Colitu: технический документ по безопасности

0Безопасность Colitu в одной таблице

Краткая сводка разделов ниже. Зелёный: работает так, как описано, на всех указанных платформах. Жёлтый: частично или с описанными ограничениями. Красный: пока нет.

1Краткое изложение

Colitu — это VPN-сервис с приложениями для Android, Windows, Linux и iOS. Он рассчитан на недоверенные или нестабильные сети: каждый сервер поддерживает несколько транспортов, и приложение выбирает тот, который работает в сети пользователя.

Цель архитектуры — свести к минимуму объём чувствительных данных в каждом отдельном месте. Аккаунты и платежи находятся в управляющем контуре, через который никогда не проходит VPN-трафик. VPN-серверы передают трафик, но не хранят адреса электронной почты и платёжные данные. Приложения хранят свои учётные данные в защищённом хранилище каждой платформы.

В этом документе описаны архитектура, модель угроз, протоколы, обращение с ключами и аккаунтами, что записывается в журналы, как защищены обновления, известные ограничения и оставшаяся работа. Он написан для читателей, которые хотят проверить наши утверждения, а не принимать их на веру.

Принципы

• Собирать как можно меньше и точно сообщать, что именно мы собираем.
• Шифровать трафик между приложением и VPN-сервером с помощью проверенных протоколов. Собственной криптографии у Colitu нет.
• Держать аккаунты и платежи отдельно от серверов, передающих трафик.
• Предпочитать задокументированные ограничения широким обещаниям.
• Делать поведение приложений проверяемым: публиковать исходный код приложений для Android, Windows, Linux и iOS.

2Область применения

Охватывается: приложения Colitu для Android, Windows, Linux и iOS; управляющий контур (API аккаунтов, биллинг, конфигурация, панель администратора); VPN-серверы и агент узла, который их настраивает; DNS-серверы Colitu Shield; доставка обновлений; colitu.com и его поддомены.

Не охватывается: безопасность операционной системы и устройства пользователя, расширения браузера и другое ПО на устройстве, внутренняя безопасность платёжного провайдера и других третьих сторон, перечисленных в §11, а также сайты, которые посещает пользователь.

3Архитектура

Colitu разделяет управляющий контур (control plane), которому известно, кто пользователи, и контур передачи данных (data plane), по которому идёт их трафик.

Компоненты

Как устанавливается подключение

1. Приложение выполняет вход по HTTPS и получает короткоживущие токены.
2. Оно запрашивает у управляющего контура список серверов и параметры подключения к выбранному.
3. Оно перебирает транспорты по порядку и оставляет первый, который прошёл проверку связи.
4. Далее трафик идёт по пути приложение → VPN-сервер → интернет. Управляющий контур на этом пути не находится.

4Модель доверия

Пользуясь Colitu, вы должны доверять:

• установленному вами приложению Colitu, а также устройству и операционной системе, на которых оно работает;
• VPN-серверу, к которому вы подключаетесь, и хостинг-провайдеру, который его обслуживает (VPN-серверы — арендованные виртуальные машины без шифрования дисков, поэтому у провайдера есть к ним технический доступ);
• управляющему контуру Colitu и людям, которые его эксплуатируют;
• реализациям протоколов, которые использует Colitu (Xray-core, sing-box, Hysteria), и криптографическим библиотекам, на которых они построены.

Вам не нужно доверять локальной сети или интернет-провайдеру содержимое и адресатов туннелируемого трафика. Тем не менее они могут видеть:

• что вы подключаетесь к серверу Colitu, его IP-адрес и порт;
• когда вы подключены и примерно сколько данных вы отправляете и получаете;
• возможно, что это VPN-трафик — в зависимости от протокола и средств анализа трафика в сети;
• трафик, который приложение намеренно отправляет в обход туннеля: некоторые региональные сайты (§9), трафик локальной сети, проверки обновлений и измерения задержки.

5Модель угроз

Colitu предназначен для защиты трафика от враждебных или недоверенных локальных сетей, от интернет-провайдеров, которые читают или записывают ваши действия, и от многих видов сетевой фильтрации. Он не рассчитан на обеспечение анонимности против противника, способного одновременно наблюдать трафик на входе в VPN и на выходе из него.

Рассматриваемые противники

6Протоколы

Каждый сервер поддерживает один и тот же набор транспортов. Colitu не изобретает криптографию: шифрование, аутентификацию и обмен ключами обеспечивают Xray-core, sing-box и Hysteria и используемые ими библиотеки.

Какое ядро обслуживает транспорт, зависит от платформы. Android и iOS используют Xray-core для всех транспортов, включая Hysteria2. Windows и Linux используют Xray-core для VLESS, Trojan и Shadowsocks и sing-box для Hysteria2. На серверах Xray обслуживает VLESS, sing-box — Trojan и Shadowsocks, а официальный сервер Hysteria — Hysteria2.

Переключение транспортов происходит автоматически, но не бесшовно: при переходе приложения на другой транспорт туннель разрывается и строится заново, что занимает около секунды или больше.

7Криптография и управление ключами

Где хранятся ключи и что будет при утечке

• Закрытый ключ удостоверяющего центра хранится в файле в управляющем контуре. Получивший его мог бы выпускать удостоверения серверов, поэтому это самый чувствительный ключ из всех, что у нас есть.
• Каждый VPN-сервер хранит собственные закрытые ключи Reality, ключ своего TLS-сертификата и учётные данные подключения пользователей, которые к нему подключались. Эти учётные данные случайны и различаются на каждом сервере, поэтому компрометация одного сервера не раскрывает учётные данные, действующие на других.
• Закрытые ключи Reality и учётные данные подключения пользователей хранятся в базе данных управляющего контура в незашифрованном виде. Шифрование этих значений на уровне базы данных включено в план работ.
• Плановой ротации ключей Reality пока нет. Если есть подозрение на компрометацию сервера, его убирают из приложений, а его ключи и учётные данные заменяют.
• Управляющий контур каждый день делает зашифрованную резервную копию и хранит её 3 дня. Копия отправляется в Backblaze B2 (EU Central, Амстердам) с Object Lock: в течение 30 дней никто, включая Colitu, не может её удалить или изменить, а автоматически она удаляется не позднее чем через 36 дней. Ключ расшифровки хранится офлайн с 16 октября 2026 г., поэтому копии не могут прочитать ни сервер, ни Backblaze. Восстановление из внешней копии проверено 16 октября 2026 г. Снимки базы данных, сделанные перед развёртыванием, не шифруются и остаются на сервере управляющего контура не более 7 дней.

8Аккаунты и сессии

• Вход выполняется по адресу электронной почты и паролю. Телевизор может выполнить вход, показав QR-код, который подтверждается на телефоне с выполненным входом (8-символьный код, действует 10 минут). Входа через Google, Telegram или другие сторонние сервисы нет.
• Пароль должен содержать не менее 10 символов. Новый аккаунт получает доступ к VPN только после подтверждения 6-значного кода, отправленного по электронной почте.
• Для сброса пароля используется 6-значный код, действующий 15 минут, одноразовый, с ограничением в 5 попыток. Ответ одинаков независимо от того, существует ли аккаунт с этим адресом. Сброс пароля завершает сеансы на всех устройствах и все веб-сессии. После сброса по коду из письма удаление аккаунта и отключение двухэтапной проверки блокируются на 24 часа (ошибка RECOVERY_LOCKED).
• Вход, регистрация, сброс пароля и промокоды ограничены по частоте для каждого IP-адреса. На сайте вход и сброс пароля дополнительно ограничены для каждого адреса электронной почты; в приложениях вход ограничен только по IP. Блокировки пользовательских аккаунтов нет.
• Выход из аккаунта отзывает токен обновления этого устройства. Его токен доступа остаётся действительным до истечения срока (не более 15 минут).
• Устройства можно удалять на странице аккаунта. Страница безопасности показывает сеансы в браузерах с названием устройства (браузер и операционная система), страной, способом входа и IP-адресом; можно завершить один сеанс, все остальные (текущий останется) или выйти везде.
• Смена пароля на сайте сохраняет сеанс браузера, в котором вы находитесь, и завершает все остальные веб-сессии и все токены обновления приложений. Токены доступа приложений, выданные до смены, перестают работать сразу (ошибка AUTH_SESSION_REVOKED).
• Действия, которые повторно запрашивают пароль (смена пароля, удаление аккаунта, изменения двухэтапной проверки, passkey), ограничены 10 попытками за 15 минут на аккаунт.
• Двухэтапная проверка (TOTP) необязательна для любого аккаунта. Вы включаете её на colitu.com/account/security с помощью приложения-аутентификатора и получаете 10 одноразовых кодов восстановления; после этого приложения запрашивают код после пароля (поддерживается начиная с версий Windows 2.6.0, Android 2.6.0, Linux 1.2.0 и iOS 5.5.0; старое приложение попросит обновиться). Настраивается только на сайте.
• Passkey: на colitu.com в разделе «Аккаунт → Безопасность» (нужен пароль) можно добавить до 10 passkey, назвать каждый и удалить его с помощью пароля, а затем входить через «Войти с passkey» на странице входа. Passkey с проверкой пользователя считается двумя факторами, поэтому код двухэтапной проверки не запрашивается; вход из страны, которую не видели последние 90 дней, по-прежнему требует код из письма. Passkey не работают на зеркальных доменах. Приложения входят как раньше или через подтверждение QR-кода привязки устройства в браузере, где выполнен вход с passkey.
• Colitu отправляет письмо о безопасности в случаях: новое устройство в приложении (кроме первого), вход из новой страны (не встречавшейся 90 дней), включение или отключение двухэтапной проверки, повторное создание кодов восстановления, добавление или удаление passkey и смена пароля.
• Ссылки подписки: помимо основной ссылки можно создать до 5 дополнительных именованных ссылок с необязательным сроком действия 7, 30 или 90 дней и отзывать их по одной. Если ссылку за короткое время использовали из множества разных сетей, появляется предупреждение. IP-адреса для этого Colitu не хранит: только анонимный дневной счётчик различных сетей, который хранится 48 часов.

Доступ администраторов

Colitu обслуживает очень небольшая команда. Панель администратора находится на отдельном адресе и использует ролевые права доступа, административные эндпоинты закрыты в публичном API, аккаунты администраторов блокируются на 15 минут после 5 неудачных попыток, а действия администраторов записываются в журнал аудита. Двухэтапная проверка (TOTP) для аккаунтов администраторов обязательна: администратор без неё после входа может только настроить её, а каждый следующий вход требует кода или одноразового кода восстановления (число попыток ограничено). Администратор также может зарегистрировать аппаратный ключ безопасности (WebAuthn); после этого вход требует пароля и ключа вместо TOTP, а одноразовый код восстановления остаётся записываемым в журнал аварийным способом. Утерянный ключ заменяется кодом восстановления или, после проверки личности по независимому каналу, записываемой в журнал командой сброса на сервере. Доступ отзывается отключением аккаунта и прекращается со следующего запроса. Сеансы администраторов привязаны к браузеру и сети, из которых они открыты.

9Трафик, DNS, IPv6 и kill switch

Что видит VPN-сервер

VPN-сервер должен знать, куда отправлять ваш трафик, поэтому технически он видит ваш IP-адрес, IP-адреса и зачастую имена хостов (TLS SNI) сайтов, к которым вы подключаетесь, а также время и объём вашего трафика. Он не может прочитать содержимое HTTPS-соединений, которое остаётся зашифрованным между вашим устройством и сайтом. Colitu не расшифровывает и не анализирует HTTPS-трафик.

Маршрутизация по умолчанию

Региональные сайты в обход VPN

Некоторые региональные сайты (домены и диапазоны IP-адресов из встроенного списка) открываются напрямую, в обход туннеля, чтобы продолжали работать сервисы, которые не принимают иностранные IP-адреса. При подключении к серверу в этом регионе это не применяется. Для этого трафика сайт и ваш интернет-провайдер видят ваш реальный IP-адрес. Правило действует только при выключенном режиме приватности. В новых установках режим приватности включён по умолчанию (Windows и Android 2.7.0, iOS 5.6.0, Linux 1.3.0 и новее), поэтому по умолчанию весь трафик идёт через VPN; установки, сделанные раньше, сохраняют прежнюю настройку. При первом подключении с активным правилом приложение показывает одноразовое уведомление с объяснением. Можно также выбрать сервер в этом регионе.

Kill switch на Windows подробно

• Он блокирует весь трафик IPv4 и IPv6, кроме loopback, локальной сети (это настройка, по умолчанию включена), DHCP, VPN-ядер, адаптера TUN и самого приложения Colitu.
• Он активен в течение всей сессии, и в режиме TUN, и в режиме системного прокси. В режиме прокси приложения, не использующие прокси, остаются без интернета, пока вы подключены.
• Правила держит отдельная служба Windows (ColituKillSwitch, LocalSystem, автоматический запуск) в виде постоянных правил Windows Filtering Platform. Если приложение или VPN-ядро аварийно завершается либо служба перезапускается, правила остаются, и интернет блокируется, пока Colitu не подключится заново (fail-closed).
• Обычная перезагрузка или выключение Windows снимает блокировку. Это сделано намеренно: некому было бы объяснить, почему нет интернета. Исключение — когда включены и автоподключение, и запуск вместе с Windows: тогда блокировка держится, пока Colitu не подключится заново. Если вы сами нажали «Отключить», блокировка снимается, а при удалении приложения все правила удаляются.
• Если службы нет (например, после повреждённой установки), приложение предупреждает вас и переключается на прежний kill switch внутри приложения. Его фильтры принадлежат процессу приложения: если приложение аварийно завершается или принудительно закрыто, Windows удаляет их, и трафик идёт без защиты (fail-open).
• Трафик, который приложение направляет напрямую, например региональные сайты из встроенного списка, намеренно не блокируется.

Трафик, который приложения отправляют в обход туннеля

• Проверка и загрузка обновлений (colitu.com).
• Измерение задержки до серверов.
• На Windows — разрешение имён хостов серверов через DNS-over-HTTPS Cloudflare или Google.

Проверки связи (например, адрес generate_204 от Google) отправляются через туннель.

10Журналирование и перечень данных

Это полный перечень того, что хранит Colitu. Политика конфиденциальности содержит тот же перечень в юридической форме.

VPN-сервис

Аккаунт и сайт

Passkey, веб-сессии и ссылки подписки включены в таблицу ниже. Для ссылок подписки IP-адреса не хранятся: по каждой ссылке хранится только анонимный дневной счётчик различных сетей, 48 часов.

11Телеметрия и третьи стороны

Телеметрия в приложениях

• Ни одно приложение Colitu (Android, iOS, Windows, Linux) не содержит библиотек аналитики, рекламы или отчётов о сбоях; в приложении для iOS их нет начиная с версии 5.4.1.
• Все приложения сообщают Colitu, какие транспорты сработали на каком сервере и с какой скоростью, с привязкой к устройству, чтобы работающие транспорты выбирались в первую очередь.
• К обращениям в поддержку прикладываются последние журналы приложения, в которых адреса и секреты замаскированы.

Третьи стороны, получающие данные

Сайт не загружает сторонние скрипты, шрифты или трекеры.

12Безопасность приложений

13Обновления и цепочка поставок

Сборка и исходный код

• Каждый выпуск приложений с открытым исходным кодом помечается тегом на GitHub. На странице выпуска указаны контрольные суммы SHA-256 и спецификация компонентов ПО в формате SPDX (Android и Windows).
• В репозиториях Android и Windows работают сканирование кода CodeQL и обновление зависимостей Dependabot; GitHub Actions закреплены по хешам коммитов.
• Выпуск для Android собирается в CI; установщик для Windows собирается на компьютере разработчика; пакеты для Linux собираются в CI; сборки для iOS в TestFlight собираются в Codemagic.
• Сборки Android (начиная с 2.9.3) и Windows (начиная с 2.9.8) воспроизводимы, поэтому любой может заново собрать исходный код с соответствующим тегом и сравнить результат с опубликованным файлом. На iOS и Linux контрольная сумма по-прежнему доказывает лишь то, что у вас тот файл, который мы опубликовали, но не то, что он собран из исходного кода с соответствующим тегом. Библиотека ядра Xray для Android — это официальный бинарный файл из основного репозитория (upstream), закреплённый по SHA-256, а не пересобираемый из исходного кода.

Что открыто, а что закрыто

14Устойчивость к цензуре

Ни один транспорт не может гарантированно работать против любой системы цензуры. Подход Colitu — предлагать несколько транспортов с разными свойствами и позволять приложению автоматически переключаться на резервный.

15Ограничения приватности

VPN скрывает ваш трафик от сети, в которой вы находитесь. Скрыть всё он не может:

• Размеры пакетов, время и общий объём трафика остаются видимыми, и наблюдатель, видящий оба конца, может их сопоставить.
• Сайты по-прежнему могут идентифицировать вас по cookie, отпечатку браузера и аккаунтам, в которые вы вошли.
• VPN не защищает от вредоносного ПО, фишинга или скомпрометированного браузера.
• Трафик, направляемый в обход туннеля (§9), не защищён.

16Реагирование на инциденты и журнал инцидентов

Если мы подозреваем компрометацию VPN-сервера, мы скрываем его из приложений, заменяем его ключи и учётные данные подключения и пересобираем его. Если утечка затрагивает персональные данные, мы без неоправданных задержек сообщаем об этом затронутым пользователям по электронной почте и публикуем описание произошедшего в этом разделе и в Центре доверия. Состояние сервиса публикуется на status.colitu.com.

17Инфраструктура

• Все серверы — арендованные виртуальные машины у нескольких независимых хостинг-провайдеров. VPN-серверы распределены по ряду стран; актуальный список — на странице серверов. Управляющий контур, в котором находится база данных аккаунтов, работает на сервере в Турции.
• Диски не зашифрованы. Хостинг-провайдеры имеют технический доступ к своим машинам.
• Административный доступ осуществляется только по SSH с ключами; вход по паролю отключён. Ключи есть только у команды Colitu.
• Автоматические обновления безопасности включены на большинстве серверов; их включение везде включено в план работ.
• Управляющий контур и часть VPN-серверов используют межсетевой экран с запретом по умолчанию. На остальных VPN-серверах входящие подключения принимают только VPN-сервисы, SSH и эндпоинт измерений; межсетевой экран с запретом по умолчанию на всех серверах включён в план работ.
• База данных управляющего контура недоступна из интернета. У VPN-серверов нет к ней доступа.
• Два сервера направляют небольшой фиксированный набор доменов (сервисы Google на одном, ИИ-сервисы Google на другом) через Cloudflare WARP, чтобы эти сервисы видели европейское местоположение. Для этих доменов точкой выхода является Cloudflare, и он видит те же метаданные, что видел бы VPN-сервер.
• Один входной сервер-ретранслятор пересылает зашифрованные пакеты без изменений на выходной сервер в Латвии. Входной сервер не может расшифровать трафик; он видит ваш IP-адрес, как и любая сеть.

18Сообщение об уязвимостях

Сообщайте о проблемах безопасности конфиденциально на security@colitu.com (адрес также указан в /.well-known/security.txt). Пожалуйста, приложите шаги для воспроизведения и затронутую версию. Полная политика — на colitu.com/responsible-disclosure.

• Мы подтверждаем получение сообщений в течение 3 рабочих дней и даём первичную оценку в течение 10 рабочих дней.
• Пожалуйста, дайте нам разумное время на исправление проблемы, прежде чем публиковать подробности.
• Мы не будем предпринимать юридических действий в отношении добросовестных исследований, которые не затрагивают данные других пользователей, не нарушают работу сервиса и о результатах которых сообщено конфиденциально.
• Мы указываем имена исследователей, которые этого хотят. В рамках программы вознаграждений (colitu.com/bug-bounty) подтверждённые сообщения, отправленные из аккаунта, вознаграждаются подпиской Plus на срок от 1 до 12 месяцев в зависимости от серьёзности, а критические уязвимости — денежным вознаграждением.
• В рамках программы: приложения, colitu.com и его поддомены, API и VPN-серверы. Вне рамок программы: отказ в обслуживании, спам, социальная инженерия и третьи стороны из §11.

19Статус аудита

Colitu пока не проходил независимый аудит безопасности или тест на проникновение третьей стороной. В настоящее время гарантии обеспечиваются следующим:

• открытый исходный код приложений для Android, Windows, Linux и iOS;
• автоматическое сканирование кода (CodeQL) и обновление зависимостей (Dependabot);
• внутренние проверки безопасности приложений (октябрь 2026 г.) и проверка, лежащая в основе этого документа;
• публичный процесс сообщения об уязвимостях.

Независимый аудит запланирован, но сроки пока не назначены.

20Известные ограничения

• Независимого аудита безопасности пока не было.
• VPN-серверы и их хостинг-провайдеры входят в число тех, кому вы должны доверять; диски серверов не зашифрованы.
• Если режим приватности выключить, некоторые региональные сайты из встроенного списка идут в обход VPN в приложениях для Windows, Android, iOS и Linux. В новых установках режим приватности включён по умолчанию начиная с Windows и Android 2.7.0, iOS 5.6.0 и Linux 1.3.0, но установки, сделанные раньше, сохраняют прежнюю настройку.
• Новые установки Windows начинают с режима TUN, но установки, использовавшие системный прокси, его сохраняют, а режим прокси охватывает не все приложения, не охватывает системный DNS-резолвер и IPv6. Обычная перезагрузка Windows снимает блокировку kill switch, если Colitu не настроен на повторное подключение при входе в систему.
• На Android нет собственного kill switch, и нужны две системные настройки, по умолчанию выключенные; переключатель iOS «Блокировать интернет без VPN» по умолчанию выключен, а пока он включён, страницы входа в Wi-Fi не открываются.
• Двухэтапная проверка обязательна для аккаунтов администраторов и только необязательна для пользователей.
• Для записей биллинга и журнала аудита пока нет автоматического удаления (§10).
• Защитное ПО, проверяющее HTTPS с собственным корневым сертификатом, из-за закрепления сертификатов блокирует соединение приложений с API; в нём нужно добавить Colitu в исключения. Passkey работают только на colitu.com: не на зеркальных доменах и не внутри приложений.
• Приложение для Windows не подписано Authenticode, а сборки для iOS и Linux пока не воспроизводимы.
• У Shadowsocks 2022 нет прямой секретности; Trojan принимает TLS 1.2.

21Изменения в версиях с 1.4 по 1.9

Версия 1.3 описывала приложения такими, какими они были до последних релизов приложений. Эта версия описывает то, что работает сегодня.

• Двухэтапная проверка (TOTP) доступна для любого пользовательского аккаунта, а не только для администраторов. Приложения запрашивают код при входе.
• Windows: kill switch теперь отдельная служба Windows с постоянными правилами брандмауэра. Она продолжает блокировку, если приложение или VPN-ядро аварийно завершается (больше не fail-open). Обычная перезагрузка Windows по-прежнему снимает блокировку, если Colitu не настроен на повторное подключение при входе в систему. Новые установки начинают с режима TUN.
• Раздельное туннелирование есть во всех четырёх приложениях: приложения, сайты и IP-адреса на Windows, Android и Linux; сайты и IP-адреса на iOS.
• iOS: IPv6 больше не утекает, а необязательный переключатель «Блокировать интернет без VPN» (по умолчанию выключен) блокирует трафик вне туннеля.
• Режим приватности (в новых установках включён по умолчанию) позволяет пользователям приложений для Windows, Android, iOS и Linux решать, действует ли встроенное правило, по которому некоторые региональные сайты идут в обход VPN.
• Multihop (двойной VPN) и сменяющийся IP доступны на серверах VLESS.
• Блокировщик рекламы стал Colitu Shield — необязательной защитой на уровне DNS с пятью категориями (реклама и трекеры, вредоносное ПО, фишинг, мошенничество, криптомайнинг) с 7 октября 2026 г. На его резолверах нет журнала запросов и статистики, новые данные не собираются. Необязательный фильтр контента для взрослых, личные списки, счётчик на устройстве и переключатели по категориям — в плане развития, пока не работают.
• Версии, даты и контрольные суммы в этом документе, на страницах загрузки и на странице открытого исходного кода теперь берутся из одного манифеста релизов.
• Версия 1.5 (9 октября 2026 г.): платные тарифы («Личный», Plus и «Семейный») в продаже; оплата проходит на странице платёжного провайдера, данные карты в Colitu не попадают. Утверждение о том, что платные тарифы не продаются, удалено. Другие описанные в документе практики не менялись.
• Версия 1.6 (10 октября 2026 г.): passkey для сайта, список сеансов с управлением ими, письма о безопасности, 24-часовая блокировка удаления аккаунта и отключения двухэтапной проверки после сброса пароля, ограничение числа попыток повторной проверки пароля, дополнительные именованные ссылки подписки со сроком действия, необязательные аппаратные ключи безопасности для аккаунтов администраторов и закрепление соединения с API за корневыми центрами сертификации Let's Encrypt (ISRG) и Google Trust Services во всех четырёх приложениях. Другие описанные в документе практики не менялись.
• Версия 1.7 (16 октября 2026 г.): резервные копии. Ключ расшифровки перенесён в офлайн и больше не хранится на сервере. Ежедневная зашифрованная копия хранится вне сервера в Backblaze B2 (EU Central) с 30-дневной защитой от удаления и удаляется не позднее чем через 36 дней. Незашифрованные снимки, сделанные перед развёртыванием, удаляются через 7 дней. Backblaze добавлен в список третьих сторон. Другие описанные в документе практики не менялись.
• Версия 1.8 (20 октября 2026 г.): воспроизводимые сборки для Android (начиная с 2.9.3) и Windows (начиная с 2.9.8). Другие описанные в документе практики не менялись.
• Версия 1.9 (28 октября 2026 г.): добавлено описание программы вознаграждений (Plus на срок от 1 до 12 месяцев, денежное вознаграждение за критические уязвимости), удалено утверждение об отсутствии денежных вознаграждений. Отчёт о внутренней оценке безопасности опубликован на colitu.com/security-assessment. Другие описанные в документе практики не менялись.

22План работ по безопасности

Ближайшее (IV квартал 2026 г.)

• Автоматическое удаление записей биллинга по окончании установленного законом срока хранения.
• Более короткий срок хранения журналов доступа к сайту и запись без полных IP-адресов.
• Межсетевой экран с запретом по умолчанию и автоматические обновления безопасности на всех серверах.
• Обязательный TLS 1.3 для Trojan.

Позже

• Подпись Authenticode для Windows.
• Воспроизводимые сборки для iOS и Linux и SBOM для всех платформ.
• Внешний тест на проникновение и независимый аудит.
• PGP-ключ для сообщений о безопасности и ежеквартальные отчёты о прозрачности.

23Юрисдикция

Colitu управляет компания COLITU LIMITED, зарегистрированная в Англии и Уэльсе (юридический адрес: 128 City Road, London, Великобритания, EC1V 2NX; регистрационный номер компании 17520342); она подчиняется праву Англии и Уэльса. База данных аккаунтов находится на сервере в Турции; VPN-серверы расположены в странах, указанных на странице серверов, и подчиняются местному законодательству по месту нахождения. Мы можем передать только те данные, которые у нас есть; все они перечислены в §10. Полученные запросы учитываются в отчётах о прозрачности в Центре доверия.

24Ссылки

• Протокол Hysteria 2: v2.hysteria.network
• Xray-core и REALITY: github.com/XTLS
• sing-box: sing-box.sagernet.org
• TLS 1.3: RFC 8446 · QUIC: RFC 9000 · security.txt: RFC 9116
• Argon2: RFC 9106
• OWASP ASVS и MASVS
• Документация Android VpnService, Apple Network Extension и Windows Filtering Platform