Содержание
Независимый аудит GotaTun — реализации WireGuard в приложении Mullvad VPN — не выявил крупных уязвимостей. Проверку провела шведская команда Assured Security Consultants, а найденные мелкие проблемы, по словам Mullvad, уже исправили.
Что проверяли и в какие сроки
Аудит шёл с 19 января по 15 февраля 2026 года. Assured Security Consultants просмотрели код GotaTun и проверили конфигурацию целиком, но с оговорками: из обзора исключили интерфейс командной строки и отдельные фрагменты, связанные с DAITA.
Формулировка аудиторов звучит прямолинейно: по результатам ревью у GotaTun нет major vulnerabilities, то есть критичных проблем, которые тянут на серьёзную уязвимость.
Сам отчёт аудиторов доступен публично в PDF: Assured Mullvad GotaTun Code Review 2026.
Почему Mullvad вообще переписала WireGuard
GotaTun написан на Rust и работает в user-space. В декабре Mullvad внедрила его как open-source замену своей прошлой реализации WireGuard на Go.
Обновление появилось незадолго до того, как Mullvad полностью отказалась от OpenVPN. Компания связывала переход с практичными вещами: ростом скорости, лучшей автономностью на мобильных устройствах и более стабильной работой приложения.
Есть и конкретная цифра, которая объясняет мотивацию. Mullvad ранее указывала, что 85% всех крашей на Android были связаны с конфликтами между её Rust-кодом и WireGuard-реализацией на Go. После перехода на GotaTun частота падений на Android снизилась с 0,4% до примерно 0,01%.
Какие мелкие проблемы всё же нашли
Аудит не назвали «идеальным». Команда Assured нашла две проблемы низкой критичности, связанные с тем, что реализация Mullvad не везде строго следует спецификации WireGuard.
- Ошибка padding: формат числовых данных, которые отправлял Rust-код, не совпадал с требованиями протокола.
- Неидеальная случайность: там, где протокол требует случайное число, Mullvad использовала более предсказуемый метод генерации.
Ещё аудиторы обратили внимание на комментарии в коде вида «TODO: validate checksums» (в одном месте даже с вопросительным знаком). Рекомендация простая: либо добавить валидацию, либо заменить TODO на пояснение, почему checksums тут не нужны.
И последний момент — уже не про конкретную дыру, а про поддержку. Некоторые части кода, по оценке аудиторов, ведут совсем маленькие команды из одного-двух человек. Это не создаёт текущий риск, но может стать проблемой для качества и сопровождения в долгую.
Mullvad заявила, что две найденные низкосерьёзные проблемы исправили ещё до завершения аудита. Компания публично сообщила об этом 6 марта 2026 года.
Источники: Mullvad, Assured Security Consultants
