Opera VPN vs Private Internet Access

Aruanne, mis muudaks nelja välja. Deloitte'i aruanne on teine dokument, mis muudaks korraga mitut välja: V04, V07, V11 ja V15 on teadmata ainult seetõttu, et seda ei ole avaldatud, ning eelkõige V11 on väli, millele kogu logide puudumise väide toetub.

Millel puudub dokument. U07-l puudub dokument ja sama kehtib selle taga oleva C13 kohta: Opera nimetab AES-256 ja „secure tunnel'it”, kuid mitte kunagi protokolli, mistõttu pakutavatest transpordivahenditest nõrgim on tõendamata. U08, U09 ja U12b on samal põhjusel täitmata – tootelehel olev funktsioonide võrdlustabel märgib ridu linnukestega, mida hangitud märgistus ei sisalda, ning linnukeste väljalugemine renderdatud pildilt ei ole allikas.

Servereid kirjeldatud, tõendid puuduvad. C02, C06 ja C08 ei põhine millelgi: Opera ütleb, et serverid on füüsilised ja tema omandis, kuid see ei lahenda, kellele kuuluvad kettad või DNS ega seda, kellele riistvara kuulub. C09b-le ei saa vastata, kuni U02 on teadmata.

Üks pood, mitte kaks. Loeti ainult Google Play andmete ohutuse vormi; iOS-i brauseri App Store'i privaatsusmärgiseid ei loetud, seega tugineb X12 ühele poele, mitte kahest halvematele tulemustele.

Kaks tõlgendust, mitte väited. Linux U01-s on tuletatud töölaua abijuhendist, mis dokumenteerib VPN-i ning käsitleb Windowsi, macOS-i ja Linuxit koos, platvormide kaupa eristamata; Androidi ja iOS-i nimetatakse auditi teadaandes sõnaselgelt. U10 on piiramatu, sest kontot ega seadmete ülempiiri ei ole, millega seda jõustada, kuid see on toote tõlgendus, mitte avaldatud arvuline näitaja.

Mida ei uuritud. Aruanne hõlmab ainult taristut. C07a_app_sdk ja C12_device_identifier on rakendusepoolsed faktid, mida see ei uurinud; nüüd viitavad need selle asemel privaatsuspoliitikale, milles kirjeldatakse veebisaidi külastajate analüütikat ja nõusoleku alusel saadetavaid diagnostikaaruandeid, mis sisaldavad platvormi ja rakenduse versiooni. Kummagi lugemine väitena rakendusse kompileeritud SDK-de kohta on selle kirje nõrgim lüli ning tegelikult saaks selle lahendada avatud lähtekoodiga klientide põhjal.

2016. aasta kohtukutse põhineb PIA enda sõnal, mitte kohtutoimikul. Ainus üksikasjalik kirjeldus McWatersi kohtuasjast (S.D. Fla., 9:16-cr-80043) asub sidusettevõtte saidil, millele see kirje ei saa viidata; CourtListeneri selle kohtuasja dokumendiregister ei nimeta kohtukutset, teenusepakkujat ega tulemust. P03_court_record ja P12_case_history põhinevad nüüd PIA enda läbipaistvusaruande avaldusel, et talle saadeti 2016.–2017. aastal kohtukutse ja ta ei esitanud midagi — B-taseme enesedeklaratsioonil, mitte kontrollitud kohtutoimikul.

X02 on keskse tähtsusega leid ja mõlemad selle aluseks olevad dokumendid on Opera enda omad. 2024. aasta teadaandes tsiteeritakse Deloitte'i hinnangut: "IT-süsteemide konfiguratsioon ning toetavate IT-toimingute haldus olid olulises osas sobivalt kavandatud ja rakendatud, tuginedes Opera's Management Assertionis kirjeldatud kriteeriumidele 10. augusti 2024 seisuga", ning lause "VPN-teenusesse ei ole sisse ehitatud andmete logimise funktsiooni ja mitte mingeid andmeid ei koguta" omistatakse eraldi Opera enda dokumendile Management Assertion.

2026. aasta postitus kirjeldab sama tööd uuesti nii, et leiu tegi Deloitte: "andsime Deloitte'i meeskonnale täieliku juurdepääsu oma VPN-i ja serveritaristule ning nad said meie väidet kontrollida ... Tegelikult ei ole andmete logimise funktsioon VPN-i algusest peale sisse ehitatud." Sama postitus muudab 2024. aasta postituses 18. juunist 10. augustini 2024 dateeritud ajavahemiku "täielikuks juurdepääsuks".

Opera esitab oma väidet audiitori järeldusena. Seetõttu jaguneb VERIFY-plokk nii, nagu see jaguneb. V01 on yes_verified tegelikult avatud raporti põhjal – Cure53 enda avaldatud juhtkonna kokkuvõtte põhjal, mis käsitleb 2022. aasta märtsis tehtud hindamist –, mitte Deloitte'i teadaande põhjal.

Deloitte'i raportit ennast ei ole kusagil avaldatud, seega on V02 press_only ning iga väli, mis kajastab selle raporti tulemust, mitte kaasamisega seotud fakti, jääb teadmata: serveripargi katvus (V04), kindlustusstandard (V07), mida raport säilitamise kohta väidab (V11), ja hinnangu tugevus (V15).

Auditi läbiviimise faktid – ettevõte, selle kategooria, kuupäev ja see, mis oli testitavana loetletud – pärinevad teadaandest. Teenusepakkuja, kes on seda auditit tõendatult juba korra ümber kirjeldanud, ei ole allikas selle kohta, millisele järeldusele audit jõudis. C01 on none_linkable, sest see on privaatsusavalduses sisalduv deklaratsioon; V11 on tulemus ja lugemiseks ei ole tulemust.

Cure53 raport on tegelik ja seetõttu on V14 yes_verified: seitse testijat, kakskümmend neli inimtööpäeva, white-box neljas tööpaketis, mis hõlmasid VPN-kliente, serveri konfiguratsiooni ja taristut ning VPN-i konfiguratsiooni edastamiseks kasutatavat Opera Mini protokolli. Neliteist turbe seisukohast asjakohast probleemi, millest kaheksa olid tegelikud haavatavused, viis hinnati kõrge raskusastmega ja ükski ei olnud kriitiline.

2022. aasta märtsi seisuga oli üheksa parandatud ja parandused kontrollitud, üks osaliselt parandatud, kolme puhul risk aktsepteeritud, üks oli valeteade ja ühega alles tegeleti. Opera ajaveeb ütleb, et seitse otse brauseri VPN-iga seotud üksust „lahendati hiljem kõik“ ning tabel kinnitab seda – allesjäänud probleemid paiknevad Opera Mini tööpaketis, mitte VPN-is endas.

Omand on täielikult avalikustatud ja lõpeb kohustusriigis, mistõttu X03 ja C11 osutavad vastassuundades, ilma et need oleksid omavahel vastuolus.

Opera enda privaatsusavalduses nimetatud vastutav töötleja on Opera Norway AS, Norra ettevõte, ning läbipaistvusraport on esitatud selle nime all.

Valdusettevõte on Opera Limited, 2018. aasta märtsis Kaimanisaartel asutatud exempted-ettevõte, millel endal puudub sisuline tegevus. 2025. aasta Form 20-F nimetab peamise aktsionärina 68,0% osalusega Hong Kong Kunlun Tech Holding Limitedi, mis on PRC-s asutatud Kunlun Tech Co., Ltd. tütarettevõte, ning märgib, et Kunlun „on Opera lõplik emaettevõte ja seda kontrollib Opera tegevjuhtkonna esimees“.

Seega on M06 NO ja C10 no, samal ajal kui M11 on CN ja C11 yes.

C12 on kõige teravam lünk VPN-i deklaratsiooni ja selle rakenduse vahel, mille sees see toimib. Privaatsusavalduse VPN-i jaotis kinnitab, et logimist ei toimu; sama dokumendi teine jaotis ütleb, et Opera rakenduse installimisel „genereeritakse juhuslik installimise ID. Kogume seda identifikaatorit ning Machine ID-d, riistvara spetsifikatsioone (mudel, väljalaskekuupäev jne), operatsioonisüsteemi, keskkonna konfiguratsiooni ja funktsioonide kasutusandmeid”, mida säilitatakse kuni kolm aastat.

Machine ID tuletatakse riistvarast, seega on teenusepakkuja valduses olev identifikaator persistent_hardware_id, mitte rakendusepõhine juhuslik identifikaator, olenemata sellest, mida tunnel logib või ei logi.

X12 võrdleb kahte dokumenti, mille Opera ise esitas. com.opera.browseri Play andmeohutuse vorm kinnitab, et Installed apps kogutakse Analyticsi jaoks, samas kui privaatsusavalduses ei mainita üldse seadmesse installitud rakenduste kogumist. Installed apps kirjeldab käitumist, mitte identifikaatorit, seega on tulemuseks undisclosed_behaviour.

Sama vorm kinnitab, et Device or other IDs jagatakse reklaamimiseks teiste ettevõtetega, mistõttu saab C07a väärtuseks ads. C07b põhineb kitsamal asjaolul ja sellele on märgitud B: tootelehe märgistuses esinev ainus kolmanda osapoole host on Google Tag Manager ning seda, mida see konteiner käitusajal laadib, ei ole loetletud.

U02 on teadmata toote ülesehituse tõttu, mitte otsingu ebaõnnestumise tõttu: tasuta VPN pakub kolme piirkonda – Opera nimetab neid Ameerikaks, Aasiaks ja Euroopaks – ega nimeta kunagi riiki. C09 ja C09b tulenevad sellest ning neid ei saa enne lahendada, kui see olukord püsib.

X05 on Opera enda selgituses ads_supported; selles loetletakse reklaam kolmest tuluallikast esimesena ja kirjeldatakse, kuidas Opera Ads kogub juhuslikult genereeritud kasutaja ID-d, linna või riiki ning sirvitud saitide üldisi kategooriaid, mida säilitatakse kuni aasta. Koos väärtusega U05 = unlimited_free on see täpselt juhtum, mille märkimiseks R15 eksisteerib.

X06 on 2026. aasta postituse väide, et AES-256 „purustamiseks kuluks isegi kõige kiirema arvutiga häkkeril rohkem kui miljard aastat”. X09 on self_disclosed_prompt kahes 2026. aasta postituses, milles Opera avaldas haavatavused, millest välised uurijad olid talle teatanud, koos analüüsi ja parandatud versiooniga – need on brauseri haavatavused, mitte VPN-i intsidendid, ning ükski VPN-i intsident ei ole teada.

C05 on not_sold. Tasuta VPN-il puudub üldse makseetapp – ei tellimust ega kontot –, seega pole midagi, mille eest anonüümselt või muul viisil maksta.

See kirje kirjutati algselt kui none, mis tähendab „pakutakse ainult tuvastatud makseviise” ja on siin väär, sest sõnavaras puudus tunnus teenuse kohta, mis ei võta üldse raha; unknown oleks väitnud, et otsing ebaõnnestus, mis oli samuti väär, ning kahe väära tõlgenduse vahel registreeriti teenusepakkuja suhtes ebasoodsam. Tunnus on nüüd olemas ja hinnaks on null, mis on aus vastus: kui makset ei ole, ei ole ka lekitatavat makseidentiteeti.

M08_user_scale, P02_disclosure_history, P03_court_record ja P12_case_history loeti samade allikate põhjal uuesti läbi ning need on muutmata; peamine läbipaistvusaruande leht ei nimeta endiselt ühtegi muud kohtuasja peale toimikus juba olevate 2016.–2017. aasta kohtukutsete. Hinnateabe uuesti kontrollimisel samalt buy-vpn-online lehelt leiti, et mõlemad näitajad on muutmata: kuust kuusse $11.95, üheaastane pakett $47.88, mille eest esimesel aastal arveldatakse ja mis uueneb automaatselt sama hinnaga $47.88, ilma sissejuhatava/perioodi uuendamise erinevuseta, kooskõlas mujal kataloogis märgitud PIA kindlasummalise hinnastamisega.

Pärit privateinternetaccess.com-i enda lehtedelt ja blogist, kahest Deloitte'i ISAE 3000 (Revised) „Independent Limited Assurance Reporti” PDF-ist (aprill 2024 ja detsember 2025, mõlemad avati ja loeti otse), Kape Technologiesi enda saidilt, Isle of Mani/Companies House'i allikatele tuginevast aruandlusest Kape'i 2023. aasta börsilt lahkumise kohta Unikmind Holdingsi (Teddy Sagi) poolt ning avatud lähtekoodiga klientide ametlikust pia-foss GitHubi organisatsioonist.

United States v. McWatersi avalik CourtListeneri dokumentregister (9:16-cr-80043, S.D. Fla.) avati, kuid selles ei nimetata kohtukutset, VPN-i teenusepakkujat ega tulemust; sidusettevõtte kirjutis (vpncompare.co.uk), mis kirjeldab seda kohtukutset üksikasjalikult, jäeti keelatud allikana kõrvale ning TorrentFreaki enda kajastus andis kõigil selle läbimise katsetel, kaasa arvatud curliga, HTTP 403. P03/P12 põhinevad nüüd PIA enda läbipaistvusaruande enesedeklaratsioonil.

Wikipedia jäeti V12-st kõrvale GitHubi organisatsiooni enda kasuks. Ühtegi sidusettevõtte ega „best VPN” koondava saidi lehte ei kasutatud selles kirjes kuskil faktilise allikana, kuigi otsingutulemustes tuli korduvalt ette mitu usutavate numbritega lehte (serverite arvud, kasutajate arvud, auditikuupäevad), mida ei saanud esmase allikalehe põhjal üle kontrollida ning mis jäeti kasutamata, mitte ei võetud kasutusse.