NordVPN vs Opera VPN

Canary a čtvrtletí, které ho nahradilo. Tatáž stránka ukončila warrant canary (P07=removed) ve prospěch čtvrtletních zpráv o transparentnosti; poslední úplné čtvrtletí (duben–červen 2026) uvádí 85 vládních žádostí a 0 zveřejnění, takže P08/P09 se týkají tohoto období, nikoli údaje za celou dobu.

Indie a režim tajných příkazů. P04=withdrew_physical je odchod z Indie v červnu 2022. P11=none_known vychází z tvrzení na stránce, že NordVPN neobdržel žádné závazné National Security letters ani příkazy s mlčenlivostí, a z neexistence takového režimu v Panamě.

Úroveň ujištění, kterou nikdo nemůže ověřit. NordVPN popisuje angažmá Deloitte Lithuania jako angažmá s přiměřeným ujištěním podle ISAE 3000 (Revised), což by byla silnější forma; zpráva PIA, kterou lze číst, uvádí závěr s omezeným ujištěním.

Proč se silnější forma nezapočítává. Model nyní tento rozdíl oceňuje a tento záznam z něj nemá prospěch: V15_assurance_strength je neznámo, protože jediným tvrzením o úrovni je vlastní tvrzení NordVPN o zprávě, kterou nikdo mimo Nord Account nemůže otevřít. Dokument za přihlášením zde není důkazem na žádné úrovni, takže se audit započítává podle tržní normy, nikoli podle úrovně, které měl údajně dosáhnout.

Zpráva za přihlášením. Samotná zpráva je čitelná až po přihlášení k Nord Account, takže nikdo mimo tento vztah neověřil její rozsah a každé auditní pole zde vychází z vlastního shrnutí NordVPN, nikoli z dokumentu. To, a nikoli zjištění proti službě, je důvodem, proč je tento záznam v katalogu nejméně podložený.

Pole vlastníka. M11_owner_jurisdiction a X04_owner_group_history jsou neznámo: nordvpn.com a nordsecurity.com uvádějí jako vlastníka Nord Security, ale ani jeden z těchto webů neuvádí vlastní jurisdikci registrace Nord Security ani předchozí historii skupiny; sekundární tisk spojuje holdingovou entitu „Cyberspace“ s Nizozemskem na základě fúze z roku 2022, ale v dostupném čase to nebylo potvrzeno na primární stránce Nord Security ani NordVPN.

Co vůbec nešlo přečíst. Úplný text zprávy Deloitte z roku 2025 nelze vůbec přečíst (je přístupná jen po přihlášení), takže kromě vlastního tvrzení zásad v C01_linkable_retention není zaznamenáno žádné zjištění o uchovávání.

Tabulka serverů, která se neotevřela. C09b_mandate_hosting je neznámo: živá tabulka serverů podle zemí zobrazuje stav fyzický/virtuální pouze pro region Ameriky ve stavu akordeonu, který tento audit dokázal vykreslit; sekce Evropa, Asie a Tichomoří a Afrika / Blízký východ (které zahrnují několik zemí s mandátem, v nichž flotila poskytuje služby, např. AE, IN, TR, VN, IQ, KZ podle API serverů) se načítají na straně klienta po kliknutí a nebyly rozbaleny.

Ponecháno jako neznámo, nikoli deklarováno. C04-C07, U06 (důkaz cenzury), U11, V12-V14, X06, X07, X10 a X11 nebyly nezávisle potvrzeny proti primárnímu dokumentu a jsou ponechány jako neznámo, nikoli deklarovány na základě sekundárního zpravodajství.

Jedna pochybnost zůstává otevřená a není započtena. U X12 zůstává jedna pochybnost otevřená, aniž by byla započtena: formulář bezpečnosti dat v Play pro com.nordvpn.android deklaruje Installed apps v rámci analytics na Androidu, zatímco oznámení o ochraně soukromí NordVPN zmiňuje nainstalované aplikace pouze na jednom místě — při skenování zranitelností proti malwaru — a rozsah zpracování názvů a verzí aplikací omezuje na Windows.

Proč je výsledek stále shoda. Kategorie je uvedena, nikoli chybějící, a R28 nečiní z rozdílu v rozsahu platformy žádné zjištění, takže hodnota je matches_policy; účel na Androidu však není účelem popsaným v oznámení a pouze NordVPN může říci, který z těchto dvou údajů je napsán nesprávně.

Zpráva, která by posunula čtyři pole. Zpráva Deloitte je druhým dokumentem, který by najednou posunul několik polí: V04, V07, V11 a V15 jsou neznámá pouze proto, že není zveřejněna, a V11 je konkrétně pole, o které se opírá celé tvrzení o absenci logů.

Co nemá dokument. U07 nemá dokument a stejně tak ho nemá ani C13, které za ním stojí: Opera uvádí AES-256 a „secure tunnel“ a nikdy neuvádí protokol, takže nejméně zabezpečený nabízený transport není doložen. U08, U09 a U12b nejsou vyplněna ze stejného důvodu — tabulka porovnání funkcí na produktové stránce označuje řádky fajfkami, které načtený markup neobsahuje, a čtení fajfek z vykresleného obrázku není zdroj.

Servery popsané, nikoli doložené. C02, C06 a C08 nemají žádné podklady: Opera říká, že servery jsou fyzické a její vlastní, což neřeší ani disk, ani DNS, ani to, komu hardware patří. Na C09b nelze odpovědět, dokud je U02 neznámo.

Jeden obchod, ne dva. Byl přečten pouze formulář Google Play o bezpečnosti údajů; štítky ochrany soukromí v App Store pro prohlížeč iOS přečteny nebyly, takže X12 stojí na jednom obchodu, nikoli na horším ze dvou.

Dvě interpretace, nikoli tvrzení. Linux v U01 je odvozen z příručky nápovědy pro počítače, která dokumentuje VPN a zahrnuje Windows, macOS a Linux společně, aniž je rozlišuje podle platformy; Android a iOS jsou v oznámení o auditu uvedeny výslovně. U10 je neomezené, protože neexistuje účet ani limit zařízení, jehož dodržování by bylo možné vynutit; jde o interpretaci produktu, nikoli o uvedenou hodnotu.

Průnik do datacentra ve Finsku z roku 2018 byl průnikem třetí strany, nikoli zabavením orgány činnými v trestním řízení — v P12_case_history je zaznamenán jako kind=breach, nikoli jako P01_seizure_event. Vlastní vyjádření NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) a dobové zpravodajství Bloomberg se shodují, že ke zveřejnění došlo po tvrzeních externích výzkumníků na Twitteru, nikoli z vlastní iniciativy NordVPN — proto third_party_disclosed namísto self_disclosed_late.

NordVPN a Surfshark mají společného vlastníka (Nord Security), ale oznámení o fúzi obou společností uvádějí samostatnou infrastrukturu a produktové plány; M18 je na tomto základě nastaveno na oddělené.

X02 je stěžejní zjištění a oba dokumenty, o něž se opírá, jsou vlastní dokumenty Opery. Oznámení z roku 2024 cituje stanovisko Deloitte takto: „konfigurace IT systémů a řízení podpůrných IT operací byly ve všech podstatných ohledech vhodně navrženy a implementovány na základě kritérií popsaných v dokumentu Opera's Management Assertion, k 10. srpnu 2024“, a samostatně připisuje větu „Do služby VPN není zabudována žádná funkce protokolování dat a nejsou shromažďovány vůbec žádné údaje“ vlastnímu dokumentu Opera's Management Assertion.

Příspěvek z roku 2026 převypráví tutéž zakázku tak, že zjištění provedl Deloitte: „poskytli jsme týmu Deloitte úplný přístup k naší VPN a serverové infrastruktuře a tým mohl ověřit naše tvrzení ... Funkce protokolování dat ve VPN ve skutečnosti vůbec není zabudována.“ Tentýž příspěvek povyšuje období, které příspěvek z roku 2024 datuje od 18. června do 10. srpna 2024, na „úplný přístup“.

Opera popisuje své vlastní tvrzení jako závěr svého auditora. Proto se blok VERIFY dělí tak, jak se dělí. V01 je yes_verified na základě skutečně otevřené zprávy – vlastního zveřejněného manažerského shrnutí hodnocení společnosti Cure53 z března 2022 – nikoli na základě oznámení společnosti Deloitte.

Samotná zpráva společnosti Deloitte není nikde zveřejněna, takže V02 je press_only a každé pole, které je zjištěním této zprávy, nikoli skutečností o auditu, zůstává neznámo: pokrytí flotily (V04), standard ujištění (V07), co zpráva uvádí jako uchovávané (V11) a síla stanoviska (V15).

Fakta o auditu – firma, její kategorie, datum a to, co bylo uvedeno jako testované – jsou převzata z oznámení. Poskytovatel, který tento audit prokazatelně jednou znovu popsal, není zdrojem toho, k čemu audit dospěl. C01 je none_linkable, protože takové je prohlášení v prohlášení o ochraně soukromí; V11 je zjištění a žádné zjištění není k přečtení.

Zpráva společnosti Cure53 je skutečná a je důvodem, proč je V14 yes_verified: sedm testerů, dvacet čtyři osobodnů, white-box napříč čtyřmi pracovními balíky pokrývajícími klienty VPN, konfiguraci serveru a infrastrukturu a protokol Opera Mini používaný k doručování konfigurace VPN. Čtrnáct problémů relevantních z hlediska zabezpečení, z nichž osm byly skutečné zranitelnosti, pět bylo hodnoceno jako vysoce závažných a žádné jako kritické.

K březnu 2022 bylo devět opraveno a opravy ověřeny, jeden byl opraven částečně, u tří bylo riziko přijato, jeden byl falešný poplach a jeden byl stále rozpracován. Blog společnosti Opera uvádí, že sedm položek přímo se týkajících VPN v prohlížeči bylo „následně vyřešeno“; tabulka to potvrzuje – zbytek se nachází v pracovním balíku Opera Mini, nikoli v samotné VPN.

Vlastnictví je plně zveřejněno a končí v zemi mandátu, proto X03 a C11 směřují opačnými směry, aniž by si odporovaly.