Безпека та прозорість

Сфера дії за платформами

Застосунки для Windows і Android створюють VPN-тунель на рівні системи. Розширення доступні для Chrome, Edge, Firefox і Brave, але захищають лише відповідний браузер. Документована реалізація Chrome використовує автентифікований HTTPS-проксі; внутрішні сторінки, API FuzeVPN і навмисно виключені сайти залишаються поза ним. Налаштування інших трьох розширень не виводяться з Chrome.

Це захищає передавання. Це не відновлює скомпрометований пристрій, не змінює розкритий пароль, не знешкоджує шкідливий вебсайт і не захищає дані, добровільно надані третій стороні.

Протоколи та шифрування

У Chrome з’єднання з проксі шифрується TLS через TCP. Сайти HTTPS використовують тунель CONNECT і зберігають шифрування до вебсайту; сайт HTTP не забезпечує наскрізного шифрування. Версія TLS і набір шифрів узгоджуються, тому FuzeVPN не обіцяє TLS 1.3 або AES-256 для кожного з’єднання.

На Android WireGuard використовує UDP/51820, Curve25519 і ChaCha20-Poly1305. OpenVPN використовує UDP/1194, сертифікати, перевірку сервера та tls-crypt-v2; його узгоджений шифр — AES-256-GCM, AES-128-GCM або ChaCha20-Poly1305.

У Windows WireGuardNT 1.1 використовує UDP, Curve25519, ChaCha20-Poly1305, BLAKE2s і HKDF; приватні ключі локально захищаються DPAPI. OpenVPN 3 Core з DCO використовує UDP/IPv4 на порту 1194 без резервного переходу на TCP, із сертифікатами та tls-crypt-v2. Його шифр узгоджується зі списку, наданого сервером, і не може бути описаний як такий, що завжди використовує AES-256.

Обліковий запис і автентифікація

Паролі зберігаються в хешованій формі. Перевірка електронної пошти, скидання пароля та механізми сеансів використовують обмежені токени, які можна відкликати.

Cookie сеансу має атрибути HttpOnly, Secure і SameSite=Lax. Конфіденційні операції захищені від запитів з іншого джерела.

Пристрої та технічні облікові дані

FuzeVPN зберігає назву пристрою, відкритий ключ або сертифікат, внутрішню VPN-адресу та призначений сервер для налаштування й відкликання доступу.

Приватні ключі залишаються на пристрої. Видалення або відкликання пристрою робить його облікові дані непридатними та звільняє його місце в межах ліміту 5 пристроїв.

DNS

У Chrome назви вебсайтів, що проходять через проксі, розпізнаються проксі. Ім’я хоста проксі, API, виключені сайти та деякі попередні розпізнавання використовують звичайний DNS-шлях Chrome або системи. Розширення не нав’язує резолвер, DNS-over-HTTPS або DNS-over-TLS і тому не може гарантувати відсутність кожного локального DNS-розпізнавання.

На Android DNS-сервери надходять із конфігурації VPN, а їхні запити проходять через тунель. Застосунок не додає DoH або DoT; браузер із власним захищеним DNS може вибрати інший резолвер, залишаючись під дією маршрутизації VPN.

У Windows DNS, наданий конфігурацією, проходить через тунель. OpenVPN вмикає block-outside-dns, а WFP блокує IPv4 DNS поза тунелем на портах 53 і 853; IPv6 охоплюється окремим блокуванням. До з’єднання для доступу до API існує обмежений виняток DNS, який потім видаляється. Без kill switch застосунок, що використовує DoH на порту 443, може обійти блокування DNS.

IPv6

У Chrome загальнодоступні вебнапрямки IPv6 проходять через проксі, крім виключень. IPv6 на комп’ютері не вимикається; локальні, loopback- і link-local-адреси IPv6 блокуються під час активного захисту.

На Android і Windows перевірена конфігурація dual-stack маршрутизує IPv4 та IPv6 через тунель. Коли конфігурація VPN IPv6 недоступна, IPv6 блокується під час активного тунелю без прихованого переходу на фізичний інтерфейс. Передавання до VPN-сервера наразі залишається IPv4.

WebRTC

У Chrome параметр, увімкнений за замовчуванням, застосовує disable_non_proxied_udp, щоб WebRTC UDP не обходив проксі. Це глобальне налаштування може погіршити деякі дзвінки, також застосовується до виключених сайтів і не охоплює привілейовані сторінки Chrome або інші розширення.

На Android WebRTC дотримується маршрутизації VPN, але в браузері не вимикається і окремий фільтр WebRTC не додається. У Windows параметр блокує UDP поза VPN-інтерфейсом, крім loopback; коли kill switch вимкнено, TURN через TCP або TLS/443 може працювати поза тунелем. Локальні ICE-кандидати, показані браузером, самі по собі не доводять витік в Інтернет.

Kill switch

У Chrome kill switch увімкнено за замовчуванням і він блокує нові вебзапити, доки з’єднання не буде перевірено. Виключені сайти та внутрішні запити API залишаються дозволеними; добровільне відключення знімає блокування.

На Android kill switch покладається на системні налаштування «Завжди ввімкнений VPN» і «Блокувати з’єднання без VPN», які користувач має ввімкнути.

У Windows власний kill switch WFP охоплює IPv4 та IPv6. Він встановлює блокування до виклику з’єднання, після чого дозволяє лише службу VPN і тунельний інтерфейс. Після збою трафік залишається заблокованим до явного відключення. Фільтри залишаються, якщо графічний інтерфейс закрито, але зникають, якщо адміністратор зупиняє привілейовану службу.

Відсутність журналів VPN-активності

FuzeVPN не зберігає відвідані вебсайти, вміст, DNS-запити, вихідні IP-адреси, пов’язані із сеансами, час і тривалість з’єднань або історію використаних VPN-серверів.

Сервери обробляють трафік у пам’яті лише стільки, скільки потрібно для його маршрутизації. FuzeVPN не створює й не централізує журнали з’єднань застосунку.

Технічні журнали та моніторинг

Інфраструктурою VPS ми керуємо самостійно, і вона розгортається зі спільної конфігурації, яку видавець перевіряє під час кожного розгортання; незалежного аудиту досі не проводилося. Ці перевірки підтверджують відсутність постійних системних журналів; будь-які тимчасові події в пам’яті не містять вмісту трафіку, історії перегляду або сталого зв’язку між особою та VPN-сеансом.

Постачальники окремо зберігають певні журнали платформи, описані в Політиці конфіденційності. Моніторинг FuzeVPN використовує лише агреговані показники інфраструктури, а не історію перегляду окремої особи.

Інфраструктура та резервні копії

Облікові записи розміщує OVH SAS у Франції. Резервні копії зашифровані, а віддалена копія обмежена юрисдикцією Європейського Союзу Cloudflare R2.

IONOS SARL, OVH SAS надають віртуальні приватні сервери, розміщені у фізичних центрах обробки даних, пов’язаних із регіоном. Перелік локацій опубліковано на головній сторінці; для кожної з них зазначено країну її вихідної IP-адреси.

Доступність і реагування

Сервіс може перериватися через обслуговування, інциденти, оновлення безпеки або збої постачальника. Жодна локація, швидкість чи доступ до стороннього сервісу не гарантуються постійно.

Під час інциденту доступ може бути відкликаний, сервіси ізольовані, а резервні копії відновлені. Порушення безпеки персональних даних оцінюються за застосовною процедурою GDPR.

Як FuzeVPN захищає ваше з’єднання.