IVPN vs Opera VPN

2026. aasta augusti intsident. 2026. aasta augustis kasutas ründaja enda hallatavas BTCPay Serveris ära haavatavust enne selle avalikuks tulekut ning võttis IVPNi enda Lightningi tegevusraha. IVPN avaldas juhtumi kirjelduse neli päeva hiljem omal algatusel ja piiritles selle selle masinaga: VPN-lüüsid ei olnud seotud, klientide kirjeteni ei jõutud ja klientide raha ei läinud kaduma.

Miks see midagi ei maksa. See mudel ei nõua selle eest midagi, mis ongi asja mõte — operaator, kes seda kohe ütleb, käitub nii, nagu register on mõeldud premeerima, ning kirje on siin selleks, et lugeja teaks, et see juhtus, mitte numbri muutmiseks.

Mida auditid hõlmasid. Rakenduste penetratsioonitest (iOS, Android, Electron, deemon) pärineb 2022. aasta märtsist ning lüüsi/serveri operatsioonisüsteemi ülevaatus 2023. aasta veebruarist; kumbki ei kontrollinud logide puudumise väidet ennast, nagu 2023. aasta aruanne sõnaselgelt ütleb, seega põhineb säilitamine üksnes privaatsuspoliitika deklaratsioonil.

Viimane aruanne ei ole asjakohane. 2024. aasta aprilli töö Cure53-ga, kuues töö IVPN-iga, testis kliendikonto veebisaiti, API-t ja majutust; selle ulatuse lehel nimetatakse klientrakendused ja VPN-serverid sõnaselgelt ulatusest välja jäetuks, seega ei laienda see ei rakenduse ega lüüsi tõendeid ning V03_audit_subject on selle puhul unknown, mitte ei kanna seda krediiti edasi. Seitsmes töö, mis käsitles uusi e-posti- ja DNS-teenuseid, kuulutati välja alles 2025. aasta maiks; selle kohta pole aruannet avaldatud.

Mida esmane sait kunagi ei tõenda. Ainult RAM-i kasutamine on märgitud osaliseks, sest IVPN kirjeldab seda üleminekuna, mille katsetamised on käimas, ega ole teatanud selle lõpuleviimisest. Serveririistvara omand (renditud või omandis), liikluse muutmine väljumispunktis ja tegeliku omaniku isiklik jurisdiktsioon on tõendamata: ükski esmane IVPN-i leht ei ütle neist kolme kohta midagi, samuti mitte kasutajaskonna suuruse kohta.

Kolm välja, millele vastab teadmusbaas, mitte esmakordsel täitmisel loetud lehed. IP-aadresside jaotus on kavandatult jagatud — "crowding" koondab kasutajad ühele aadressile, et omistamist raskendada. P2P on kõikjal lubatud, kuid IVPN palub klientidel vältida USA väljumispunkte, viidates ülesvoolu DMCA survele. Voogedastusele garantiid ei anta, kuigi ettevõte ütleb, et paljud kliendid pääsevad sellele siiski ligi.

Aruanne, mis muudaks nelja välja. Deloitte'i aruanne on teine dokument, mis muudaks korraga mitut välja: V04, V07, V11 ja V15 on teadmata ainult seetõttu, et seda ei ole avaldatud, ning eelkõige V11 on väli, millele kogu logide puudumise väide toetub.

Millel puudub dokument. U07-l puudub dokument ja sama kehtib selle taga oleva C13 kohta: Opera nimetab AES-256 ja „secure tunnel'it”, kuid mitte kunagi protokolli, mistõttu pakutavatest transpordivahenditest nõrgim on tõendamata. U08, U09 ja U12b on samal põhjusel täitmata – tootelehel olev funktsioonide võrdlustabel märgib ridu linnukestega, mida hangitud märgistus ei sisalda, ning linnukeste väljalugemine renderdatud pildilt ei ole allikas.

Servereid kirjeldatud, tõendid puuduvad. C02, C06 ja C08 ei põhine millelgi: Opera ütleb, et serverid on füüsilised ja tema omandis, kuid see ei lahenda, kellele kuuluvad kettad või DNS ega seda, kellele riistvara kuulub. C09b-le ei saa vastata, kuni U02 on teadmata.

Üks pood, mitte kaks. Loeti ainult Google Play andmete ohutuse vormi; iOS-i brauseri App Store'i privaatsusmärgiseid ei loetud, seega tugineb X12 ühele poele, mitte kahest halvematele tulemustele.

Kaks tõlgendust, mitte väited. Linux U01-s on tuletatud töölaua abijuhendist, mis dokumenteerib VPN-i ning käsitleb Windowsi, macOS-i ja Linuxit koos, platvormide kaupa eristamata; Androidi ja iOS-i nimetatakse auditi teadaandes sõnaselgelt. U10 on piiramatu, sest kontot ega seadmete ülempiiri ei ole, millega seda jõustada, kuid see on toote tõlgendus, mitte avaldatud arvuline näitaja.

X02 on keskse tähtsusega leid ja mõlemad selle aluseks olevad dokumendid on Opera enda omad. 2024. aasta teadaandes tsiteeritakse Deloitte'i hinnangut: "IT-süsteemide konfiguratsioon ning toetavate IT-toimingute haldus olid olulises osas sobivalt kavandatud ja rakendatud, tuginedes Opera's Management Assertionis kirjeldatud kriteeriumidele 10. augusti 2024 seisuga", ning lause "VPN-teenusesse ei ole sisse ehitatud andmete logimise funktsiooni ja mitte mingeid andmeid ei koguta" omistatakse eraldi Opera enda dokumendile Management Assertion.

2026. aasta postitus kirjeldab sama tööd uuesti nii, et leiu tegi Deloitte: "andsime Deloitte'i meeskonnale täieliku juurdepääsu oma VPN-i ja serveritaristule ning nad said meie väidet kontrollida ... Tegelikult ei ole andmete logimise funktsioon VPN-i algusest peale sisse ehitatud." Sama postitus muudab 2024. aasta postituses 18. juunist 10. augustini 2024 dateeritud ajavahemiku "täielikuks juurdepääsuks".

Opera esitab oma väidet audiitori järeldusena. Seetõttu jaguneb VERIFY-plokk nii, nagu see jaguneb. V01 on yes_verified tegelikult avatud raporti põhjal – Cure53 enda avaldatud juhtkonna kokkuvõtte põhjal, mis käsitleb 2022. aasta märtsis tehtud hindamist –, mitte Deloitte'i teadaande põhjal.

Deloitte'i raportit ennast ei ole kusagil avaldatud, seega on V02 press_only ning iga väli, mis kajastab selle raporti tulemust, mitte kaasamisega seotud fakti, jääb teadmata: serveripargi katvus (V04), kindlustusstandard (V07), mida raport säilitamise kohta väidab (V11), ja hinnangu tugevus (V15).