سیاست «بدون لاگ» VPNها: کدام‌ها واقعاً حسابرسی شدن؟
خلاصهٔ کامل‌تر
وقتی یه VPN روی سایتش می‌نویسه «ما هیچ لاگی نگه نمی‌داریم»، این جمله می‌تونه معناهای خیلی متفاوتی داشته باشه. بعضی‌ها یعنی هیچ تاریخچه مرور یا IP مبدأیی ذخیره نمی‌شه؛ بعضی‌ها هنوز داده‌های عملیاتی کوتاه‌مدت، گزارش کرش، یا اطلاعات حساب کاربری برای مقاصد پرداخت و جلوگیری از سوءاستفاده رو نگه می‌دارن. همین شکاف معناییه که ممیزی مستقل رو ضروری می‌کنه.
یه بررسی جدی معمولاً پیکربندی سرورها، کنترل دسترسی، سیستم‌های احراز هویت، و تطابق سیاست مکتوب با واقعیت عملیاتی رو زیر ذره‌بین می‌بره. نکته مهم اینه که این ممیزی یه عکس لحظه‌ایه، نه گواهی مادام‌العمر. اگه یه سرویس بعد از ممیزی زیرساختش رو عوض کنه، اون گزارش قدیمی دیگه مدرک معتبری نیست.
در میان سرویس‌هایی که بیشتر از همه در گزارش‌های عمومی به ممیزی‌های مستقل اشاره شده، این اسم‌ها برجسته‌ترن: NordVPN (بررسی‌های مکرر از جمله توسط PwC و Deloitte)، ExpressVPN (ممیزی‌های تکرارشونده به‌علاوه معماری TrustedServer که طراحی‌اش برای کاهش ذخیره‌سازی داده روی سرور VPN بوده)، Proton VPN و Mullvad (با تمرکز روی جمع‌آوری حداقلی داده و بررسی‌های امنیتی عمومی)، و TunnelBear که زودتر از بقیه شروع به انتشار ممیزی‌های امنیتی منظم کرد — هرچند ممیزی امنیتی لزوماً همان ممیزی no-logs نیست.
تفاوت بین این دو نوع بررسی مهمه: یه ممیزی امنیتی ممکنه روی آسیب‌پذیری‌های اپ، کیفیت کد، یا سخت‌سازی سرور تمرکز کنه، در حالی که یه ممیزی no-logs بررسی می‌کنه که آیا سیستم‌ها واقعاً فعالیت کاربر یا داده‌های شناسایی‌پذیر اتصال رو ذخیره می‌کنن یا نه. برای همین قبل از اعتماد کردن باید بپرسی: این بررسی دقیقاً چی رو پوشش داده؟
تکرار ممیزی در طول زمان، توسط شرکت‌های مختلف، به مراتب معنادارتره از یه گزارش تک‌نوبته. این الگو نشون می‌ده که سرویس به‌صورت مداوم کنترل‌های حریم خصوصی رو حفظ کرده. بهترین حالت وقتیه که چند لایه شواهد با هم ترکیب بشن: ممیزی خارجی + افشای حقوقی شفاف + اپ‌های متن‌باز + سابقه واقعی در برابر فشار قانونی.
وقتی می‌خوای یه سرویس رو ارزیابی کنی، این موارد رو چک کن:
- نام ممیز مشخص باشه: PwC، Deloitte، Cure53 یا هر شرکت شناخته‌شده دیگه‌ای
- تاریخ بررسی ذکر شده باشه تا بدونی اطلاعات چقدر به‌روزه
- حوزه بررسی روشن باشه: no-logs، امنیت اپ، زیرساخت، یا هر سه
- جزئیات فنی مثل سرورهای RAM-only یا معماری بدون دیسک
- سابقه شفافیت شامل گزارش درخواست‌های قانونی یا warrant canary
نتیجه کلی اینه: بار اثبات هنوز روی دوش خریداره. سرویس‌هایی که تأییدپذیری رو راحت‌تر می‌کنن — با نام بردن از ممیز، تاریخ، و حوزه بررسی — قابل اعتمادترن از اونایی که فقط می‌خوان بهشون ایمان داشته باشی.
نکات کلیدی:
- ادعای no-logs بدون ممیزی مستقل، صرفاً یه وعده بازاریابیه
- NordVPN، ExpressVPN، Proton VPN، Mullvad و TunnelBear بیشترین سابقه ممیزی عمومی رو دارن
- ممیزی امنیتی و ممیزی no-logs یکی نیستن؛ حوزه بررسی رو حتماً چک کن
- ممیزی‌های مکرر توسط شرکت‌های مختلف معتبرتر از یه گزارش تک‌نوبته‌ان
- شواهد عملیاتی (مثل مقاومت در برابر فشار قانونی) از هر گواهی‌نامه‌ای قوی‌تره
