IVPN vs Opera VPN

Incident ze srpna 2026. V srpnu 2026 útočník zneužil zranitelnost v serveru BTCPay Server provozovaném na vlastní infrastruktuře, ještě před jejím zveřejněním, a odčerpal vlastní provozní prostředky IVPN v síti Lightning. IVPN zveřejnil popis incidentu o čtyři dny později, bez vyzvání, a omezil ho na tento stroj: VPN gateway nebyly zasaženy, k žádným záznamům zákazníků nebylo získáno přístupu a žádné peníze zákazníků nebyly ztraceny.

Proč to nic nestojí. Tento model za to nic neúčtuje, a právě o to jde — provozovatel, který to takto rychle uvede, jedná způsobem, který má toto pole odměňovat, a záznam je zde proto, aby čtenář věděl, že se to stalo, nikoli aby se změnilo číslo.

Co zakázky pokrývaly. Penetrační test aplikace (iOS, Android, Electron, démon) pochází z března 2022 a revize gateway/serverového operačního systému z února 2023; ani jeden z těchto testů neověřoval samotnou deklaraci o absenci logů, což zpráva z roku 2023 výslovně uvádí, takže uchovávání dat se opírá pouze o deklaraci v zásadách ochrany soukromí.

Nejnovější zpráva není ta relevantní. Zakázka z dubna 2024, šestá spolupráce Cure53 s IVPN, testovala web zákaznického účtu, API a hosting; její vlastní stránka s rozsahem uvádí klientské aplikace a VPN servery mimo rozsah, takže nerozšiřuje důkazy o aplikaci ani gateway a V03_audit_subject u ní čte unknown, místo aby toto uznání přeneslo. Sedmá zakázka, zaměřená na nové e-mailové a DNS služby, byla oznámena pouze na květen 2025; žádná zpráva k ní není zveřejněna.

Co primární web nikdy nedokládá. RAM-only je zaznamenáno jako částečné, protože IVPN to popisuje jako přechod s probíhajícími testovacími nasazeními a neoznámilo jeho dokončení. Vlastnictví serverového hardwaru (pronajatý vs. vlastněný), úpravy provozu na exitu a osobní jurisdikce skutečného vlastníka nejsou doloženy: žádná primární stránka IVPN neuvádí ani jednu z těchto tří věcí, stejně jako rozsah uživatelské základny.

Tři pole, na která odpovídá znalostní báze, nikoli stránky přečtené při prvním vyplnění. Přidělování IP je záměrně sdílené — „crowding“ sdružuje uživatele na jedné adrese, aby ztížil přiřazení. P2P je povoleno všude, ale IVPN žádá zákazníky, aby se vyhýbali americkým exitům, a odvolává se na tlak vyvíjený ze strany upstreamu podle DMCA. Streaming nenese žádnou záruku, ačkoli společnost uvádí, že se k němu dostane mnoho zákazníků.

Zpráva, která by posunula čtyři pole. Zpráva Deloitte je druhým dokumentem, který by najednou posunul několik polí: V04, V07, V11 a V15 jsou neznámá pouze proto, že není zveřejněna, a V11 je konkrétně pole, o které se opírá celé tvrzení o absenci logů.

Co nemá dokument. U07 nemá dokument a stejně tak ho nemá ani C13, které za ním stojí: Opera uvádí AES-256 a „secure tunnel“ a nikdy neuvádí protokol, takže nejméně zabezpečený nabízený transport není doložen. U08, U09 a U12b nejsou vyplněna ze stejného důvodu — tabulka porovnání funkcí na produktové stránce označuje řádky fajfkami, které načtený markup neobsahuje, a čtení fajfek z vykresleného obrázku není zdroj.

Servery popsané, nikoli doložené. C02, C06 a C08 nemají žádné podklady: Opera říká, že servery jsou fyzické a její vlastní, což neřeší ani disk, ani DNS, ani to, komu hardware patří. Na C09b nelze odpovědět, dokud je U02 neznámo.

Jeden obchod, ne dva. Byl přečten pouze formulář Google Play o bezpečnosti údajů; štítky ochrany soukromí v App Store pro prohlížeč iOS přečteny nebyly, takže X12 stojí na jednom obchodu, nikoli na horším ze dvou.

Dvě interpretace, nikoli tvrzení. Linux v U01 je odvozen z příručky nápovědy pro počítače, která dokumentuje VPN a zahrnuje Windows, macOS a Linux společně, aniž je rozlišuje podle platformy; Android a iOS jsou v oznámení o auditu uvedeny výslovně. U10 je neomezené, protože neexistuje účet ani limit zařízení, jehož dodržování by bylo možné vynutit; jde o interpretaci produktu, nikoli o uvedenou hodnotu.

X02 je stěžejní zjištění a oba dokumenty, o něž se opírá, jsou vlastní dokumenty Opery. Oznámení z roku 2024 cituje stanovisko Deloitte takto: „konfigurace IT systémů a řízení podpůrných IT operací byly ve všech podstatných ohledech vhodně navrženy a implementovány na základě kritérií popsaných v dokumentu Opera's Management Assertion, k 10. srpnu 2024“, a samostatně připisuje větu „Do služby VPN není zabudována žádná funkce protokolování dat a nejsou shromažďovány vůbec žádné údaje“ vlastnímu dokumentu Opera's Management Assertion.

Příspěvek z roku 2026 převypráví tutéž zakázku tak, že zjištění provedl Deloitte: „poskytli jsme týmu Deloitte úplný přístup k naší VPN a serverové infrastruktuře a tým mohl ověřit naše tvrzení ... Funkce protokolování dat ve VPN ve skutečnosti vůbec není zabudována.“ Tentýž příspěvek povyšuje období, které příspěvek z roku 2024 datuje od 18. června do 10. srpna 2024, na „úplný přístup“.

Opera popisuje své vlastní tvrzení jako závěr svého auditora. Proto se blok VERIFY dělí tak, jak se dělí. V01 je yes_verified na základě skutečně otevřené zprávy – vlastního zveřejněného manažerského shrnutí hodnocení společnosti Cure53 z března 2022 – nikoli na základě oznámení společnosti Deloitte.

Samotná zpráva společnosti Deloitte není nikde zveřejněna, takže V02 je press_only a každé pole, které je zjištěním této zprávy, nikoli skutečností o auditu, zůstává neznámo: pokrytí flotily (V04), standard ujištění (V07), co zpráva uvádí jako uchovávané (V11) a síla stanoviska (V15).

Fakta o auditu – firma, její kategorie, datum a to, co bylo uvedeno jako testované – jsou převzata z oznámení. Poskytovatel, který tento audit prokazatelně jednou znovu popsal, není zdrojem toho, k čemu audit dospěl. C01 je none_linkable, protože takové je prohlášení v prohlášení o ochraně soukromí; V11 je zjištění a žádné zjištění není k přečtení.

Zpráva společnosti Cure53 je skutečná a je důvodem, proč je V14 yes_verified: sedm testerů, dvacet čtyři osobodnů, white-box napříč čtyřmi pracovními balíky pokrývajícími klienty VPN, konfiguraci serveru a infrastrukturu a protokol Opera Mini používaný k doručování konfigurace VPN. Čtrnáct problémů relevantních z hlediska zabezpečení, z nichž osm byly skutečné zranitelnosti, pět bylo hodnoceno jako vysoce závažných a žádné jako kritické.

K březnu 2022 bylo devět opraveno a opravy ověřeny, jeden byl opraven částečně, u tří bylo riziko přijato, jeden byl falešný poplach a jeden byl stále rozpracován. Blog společnosti Opera uvádí, že sedm položek přímo se týkajících VPN v prohlížeči bylo „následně vyřešeno“; tabulka to potvrzuje – zbytek se nachází v pracovním balíku Opera Mini, nikoli v samotné VPN.

Vlastnictví je plně zveřejněno a končí v zemi mandátu, proto X03 a C11 směřují opačnými směry, aniž by si odporovaly.

Správcem údajů uvedeným ve vlastním prohlášení společnosti Opera o ochraně soukromí je Opera Norway AS, norská společnost, a zpráva o transparentnosti je podána pod tímto jménem.

Holdingovou společností je Opera Limited, exempted company založená na Kajmanských ostrovech v březnu 2018, která sama nevykonává žádnou podstatnou činnost. Form 20-F za rok 2025 uvádí jako hlavního akcionáře Hong Kong Kunlun Tech Holding Limited s podílem 68,0 %, dceřinou společnost Kunlun Tech Co., Ltd. založenou v ČLR, a uvádí, že „Kunlun je konečnou mateřskou společností Opera a je ovládána výkonným předsedou společnosti Opera“.

M06 je tedy NO a C10 je no, zatímco M11 je CN a C11 je yes.

C12 je nejvýraznější mezera mezi deklarací VPN a aplikací, v níž je zabudována. Část pro VPN v prohlášení o ochraně soukromí deklaruje žádné logování; jiná část téhož dokumentu uvádí, že při instalaci aplikace Opera „se vygeneruje náhodné ID instalace. Shromažďujeme tento identifikátor, stejně jako Machine ID, hardwarové specifikace (model, datum uvedení atd.), operační systém, konfiguraci prostředí a údaje o používání funkcí“, které jsou uchovávány až tři roky.

Machine ID je odvozené od hardwaru, takže identifikátor, který poskytovatel uchovává, je persistent_hardware_id, nikoli náhodný identifikátor vymezený pro aplikaci, bez ohledu na to, co tunel loguje či neloguje.

X12 porovnává dva dokumenty, které Opera sama podala. Formulář Play pro bezpečnost údajů deklaruje u com.opera.browser shromažďování položky Instalované aplikace pro analytiku, zatímco prohlášení o ochraně soukromí shromažďování aplikací nainstalovaných v zařízení vůbec nezmiňuje. Instalované aplikace jsou chování, nikoli identifikátor, proto undisclosed_behaviour.

Tentýž formulář deklaruje sdílení položky Device or other IDs s jinými společnostmi pro reklamu, což řadí C07a do ads. C07b se opírá o něco užšího a je za to označeno B: jediným hostitelem třetí strany v markupu obsluhujícím stránku produktu je Google Tag Manager a to, co tento kontejner načítá za běhu, nebylo vyjmenováno.

U02 je neznámo z konstrukce produktu, nikoli kvůli neúspěchu vyhledávání: bezplatná VPN nabízí tři regiony – Opera je nazývá America, Asia a Europe – a nikdy neuvádí zemi. C09 a C09b z toho vyplývají a nelze je vyřešit, dokud to platí.

X05 je ads_supported ve vlastním vysvětlujícím materiálu Opery, který uvádí reklamu jako první ze tří zdrojů příjmů a popisuje, že Opera Ads shromažďuje náhodně vygenerované ID uživatele, město nebo zemi a široké kategorie navštívených webů, uchovávané až jeden rok; spolu s U05 = unlimited_free jde přesně o případ, který má R15 označovat.

X06 je tvrzení z příspěvku z roku 2026, že prolomení AES-256 „by trvalo hackerovi i s nejrychlejším počítačem více než miliardu let“. X09 je self_disclosed_prompt ve dvou příspěvcích z roku 2026, v nichž Opera zveřejnila zranitelnosti, které jí nahlásili externí výzkumníci, spolu s analýzou a opravenou verzí – jde o zranitelnosti prohlížeče, nikoli incidenty VPN, a žádný incident VPN není znám.

C05 je not_sold. Bezplatná VPN nemá vůbec žádný platební krok – žádné předplatné ani účet – takže není co platit anonymně ani jinak.

Tento záznam byl původně zapsán jako none, což se čte jako „nabízeny jsou pouze identifikované platební metody“, a zde je to nepravda, protože slovník neměl token pro službu, která nepřijímá žádné peníze; unknown by tvrdilo, že vyhledávání selhalo, což byla také nepravda, a mezi dvěma chybnými výklady byl zaznamenán ten, který poškozuje poskytovatele. Token nyní existuje a jeho cena je nula, což je poctivá odpověď: tam, kde neexistuje platba, neexistuje ani platební identita, která by mohla uniknout.