2026年7月29日、Openscore VPN チームは feiliuvpn.com がリンクする3つのインストーラーをダウンロードし、実行を伴わない静的評価を行いました。 ファイルが示す製品名は、FeiLiu VPN 専用クライアントではなくOpenFlyX 1.0.1 です。本報告は公開成果物から証明できる事項を記録し、 実行時セキュリティは未採点のままにします。
正確なハッシュ、ファイルサイズ、証明書主体、権限、指摘事項、除外事項を含む 完全な機械可読記録は、JSON 証拠として公開しています。
範囲と固定した成果物
- Android：
app-openflyx-release.apk、126,689,596 バイト、 SHA-256a729128b…27bcdc3。 - Windows：
openflyx-1.0.1-windows-amd64-setup.exe、 35,238,877 バイト、SHA-256d1cb10f0…7842ac82。 - macOS：
OpenFlyX-1.0.1.pkg、57,603,980 バイト、 SHA-25642f3feb2…281f6fa。
3つのリンクはいずれも FeiLiu VPN のファーストパーティ・ダウンロードページから取得し、 HTTPS を介して down.flyxcdn.com から配信されました。評価では、 レビューワーのワークステーション上で未知のコードをインストールまたは実行していません。
製品と発行者の識別情報
公開上の識別情報は分断されています。中国語サイトはサービスを FeiLiu VPN と呼び、 プライバシーポリシーと利用規約は香港の運営者として QuicklyVPN Limited を記載し、 ダウンロード名は OpenFlyX です。Android のパッケージ ID はcom.singlink.openflyx、macOS のバンドル ID はnetwork.singlink.openflyx で、コード署名者は SingLink LLC です。 これ自体は悪意ある行為を証明しませんが、利用者はインストールされるソフトウェアを どの主体が構築、ライセンス、署名、更新するのか判断できません。
プラットフォーム別の所見
macOS は利用可能な静的サプライチェーン検査に合格しました。Apple は信頼できる Developer ID Installer 署名、信頼できる公証チケット、 信頼できるタイムスタンプを報告しています。Gatekeeper はパッケージを受理しました。 展開したアプリとネストされた実行ファイルは厳格なコード署名検証に合格し、 hardened runtime を使用しています。パッケージ・インストーラースクリプトはありませんでした。
Android には有効な v2 APK 署名がありますが、権限は広範です。 APK は OpenFlyX 1.0.1、ターゲット SDK は36で、デバッグ可能には設定されていません。 カメラ、インストール済み全パッケージの可視性、起動完了、バイオメトリクス、 画面キャプチャ検出へのアクセスを要求します。一部は QR インポート、 アプリ別ルーティング、プライバシー制御に使用され得ますが、公開文書には 権限ごとの目的とデータフローの説明がありません。
Windows インストーラーは未署名です。 PE の Authenticode セキュリティディレクトリのサイズはゼロです。このため Windows はファイルを 認証済み発行者に結び付けられません。事業者は正確なリリースに署名し、 期待される署名者と SHA-256 をダウンロードの横に公開すべきです。
独立監査との主張は公開証拠ではない
FeiLiu VPN はノーログ方針が独立監査を受け、サーバーが RAM のみで動作すると述べています。 確認した公開ページには、監査人、実施日、範囲、対象システム、除外事項、 報告書 URL が示されていませんでした。これらは事業者の主張にとどまり、 本評価では監査級の加点を行いません。クライアントパッケージの検査では、 バックエンドのログ記録やサーバーストレージを検証できません。
未解決の指摘事項
- 中：未署名の Windows インストーラー。
- 中：FeiLiu VPN、QuicklyVPN Limited、OpenFlyX、 SingLink LLC の関係が公開情報上で整理されていない。
- 低：広範な Android 権限に、公開された目的・データフロー表がない。
- 情報：ダウンロードページにチェックサム、ファイルサイズ、 期待される署名者が記載されていない。
- 情報：独立ノーログ監査との主張に、公開報告書または 実質的な署名済み声明が添付されていない。
静的評価得点：55/100
- 成果物の完全性と来歴：13/30。
- プラットフォーム署名：18/30。
- 権限と本番ハードニング：16/20。
- 公開セキュリティ透明性：8/20。
主な減点理由は、未署名の Windows インストーラー、公開ブランド・法的運営者・ バイナリ発行者の関係が未整理であること、ファーストパーティのチェックサムと 署名者文書がないこと、独立監査との主張を裏付ける公開報告書がないことです。
これが最終 VPN 得点ではない理由
VPNTestor の公開方法論では、未テストまたは確認不能な制御に暗黙の加点を行いません。 防御可能な最終得点には、対応プラットフォームでの隔離実行、接続ライフサイクルと 障害テスト、IPv4/IPv6/DNS/WebRTC 漏えい観測、Kill Switch テスト、 ローカルストレージ確認、アカウントとダッシュボードの認可確認、更新検証、 回帰テストが必要です。ノーログまたは RAM のみとの主張を検証するには、 運用上の証拠も必要です。