29 июля 2026 года команда Openscore VPN загрузила три установщика, на которые есть ссылки с сайта feiliuvpn.com , и выполнила невыполняющуюся статическую оценку. Файлы идентифицируют себя как OpenFlyX 1.0.1 , а не как отдельно созданный клиент FeiLiu VPN. Этот отчет записывает то, что доказывают общедоступные артефакты, и не учитывает безопасность среды выполнения.
Полная машиночитаемая запись доказательств, включая точные хэши, размеры файлов, идентификаторы сертификатов, разрешения, выводы и исключения, доступна как JSON доказательство .
Прицел и замороженные артефакты
- Android :
app-openflyx-release.apk, 126 689 596 байт, SHA-256a729128b…27bcdc3. - Windows :
openflyx-1.0.1-windows-amd64-setup.exe, 35 238 877 байт, SHA-256d1cb10f0…7842ac82. - macOS :
OpenFlyX -1.0.1.pkg, 57 603 980 байт, SHA-25642f3feb2…281f6fa.
Все три ссылки были взяты непосредственно со сторонней страницы загрузки FeiLiu VPN и доставлены по HTTPS с сайта down.flyxcdn.com . В ходе оценки не устанавливался и не выполнялся неизвестный код на рабочей станции рецензента.
Личность продукта и издателя
Публичная идентичность фрагментирована. Китайский сайт называет сервис FeiLiu VPN; в его политике конфиденциальности и условиях оператором Гонконга является компания QuicklyVPN Limited; загрузки называются OpenFlyX ; Android использует идентификатор пакета com.singlink.openflyx ; а macOS использует идентификатор пакета network.singlink.openflyx с кодом, подписанным SingLink LLC. Это само по себе не доказывает злонамеренное поведение, но не позволяет пользователю определить, какая организация создает, лицензирует, подписывает и обновляет установленное программное обеспечение.
Выводы платформы
macOS прошел доступные статические проверки цепочки поставок. Apple сообщает о доверенной подписи установщика идентификатора разработчика, доверенном нотариальном билете и доверенной метке времени. Привратник принял посылку. Извлеченное приложение и вложенные исполняемые файлы прошли строгую проверку подписи кода и используют защищенную среду выполнения. Скрипты установщика пакетов не присутствовали.
Android имеет действующую подпись APK v2, но широкие разрешения. APK — это OpenFlyX 1.0.1, предназначен для SDK 36 и не помечен как отлаживаемый. Он запрашивает доступ к камере, видимость всех установленных пакетов, завершение загрузки, биометрический доступ и обнаружение снимков экрана. Некоторые из них могут поддерживать импорт QR, маршрутизацию для каждого приложения и контроль конфиденциальности, но общедоступная документация не дает обоснования потока данных для каждого разрешения.
Установщик Windows не подписан. Его каталог безопасности PE Authenticode имеет нулевой размер. Поэтому Windows не может привязать этот файл к аутентифицированному издателю. Поставщик должен подписать точный выпуск и опубликовать ожидаемого подписывающего лица и SHA-256 рядом с загрузкой.
Заявленный независимый аудит не является публичным доказательством
FeiLiu VPN заявляет, что его политика отсутствия журналов прошла независимую проверку и что его серверы используют только оперативную память. На проверенных общедоступных страницах не указаны аудитор, дата задания, объем, протестированные системы, исключения или URL-адрес отчета. Эти заявления остаются претензиями поставщиков и не получают аудиторской оценки в рамках данной оценки. Проверка пакета клиента не может проверить серверное журналирование или хранилище сервера.
Открытые выводы
- Medium: неподписанный установщик Windows.
- Medium: личности FeiLiu VPN , QuicklyVPN Limited, OpenFlyX и SingLink LLC публично не сверяются.
- Низкий: для широких разрешений Android отсутствует опубликованное назначение и таблица потоков данных.
- Информационно: на странице загрузки не указаны контрольные суммы, размеры файлов и ожидаемые идентификаторы подписи.
- Информационное: заявленный независимый аудит без регистрации не сопровождается публичным отчетом или подписанным заявлением по существу.
Статическая оценка: 55/100
- Целостность и происхождение артефакта: 13/30 .
- Подписание платформы: 18/30 .
- Разрешения и усиление производства: 16/20 .
- Прозрачность общественной безопасности: 8/20 .
Самыми крупными вычетами являются неподписанный установщик Windows, неразрешенные отношения между общедоступным брендом, законным оператором и издателями бинарных файлов, отсутствие сторонних контрольных сумм и документации подписывающего лица, а также отсутствие публичного отчета, подтверждающего заявленный независимый аудит.
Почему это не окончательный результат VPN
Опубликованная методология VPNTestor запрещает молчаливо начислять баллы непроверенным или заблокированным элементам управления. Для получения обоснованной окончательной оценки требуется изолированное выполнение на поддерживаемых платформах, тесты жизненного цикла соединения и отказов, наблюдения за утечками IPv4 / IPv6 / DNS / WebRTC, тесты Kill Switch, проверка локального хранилища, проверка авторизации учетной записи и информационной панели, проверка обновлений и регрессионное тестирование. Для проверки заявления об отсутствии журнала регистрации или использовании только оперативной памяти также необходимы эксплуатационные доказательства.