NordVPN vs Opera VPN

Canary ja selle asendanud kvartal. Sama leht kõrvaldas warrant canary (P07=removed), et avaldada kvartaalseid läbipaistvusraporteid; viimane täielik kvartal (aprill–juuni 2026) näitab 85 valitsusasutuste päringut ja 0 avalikustamist, seega puudutavad P08/P09 seda perioodi, mitte kogu perioodi näitajat.

India ja salajaste korralduste režiim. P04=withdrew_physical on 2022. aasta juunis Indiast väljumine. P11=none_known põhineb lehe väitel, et NordVPN ei ole saanud ühtegi siduvat National Security letter'it ega avaldamiskeeldu, ning sellel, et Panamas selline režiim puudub.

Kindlustase, mida keegi kontrollida ei saa. NordVPN kirjeldab Deloitte Lithuania kaasamist kui põhjendatud kindlusega kaasamist ISAE 3000 (Revised) alusel, mis oleks tugevam vorm; PIA raportis, mida saab lugeda, on esitatud piiratud kindlusega järeldus.

Miks tugevamat vormi ei arvestata. Mudel arvestab nüüd seda erinevust ning see kirje ei saa sellest kasu: V15_assurance_strength on teadmata, sest ainus taseme kirjeldus pärineb NordVPN-ilt ja puudutab aruannet, mida keegi väljaspool Nord Accounti avada ei saa. Sisselogimise taha peidetud dokument ei ole siin ühelgi tasemel tõend, seega arvestatakse auditituru normi, mitte väidetavalt saavutatud taseme järgi.

Sisselogimise taha peidetud aruanne. Aruanne ise on loetav üksnes pärast Nord Accounti sisselogimist, seega ei ole keegi väljaspool seda suhet selle ulatust kontrollinud ning kõik siinsed auditi väljad tuginevad dokumendi asemel NordVPN-i enda kokkuvõttele. See, mitte teenuse kohta tehtud negatiivne järeldus, on põhjus, miks see kirje on kataloogi kõige napim.

Omaniku väljad. M11_owner_jurisdiction ja X04_owner_group_history on teadmata: nordvpn.com ja nordsecurity.com nimetavad omanikuks Nord Securityt, kuid kumbki ei märgi Nord Security enda registreerimisjurisdiktsiooni ega grupi varasemat ajalugu; teisene ajakirjandus seostab 2022. aasta ühinemise põhjal ühe „Cyberspace'i” valdusüksuse Madalmaadega, kuid seda ei kinnitatud olemasoleva aja jooksul Nord Security või NordVPN-i esmase lehe põhjal.

Mida ei saanud üldse lugeda. 2025. aasta Deloitte'i aruande täisteksti ei saa üldse lugeda (sisselogimisega piiratud), seega ei ole säilitamise kohta registreeritud muud hinnangut kui poliitika enda väide väljal C01_linkable_retention.

Serveritabel, mis ei avanenud. C09b_mandate_hosting on teadmata: riikide kaupa kuvatav serveritabel näitab olekus, mida see audit suutis kuvada, füüsilise/virtuaalse staatuse kohta teavet ainult Ameerika piirkonna puhul; Euroopa, Aasia ja Vaikse ookeani piirkonna ning Aafrika/Lähis-Ida jaotised (milles on mitu kohustusega riiki, mida teenusepark teenindab, näiteks AE, IN, TR, VN, IQ ja KZ serverite API andmetel) laaditakse kliendi poolel klõpsamisel ning neid ei laiendatud.

Jäeti teadmata, mitte väidetuks. C04-C07, U06 (tsensuuri tõend), U11, V12-V14, X06, X07, X10 ja X11 ei leidnud esmase dokumendi põhjal sõltumatut kinnitust ning jäeti teisese kajastuse põhjal väitmise asemel teadmata.

Üks kahtlus jäeti lahtiseks ja seda ei arvestatud. X12 puhul jääb üks kahtlus lahtiseks, ilma et seda skoori sisse arvestataks: com.nordvpn.androidi Play and safety vorm märgib Androidis analüütika all Installed apps, samal ajal kui NordVPN-i privaatsusteatis mainib installitud rakendusi ainult ühes kohas — pahavaratõrje haavatavuse kontrollis — ning piirdub rakenduste nimede ja versioonide töötlemisel Windowsiga.

Miks see loetakse endiselt vastavaks. Kategooria on avalikustatud, mitte puudu, ning R28 ei tee platvormi ulatuse erinevusest järeldust, seega on väärtus matches_policy; Androidi eesmärk ei ole aga see, mida teatis kirjeldab, ning ainult NordVPN saab öelda, kumb neist kahest on valesti kirjutatud.

Aruanne, mis muudaks nelja välja. Deloitte'i aruanne on teine dokument, mis muudaks korraga mitut välja: V04, V07, V11 ja V15 on teadmata ainult seetõttu, et seda ei ole avaldatud, ning eelkõige V11 on väli, millele kogu logide puudumise väide toetub.

Millel puudub dokument. U07-l puudub dokument ja sama kehtib selle taga oleva C13 kohta: Opera nimetab AES-256 ja „secure tunnel'it”, kuid mitte kunagi protokolli, mistõttu pakutavatest transpordivahenditest nõrgim on tõendamata. U08, U09 ja U12b on samal põhjusel täitmata – tootelehel olev funktsioonide võrdlustabel märgib ridu linnukestega, mida hangitud märgistus ei sisalda, ning linnukeste väljalugemine renderdatud pildilt ei ole allikas.

Servereid kirjeldatud, tõendid puuduvad. C02, C06 ja C08 ei põhine millelgi: Opera ütleb, et serverid on füüsilised ja tema omandis, kuid see ei lahenda, kellele kuuluvad kettad või DNS ega seda, kellele riistvara kuulub. C09b-le ei saa vastata, kuni U02 on teadmata.

Üks pood, mitte kaks. Loeti ainult Google Play andmete ohutuse vormi; iOS-i brauseri App Store'i privaatsusmärgiseid ei loetud, seega tugineb X12 ühele poele, mitte kahest halvematele tulemustele.

Kaks tõlgendust, mitte väited. Linux U01-s on tuletatud töölaua abijuhendist, mis dokumenteerib VPN-i ning käsitleb Windowsi, macOS-i ja Linuxit koos, platvormide kaupa eristamata; Androidi ja iOS-i nimetatakse auditi teadaandes sõnaselgelt. U10 on piiramatu, sest kontot ega seadmete ülempiiri ei ole, millega seda jõustada, kuid see on toote tõlgendus, mitte avaldatud arvuline näitaja.

2018. aasta Soome andmekeskuse rikkumine oli kolmanda osapoole sissetung, mitte õiguskaitseasutuse arest — P12_case_history all on see registreeritud kui kind=breach, mitte P01_seizure_event. NordVPN-i enda käsitlus (nordvpn.com/blog/official-response-datacenter-breach/) ja Bloombergi samal ajal avaldatud ülevaade nõustuvad, et avalikustamisele eelnesid väliste uurijate Twitteris esitatud väited, mitte NordVPN-i enda algatus — seega third_party_disclosed, mitte self_disclosed_late.

NordVPN ja Surfshark jagavad emaettevõtjat (Nord Security), kuid mõlema ettevõtte enda ühinemisteade kinnitab eraldi taristut ja tootearenduse tegevuskavasid; selle alusel on M18 määratud eraldiseisvaks.

X02 on keskse tähtsusega leid ja mõlemad selle aluseks olevad dokumendid on Opera enda omad. 2024. aasta teadaandes tsiteeritakse Deloitte'i hinnangut: "IT-süsteemide konfiguratsioon ning toetavate IT-toimingute haldus olid olulises osas sobivalt kavandatud ja rakendatud, tuginedes Opera's Management Assertionis kirjeldatud kriteeriumidele 10. augusti 2024 seisuga", ning lause "VPN-teenusesse ei ole sisse ehitatud andmete logimise funktsiooni ja mitte mingeid andmeid ei koguta" omistatakse eraldi Opera enda dokumendile Management Assertion.

2026. aasta postitus kirjeldab sama tööd uuesti nii, et leiu tegi Deloitte: "andsime Deloitte'i meeskonnale täieliku juurdepääsu oma VPN-i ja serveritaristule ning nad said meie väidet kontrollida ... Tegelikult ei ole andmete logimise funktsioon VPN-i algusest peale sisse ehitatud." Sama postitus muudab 2024. aasta postituses 18. juunist 10. augustini 2024 dateeritud ajavahemiku "täielikuks juurdepääsuks".

Opera esitab oma väidet audiitori järeldusena. Seetõttu jaguneb VERIFY-plokk nii, nagu see jaguneb. V01 on yes_verified tegelikult avatud raporti põhjal – Cure53 enda avaldatud juhtkonna kokkuvõtte põhjal, mis käsitleb 2022. aasta märtsis tehtud hindamist –, mitte Deloitte'i teadaande põhjal.

Deloitte'i raportit ennast ei ole kusagil avaldatud, seega on V02 press_only ning iga väli, mis kajastab selle raporti tulemust, mitte kaasamisega seotud fakti, jääb teadmata: serveripargi katvus (V04), kindlustusstandard (V07), mida raport säilitamise kohta väidab (V11), ja hinnangu tugevus (V15).

Auditi läbiviimise faktid – ettevõte, selle kategooria, kuupäev ja see, mis oli testitavana loetletud – pärinevad teadaandest. Teenusepakkuja, kes on seda auditit tõendatult juba korra ümber kirjeldanud, ei ole allikas selle kohta, millisele järeldusele audit jõudis. C01 on none_linkable, sest see on privaatsusavalduses sisalduv deklaratsioon; V11 on tulemus ja lugemiseks ei ole tulemust.

Cure53 raport on tegelik ja seetõttu on V14 yes_verified: seitse testijat, kakskümmend neli inimtööpäeva, white-box neljas tööpaketis, mis hõlmasid VPN-kliente, serveri konfiguratsiooni ja taristut ning VPN-i konfiguratsiooni edastamiseks kasutatavat Opera Mini protokolli. Neliteist turbe seisukohast asjakohast probleemi, millest kaheksa olid tegelikud haavatavused, viis hinnati kõrge raskusastmega ja ükski ei olnud kriitiline.

2022. aasta märtsi seisuga oli üheksa parandatud ja parandused kontrollitud, üks osaliselt parandatud, kolme puhul risk aktsepteeritud, üks oli valeteade ja ühega alles tegeleti. Opera ajaveeb ütleb, et seitse otse brauseri VPN-iga seotud üksust „lahendati hiljem kõik“ ning tabel kinnitab seda – allesjäänud probleemid paiknevad Opera Mini tööpaketis, mitte VPN-is endas.

Omand on täielikult avalikustatud ja lõpeb kohustusriigis, mistõttu X03 ja C11 osutavad vastassuundades, ilma et need oleksid omavahel vastuolus.