AirVPN vs Opera VPN

Hvad forumtrådene viser. Forumtråde viser, at brugere gentagne gange har bedt AirVPN om en warrant-canary, uden at medarbejdere har bekræftet, at en sådan findes, hvilket er antydende, men ikke en direkte afvisning, så P07 forbliver ukendt snarere end 'ingen'.

Antal, som ingen offentliggør. Antal anmodninger/udleveringer af data er derfor også ukendt (P08, P09), og det samlede antal abonnenter oplyses aldrig (M08 ukendt) — AirVPN offentliggør kun en live-tæller over samtidigt forbundne brugere, ikke et samlet antal registrerede brugere eller abonnenter, så tavshed/ukendskab tillægges reel vægt her.

Builds og pentests. Reproducerbare builds er ikke dokumenteret på AirVPNs egen side om build fra kildekode (eddie.website/support/build/), og der kunne ikke findes nogen dedikeret penetrationstest af klient/infrastruktur (V13, V14 ukendt). Kill switch-omfang og split-tunneling-adfærd er hentet fra en tredjepartsanmeldelse snarere end AirVPNs egen dokumentation (U08, U09 med konfidens C), fordi de relevante FAQ-sider ikke kunne nås direkte via webstedets routing (de gengives via JavaScript og returnerede kun en indlæsningsskal ved en almindelig fetch).

Dækning uden for affiliates. Presseomtalen er ikke kun affiliate-baseret: BleepingComputer, et almindeligt medie uden for affiliate-samlerlisten, har offentliggjort en uafhængig anmeldelse med sin egen meddelelse om affiliate-oplysning frem for at være begrænset til affiliate-kataloger (X08=no). Den samme anmeldelse fandt også, at AirVPN ikke fungerede med nogen af de streamingtjenester, den prøvede — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — hvilket er grunden til, at U12b_streaming_works nu står som no i stedet for den addictivetips.com-baserede partial, som feltet havde, før denne vært blev erklæret forbudt.

Årsprisen. U04b_price_yearly=4.08 er den effektive månedlige EUR-sats for årsplanen (49 EUR/år) på airvpn.org/buy/, uændret ved fornyelse som alle AirVPN-perioder.

Ordtegn. AirVPN viser kun sit ordtegn som PNG (/static/img/logo/web_header.png, logo_horiz.png) og har ingen presse- eller brandside, så logos/airvpn.svg er udeladt i henhold til AUDITOR.md §1 i stedet for at tegne efter en raster.

Rapporten, der ville flytte fire felter. Deloitte-rapporten er det andet dokument, der ville flytte flere felter på én gang: V04, V07, V11 og V15 er alle ukendte, kun fordi den ikke er offentliggjort, og V11 er især det felt, som hele påstanden om ingen logning hviler på.

Det, der ikke har noget dokument. U07 har intet dokument, og det har C13 bagved heller ikke: Opera nævner AES-256 og en "sikker tunnel" og aldrig en protokol, så den svageste tilgængelige transport er ikke dokumenteret. U08, U09 og U12b er ikke udfyldt af samme grund — funktionssammenligningstabellen på produktsiden markerer rækker med flueben, som den hentede markup ikke indeholder, og det er ikke en kilde at aflæse flueben fra et gengivet billede.

Servere beskrevet, ikke belagt. C02, C06 og C08 har intet belæg: Opera siger, at serverne er fysiske og dens egne, hvilket hverken dokumenterer disk eller DNS eller hvem der ejer hardwaren. C09b kan ikke besvares, mens U02 er ukendt.

Én butik, ikke to. Kun Google Plays formular om datasikkerhed blev læst; App Stores privatlivsmærkater for iOS-browseren blev ikke læst, så X12 hviler på én butik i stedet for den værste af to.

To fortolkninger snarere end udsagn. Linux i U01 er udledt af skrivebordets hjælpemanual, som dokumenterer VPN og dækker Windows, macOS og Linux samlet uden at opdele efter platform; Android og iOS nævnes udtrykkeligt i auditmeddelelsen. U10 er ubegrænset, fordi der ikke er nogen konto og ingen enhedsgrænse til at håndhæve en sådan, hvilket er en fortolkning af produktet snarere end et angivet tal.

Et bemærkelsesværdigt datapunkt fra praksis: Offentliggjorte amerikanske føderale retsudskrifter i United States v. Klyushin (D. Mass., sagsnummer 61629108, dokumenter #183 og #217, fundet via CourtListener/RECAP) viser, at et politimæssigt penregister blev placeret direkte hos hostingvirksomheden (DediPath), ikke hos AirVPN, for at overvåge IP-adressen for en AirVPN-server fra januar til februar 2020; AirVPNs egne medarbejdere bekræftede i et svar på deres forum, at virksomheden ikke havde kendskab til eller havde været involveret i aflytningen, og at enheden måtte installeres uden for AirVPNs egne systemer.

Dette er registreret i P12_case_history som en court_order/nothing_produced-hændelse med kilde i AirVPNs egen forum-bekræftelse (ikke i selve PACER-PDF'erne, som returnerede 403 ved automatiserede hentninger og kun blev læst via et sekundært resumé).

X02 er den bærende konstatering, og begge dokumenter bag den er Operas egne. Meddelelsen fra 2024 citerer Deloittes vurdering som "konfigurationen af IT-systemerne og ledelsen af de understøttende IT-driftaktiviteter var hensigtsmæssigt udformet og implementeret i alle væsentlige henseender på grundlag af kriterierne beskrevet i Operas Management Assertion pr. 10. august 2024", og tilskriver separat sætningen "Der er ingen datalogningsfunktion indbygget i VPN-tjenesten, og der indsamles overhovedet ingen data" til Operas egen Management Assertion.

Opslaget fra 2026 genfortæller den samme opgave som om Deloitte havde foretaget konstateringen: "vi gav Deloittes team fuld adgang til vores VPN- og serverinfrastruktur, og de kunne verificere vores påstand ... Faktisk er en datalogningsfunktion slet ikke indbygget i VPN'en til at begynde med." Det samme opslag opgraderer et tidsrum, som opslaget fra 2024 daterer til 18. juni til 10. august 2024, til "fuld adgang".

Opera beskriver sin egen påstand som sin auditors konklusion. Det er derfor, VERIFY-blokken er opdelt, som den er. V01 er yes_verified på grundlag af en rapport, der faktisk blev åbnet – Cure53's egen offentliggjorte ledelsesopsummering af vurderingen fra marts 2022 – ikke på grundlag af Deloitte-meddelelsen.

Deloitte-rapporten selv er ikke offentliggjort nogetsteds, så V02 er press_only, og hvert felt, der er et resultat af rapporten snarere end et faktum om opgaven, forbliver ukendt: flådedækning (V04), assurance-standard (V07), hvad rapporten angiver opbevares (V11), og vurderingens styrke (V15).

Opgavefakta – firmaet, dets kategori, datoen og hvad der blev angivet som testet – er taget fra meddelelsen. En udbyder, der påviseligt én gang har omkarakteriseret denne audit, er ikke en kilde til, hvad auditen konkluderede. C01 er none_linkable, fordi det er erklæringen i privatlivserklæringen; V11 er resultatet, og der er intet resultat at læse.

Cure53's rapport er reel og er grunden til, at V14 er yes_verified: syv testere, fireogtyve persondage, white-box på tværs af fire arbejdspakker, der dækkede VPN-klienterne, serverkonfigurationen og infrastrukturen samt Opera Mini-protokollen, der bruges til at levere VPN-konfiguration. Fjorten sikkerhedsrelevante problemer, hvoraf otte var faktiske sårbarheder, fem vurderet til høj alvorsgrad og ingen kritiske.

I marts 2022 var ni blevet rettet, og rettelserne var verificeret, én var delvist rettet, tre havde accepteret risiko, én var en falsk alarm, og én var stadig under behandling. Operas blog siger, at de syv punkter, der direkte vedrørte browserens VPN, "all subsequently resolved", og tabellen bekræfter det – det resterende ligger i Opera Mini-arbejdspakken, ikke i selve VPN'en.

Ejerskabet er fuldt oplyst og ender i en jurisdiktion med påbud, hvorfor X03 og C11 peger i modsatte retninger uden at modsige hinanden.