Opera VPN vs Surfshark

X02 er den bærende konstatering, og begge dokumenter bag den er Operas egne. Meddelelsen fra 2024 citerer Deloittes vurdering som "konfigurationen af IT-systemerne og ledelsen af de understøttende IT-driftaktiviteter var hensigtsmæssigt udformet og implementeret i alle væsentlige henseender på grundlag af kriterierne beskrevet i Operas Management Assertion pr. 10. august 2024", og tilskriver separat sætningen "Der er ingen datalogningsfunktion indbygget i VPN-tjenesten, og der indsamles overhovedet ingen data" til Operas egen Management Assertion.

Opslaget fra 2026 genfortæller den samme opgave som om Deloitte havde foretaget konstateringen: "vi gav Deloittes team fuld adgang til vores VPN- og serverinfrastruktur, og de kunne verificere vores påstand ... Faktisk er en datalogningsfunktion slet ikke indbygget i VPN'en til at begynde med." Det samme opslag opgraderer et tidsrum, som opslaget fra 2024 daterer til 18. juni til 10. august 2024, til "fuld adgang".

Opera beskriver sin egen påstand som sin auditors konklusion. Det er derfor, VERIFY-blokken er opdelt, som den er. V01 er yes_verified på grundlag af en rapport, der faktisk blev åbnet – Cure53's egen offentliggjorte ledelsesopsummering af vurderingen fra marts 2022 – ikke på grundlag af Deloitte-meddelelsen.

Deloitte-rapporten selv er ikke offentliggjort nogetsteds, så V02 er press_only, og hvert felt, der er et resultat af rapporten snarere end et faktum om opgaven, forbliver ukendt: flådedækning (V04), assurance-standard (V07), hvad rapporten angiver opbevares (V11), og vurderingens styrke (V15).

Opgavefakta – firmaet, dets kategori, datoen og hvad der blev angivet som testet – er taget fra meddelelsen. En udbyder, der påviseligt én gang har omkarakteriseret denne audit, er ikke en kilde til, hvad auditen konkluderede. C01 er none_linkable, fordi det er erklæringen i privatlivserklæringen; V11 er resultatet, og der er intet resultat at læse.

Cure53's rapport er reel og er grunden til, at V14 er yes_verified: syv testere, fireogtyve persondage, white-box på tværs af fire arbejdspakker, der dækkede VPN-klienterne, serverkonfigurationen og infrastrukturen samt Opera Mini-protokollen, der bruges til at levere VPN-konfiguration. Fjorten sikkerhedsrelevante problemer, hvoraf otte var faktiske sårbarheder, fem vurderet til høj alvorsgrad og ingen kritiske.

I marts 2022 var ni blevet rettet, og rettelserne var verificeret, én var delvist rettet, tre havde accepteret risiko, én var en falsk alarm, og én var stadig under behandling. Operas blog siger, at de syv punkter, der direkte vedrørte browserens VPN, "all subsequently resolved", og tabellen bekræfter det – det resterende ligger i Opera Mini-arbejdspakken, ikke i selve VPN'en.

Ejerskabet er fuldt oplyst og ender i en jurisdiktion med påbud, hvorfor X03 og C11 peger i modsatte retninger uden at modsige hinanden.

Den dataansvarlige, der er navngivet i Operas egen privatlivserklæring, er Opera Norway AS, en norsk virksomhed, og transparensrapporten er indgivet under dette navn.

Holdingselskabet er Opera Limited, et exempted company, der blev stiftet på Caymanøerne i marts 2018 uden egne væsentlige aktiviteter. Form 20-F for 2025 navngiver Hong Kong Kunlun Tech Holding Limited som hovedaktionær med 68,0 %, et datterselskab af Kunlun Tech Co., Ltd., der er stiftet i PRC, og angiver, at Kunlun "is the ultimate parent of Opera and is controlled by Opera's executive chairman".

Så M06 er NO og C10 er no, mens M11 er CN og C11 er yes.

C12 er den tydeligste mangel mellem VPN'ens erklæring og den applikation, den indgår i. VPN-afsnittet i erklæringen om beskyttelse af personlige oplysninger erklærer, at der ikke logges; et andet afsnit i det samme dokument siger, at når en Opera-applikation installeres, "genereres et tilfældigt installations-ID. Vi indsamler denne identifikator samt Machine ID, hardwarespecifikationer (model, udgivelsesdato osv.), operativsystem, miljøkonfiguration og data om funktionsbrug", opbevaret i op til tre år.

Et Machine ID er hardwareafledt, så den identifikator, udbyderen har, er persistent_hardware_id og ikke et app-afgrænset tilfældigt ID, uanset hvad tunnelen logger eller ikke logger.

X12 sammenligner to dokumenter, Opera selv har indsendt. Play-datasikkerhedsformularen for com.opera.browser erklærer Installed apps indsamlet til Analytics, og erklæringen om beskyttelse af personlige oplysninger nævner slet ikke indsamling af de applikationer, der er installeret på enheden. Installed apps er adfærd, ikke en identifikator, derfor undisclosed_behaviour.

Den samme formular erklærer, at Device or other IDs deles med andre virksomheder til annoncering, hvilket er det, der placerer C07a på ads. C07b bygger på noget snævrere og er markeret B på det grundlag: Den eneste tredjepartsvært i den markup, der blev leveret til produktsiden, er Google Tag Manager, og det, som denne container indlæste under kørsel, blev ikke opregnet.

U02 er ukendt som følge af produktets udformning, ikke på grund af manglende søgning: Det gratis VPN tilbyder tre regioner – Opera kalder dem America, Asia og Europe – og nævner aldrig et land. C09 og C09b følger heraf og kan ikke fastslås, så længe dette gælder.

X05 er ads_supported i Operas egen forklaring, som angiver annoncering først blandt tre indtægtskilder og beskriver, at Opera Ads indsamler et tilfældigt genereret bruger-ID, by eller land og brede kategorier af besøgte websteder, opbevaret i op til et år; sammen med U05 = unlimited_free er dette netop det tilfælde, R15 findes for at markere.

X06 er påstanden i posten fra 2026 om, at AES-256 "ville tage en hacker med selv den hurtigste computer mere end en milliard år at bryde". X09 er self_disclosed_prompt i to poster fra 2026, hvor Opera offentliggjorde sårbarheder, som eksterne forskere havde indberettet til virksomheden, sammen med analysen og den rettede version – det er sårbarheder i browseren, ikke VPN-hændelser, og ingen VPN-hændelse er kendt.

C05 er not_sold. Den gratis VPN har slet ikke noget betalingstrin – intet abonnement, ingen konto – så der er intet, der kan betales anonymt eller på anden vis.

Dette post blev først skrevet som none, hvilket læses som "der tilbydes kun identificerede betalingsmetoder" og er forkert her, fordi ordforrådet ikke havde et token for en tjeneste, der ikke tager betaling; unknown ville have hævdet, at søgningen mislykkedes, hvilket også var forkert, og mellem to forkerte læsninger blev den, der fejler mod udbyderen, registreret. Tokenet findes nu og koster ingenting, hvilket er det ærlige svar: hvor der ikke er nogen betaling, er der ingen betalingsidentitet, der kan lække.

Dette post blev tidligere læst to gange — connection_timestamps i V11 ud fra auditens formulering, source_ip i C01 ud fra politikformuleringen — og vurderet efter den dårligste af de to, hvilket gjorde bufferen på femten minutter dyrere end slet ikke at sige noget: et tomt felt i C01 er markedsprioren 0.550, og source_ip er 0.750.

R29 trækker nu grænsen: status, der slettes inden for et erklæret tidsrum knyttet til sessionens afslutning, er forbindelsen, ikke en registrering af den, så begge felter læses som connection_timestamps i samme sætning. Det, der stadig tæller, er det, der overlever sessionen — datoen for seneste login i politikafsnit 2.3.1 og de connection timestamps, auditoren navngiver.

Surfshark og NordVPN deler en ejer (Nord Security, siden 2022), men Surfsharks egen om-os-side fastslår, at brandsene blev fusioneret "while operating independently" med separat infrastruktur — M18 sættes til separat på det grundlag, i overensstemmelse med posten for nordvpn.com.

U12a er delvis snarere end ja i servertabellens egen P2P-kolonne: 88 af de 100 angivne lande har den, og tolv har den ikke (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolonnen tegnes på klientsiden, så den blev aflæst fra den gengivne tabel i stedet for den statiske HTML, hvor hver række har hver etiket.

Gennemsigtighedsrapporten på /transparency-report — som /warrant-canary nu omdirigerer til — angiver kvartalet april-juni 2026 som en tabel: 374.719 DMCA-meddelelser, 33 forespørgsler fra statslige institutioner, 1 påbud, 0 national security letters og 0 tavshedspålæg. P08 tæller de 34 juridiske anmodninger og lader DMCA-meddelelserne ude: de er ophavsretsklager over trafik, ikke anmodninger om en brugers data.

Den samme side fastslår, at Surfshark udfaser sit warrant canary til fordel for kvartalsrapportering, hvilket er grunden til, at P07 fjernes i stedet for at være ingen — canaryen fandtes og blev trukket tilbage bevidst.

Rapporten, der ville flytte fire felter. Deloitte-rapporten er det andet dokument, der ville flytte flere felter på én gang: V04, V07, V11 og V15 er alle ukendte, kun fordi den ikke er offentliggjort, og V11 er især det felt, som hele påstanden om ingen logning hviler på.

Det, der ikke har noget dokument. U07 har intet dokument, og det har C13 bagved heller ikke: Opera nævner AES-256 og en "sikker tunnel" og aldrig en protokol, så den svageste tilgængelige transport er ikke dokumenteret. U08, U09 og U12b er ikke udfyldt af samme grund — funktionssammenligningstabellen på produktsiden markerer rækker med flueben, som den hentede markup ikke indeholder, og det er ikke en kilde at aflæse flueben fra et gengivet billede.

Servere beskrevet, ikke belagt. C02, C06 og C08 har intet belæg: Opera siger, at serverne er fysiske og dens egne, hvilket hverken dokumenterer disk eller DNS eller hvem der ejer hardwaren. C09b kan ikke besvares, mens U02 er ukendt.

Én butik, ikke to. Kun Google Plays formular om datasikkerhed blev læst; App Stores privatlivsmærkater for iOS-browseren blev ikke læst, så X12 hviler på én butik i stedet for den værste af to.

To fortolkninger snarere end udsagn. Linux i U01 er udledt af skrivebordets hjælpemanual, som dokumenterer VPN og dækker Windows, macOS og Linux samlet uden at opdele efter platform; Android og iOS nævnes udtrykkeligt i auditmeddelelsen. U10 er ubegrænset, fordi der ikke er nogen konto og ingen enhedsgrænse til at håndhæve en sådan, hvilket er en fortolkning af produktet snarere end et angivet tal.