29 июля 2026 года команда Openscore VPN загрузила два версионных релиза из официальной организации GitHub Proton VPN, проверила их опубликованные хэши и подпись, а также рассмотрела общедоступный исходный код, документы о конфиденциальности, безлоговый аудит Securitum 2026 года и текущий отчет о прозрачности Proton. VPNTestor независимо подтвердил рекорд.
Точные хеши, идентификаторы сертификатов, разрешения, результаты, расчёт баллов и исключения сохранены в машиночитаемой записи доказательств.
Артефакты замороженного выпуска
- Android
5.19.61.0, пакетch.protonvpn.android, 55 806 557 байт, SHA-256568b0f05…517633a. - Windows x64
5.1.5, 128 808 528 байт, SHA-2561e6600e4…cba1d9c.
Оба локальных хэша соответствовали дайджестам SHA-256, опубликованным с официальными активами выпуска GitHub. Это обеспечивает точную согласованность артефактов с этим каналом выпуска.
Подписание и закрепление производства
Android APK прошел проверку схемы подписи APK v2 и v3. Он ориентирован на Android API 35, не подлежит отладке, отключает резервное копирование Android и объявляет пользовательскую конфигурацию сетевой безопасности. Манифест запрашивает видимость пакета и доступ к камере в дополнение к ожидаемым разрешениям жизненного цикла VPN. Они могут поддерживать маршрутизацию для каждого приложения и импорт QR-кодов, но их потоки данных во время выполнения не проверялись.
Установщик Windows содержит подпись Authenticode с сертификатом подписи кода EV, выданным Proton AG , идентификатор организации CHE-354.686.492 , связанный через Sectigo и сопровождаемый цепочкой меток времени. Бинарные файлы macOS и iOS не были заморожены в этом тестовом запуске.
Открытый исходный код и прозрачность аудита
Proton VPN публикует активные репозитории для Windows, Android, iOS/macOS, Linux и его расширения для браузера. Официальная организация GitHub проверена на домене, а проверенные репозитории были обновлены в течение 2026 года. Открытый исходный код позволяет осуществлять проверку; само по себе это не доказывает, что каждый двоичный файл хранилища воспроизводимо создается на основе определенного коммита.
В пятом ежегодном обзоре отсутствия журналов Securitum были рассмотрены конфигурации рабочих серверов и средства управления их работой. В опубликованном в 2026 году заключении не сообщается об отсутствии свидетельств регистрации активности просмотра, запросов DNS, служб назначения, содержимого трафика или метаданных соединений, идентифицируемых пользователем, в исследуемой инфраструктуре. Эта область поддерживает вывод без регистрации; это не универсальный аудит уязвимостей приложений.
В отчете Proton о прозрачности, обновленном 14 июля 2026 года, сообщается о 47 юридически обязательных швейцарских приказах, заключенных до июня 2026 года, и говорится, что все 47 были отклонены, поскольку идентифицирующие журналы подключений были недоступны. Подсчет представляет собой публикацию прозрачности поставщиков, а не независимо воссозданные судебные данные.
Статическая оценка и оценка общедоступных доказательств: 92/100.
- Целостность и происхождение артефакта: 29/30 .
- Подписание платформы: 28/30 .
- Разрешения и усиление производства: 17/20 .
- Прозрачность общественной безопасности: 18/20 .
Вычеты отражают отсутствие независимо замороженных артефактов macOS / iOS в этом запуске, широкие разрешения Android, не проверенные во время выполнения, аудиты клиентов для конкретных версий, которые не охватывают все текущие выпуски, а также использование одного и того же канала GitHub как для ресурсов, так и для дайджестов.
Чего эта оценка не доказывает
- IPv4 , IPv6 , DNS , WebRTC и утечка маршрутов.
- Поведение Kill Switch при прерывании, завершении и переключении сети.
- Учетная запись, сеанс, панель управления и авторизация между учетными записями.
- Локальное ведение журнала выполнения, хранение учетных данных и остатки удаления.
- Доступность потоковой передачи, постоянная скорость и задержка.
- Безопасность инфраструктуры выходит за рамки опубликованной Securitum области отсутствия журналов.