Tvrzení VPN o nulových lozích je věrohodné jen do té míry, do jaké ho podporují důkazy. Zásady ochrany soukromí může napsat kdokoli – to, co odlišuje důvěryhodné VPN od pouhých marketingových slibů, je nezávislé ověření: audity třetích stran, soudní případy, policejní razie a transparentní firemní struktury, které obstojí při skutečném prověření.
Pro tento seznam jsme hodnotili VPN podle čtyř klíčových kritérií: kvalita a aktuálnost auditů nulových logů, jurisdikce a právní expozice společnosti, zda bylo tvrzení o nulových lozích někdy prověřeno orgány činnými v trestním řízení nebo soudním řízením, a zda jsou samotné aplikace open-source a nezávisle přezkoumané. Záměrně jsme penalizovali poskytovatele s problematickou historií vlastnictví nebo nevyřešenými střety zájmů, a to i v případech, kdy jsou technické předpoklady silné.
Výsledkem je seřazený seznam, který upřednostňuje prokazatelné soukromí před marketingovými výdaji.
hide.me stojí v čele seznamu díky dvojímu auditu od DefenseCode a Securitum, jurisdikci v Malajsii mimo všechny hlavní zpravodajské aliance a nulové zákonné povinnosti uchovávat data. Mullvad následuje jako ideologický benchmark – policejní razie v roce 2023, která nepřinesla žádné výsledky, je nejdůvěryhodnějším reálným potvrzením nulových logů v celém odvětví. ProtonVPN přináší čtyři po sobě jdoucí roční audity od Securitum, neziskové vlastnictví a plně open-source aplikace pod švýcarskou jurisdikcí.
Na nižších místech seznamu nabízejí NordVPN a ExpressVPN silné technické předpoklady a postkvantové šifrování, avšak s sebou nesou obavy týkající se vlastnictví a zveřejňování informací, které by uživatelé zaměření na soukromí měli pečlivě zvážit. Surfshark a PIA uzavírají seznam se solidními záznamy z auditů a soudně ověřenými nulovými logy, přičemž oba sdílejí stín vlastnictví Kape Technologies a kompromisy v oblasti jurisdikce.
Žádná VPN na tomto seznamu není dokonalá. Každá z nich však podstoupila nezávislý audit – a tento základní standard je již staví před většinu trhu.
// Často kladené dotazy
Co vlastně znamená „auditované nulové logy"?
Auditovaná VPN s nulovými logy si najala nezávislou firmu třetí strany – například Deloitte, Cure53 nebo Securitum – aby prověřila její servery, infrastrukturu a interní procesy a potvrdila, že aktivita uživatelů a logy připojení nejsou uchovávány. Hodnota auditu závisí na reputaci auditující firmy, rozsahu přezkumu a době, kdy byl proveden.
Je audit nulových logů totéž jako soudní prokázání zásad nulových logů?
Ne – jedná se o různé typy důkazů. Audit je plánovaná kontrola prováděná účetní nebo bezpečnostní firmou. Soudně ověřený záznam nulových logů znamená, že orgány činné v trestním řízení skutečně vydaly předvolání nebo zabavily servery a nenalezly žádná použitelná data. Policejní razie u Mullvadu v roce 2023 a dva federální soudní případy PIA představují to druhé, což mnoho výzkumníků v oblasti soukromí považuje za silnější reálné ověření.
Která jurisdikce VPN je pro soukromí nejlepší?
Jurisdikce mimo aliance Five, Nine a Fourteen Eyes sdílející zpravodajské informace – jako je Malajsie (hide.me), Švýcarsko (ProtonVPN) nebo Panama (NordVPN) – jsou obecně upřednostňovány, protože neobsahují žádné zákony o povinném uchovávání dat a nemají žádnou právní povinnost sdílet data se spojeneckými zpravodajskými agenturami. Jurisdikce však ztrácí na důležitosti, pokud poskytovatel skutečně žádné logy neuchovává.
Jak často by měl být audit nulových logů obnovován, aby si zachoval důvěryhodnost?
Roční audity jsou aktuálním průmyslovým standardem pro udržení důvěryhodnosti. Jediný audit provedený před několika lety vám o aktuálních postupech říká jen velmi málo, protože serverová infrastruktura, software a interní zásady se v průběhu času mění. Čtyři po sobě jdoucí roční audity Securitum pro ProtonVPN a šest po sobě jdoucích auditů Deloitte pro NordVPN jsou příklady průběžného závazku, na kterém nejvíce záleží.
Lze VPN s open-source aplikacemi důvěřovat více než té bez nich?
Open-source aplikace umožňují nezávislým bezpečnostním výzkumníkům prověřit kód na přítomnost zadních vrátek, sběru dat nebo zranitelností – čímž poskytují vrstvu transparentnosti, kterou aplikace s uzavřeným zdrojovým kódem nabídnout nemohou. Mullvad, ProtonVPN a PIA všechny zveřejňují plně open-source aplikace. Open-source kód automaticky neznamená bezpečný, ale v kombinaci s nezávislými audity výrazně zvyšuje náklady na skrývání porušení soukromí.