VPNTestor Platform / Openscore VPN — 100/100

VPNTestor Platform于2026年7月完成独立审计。

范围覆盖iOS、iPadOS、Android、macOS、Windows、Linux、Apple TV及Web面板，并检查隧道、泄漏、内部链路、身份、本机数据和修复。

各平台独立版本，因此分别记录，不统一称为2.5。

范围内未发现未修复的计分漏洞；2026年初启动流程问题已修复，复测未重现且未发现新漏洞。

报告来源、下载与完整性验证

本文是星连VPN对VPNTestor Platform第三方安全审计报告的转载与摘要。审计、测试、评分及签名均由VPNTestor发布；星连VPN仅作转述，不参与审计结论，请以VPNTestor原文为准。

一、审计摘要

  • 严重风险：发现0项，未解决0项。

  • 高风险：发现0项，未解决0项。

  • 中风险：发现0项，未解决0项。

  • 低风险：发现0项，未解决0项。

  • 2026年初的VPN启动流程潜在攻击面已在正式审计前修复，并纳入回归测试。

二、审计声明

报告依据受测产品、环境、技术资料和修复证据编制；星连VPN提供受测材料，审计方独立决定方法、评级、复测与评分。

“未发现”仅指本次范围未识别或重现，不代表未来所有版本永久无风险。

三、关于VPNTestor Platform

VPNTestor Platform公开名称Openscore VPN；James Robert Smith负责实际客户端、异常网络、未授权请求、流量、权限与回归测试。

四、平台、版本与环境

  • iOS — SingLink 2.0.7／App Store 1.0.7；iPhone 15 Pro和iPhone SE第三代；iOS 18.x；证据编号SLV-IOS-2026-01。

  • iPadOS — SingLink 2.0.7／App Store 1.0.7；iPad Pro 11英寸和iPad第十代；iPadOS 18.x；证据编号SLV-IPAD-2026-01。

  • Apple TV — SingLink 2.0.7／App Store 1.0.7；Apple TV 4K第三代；tvOS 17或以上；证据编号SLV-TVOS-2026-01。

  • macOS Apple Silicon — SingLinkVPN 2.5.3 ARM64；MacBook Pro M3 Pro和MacBook Air M2；macOS 14／15；证据编号SLV-MAC-ARM-2026-01。

  • macOS Intel — SingLinkVPN 2.5.3 x86_64；MacBook Pro 2019 Intel；macOS 13／14；证据编号SLV-MAC-INTEL-2026-01。

  • Android — SingLinkVPN 2.1.3 APK；Google Pixel 9 Pro和Samsung Galaxy S24；Android 15／16；证据编号SLV-ANDROID-2026-01。

  • Windows — SingLinkVPN 2.0.9 x64；Intel和AMD x64测试电脑；Windows 11 24H2和Windows 10 22H2；证据编号SLV-WIN-2026-01。

  • Linux Ubuntu／Debian — 旧版继续正常显示；新版本尚未发布，正式发布后补充版本及校验资料。

  • Web用户面板 — 2026年7月部署版本；Web前端和API；Chrome、Edge、Firefox和Safari正式版本；证据编号SLV-WEB-2026-01。

版本说明

iOS/iPadOS/Apple TV按App Store版本；macOS 2.5.x分ARM64/x86_64；Android、Windows、Linux独立版本；Web按部署、Release或Commit。

五、构建、安装包与哈希

经审计的IPA哈希、较新的Linux软件包哈希及Web部署摘要尚未公开发布；下列SHA-256为macOS、Android和Windows官方分发文件的校验值。

  • iOS／iPadOS／Apple TV：以App Store官方版本、Apple App Review及平台代码签名状态为准；Apple审核不等同第三方安全审计，且未公开审计用IPA SHA-256。

  • macOS ARM64 2.5.3（官网DMG，70,568,669 bytes）SHA-256：5857cb3e6ded51362234bf2246958612cea10fab0d416f174faf7e9121708d24。

  • macOS Intel 2.5.3（官网DMG，72,270,725 bytes）SHA-256：5bba2c37a76ef8cb67bdfa15506c581d73faab73275bba73b83ec6ca5d110ad0。

  • Android 2.1.3（官网APK，86,649,334 bytes）SHA-256：81146be4136097eded546d9175fc9feba85174739d7a74a76563b4ebdb80d152。

  • Windows 2.0.9（官网EXE，31,391,424 bytes）SHA-256：2eb39c432aacdcb05aa93b89451e3022b2c6f55548ba56b52de25a4499007795。

  • Linux：旧版继续显示；新版本尚未发布，发布后补充版本及SHA-256。

  • 以上安装包哈希为2026-07-27从SingLinkVPN官网取得的当前官方发行文件校验值，不冒充审计方保存的原始受测附件。

  • Web Release／Commit及容器Digest：截至2026-07-27，来源报告未提供。

  • 报告完整性：VPNTestor在已签名的SHA-256校验清单中列出v1.2报告各语言版本的SHA-256值。

六、审计范围

范围包括隧道、泄漏、账户会话、API内部链路、本机数据、Web面板、更新与供应链。

  • VPN正常连接、主动断开、节点异常中断、自动重连、重复请求、强制退出、休眠唤醒、网络切换，以及路由建立和清理。

  • DNS、IPv4、IPv6和WebRTC泄漏防护、本地地址暴露、中断和重连期间流量，以及智能分流和全局模式。

  • 登录、Token有效期、退出后Token重用、未登录访问、账户标识修改、跨账户访问、订阅权限和会话撤销。

  • 未授权内部配置请求、无效会话、非官方客户端、参数篡改、高频请求、自动探测、内部链路隔离和频率限制。

  • 本地凭证、Token、错误日志、Debug和诊断数据、浏览与DNS记录、来源IP、缓存和操作系统安全存储。

  • Web面板验证、账户、订单和订阅权限、Token、Cookie、参数篡改、跨账户访问和退出失效。

  • 安装文件完整性、数字签名、更新来源、版本降级、第三方依赖、硬编码密钥、正式版Debug内容和软件包权限。

七、网络环境

网络包括宽带、双栈、4G/5G、公共Wi-Fi、切换、中断、异常DNS、高延迟与丢包。

  • IPv4家庭宽带、IPv4／IPv6双栈、4G、5G和公共Wi-Fi。

  • Wi-Fi转5G、5G转Wi-Fi、短暂断网、异常DNS、高延迟和丢包环境。

八、审计方法

每项“通过”或“未发现”均对应测试与证据编号。

  • 实际客户端操作、黑盒功能测试和灰盒接口测试。

  • 数据包分析、DNS与路由测试、IPv4／IPv6出口测试和WebRTC测试。

  • 未授权API访问、会话与Token测试、频率限制测试和本地数据检查。

  • 软件包与签名检查、修复前后对照、回归测试和跨平台比较。

九、正式测试用例

  • 网络：VTP-SLV-NET-001…007；DNS：VTP-SLV-DNS-001；IPv4：VTP-SLV-IPV4-001；IPv6：VTP-SLV-IPV6-001；WebRTC：VTP-SLV-WRTC-001；路由：VTP-SLV-ROUTE-001。

  • 身份、API和Web：VTP-SLV-AUTH-001…004；VTP-SLV-API-001…004；VTP-SLV-WEB-001…003。

  • 隐私：VTP-SLV-PRIV-001…006。

十、脱敏抓包与API证据

DNS、IPv6、路由、WebRTC、API和内部链路证据均脱敏，公开前移除秘密及生产标识。

  • 数据包记录：VTP-SLV-PCAP-DNS-001.pcapng、VTP-SLV-PCAP-IPV6-001.pcapng、VTP-SLV-PCAP-NETWORK-SWITCH-001.pcapng、VTP-SLV-PCAP-RECONNECT-001.pcapng和VTP-SLV-PCAP-WEBRTC-001.pcapng。

  • 已脱敏API记录：VTP-SLV-API-001-unauthorized-request-redacted.json至VTP-SLV-API-004-internal-link-redacted.json。

  • 公开前必须移除Token、真实服务器地址、私有域名、账户与订单标识、加密密钥和生产环境凭证。

  • API证据记录时间、方法、脱敏端点编号、身份状态、HTTP状态、响应结构、内部链路暴露情况和最终结果。

十一、风险评级

风险按严重、高、中、低及信息性建议分类。

  • 严重：大规模敏感数据暴露、远程代码执行、核心系统控制、完整绕过验证或广泛VPN流量暴露。

  • 高：账户接管、未授权访问、重大隐私暴露、VPN绕过或取得受保护配置及内部链路。

  • 中：在特定条件下可利用，对有限平台、功能或数据造成影响。

  • 低：直接影响有限，但会削弱防御，或与其他条件结合时提高风险。

  • 信息性：没有可直接利用的漏洞，属于安全工程改进建议。

十二、审计结果

四个计分级别未修复数量均为0；启动问题列入重点回归。

  • 严重风险：发现0项，未解决0项。

  • 高风险：发现0项，未解决0项。

  • 中风险：发现0项，未解决0项。

  • 低风险：发现0项，未解决0项。

  • 2026年初的VPN启动流程潜在攻击面已在正式审计前修复，并纳入回归测试。

十三、VPN启动问题与修复

启动流程需要向后端取得配置；身份、会话、请求限制或隔离不足可能形成探测与内部数据暴露面。

修复加强身份会话验证、非官方客户端限制、异常与频率控制、链路隔离、最小响应、防自动化及客户端—后端授权。

  • VPN启动流程需要由后端提供连接配置；身份、会话、请求限制或数据隔离不足时，可能形成未授权探测、高频请求或内部数据暴露面。

  • 修复加强VPN启动请求的身份验证和会话有效性检查。

  • 加入非官方客户端限制、异常请求识别、高频请求限制和防自动化机制。

  • 将内部链路与公共接口隔离，减少响应数据，并加强客户端与后端之间的授权。

  • 复测未能重现原问题；受保护配置和内部链路仍不可取得，也未发现修复引入的新漏洞。

已修复、已重新测试、已关闭。

十四、DNS、IPv4、IPv6与WebRTC

列明场景未发现可复现的DNS、IPv4、IPv6、WebRTC或路由绕过、长时间未保护流量或虚假已连接状态。

十五、账户与Web面板安全

未登录、无效或过期会话不能访问保护数据；参数修改不能越权；登出后会话失效。

十六、隐私与数据处理

未观察到客户端建立浏览、DNS、完整活动、网站列表或原始流量记录；注册邮箱和订单不等同VPN活动日志。

  • 可观察范围内，未见客户端主动建立浏览内容、浏览历史、DNS查询、完整活动、网站列表或原始流量记录。

  • 本地凭证、Token、缓存、错误和诊断数据均纳入安全存储与最小化检查。

  • 注册虚拟邮箱、订单和订阅数据只用于账户、订阅和售后处理，不等同VPN网络活动日志。

  • 公开证据必须先移除可以识别用户、账户、节点、凭证或生产系统的数据。

十七、跨平台结论

各平台通过其适用测试，结论限于列明版本与环境。

  • iOS、iPadOS和Apple TV：连接、恢复、泄漏、账户和本地数据测试通过。

  • macOS Apple Silicon和Intel：TUN、DNS、路由、休眠恢复、兼容性和内部链路测试通过。

  • Android：VPN Service、后台连接、网络切换、IPv6和本地数据测试通过。

  • Windows：隧道、DNS、系统路由、中断和重新连接测试通过。

  • Ubuntu和Debian：安装、服务启动、隧道、DNS、路由和权限测试通过。

  • Web用户面板：登录、会话、账户权限和跨账户访问测试通过。

十八、开源与技术透明度

公开架构、模型、方法、数据格式与工具提升透明度，但开源本身不自动证明安全。

十九、100分公式

七项合计100分；无扣分，修复复测通过且未发现新漏洞。

  • VPN隧道、DNS和网络泄漏防护：25分。

  • 账户、API和内部链路安全：20分。

  • 本地客户端数据和隐私控制：15分。

  • 跨平台安全一致性：10分。

  • Web面板和会话安全：10分。

  • 更新、软件包和供应链检查：10分。

  • 已知问题修复和复测：10分。

  • 每项发现的扣分：严重30分、高15分、中7分、低2分；信息性建议不直接扣分。

100/100

二十、为什么获得100分

100分基于零未修复计分漏洞、平台覆盖、泄漏与权限测试、内部数据保护及修复验证，不是永久保证。

二十一、用户行动

旧版用户应通过官方渠道更新；最新版用户无需额外操作。

  • 只从星连VPN官方渠道或获授权的应用商店下载。

  • 不要使用来源不明或经修改的版本；保持操作系统仍受支持，并将客户端更新到最新正式版。

  • 不要共享账户凭证；连接异常时重新验证身份或刷新服务器配置。

二十二、审计限制

结论仅适用于2026年7月列明条件，后续重大变化应重测。

  • 审计只适用于2026年7月列明的版本、设备、操作系统、网络、测试用例和当时观察到的产品状态。后续版本另行记录：VPNTestor于2026-08-24发布的v2.0报告涵盖macOS 2.5.7和Windows 2.5.8，评级同样为100/100。

  • 审计不涵盖完成后新增的功能、协议、依赖或后端变更。

  • 协议、客户端、TV或Web面板、身份系统、服务器配置、依赖或发布流程有重大变更时，需要重新测试。

二十三、最终结论

所有列明平台与项目通过；范围内无未修复严重、高、中或低风险漏洞，最终100/100。

二十四、报告签署

James Robert Smith代表VPNTestor Platform签署。

  • 机构：VPNTestor Platform；公开名称：Openscore VPN。

  • 审计负责人和签署人：James Robert Smith。

  • 报告版本：1.2（2026-07-28首次在VPNTestor发布）。

  • 审计期间：2026年7月；签署日期：2026-07-31。

  • 机构邮箱：office@vpntestor.com。

  • 签署状态：v1.2报告于2026-07-31签署。VPNTestor公开了James Robert Smith对v1.2 SHA-256校验清单的Ed25519签名，可用已发布的公钥验证。

  • 报告完整性：VPNTestor发布的v1.2 SHA-256校验清单、Ed25519签名及公钥。