VPNTestor Platform / Openscore VPN — 100/100

VPNTestor Platformは2026年7月に独立監査を完了しました。

iOSからLinux、Apple TV、Webまで、トンネル、漏えい、認証、内部経路、端末データと修正を検証しました。

版番号はプラットフォームごとに独立して記録されています。

採点対象の未修正脆弱性は0件。2026年初頭の起動フロー問題は修正済みで、再現せず新たな脆弱性も確認されませんでした。

報告の出所・ダウンロード・完全性確認

本記事は、VPNTestor Platformが公開した第三者セキュリティ監査報告を転載・要約したものです。監査、試験、採点、署名はVPNTestorが公開しており、SingLinkVPNは結果を伝える立場で監査結論の決定には関与していません。一次情報はVPNTestor原文をご確認ください。

1. 監査概要

  • 重大リスク：検出0件、未解決0件。

  • 高リスク：検出0件、未解決0件。

  • 中リスク：検出0件、未解決0件。

  • 低リスク：検出0件、未解決0件。

  • 2026年初頭のVPN起動フローに関する潜在的攻撃面は正式監査前に修正され、回帰試験に含められた。

2. 監査声明

監査側が方法、判定、再試験、採点を独立して担当しました。

「未確認」は将来の全環境にリスクがないという意味ではありません。

3. VPNTestor Platformについて

公開名Openscore VPN。監査責任者はJames Robert Smithです。

4. 対象プラットフォーム・版・環境

  • iOS — SingLink 2.0.7／App Store 1.0.7、iPhone 15 Pro及びiPhone SE（第3世代）、iOS 18.x、証拠ID SLV-IOS-2026-01。

  • iPadOS — SingLink 2.0.7／App Store 1.0.7、11インチiPad Pro及びiPad（第10世代）、iPadOS 18.x、証拠ID SLV-IPAD-2026-01。

  • Apple TV — SingLink 2.0.7／App Store 1.0.7、Apple TV 4K（第3世代）、tvOS 17以降、証拠ID SLV-TVOS-2026-01。

  • macOS Apple Silicon — SingLinkVPN 2.5.x ARM64、MacBook Pro M3 Pro及びMacBook Air M2、macOS 14／15、証拠ID SLV-MAC-ARM-2026-01。

  • macOS Intel — SingLinkVPN 2.5.x x86_64、MacBook Pro 2019 Intel、macOS 13／14、証拠ID SLV-MAC-INTEL-2026-01。

  • Android — SingLinkVPN 2.1.3 APK、Google Pixel 9 Pro及びSamsung Galaxy S24、Android 15／16、証拠ID SLV-ANDROID-2026-01。

  • Windows — SingLinkVPN 2.0.9 x64、Intel及びAMD x64検証用PC、Windows 11 24H2及びWindows 10 22H2、証拠ID SLV-WIN-2026-01。

  • Linux Ubuntu — 2026年7月正式パッケージ、Intel及びAMD x86_64、Ubuntu 24.04 LTS、証拠ID SLV-LINUX-UBU-2026-01。

  • Linux Debian — 2026年7月Debianパッケージ、Intel x86_64、Debian 12、証拠ID SLV-LINUX-DEB-2026-01。

  • Webユーザーパネル — 2026年7月配備版、Webフロントエンド及びAPI、正式版Chrome、Edge、Firefox、Safari、証拠ID SLV-WEB-2026-01。

版に関する注記

App Store版、macOS 2.5.xの各アーキテクチャ、独立したAndroid/Windows/Linux版、WebのRelease/Commitを個別に識別します。

5. ビルド・配布物・ハッシュ

監査対象IPAのハッシュ、新しいLinuxパッケージのハッシュ及びWebデプロイのダイジェストは公開されていません。以下のSHA-256は、macOS、Android及びWindowsの公式配布ファイルのチェックサムです。

  • iOS／iPadOS／Apple TV：App Storeの公式版、Apple App Review及びプラットフォームのコード署名状況を参照してください。Appleの審査は第三者セキュリティ監査ではなく、監査対象IPAのSHA-256は公開されていません。

  • macOS ARM64 2.5.3（公式サイトDMG、70,568,669 bytes）SHA-256：5857cb3e6ded51362234bf2246958612cea10fab0d416f174faf7e9121708d24。

  • macOS Intel 2.5.3（公式サイトDMG、72,270,725 bytes）SHA-256：5bba2c37a76ef8cb67bdfa15506c581d73faab73275bba73b83ec6ca5d110ad0。

  • Android 2.1.3（公式サイトAPK、86,649,334 bytes）SHA-256：81146be4136097eded546d9175fc9feba85174739d7a74a76563b4ebdb80d152。

  • Windows 2.0.9（公式サイトEXE、31,391,424 bytes）SHA-256：2eb39c432aacdcb05aa93b89451e3022b2c6f55548ba56b52de25a4499007795。

  • Linux：旧版は引き続き掲載しています。新版は未公開のため、公開後にバージョンとSHA-256を追加します。

  • これらのハッシュは2026-07-27にSingLinkVPN公式サイトから取得した現行の公式配布ファイルのもので、監査人が保管する元の試験検体のハッシュではありません。

  • Web Release／Commit及びコンテナDigest：2026-07-27時点で元の報告書に記載なし。

  • 報告書の完全性：VPNTestorは、v1.2報告書の各言語版のSHA-256値を署名付きSHA-256マニフェストに掲載しています。

6. 監査範囲

トンネル、漏えい、セッション、API、端末、Web、更新と供給網を対象とします。

  • VPNの通常接続、手動切断、サーバー異常切断、自動再接続、重複要求、強制終了、スリープ復帰、ネットワーク切替、経路の作成及び消去。

  • DNS、IPv4、IPv6及びWebRTCの漏えい防止、ローカルアドレス露出、中断・再接続中の通信、分割モード及び全体モード。

  • ログイン、Tokenの有効性と期限、ログアウト後のToken再利用、未認証アクセス、アカウントID改変、他アカウントへのアクセス、契約権限及びセッション無効化。

  • 未認証の内部設定要求、無効なセッション、非公式クライアント、引数改変、高頻度要求、自動探索、内部リンク分離及び頻度制限。

  • 端末内の認証情報、Token、エラーログ、Debug及び診断データ、閲覧・DNS記録、送信元IP、キャッシュ及びOSの安全な保存領域。

  • Webパネルの認証、アカウント・注文・契約権限、Token、Cookie、引数改変、他アカウントへのアクセス及びログアウト無効化。

  • インストーラーの完全性、電子署名、更新元、版の降格、外部依存関係、埋め込み鍵、正式版のDebug内容及びパッケージ権限。

7. ネットワーク環境

家庭回線、デュアルスタック、4G/5G、公衆Wi-Fi、切替、障害、異常DNS、遅延・損失を使用しました。

  • IPv4家庭用回線、IPv4／IPv6デュアルスタック、4G、5G及び公衆Wi-Fi。

  • Wi-Fiから5G、5GからWi-Fiへの切替、短時間の切断、異常DNS、高遅延及びパケット損失。

8. 監査方法

「合格」「未確認」はケースと証拠番号に対応します。

  • 実クライアント操作、ブラックボックス機能試験及びグレーボックスインターフェース試験。

  • パケット解析、DNS・経路試験、IPv4／IPv6出口試験及びWebRTC試験。

  • 未認証APIアクセス、セッション・Token試験、頻度制限試験及び端末内データ検査。

  • パッケージ・署名検査、修正前後の比較、回帰試験及びクロスプラットフォーム比較。

9. 正式テストケース

  • ネットワーク：VTP-SLV-NET-001…007、DNS：VTP-SLV-DNS-001、IPv4：VTP-SLV-IPV4-001、IPv6：VTP-SLV-IPV6-001、WebRTC：VTP-SLV-WRTC-001、経路：VTP-SLV-ROUTE-001。

  • 認証、API及びWeb：VTP-SLV-AUTH-001…004、VTP-SLV-API-001…004、VTP-SLV-WEB-001…003。

  • プライバシー：VTP-SLV-PRIV-001…006。

10. 匿名化したパケット/API証拠

証拠は秘密情報と本番識別子を除去して公開します。

  • パケット記録：VTP-SLV-PCAP-DNS-001.pcapng、VTP-SLV-PCAP-IPV6-001.pcapng、VTP-SLV-PCAP-NETWORK-SWITCH-001.pcapng、VTP-SLV-PCAP-RECONNECT-001.pcapng及びVTP-SLV-PCAP-WEBRTC-001.pcapng。

  • 匿名化API記録：VTP-SLV-API-001-unauthorized-request-redacted.jsonからVTP-SLV-API-004-internal-link-redacted.jsonまで。

  • 公開前にToken、実サーバーアドレス、非公開ドメイン、アカウント・注文ID、暗号鍵及び本番環境の認証情報を削除する。

  • API証拠には時刻、方式、匿名化した端点ID、認証状態、HTTP状態、応答構造、内部リンク露出及び最終結果を記録する。

11. 深刻度基準

重大、高、中、低、情報に分類します。

  • 重大：大規模な機密データ露出、遠隔コード実行、基幹システム制御、認証の完全回避又は広範なVPN通信露出。

  • 高：アカウント奪取、未認証アクセス、重大なプライバシー露出、VPN回避又は保護された設定・内部リンクへのアクセス。

  • 中：特定条件で悪用でき、限定されたプラットフォーム、機能又はデータに影響するもの。

  • 低：直接的な影響は限定的だが、防御を弱めるか、他条件との組合せで危険性を高めるもの。

  • 情報：直接悪用できる脆弱性ではなく、セキュリティ設計上の改善提案。

12. 監査結果

採点対象4段階はいずれも未修正0件です。

  • 重大リスク：検出0件、未解決0件。

  • 高リスク：検出0件、未解決0件。

  • 中リスク：検出0件、未解決0件。

  • 低リスク：検出0件、未解決0件。

  • 2026年初頭のVPN起動フローに関する潜在的攻撃面は正式監査前に修正され、回帰試験に含められた。

13. VPN起動フローの問題と修正

起動設定取得の認証・セッション・制限・分離が弱い場合、探査や内部情報露出の面になり得ます。

修正では認証、レート制限、内部経路分離、最小応答、自動化対策、クライアント認可を強化しました。

  • VPN起動フローはバックエンドから接続設定を取得するため、認証、セッション、要求制限又はデータ分離が不十分だと、未認証探索、高頻度要求又は内部データ露出の面になり得る。

  • 修正ではVPN起動要求の認証及びセッション有効性確認を強化した。

  • 非公式クライアントの制限、異常要求の検出、頻度制限及び自動化対策を追加した。

  • 内部リンクを公開インターフェースから分離し、応答データを削減して、クライアントとバックエンド間の認可を強化した。

  • 再試験で元の問題は再現せず、保護された設定と内部リンクは取得できず、新たな脆弱性も確認されなかった。

修正・再試験・クローズ済み。

14. DNS・IPv4・IPv6・WebRTC

再現可能なDNS/IP/WebRTC/経路漏えい等は確認されませんでした。

15. アカウント/Webパネル

未認証・期限切れセッションや改変パラメータによる越権は成功しませんでした。

16. プライバシーとデータ処理

閲覧内容、DNS、完全な活動、サイト一覧、原トラフィックの記録は確認されませんでした。

  • 観察範囲では、クライアントが閲覧内容、閲覧履歴、DNS照会、完全な活動、サイト一覧又は生の通信記録を作成する挙動は確認されなかった。

  • 端末内の認証情報、Token、キャッシュ、エラー及び診断データを安全保存と最小化の検査対象に含めた。

  • 登録用仮想メール、注文及び契約記録はアカウント、契約及びサポート処理用であり、VPNネットワーク活動ログではない。

  • 公開証拠からは、利用者、アカウント、ノード、認証情報又は本番システムを識別できる情報を事前に除去する。

17. クロスプラットフォーム結論

各プラットフォームは記載環境の適用試験に合格しました。

  • iOS、iPadOS及びApple TV：接続、復旧、漏えい、アカウント及び端末内データの試験に合格。

  • macOS Apple Silicon及びIntel：TUN、DNS、経路、スリープ復帰、互換性及び内部リンクの試験に合格。

  • Android：VPN Service、バックグラウンド接続、ネットワーク切替、IPv6及び端末内データの試験に合格。

  • Windows：トンネル、DNS、システム経路、中断及び再接続の試験に合格。

  • Ubuntu及びDebian：インストール、サービス起動、トンネル、DNS、経路及び権限の試験に合格。

  • Webユーザーパネル：ログイン、セッション、アカウント権限及び他アカウントへのアクセス試験に合格。

18. オープンソースと透明性

公開性は検証を助けますが、それ自体が安全性の証明ではありません。

19. 100点の算式

7項目100点、減点0です。

  • VPNトンネル、DNS及びネットワーク漏えい防止：25点。

  • アカウント、API及び内部リンクの安全性：20点。

  • 端末内クライアントデータ及びプライバシー制御：15点。

  • クロスプラットフォームの安全性の一貫性：10点。

  • Webパネル及びセッションの安全性：10点。

  • 更新、パッケージ及び供給網の検査：10点。

  • 既知問題の修正及び再試験：10点。

  • 指摘1件当たりの減点：重大30点、高15点、中7点、低2点。情報区分の提案は直接減点しない。

100/100

20. 100点の理由

100点は本監査範囲の結果であり永久保証ではありません。

21. 利用者の対応

旧版は公式経路で更新し、最新版は追加対応不要です。

  • SingLinkVPNの公式経路又は認可されたアプリストアからのみダウンロードする。

  • 出所不明又は改変された版を使用せず、OSをサポート対象に保ち、クライアントを最新正式版へ更新する。

  • アカウント認証情報を共有しない。接続に異常がある場合は再認証又はサーバー設定の再取得を行う。

22. 制約

2026年7月の記載条件のみが対象で、重大変更は再試験が必要です。

  • 監査は2026年7月について報告書に記載された版、端末、OS、ネットワーク、試験項目及び観察時の製品状態にのみ適用される。以降のバージョンは別途記録されており、2026-08-24公開のVPNTestorのv2.0報告書はmacOS 2.5.7とWindows 2.5.8を対象とし、評価は同じく100/100である。

  • 完了後に追加された機能、プロトコル、依存関係又はバックエンド変更は対象外である。

  • プロトコル、クライアント、TV・Webパネル、認証系、サーバー設定、依存関係又は公開工程に重大な変更がある場合は再試験が必要である。

23. 最終結論

記載範囲で未修正の重大・高・中・低リスクは0、100/100です。

24. 署名

James Robert SmithがVPNTestor Platformを代表して署名します。

  • 機関：VPNTestor Platform、公開名称：Openscore VPN。

  • 監査責任者及び署名者：James Robert Smith。

  • 報告書版：1.2（2026-07-28にVPNTestorで初公開）。

  • 監査期間：2026年7月；署名日：2026-07-31。

  • 機関メールアドレス：office@vpntestor.com。

  • 署名状況：v1.2報告書は2026-07-31に署名されました。VPNTestorは、James Robert Smithによるv1.2 SHA-256マニフェストのEd25519署名を公開しており、公開鍵で検証できます。

  • 報告書の完全性：VPNTestorのv1.2 SHA-256マニフェスト、Ed25519署名及び公開鍵。