri dhe PrivatësiSi funksiononÇmimKonfigurimi & Mbështetja

A eshte NordVPN me te vertete i sigurt per tu perdorur?

Po. NordVPN encrypton trafikun me AES-256, operon nën juridiksionin e Panamës pa detyrim për ruajtjen e të dhënave, dhe aplikacionet dhe infrastruktura e tij janë vlerësuar nga Cure53, dhe thotë se Deloitte ka audituar politikën e tij pa regjistrime. Ndodh i tij i vetëm i sigurisë, një thyerje e vetme e serverit në Finlandë në 2018, nuk ekspozoi të dhëna kredencialesh ose shfletimi të përdoruesve pasi nuk ekzistonin regjistrime për të vjedhur.

Çfarë pikërisht ndodhi në shkeljen e NordVPN në 2018 dhe a duhet ta shqetësohë atë tani?

Një sulmues shfrytëzoi një mjet menaxhimi të largët që qendra e të dhënave finlandeze e lë aktiv pa dijen e NordVPN, duke fituar hyrje në një server jashtë mijërave pa kredenciale të përdoruesit, log të shfletimit ose të dhëna llogarie në të. NordVPN e zbuloi në tetor 2019, pastaj migroi të gjithë rrjetin në serverë vetëm RAM, shtoi një bug bounty HackerOne dhe u përkushton në auditime të rregullta të palëve të treta.

Cilat firma të pavarura kanë audituar sigurinë e NordVPN?

NordVPN ka publikuar tre vlerësime të Cure53: aplikacione dhe shtesa (raporti i datuar shkurt 2023), serverë dhe infrastrukturë (shkurt 2023) dhe aplikacione, zgjerime dhe karakteristika (dhjetor 2024). Veçmas, NordVPN thotë se ka porositur angazhime sigurie pa-regjistrime nga PwC dhe Deloitte, por ne nuk mundëm të gjenim një raport auditori të lexueshëm publikisht për to.

Përse NordVPN funksionon nga Panama, dhe çfarë mbrojtjeje ofron vërtet ajo juridiksion?

Prindi i NordVPN, Tefincom S.A., ndodhet në Panama posaçërisht sepse vendi nuk ka ligje të detyrueshme për ruajtjen e të dhënave dhe ndodhet jashtë aleancave të ndarjes së informacionit Five Eyes, Nine Eyes dhe Fourteen Eyes. Organet e zbatimit të ligjit të huaj duhet të kërkojnë në gjykatat panameze për të detyruar regjistrimet, dhe madje edhe atëherë NordVPN thotë se nuk mban asnjë regjistrim për të dhënë.

Çfarë enkriptimi përdor NordVPN dhe mund të thyhet në mënyrë realistike?

NordVPN përdor AES-256, i njëjti standard që qeveria amerikane zbaton në informacionin e klasifikuar, në të gjithë protokollet e tij. Asnjë metodë e njohur nuk mund të thyejë me forcë AES-256 në një periudhë praktike. Vlerësimet aktuale vendosin një përpjekje brute-force në miliarda vjetë edhe me fuqinë llogaritëse moderne, e cila e bën enkriptimin vetë praktikisht të pathyeshëm me teknologjinë e sotme.

Çfarë është NordLynx dhe si ajo rregullon dobësinë kryesore të privatësisë të WireGuard?

NordLynx është protokolli parazgjedhje i NordVPN, ndërtuar në kodeksin e leanit të WireGuard për shpejtësi por modifikuar për të zgjidhur dobësinë bërthamore të WireGuard: nevojë për të ruajtur një adresë IP statike për përdorues në serverin. Sistemi dyfishtë NAT i NordVPN cakton çdo seancë një adresë të përkohshme që zhduket në shkëputje, duke siguruar performancën e WireGuard pa lënë një identifikues të përhershëm pas.

Si kill switch i NordVPN në të vërtetë ndalon rrjedhjen e të dhënave kur një lidhje bie?

Kill switch i NordVPN monitoron tunelin VPN në mënyrë të vazhdueshme dhe bllokon të gjithë trafikun e internetit në çastin kur bie, kështu që asgjë nuk largohet pajisja juaj e mbrojtur derisa lidhja të rikthehet. Ajo ofron një mënyrë në nivelin e aplikacionit që bllokon vetëm aplikacionet e zgjedhura dhe një mënyrë në nivelin e sistemit që bllokon të gjithë trafikun e pajisjes, opsioni më i rreptë për seanca kritike të privatësisë si trajtimi i të dhënave financiare.

A mos NordVPN ju mbron nga rrjedhjet e DNS që mund t’i ekspozojnë shfletimin tuaj ofruesit të shërbimit të internetit?

Po. NordVPN drejton të gjitha pyetjet e DNS përmes serverëve të tij të enkriptuar të DNS në vend të zgjidhësit të paracaktuar të ofruesit tuaj të shërbimit të internetit, duke parandaluar që ofruesin tuaj ose shërbimeve të DNS të palëve të treta t’i regjistrojnë faqet që vizitoni. Mund ta konfirmoni se funksionon duke përdorur një test rrjedhjeje DNS ndërsa jeni të lidhur.

Çfarë bllokon Mbrojtja nga Kërcënimet e NordVPN dhe a funksionon pa VPN të lidhur?

Mbrojtja nga Kërcënimet bllokon domene të njohura si të dëmshme përpara se të ngarkohen, heq parametrat e ndjekjes nga URL-at dhe skanim skedarë të shkarkuar për malvera, të gjitha në nivelin e rrjetit. Ajo funksionon si shtresa e izoluar e sigurisë edhe kur nuk jeni të lidhur në një server VPN. AV-TEST, një institutt i pavarur i sigurisë, ka sertifikuar aftësinë e bllokimit të malverit.

Si e krahasohet siguria e NordVPN me atë të ExpressVPN dhe ProtonVPN në një çmim të ngjashëm?

Të tre fillojnë me një pikë çmimi të afërt (NordVPN nga $3.49/muaj, ExpressVPN nga $2.99/muaj, ProtonVPN nga $3.49/muaj) dhe ofrojnë garanci para-përmbysje për 30 ditë, por thellësia e auditimit ndryshon. Vlerësimet Cure53 të NordVPN janë krahas raportit të sigurimit KPMG dhe auditimeve Cure53 të ExpressVPN, dhe ProtonVPN, i cili operon nën juridiksionin zviceran dhe thotë se politika e tij pa-log është audituar nga Securitum. NordVPN renditjet #1 nga 22 në Speed Lab tonën, e grumbulluar nga testet e botuar të palëve të treta; ExpressVPN renditjet #8, ProtonVPN renditjet #12.

A ka një mënyrë për të testuar pretendimet e sigurisë të NordVPN pa rrezik përpara se të angazhohem?

Po. NordVPN mbështet çdo plan me një garanci më-back të 30 ditësh, duke ju dhënë një muaj të plotë për të testuar kill switch, mbrojtjen e rrjedhjeve DNS dhe Mbrojtjen nga Kërcënimet vetë përpara se të vendosni. Nëse karakteristikat e sigurisë të NordVPN nuk e qëndrojnë testimin tuaj përpara brenda asaj dritare, mund të kërkoni një rimbursim pa ndonjë angazhim afatgjatë.

A mund të dobësojë sigurimin e shumë pajisjeve nën një llogari NordVPN mbrojtjen e privatësisë tuaj?

Jo. Një llogari e vetme NordVPN mbuloni 10 lidhje njëkohshme pajisjesh, dhe çdo lidhje funksionon me të njëjtën enkriptim AES-256, kill switch dhe mbrojtje nga rrjedhja DNS në mënyrë të pavarur. Shtimi i pajisjeve nuk dobëson sigurinë pasi politika pa regjistrime të NordVPN zbatohet në mënyrë uniforme në të gjithë çdo pajisje të lidhur në vend që të përshkallëzojë rrezikun me numrin e pajisjeve.

Si mund ta konfirmoj se kill switch i NordVPN në të vërtetë më mbrojtjen përpara se ta besoj atë?

Lidhuni në një server NordVPN, pastaj shkëputini me forcë Wi-Fi tuaj ose skarpitin ethernet në mesin e seancës për të forcuar një rënie. Një kill switch punues pret të gjithë trafikun e internetit në çast në vend të rikthimit në lidhjen tuaj të mbrojtur. Kill switch në nivelin e sistemit të NordVPN bllokon të gjithë trafikun e pajisjes, ndërsa versioni në nivelin e aplikacionit kufizon vetëm aplikacionet e zgjedhura, kështu që testoni cilëfarë mënyre planifikoni të mbështeteni.

Çfarë duhet të bëni nëse jeni të shqetësuar në lidhje me një përsëritje të incidentit të ngjashëm me atë të serverit të NordVPN në 2018?

Pak veprim është i nevojshëm nga ana juaj pasi përgjigja e NordVPN adresonte shkaqet themelore: ajo migroi të gjithë rrjetin në serverë vetëm RAM që fshijnë të dhënat në çdo ristartime, shtoi një bug bounty HackerOne për testimin e vazhdueshëm të dobësive dhe u përkushton në auditime të rregullta të palëve të treta. Nëse shqetësohet, kontrolloni raportet e transparencës të publikuara të NordVPN, të cilat tregojnë asnjë të dhënë të disponueshme për dorëzim.