v1.9 · 28 октября 2026 г.
Colitu: технический документ по безопасности
Архитектура, модель угроз, протоколы, управление ключами, журналирование, известные ограничения и планы. Каждое утверждение описывает код и серверы, работающие сегодня.
OWASP ASVS 5.0 · MASVS v2.1 · 25 октября 2026 г.
Отчёт об оценке безопасности
Внутренняя оценка серверной части, сайтов, ассистентов и мобильных приложений по OWASP ASVS 5.0 и MASVS v2.1. Открытых критических, высоких и средних уязвимостей нет; результат по каждому из 253 требований ASVS приведён в отчёте.
01
Безопасность Colitu в одной таблице
Зелёный: работает так, как описано, на всех указанных платформах. Жёлтый: частично или с описанными ограничениями. Красный: пока нет.
| Приложения с открытым исходным кодом | Приложения для Android, iOS, Windows и Linux открыты (GPL-3.0). Исходный код серверного ПО закрыт. |
|---|---|
| Зашифрованный туннель | Hysteria2, VLESS Reality, VLESS XHTTP, Trojan и Shadowsocks 2022 на основе проверенных реализаций (Xray-core, sing-box, Hysteria). |
| Содержимое трафика и история посещений | Не записываются. VPN-серверы не ведут журналы отдельных подключений. |
| Объём трафика по пользователям | Записывается по каждому серверу интервалами примерно по 15 секунд и хранится 90 дней для учёта квот, после чего остаются только итоги за период. |
| DNS через туннель | Да в приложениях для Android и iOS и в режиме TUN. В режиме системного прокси — нет для приложений, работающих в обход прокси (на Linux он по умолчанию; новые установки Windows начинают с режима TUN). |
| Защита от утечек IPv6 | Блокируется на Android и iOS, а также на Windows и Linux в режиме TUN при включённом kill switch. В режиме системного прокси не охватывается. |
| Kill switch (аварийное отключение) | Windows: собственная служба с постоянными правилами брандмауэра; Linux (режим TUN): правила nftables; оба продолжают блокировку при аварийном завершении приложения. Android полагается на системную настройку «Постоянная VPN»; на iOS есть необязательный переключатель «Блокировать интернет без VPN» (по умолчанию выключен). |
| Региональные сайты в обход VPN | В новых установках по умолчанию выключено (режим приватности включён) начиная с Windows и Android 2.7.0, iOS 5.6.0 и Linux 1.3.0; установки, сделанные раньше, сохраняют прежнюю настройку. Если режим приватности выключить, сайты из встроенного списка идут в обход VPN во всех четырёх приложениях, кроме случаев, когда вы подключены к серверу в этом регионе. Описано в §9. |
| Двухэтапная проверка для пользователей | Необязательна для любого аккаунта (настраивается на сайте); все четыре приложения запрашивают код при входе. Для аккаунтов администраторов обязательна. |
| Passkey и управление сеансами | Passkey для сайта (до 10 на аккаунт); страница безопасности показывает и завершает сеансы в браузерах; при смене пароля все остальные сеансы завершаются. Приложения входят по паролю, как раньше. |
| Закреплённое соединение с API в приложениях | Начиная с релизов приложений от 10 октября 2026 г. все четыре приложения закрепляют (pinning) корневые центры сертификации Let's Encrypt (ISRG) и Google Trust Services для API. Ограничения: §12. |
| Раздельное туннелирование | Приложения, сайты и IP-адреса на Windows, Android и Linux (приложения на Windows и Linux только в режиме TUN); на iOS только сайты и IP-адреса, так как iOS разрешает VPN для отдельных приложений только в управляемых профилях. |
| Colitu Shield (защита на уровне DNS) | Необязательно. Блокирует домены рекламы, трекеров, вредоносного ПО, фишинга, мошенничества и криптомайнинга (около 380 тысяч правил). На его резолверах нет журнала запросов и статистики. |
| Сторонняя аналитика | Отсутствует во всех приложениях (Android, iOS, Windows, Linux). Из приложения для iOS удалена в версии 5.4.1. |
| Подписанные обновления | Подписанный манифест обновлений (ECDSA P-256) и SHA-256 на Android, Windows и Linux; подпись App Store на iOS. |
| Подпись кода Windows (Authenticode) | Пока нет. |
| Воспроизводимые сборки | Android начиная с 2.9.3 и Windows начиная с 2.9.8: исходный код с тегом даёт побайтово идентичный файл. iOS и Linux пока нет. |
| Спецификация компонентов ПО (SBOM) | SPDX для каждого выпуска Android и Windows на GitHub; для Linux пока нет. |
| Независимый аудит безопасности | Пока не проводился. |
| Сообщение об уязвимостях | security@colitu.com, правила — в §18 и в security.txt. |
| Размещение на собственных серверах | Не предлагается. Все серверы Colitu эксплуатирует самостоятельно. |
02
Документы о безопасности и приватности
Политика конфиденциальностиПолный список того, что мы храним, зачем и как долго.Открытый код и проверка сборокИсходный код приложений для Windows, Android, iOS и Linux и как проверить загруженный файл.Известные ограниченияОт чего Colitu сегодня не защищает и чего пока не хватает.План по безопасностиСледующие улучшения безопасности и приватности.Технический отчёт Adaptive Connect 3.0Анонимные подсказки о сети, набор восстановления, обнаружение обрыва примерно за 11 секунд и общие правила решений в четырёх приложениях; что уже работает, а что в альфе.Технический отчёт о предыдущей версии: Adaptive Connect 2.0Исторический отчёт от 10 октября 2026 г.: резервный канал, ранжирование серверов и часовой тест сбоев. Текущая версия — 4.0.Политика ответственного раскрытияКак сообщить об уязвимости: область действия, правила, правовая защита и сроки ответа.Программа вознаграждений за уязвимостиОтправьте сообщение о безопасности из своего аккаунта; награда — от 1 до 12 месяцев Plus, а за критические уязвимости — деньги; Зал славы по желанию.Прозрачность и «канарейка»Цифры по официальным запросам и регулярно обновляемая «канарейка».
status.colitu.com
Состояние сервисов03
Прозрачность
Мы публикуем официальные запросы и действия против злоупотреблений в периодических отчётах.
Отчёты о прозрачности
Публикуются по периодам, новые сверху.- Отчёт о прозрачности · Q3 20261 июля 2026 г. – 30 сентября 2026 г.Опубликован: 1 октября 2026 г.
- Запросы органов власти
- 0
- Запросы с передачей данных
- 0
- Уведомления о контенте и авторских правах
- 0
- Жалобы на злоупотребления
- 0
- Ограниченные аккаунты
- 0
Colitu открылся 12 сентября 2026 года; этот первый отчёт охватывает период с открытия до 30 сентября. За это время мы не получили ни одного запроса пользовательских данных от органов власти и никому не передавали данные пользователей.
В каждом отчёте
- Запросы органов властиЗапросы пользовательских данных от судов, полиции и других органов.
- Запросы с передачей данныхСколько из этих запросов привели к передаче каких-либо данных.
- Уведомления о контенте и авторских правахDMCA и аналогичные уведомления.
- Жалобы на злоупотребленияЖалобы на спам, атаки или мошенничество с наших серверов.
- Ограниченные аккаунтыАккаунты, ограниченные за злоупотребления.
Когда мы получаем запрос
Мы проверяем правовое основание каждого запроса и можем передать только те данные, которые у нас есть. Содержимое трафика, посещённые сайты, DNS-запросы и IP-адреса на VPN-серверах не записываются. Полный список того, что мы храним, приведён в документе.
Что мы храним04
Журнал инцидентов
Инциденты, затрагивающие приватность или безопасность, описываются здесь и в документе.
Сообщить об уязвимости
Если вы нашли уязвимость, сообщите о ней на security@colitu.com до публичного раскрытия. Мы отвечаем в течение 3 рабочих дней и не преследуем добросовестных исследователей. Правила раскрытия
Контакты по приватности, безопасности и злоупотреблениям
- Приватность и запросы о данныхprivacy@colitu.comЗапросы на доступ к персональным данным, их исправление или удаление.
- Сообщить об уязвимостиsecurity@colitu.comСообщайте сюда об уязвимостях в приложениях или инфраструктуре до их публикации; мы ответим в течение 3 рабочих дней. Политика раскрытия уязвимостей
- Жалобы на злоупотребленияabuse@colitu.comСпам, атаки или жалобы правообладателей, исходящие с серверов Colitu.
Обновлено: 28 октября 2026 г.