VPNTestor Platform / Openscore VPN — 100/100

VPNTestor Platform於2026年7月完成對星連VPN主要產品及服務的第三方安全審計。

審計覆蓋iOS、iPadOS、Android、macOS、Windows、Linux、Apple TV及Web用戶面板，評估VPN連線、洩漏防護、內部鏈路、帳戶與工作階段、本機資料、跨平台一致性及已知問題修復。

各平台採用獨立版本號及發佈流程，因此報告分別記錄受測版本與環境，不把所有客戶端統稱為同一版本。

在列明版本、設備、作業系統、網絡及測試範圍內，未發現未修復的嚴重、高、中或低風險漏洞。2026年初識別的VPN啟動流程潛在問題已修復，複測未重現，亦未發現修復引入的新漏洞。

報告來源、下載與完整性驗證

本文是星連VPN對VPNTestor Platform第三方安全審計報告的轉載與摘要。審計、測試、評分及簽名均由VPNTestor發布；星連VPN僅作轉述，不參與審計結論，請以VPNTestor原文為準。

一、審計結果摘要

  • 嚴重風險：發現0項，未解決0項。

  • 高風險：發現0項，未解決0項。

  • 中風險：發現0項，未解決0項。

  • 低風險：發現0項，未解決0項。

  • 2026年初的VPN啟動流程潛在攻擊面已在正式審計前修復，並納入回歸測試。

二、審計聲明

本報告由VPNTestor Platform根據受測產品、環境、技術資料及修復驗證編製；星連VPN提供客戶端、測試帳戶、產品資料與修復版本，審計方獨立負責方法、風險分類、判斷、複測與評分。

「未發現漏洞」只表示本次範圍內未識別或重現未修復漏洞，不代表任何軟件未來所有版本與環境永久無風險。

三、關於VPNTestor Platform

VPNTestor Platform公開名稱為Openscore VPN，專注VPN產品測評、技術驗證及安全審計。本次審計由James Robert Smith負責，結合實際運行、異常網絡、未授權請求、流量分析、帳戶權限及回歸測試。

四、受測平台、版本及測試環境

  • iOS — SingLink 2.0.7／App Store 1.0.7；iPhone 15 Pro及iPhone SE第三代；iOS 18.x；證據編號SLV-IOS-2026-01。

  • iPadOS — SingLink 2.0.7／App Store 1.0.7；iPad Pro 11吋及iPad第十代；iPadOS 18.x；證據編號SLV-IPAD-2026-01。

  • Apple TV — SingLink 2.0.7／App Store 1.0.7；Apple TV 4K第三代；tvOS 17或以上；證據編號SLV-TVOS-2026-01。

  • macOS Apple Silicon — SingLinkVPN 2.5.3 ARM64；MacBook Pro M3 Pro及MacBook Air M2；macOS 14／15；證據編號SLV-MAC-ARM-2026-01。

  • macOS Intel — SingLinkVPN 2.5.3 x86_64；MacBook Pro 2019 Intel；macOS 13／14；證據編號SLV-MAC-INTEL-2026-01。

  • Android — SingLinkVPN 2.1.3 APK；Google Pixel 9 Pro及Samsung Galaxy S24；Android 15／16；證據編號SLV-ANDROID-2026-01。

  • Windows — SingLinkVPN 2.0.9 x64；Intel及AMD x64測試電腦；Windows 11 24H2及Windows 10 22H2；證據編號SLV-WIN-2026-01。

  • Linux Ubuntu／Debian — 舊版繼續正常顯示；新版本尚未發布，正式發布後補充版本及校驗資料。

  • Web用戶面板 — 2026年7月部署版本；Web前端及API；Chrome、Edge、Firefox及Safari正式版本；證據編號SLV-WEB-2026-01。

版本說明

iOS、iPadOS及Apple TV採App Store版本；macOS屬2.5系列且ARM64與x86_64分包；Android、Windows及Linux各有獨立版本；Web以部署版本、Release或Commit識別。因此不使用「所有平台均為v2.5」。

五、構建號、安裝文件及文件哈希

經審計的IPA雜湊、較新的Linux套件雜湊及Web部署摘要尚未公開發布；下列SHA-256為macOS、Android及Windows官方分發檔案的校驗值。

  • iOS／iPadOS／Apple TV：以App Store官方版本、Apple App Review及平台代碼簽署狀態為準；Apple審核不等同第三方安全審計，且未公開審計用IPA SHA-256。

  • macOS ARM64 2.5.3（官網DMG，70,568,669 bytes）SHA-256：5857cb3e6ded51362234bf2246958612cea10fab0d416f174faf7e9121708d24。

  • macOS Intel 2.5.3（官網DMG，72,270,725 bytes）SHA-256：5bba2c37a76ef8cb67bdfa15506c581d73faab73275bba73b83ec6ca5d110ad0。

  • Android 2.1.3（官網APK，86,649,334 bytes）SHA-256：81146be4136097eded546d9175fc9feba85174739d7a74a76563b4ebdb80d152。

  • Windows 2.0.9（官網EXE，31,391,424 bytes）SHA-256：2eb39c432aacdcb05aa93b89451e3022b2c6f55548ba56b52de25a4499007795。

  • Linux：舊版繼續顯示；新版本尚未發布，發布後補充版本及SHA-256。

  • 以上安裝包雜湊為2026-07-27從SingLinkVPN官網取得之目前官方發行檔案校驗值，不冒充審計方保存的原始受測附件。

  • Web Release／Commit及容器Digest：截至2026-07-27，來源報告未提供。

  • 報告完整性：VPNTestor在已簽名的SHA-256校驗清單中列出v1.2報告各語言版本的SHA-256值。

六、審計範圍

審計涵蓋連線與隧道、DNS/IP洩漏、帳戶與工作階段、API與內部鏈路、本機資料、Web面板，以及更新與供應鏈。

  • VPN正常連線、主動斷線、節點異常中斷、自動重連、重複請求、強制結束、休眠喚醒、網絡切換，以及路由建立與清理。

  • DNS、IPv4、IPv6及WebRTC洩漏防護、本地地址暴露、中斷與重連期間流量，以及智能分流和全局模式。

  • 登入、Token有效期、登出後Token重用、未登入存取、帳戶識別碼修改、跨帳戶存取、訂閱權限及工作階段撤銷。

  • 未授權內部配置請求、無效工作階段、非官方客戶端、參數篡改、高頻請求、自動探測、內部鏈路隔離及頻率限制。

  • 本機憑證、Token、錯誤日誌、Debug及診斷資料、瀏覽與DNS記錄、來源IP、快取及作業系統安全儲存。

  • Web面板驗證、帳戶、訂單及訂閱權限、Token、Cookie、參數篡改、跨帳戶存取及登出失效。

  • 安裝文件完整性、數碼簽署、更新來源、版本降級、第三方依賴、硬編碼密鑰、正式版Debug內容及軟件包權限。

七、測試網絡環境

為避免單一網絡偏差，測試包含家居寬頻、雙棧、4G/5G、公共Wi-Fi、網絡遷移、短暫中斷、異常DNS及高延遲丟包。

  • IPv4家居寬頻、IPv4／IPv6雙棧、4G、5G及公共Wi-Fi。

  • Wi-Fi轉5G、5G轉Wi-Fi、短暫斷網、異常DNS、高延遲及丟包環境。

八、審計方法

「通過」或「未發現」均須對應至少一項測試用例及證據編號。

  • 實際客戶端操作、黑箱功能測試及灰箱介面測試。

  • 封包分析、DNS與路由測試、IPv4／IPv6出口測試及WebRTC測試。

  • 未授權API存取、工作階段與Token測試、頻率限制測試及本機資料檢查。

  • 軟件包與簽署檢查、修復前後對照、回歸測試及跨平台比較。

九、正式測試用例

  • 網絡：VTP-SLV-NET-001…007；DNS：VTP-SLV-DNS-001；IPv4：VTP-SLV-IPV4-001；IPv6：VTP-SLV-IPV6-001；WebRTC：VTP-SLV-WRTC-001；路由：VTP-SLV-ROUTE-001。

  • 身份、API及Web：VTP-SLV-AUTH-001…004；VTP-SLV-API-001…004；VTP-SLV-WEB-001…003。

  • 私隱：VTP-SLV-PRIV-001…006。

十、抓包及API脫敏證據

涉及DNS、IPv6、路由、WebRTC、API及內部鏈路的結論保留脫敏證據；公開前移除Token、真實節點、私有域名、帳戶訂單、密鑰與生產憑證。

  • 封包記錄：VTP-SLV-PCAP-DNS-001.pcapng、VTP-SLV-PCAP-IPV6-001.pcapng、VTP-SLV-PCAP-NETWORK-SWITCH-001.pcapng、VTP-SLV-PCAP-RECONNECT-001.pcapng及VTP-SLV-PCAP-WEBRTC-001.pcapng。

  • 已脫敏API記錄：VTP-SLV-API-001-unauthorized-request-redacted.json至VTP-SLV-API-004-internal-link-redacted.json。

  • 公開前必須移除Token、真實伺服器地址、私有域名、帳戶與訂單識別碼、加密密鑰及生產環境憑證。

  • API證據記錄時間、方法、脫敏端點編號、身份狀態、HTTP狀態、回應結構、內部鏈路暴露情況及最終結果。

十一、安全風險評級標準

風險按可利用性與影響分為嚴重、高、中、低及資訊性建議；資訊性項目不直接扣分。

  • 嚴重：大規模敏感資料暴露、遠端程式碼執行、核心系統控制、完整繞過驗證或廣泛VPN流量暴露。

  • 高：帳戶接管、未授權存取、重大私隱暴露、VPN繞過或取得受保護配置及內部鏈路。

  • 中：在特定條件下可利用，對有限平台、功能或資料造成影響。

  • 低：直接影響有限，但會削弱防禦，或與其他條件結合時提高風險。

  • 資訊性：沒有可直接利用的漏洞，屬安全工程改進建議。

十二、安全審計結果

正式受測版本及環境的四個可扣分風險級別均為0。已知VPN啟動流程問題在審計前修復並納入重點回歸測試。

  • 嚴重風險：發現0項，未解決0項。

  • 高風險：發現0項，未解決0項。

  • 中風險：發現0項，未解決0項。

  • 低風險：發現0項，未解決0項。

  • 2026年初的VPN啟動流程潛在攻擊面已在正式審計前修復，並納入回歸測試。

十三、VPN啟動流程問題及修復

VPN啟動需從後端取得配置；若身份與工作階段驗證、請求限制或資料隔離不足，可能形成未授權探測、高頻請求或內部結構暴露的攻擊面。

修復加強身份與會話驗證、非官方客戶端限制、異常與高頻請求控制、內部鏈路隔離、最小回應資料、防自動化與客戶端—後端授權。

  • VPN啟動流程需要由後端提供連線配置；身份、工作階段、請求限制或資料隔離不足時，可能形成未授權探測、高頻請求或內部資料暴露面。

  • 修復加強VPN啟動請求的身份驗證與工作階段有效性檢查。

  • 加入非官方客戶端限制、異常請求識別、高頻請求限制及防自動化機制。

  • 把內部鏈路與公共介面隔離，減少回應資料，並加強客戶端與後端之間的授權。

  • 複測未能重現原問題；受保護配置及內部鏈路仍不可取得，亦未發現修復引入的新漏洞。

已修復、已重新測試、已關閉

十四、DNS、IPv4、IPv6及WebRTC測試

正常連線、中斷、Wi-Fi/5G切換、休眠喚醒、重啟、異常終止、雙棧、WebRTC、分流及全局模式中，未發現可持續重現的DNS、IPv4、IPv6、WebRTC、路由繞過或長時間未保護流量；亦未見介面顯示已連線而持續走未保護通道。

十五、帳戶及Web用戶面板安全

未登入用戶不能存取受保護資料；無效或過期Token不能使用；參數修改不能取得其他帳戶資料；訂閱與帳戶資料受權限保護；登出後會話按預期失效。

十六、私隱及資料處理評估

可觀察範圍內未見客戶端主動建立瀏覽內容、歷史、DNS查詢、完整活動、網站清單或原始流量記錄。註冊虛擬郵箱與訂單僅用於訂閱及售後，不等同VPN活動日誌。

  • 可觀察範圍內，未見客戶端主動建立瀏覽內容、瀏覽歷史、DNS查詢、完整活動、網站清單或原始流量記錄。

  • 本機憑證、Token、快取、錯誤與診斷資料均列入安全儲存及最小化檢查。

  • 註冊虛擬郵箱、訂單及訂閱資料只用於帳戶、訂閱及售後處理，不等同VPN網絡活動日誌。

  • 公開證據必須先移除可以識別用戶、帳戶、節點、憑證或生產系統的資料。

十七、跨平台測試結論

所有列明平台均通過其連線、洩漏、路由、恢復、身份、本機資料或權限測試；結論僅適用於各自列明版本與環境。

  • iOS、iPadOS及Apple TV：連線、恢復、洩漏、帳戶及本機資料測試通過。

  • macOS Apple Silicon及Intel：TUN、DNS、路由、休眠恢復、相容性及內部鏈路測試通過。

  • Android：VPN Service、背景連線、網絡切換、IPv6及本機資料測試通過。

  • Windows：隧道、DNS、系統路由、中斷及重新連線測試通過。

  • Ubuntu及Debian：安裝、服務啟動、隧道、DNS、路由及權限測試通過。

  • Web用戶面板：登入、工作階段、帳戶權限及跨帳戶存取測試通過。

十八、開源與技術透明度評估

星連VPN已開始公開架構、安全私隱模型、效能方法、數據格式、研究工具、披露與證據標準，並計畫分階段公開報告、協議及客戶端。開源本身不自動等於安全；實際安全仍取決於架構、代碼、權限、修復、依賴、版本、持續測試、社區審查與披露制度。

十九、100分評分公式

滿分100分由七部分組成；四個扣分風險級別均為0，已知問題修復複測通過，未發現新增漏洞。

  • VPN隧道、DNS及網絡洩漏防護：25分。

  • 帳戶、API及內部鏈路安全：20分。

  • 本機客戶端資料及私隱控制：15分。

  • 跨平台安全一致性：10分。

  • Web面板及工作階段安全：10分。

  • 更新、軟件包及供應鏈檢查：10分。

  • 已知問題修復及複測：10分。

  • 每項發現的扣分：嚴重30分、高15分、中7分、低2分；資訊性建議不直接扣分。

100/100

二十、為甚麼星連VPN獲得100分？

100分源於零未修復可扣分漏洞、主要平台納入測試、洩漏與權限測試通過、未授權請求不能取得內部資料，以及已知問題修復後不可重現。它不是對所有未來版本的永久保證。

二十一、用戶是否需要採取行動？

舊版本用戶應按各平台官方提示更新至最新正式版；不同平台版本獨立，不能只依macOS 2.5判斷。最新正式版用戶在本次結論下無需額外安全操作。

  • 只從星連VPN官方渠道或獲授權的應用商店下載。

  • 不要使用來源不明或經修改的版本；保持作業系統仍受支援，並把客戶端更新至最新正式版。

  • 不要共用帳戶憑證；連線異常時重新驗證身份或重新整理伺服器配置。

二十二、審計限制

審計只適用於2026年7月列明版本、設備、系統、網絡、用例與產品狀態，不涵蓋完成後新增的功能、協議、依賴或後端變更。

  • 審計只適用於2026年7月列明的版本、裝置、作業系統、網絡、測試用例及當時觀察到的產品狀態。後續版本另行記錄：VPNTestor於2026-08-24發布的v2.0報告涵蓋macOS 2.5.7及Windows 2.5.8，評級同樣為100/100。

  • 審計不涵蓋完成後新增的功能、協議、依賴或後端變更。

  • 協議、客戶端、TV或Web面板、身份系統、伺服器配置、依賴或發佈流程有重大變更時，需要重新測試。

二十三、最終審計結論

VPNTestor Platform確認所有列明平台與評分項目通過；範圍內沒有未修復的嚴重、高、中或低風險漏洞，最終評級100／100。

二十四、報告簽署

本報告由VPNTestor Platform審計負責人James Robert Smith簽署。

  • 機構：VPNTestor Platform；公開名稱：Openscore VPN。

  • 審計負責人及簽署人：James Robert Smith。

  • 報告版本：1.2（2026-07-28首次在VPNTestor發布）。

  • 審計期間：2026年7月；簽署日期：2026-07-31。

  • 機構電郵：office@vpntestor.com。

  • 簽署狀態：v1.2報告於2026-07-31簽署。VPNTestor公開了James Robert Smith對v1.2 SHA-256校驗清單的Ed25519簽名，可用已發布的公鑰驗證。

  • 報告完整性：VPNTestor發布的v1.2 SHA-256校驗清單、Ed25519簽名及公鑰。