Är Mullvad säker? Säkerhet, integritet & revisionsanalys
Är Mullvad säker? Resultat från oberoende revisioner, krypteringsprotokoll, jurisdiktionsanalys, kill switch-testning och verifiering av no-logs-policy.
De säkraste VPN-tjänsterna
Är Mullvad säker? En direkt bedömning
Mullvad får 86/100 på vårt förtroendeindex. Det är verksamt under svensk jurisdiktion, kostar en fast €5/månad utan konton och tillämpar en verifierad no-logs-policy. Oberoende revisioner av Cure53 och Assured AB bekräftade minimala säkerhetsproblem. Mullvad lagrar noll anslutningsloggar, trafikdata eller personlig identifierbar information på sina 700+ servrar i 50+ länder.
Svensk jurisdiktion och juridiska datakrav
Sverige tillhör 14 Eyes-alliansen för underrättelsedelning. Det verkar oroande vid första anblicken. I praktiken berättar den juridiska ramen en mer nyanserad historia för VPN-leverantörer.
Svensk lag kräver inte att VPN-företag sparar användardata. Mullvad har ingen obligatorisk datalagringsskyldighet enligt nuvarande svenska telekomregler. Detta betyder att myndigheter kan ställa förfrågningar, men Mullvad har ingenting sparat att överlämna.
I april 2023 gick svensk polis fysiskt in på Mullvads kontor i Göteborg med en husransakningsorder. Officerare avsåg att beslagta datorer innehållande kunddata. Mullvads personal förklarade att ingen kunddata fanns på några maskiner, och polisen lämnade tom-handed. Det verkliga testet visade att no-logs-policyn håller under juridisk press.
Oberoende revisionshistorik
Mullvad har slutfört flera tredjepartsrevisioner av säkerhet. Varje revision undersökte olika delar av infrastrukturen och klientapplikationer.
Cure53-revision (2020)
Cure53, ett Berlin-baserat penetrationstestningsföretag, reviderade Mullvad VPN-apparna 2020. Teamet identifierade 7 säkerhetsproblem totalt: 2 klassificerade som medelstor allvarlighetsgrad, 5 klassificerade som låg allvarlighetsgrad. Mullvad lagade alla 7 problem innan den fullständiga revisionsrapporten publicerades på sin webbplats.
Assured AB-revision (2023)
Assured AB genomförde en infrastrukturrevision av Mullvads servrar och interna system 2023. Bedömningen omfattade serverkonfigurationer, krypteringsimplementering och datahanteringsprocedurer. Resultaten bekräftade att Mullvads infrastruktur matchade dess offentliga no-logs-påstående. Inga kritiska säkerhetsproblem upptäcktes under detta arbete.
Cure53-apprevision (2023)
Cure53 återvände för en andra runda 2023, med fokus på uppdaterad appkod. Denna uppföljning fann färre problem än revisionen 2020. Mullvad löste alla fynd och släppte återigen den fullständiga rapporten för offentlig granskning.
Publicering av fullständiga revisionsrapporter är ovanligt i VPN-industrin. Mullvad redigerar inte fynd eller väljer selektivt gynnsamma resultat. Denna transparens ger betydande vikt till dess säkerhetspåstående.
Loggningspolicy: Vad Mullvad lagrar och inte lagrar
Data som Mullvad inte samlar
Mullvad loggar inte trafikdata, anslutningstidsstämplar, sessionslängd eller IP-adresser. Det lagrar inga DNS-frågor, bandbreddsanvändningsregister eller VPN-servertilldelningar. Kontoaktivitet förblir helt avskild från surfbeteende eller anslutningsmetadata.
Data som Mullvad bearbetar
Mullvad bearbetar det totala antalet samtidiga anslutningar per konto (begränsat till 5). Denna räknare finns i realtid och skrivs inte till någon permanent lagring. Det ögonblick du kopplar från, minskar denna räknare. Ingen historisk post finns kvar.
Mullvad behandlar också kortvarig aggregerad serverbelastningsdata för prestandaoptimering. Denna data innehåller noll användaridentifierbar information och roteras automatiskt.
Kontosystemet
Mullvad genererar ett slumpmässigt 16-siffrigt kontonummer. Ingen e-post, inget namn, inget lösenord krävs. Du kan betala med post skickad i ett kuvert, Bitcoin eller Monero. Denna design eliminerar personlig identifierbar information från registreringsprocessen helt.
Krypteringsstandarder och protokoll
Mullvad stöder två protokoll: WireGuard och OpenVPN. Båda implementeringarna använder starka, väl granskade kryptografiska standarder.
WireGuard-implementering
WireGuard använder ChaCha20 för symmetrisk kryptering, Curve25519 för nyckelutbyte och BLAKE2s för hashning. Mullvad använder WireGuard som standard på alla plattformar. Anslutningshandskaningar slutförs på under 100 millisekunder på de flesta nätverk.
OpenVPN-implementering
OpenVPN-anslutningar använder AES-256-GCM för datakanalskryptering. Nyckelutbyte förlitar sig på RSA-4096-certifikat med SHA-512-autentisering. Mullvad konfigurerar OpenVPN med tls-auth för att förhindra fingeravtryck och DDoS-attacker på VPN-tunneln.
Kvantresistenta tunnlar
Mullvad lade till post-quantum nyckelutbyte till WireGuard-tunnlar 2023. Denna funktion lager Classic McEliece och Kyber nyckelinkapsling ovanpå standard WireGuard-kryptografi. Mullvad var den första kommersiella VPN-leverantören att leverera denna funktion på alla skrivbordsplattformar.
Kill Switch och DNS-läckageskydd
Kill Switch-beteende
Mullvads kill switch aktiveras som standard på alla plattformar. Det blockerar all internettrafik när VPN-tunneln tappar oväntat. Implementeringen fungerar på brandväggsnivå, inte på applikationsnivå. Detta förhindrar läckor även om Mullvad-appen kraschar helt.
På Linux använder Mullvad nftables-regler för att tillämpa trafikblockering. På Windows ändrar den Windows Filtering Platform. På macOS använder den paketfiltreringsregler. Varje implementering förhindrar både IPv4- och IPv6-läckor samtidigt.
DNS-läckageskydd
Mullvad dirigerar alla DNS-frågor genom sina egna krypterade DNS-servrar. Appen blockerar system-DNS-förfrågningar som försöker kringgå tunneln. Mullvad använder DNS-servrar på varje VPN-serverplats, löser frågor lokalt utan vidarebefordran till tredje parter.
Användare kan också konfigurera anpassad DNS i appen. Även med anpassad DNS reser frågor inne i den krypterade tunneln. Oberoende läckagetester visar konsekvent noll DNS-, WebRTC- eller IPv6-läckor över alla Mullvad-klienter.
Tidigare säkerhetshändelser
Polisräd (april 2023)
Sex officerare från den svenska polisen gick in på Mullvads Göteborgkontor. De bar en distriktsdomstols husransakningsorder som sökte kunduppgifter. Mullvads VD förklarade att företaget inte lagrar någon kunddata. Polisen beslagtog ingen utrustning och lämnade sedan Mullvads juridiska team ifrågasatte orderns tillämplighet.
Inga kända dataintrång
Från och med den senaste revisionscykeln har Mullvad rapporterat noll dataintrång. Ingen användardata har dykt upp i läckta databaser. Inga credential stuffing-attacker gäller eftersom Mullvad inte använder lösenord eller e-postadresser. 16-sifferskontonummersystemet begränsar attackytan väsentligt.
Säkerhetspubliceringar
Mullvad upprätthåller en aktiv bug bounty-metod och publicerar säkerhetsbulletiner på sin blogg. Alla sårbarheter som hittades under revisioner fick patchar inom veckor från upptäckten. Företaget har inte upplevt någon noll-days-exploatering av sin produktionsinfrastruktur.
Unika säkerhetsfunktioner
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad utvecklade DAITA för att motverka trafikanalysattacker. Denna funktion fyller paket till enhetliga storlekar och injicerar attrapptrafikmönster. Det förhindrar motståndare från att identifiera vilka webbplatser användare besöker baserat på trafikfingeravtryck.
Krypterad DNS över HTTPS (DoH)
Mullvad erbjuder en offentlig DoH-tjänst på dns.mullvad.net. Användare kan kryptera DNS-frågor även utan VPN-körning. Tjänsten inkluderar valfri annons- och spårningsblockering av DNS-profiler.
Diskfria RAM-Only-servrar
Mullvad kör sin hela serverflotta i RAM-only-läge. Ingen hårddisk finns på servrarna. Varje omstart raderar all data helt. Denna arkitektur säkerställer att fysiska serverbeslagtagningar ger noll användbar information.
Multihop-routning
Användare kan dirigera trafik genom 2 separata VPN-servrar i olika länder. Detta lägger till ett andra krypteringslager och separerar ingångspunkten från utgångspunkten. Multihop är konfigurerbar direkt i appen utan manuell installation.
Slutsats om Mullvads säkerhet
Mullvad tjänar sitt 86/100 förtroendebetyg genom arkitektur, inte löften. RAM-only-servrar, kontoanonymitet, publicerade revisionsrapporter och ett verifierat räd-resultat från polisen särskiljer den. €5/månad-flatkursen utan försök eller rabatter återspeglar ett företag fokuserat på service snarare än abonnentvolym. För användare som prioriterar integritetsverifiering framför funktionsantal är Mullvad fortfarande ett av de starkaste alternativen tillgängliga över sina 700+ servrar i 50+ länder.
Vanliga frågor
Är Mullvad verkligen säker att använda?
Ja. Mullvad får 86/100 på vårt förtroendeindex, stödd av en verifierad no-logs-policy, RAM-only-servrar som raderas vid varje omstart, och två omgångar oberoende revision. Cure53 granskade apparna 2020 och igen 2023, medan Assured AB reviderade infrastrukturen 2023. Båda engagemengen fann inga kritiska problem, och Mullvad publicerade de fullständiga rapporterna offentligt.
Exponerar Mullvads svenska jurisdiktion användardata eftersom Sverige är medlem i 14 Eyes?
Inte i praktiken. Svensk lag ställer ingen obligatorisk datalagringsskyldighet på VPN-leverantörer, så Mullvad har ingenting att överlämna även om myndigheter begär det. Det höll i april 2023 när svensk polis gick in på Mullvads Göteborgkontor med en husransakningsorder som sökte kundregister och lämnade utan att beslagta någonting, eftersom sådan data inte fanns.
Vad hände under Mullvads svenska polisräd 2023?
Sex officerare från den svenska polisen gick in på Mullvads Göteborgkontor i april 2023 med en distriktsdomstols order som sökte kunduppgifter. Mullvads VD förklarade att företaget inte behåller kunddata enligt design. Polisen lämnade utan att beslagta utrustning eller data, ett verkligt test av no-logs-påståendet under direkt juridisk press.
Vad hittade Cure53s revisioner av Mullvad 2020 och 2023?
Cure53s revision av Mullvad-apparna 2020 identifierade 7 säkerhetsproblem: 2 med medelstor allvarlighetsgrad och 5 med låg allvarlighetsgrad, alla lagade innan rapporten publicerades. Cure53 återvände 2023 för att revidera uppdaterad appkod och fann färre problem än första omgången. Mullvad åtgärdade varje fynd och publicerade båda de fullständiga rapporterna utan redigering.
Vad täckte 2023 Assured AB-revisionen?
Assured AB reviderade Mullvads serverinfrastruktur och interna system 2023, med granskning av serverkonfigurationer, krypteringsimplementering och datahanteringsprocedurer. Bedömningen bekräftade att Mullvads infrastruktur matchade dess offentliga no-logs-påstäenden, utan kritiska säkerhetsproblem som upptäcktes. Tillsammans med två Cure53-apprevisor har Mullvad nu få både sina appar och backend-infrastruktur oberoende verifierad.
Hur fungerar Mullvads anonyma kontosystem faktiskt?
Mullvad genererar ett slumpmässigt 16-siffrigt kontonummer istället för att kräva e-post, namn eller lösenord. Du kan betala med kort, Bitcoin, Monero eller kontanter skickade i ett kuvert. Denna design tar bort personligt identifierbar information från registreringen helt, vilket är del av varför dess no-logs-policy höll under 2023 polisräden på dess Göteborgkontor.
Vilken kryptering använder Mullvad, och är den kvantresistent?
Mullvad använder WireGuard som standard med ChaCha20 för kryptering, Curve25519 för nyckelutbyte och BLAKE2s för hashning. Dess OpenVPN-alternativ använder AES-256-GCM med RSA-4096-certifikat. 2023 lade Mullvad till post-quantum nyckelutbyte som lager Classic McEliece och Kyber ovanpå standard WireGuard, vilket gör det till den första kommersiella VPN som levererade detta över skrivbordsplattformar.
Vilken information samlar Mullvad faktiskt om mitt konto?
Väldigt lite. Mullvad spårar endast antalet samtidiga anslutningar i realtid, begränsat till 5, som minskar till noll det ögonblick du kopplar från och aldrig skrivs till permanent lagring. Det bearbetar också kortvarig aggregerad serverbelastningsdata utan användaridentifierbar information. Trafik, tidsstämplar, DNS-frågor och IP-adresser loggas aldrig.
Blockerar Mullvads kill switch på ett tillförlitligt sätt läckor om anslutningen tappar?
Ja. Mullvads kill switch körs på brandväggsnivå snarare än applikationsnivå, så det fortsätter att blockera trafik även om appen själv kraschar. Det använder nftables på Linux, Windows Filtering Platform på Windows och paketfilterregler på macOS, vilket förhindrar både IPv4- och IPv6-läckor över all implementering.
Erbjuder Mullvad en kostnadsfri provperiod eller återbetalning om jag är missnöjd?
Nej, Mullvad kör pay-as-you-go utan kostnadsfri provperiod. Istället för ett standard återbetalasfönster kan oanvända dagar på ditt kontosaldo återbetalas om du bestämmer dig för att sluta. Detta skiljer sig från ProtonVPN och NordVPN, som båda stöder betalda planer med en 30-dagars pengarna-tillbaka-garanti snarare än en proportionerad återbetalningsmodell.
Hur många enheter kan jag köra på ett Mullvad-konto?
Ett enskilt Mullvad-konto täcker 5 samtidiga anslutningar, mindre än NordVPNs 10 och inom 1-10-intervallet som ProtonVPN erbjuder beroende på plantierning. Mullvad har ingen per-enhet-kontokrav eftersom registreringen endast använder ett 16-siffrigt nummer, så enheter ansluter oberoende utan länk till personlig identitet.
Hur jämför Mullvads platta prissättning med ProtonVPN och NordVPN?
Mullvad tar ut en enda fast taxa från $5.50/månad utan långsiktiga rabattierningar, till skillnad från ProtonVPN (från $2.49/månad på dess längsta plan) och NordVPN (från $3.49/månad). Vid prestanda rankar Mullvad #7 av 22 i vårt Speed Lab, bakom NordVPN på #1 men före ProtonVPN på #12.
Kan jag få tillgång till Netflix eller Disney+ på ett tillförlitligt sätt genom Mullvad?
Inkonsekvent. Mullvad bygger inte dedikerad teknik för att komma förbi streaming geo-blockeringar, så större plattformar som Netflix, Disney+ och Prime Video är ofta blockerade helt. Det stöder BBC iPlayer, 9Now och Channel 4, med resultaten varierande efter server. Om pålitlig streaming av större plattformar är viktigast kan en leverantör med dedikerad streaming-infrastruktur passa bättre.
Vad gör jag om Mullvad blir blockerat på ett restriktivt eller brandväggat nätverk?
Byt till Mullvads obfuskations- och QUIC-inställningar, byggda specifikt för att dölja VPN-trafik och komma förbi nätverksnivå-blockering. Multihop-routning, som skickar trafik genom två separata servrar i olika länder, kan också hjälpa om en enskild utgångspunkt filtreras. Testa dessa inställningar innan du förlitar dig på anslutningen i en restriktiv miljö.