Opera VPN vs Windscribe

Aruanne, mis muudaks nelja välja. Deloitte'i aruanne on teine dokument, mis muudaks korraga mitut välja: V04, V07, V11 ja V15 on teadmata ainult seetõttu, et seda ei ole avaldatud, ning eelkõige V11 on väli, millele kogu logide puudumise väide toetub.

Millel puudub dokument. U07-l puudub dokument ja sama kehtib selle taga oleva C13 kohta: Opera nimetab AES-256 ja „secure tunnel'it”, kuid mitte kunagi protokolli, mistõttu pakutavatest transpordivahenditest nõrgim on tõendamata. U08, U09 ja U12b on samal põhjusel täitmata – tootelehel olev funktsioonide võrdlustabel märgib ridu linnukestega, mida hangitud märgistus ei sisalda, ning linnukeste väljalugemine renderdatud pildilt ei ole allikas.

Servereid kirjeldatud, tõendid puuduvad. C02, C06 ja C08 ei põhine millelgi: Opera ütleb, et serverid on füüsilised ja tema omandis, kuid see ei lahenda, kellele kuuluvad kettad või DNS ega seda, kellele riistvara kuulub. C09b-le ei saa vastata, kuni U02 on teadmata.

Üks pood, mitte kaks. Loeti ainult Google Play andmete ohutuse vormi; iOS-i brauseri App Store'i privaatsusmärgiseid ei loetud, seega tugineb X12 ühele poele, mitte kahest halvematele tulemustele.

Kaks tõlgendust, mitte väited. Linux U01-s on tuletatud töölaua abijuhendist, mis dokumenteerib VPN-i ning käsitleb Windowsi, macOS-i ja Linuxit koos, platvormide kaupa eristamata; Androidi ja iOS-i nimetatakse auditi teadaandes sõnaselgelt. U10 on piiramatu, sest kontot ega seadmete ülempiiri ei ole, millega seda jõustada, kuid see on toote tõlgendus, mitte avaldatud arvuline näitaja.

Miks säilitamine põhineb leiul. Säilitamine on seetõttu hinnastatud selle põhjal, milleni audiitor tõendas juurdepääsu olevat, mitte selle põhjal, mida poliitika deklareerib, ning tervikluse kanal kannab nende kahe vahelist erinevust. Tõlgendage seda ühe sõlme kahe aasta vanuse leiuna, mitte praeguse mõõtmisena: ulatus piirdus üksnes aadressiga ca-023.windscribe.com ning seda lahendaks uuem, suuremat osa taristust hõlmav audit.

Nimekiri, mida kunagi ei loetud. Pakutud riikide nimekirja ei loetud kunagi, mistõttu ei saa arvutada ei kasutusmugavuse riigiskoori ega kohustuse ühisosa — Windscribe avaldab füüsiliste ja virtuaalsete serverite eristuse, mistõttu saab C09b siin vastuse kohe, kui nimekiri on loetud. Kasutajate arvukus on samuti tõendamata, mistõttu põhineb kokkupuute vahemik vähemal infol, kui peaks.

Kust kolm sündmust nüüd viitavad. AIN.UA kajastab endiselt 24. juunil 2021 konfiskeeritud Ukraina servereid ning Windscribe'i enda ajaveeb 11. aprillil 2025 lõpetatud Kreeka juhtumit. Hollandi konfiskeerimine ja konfiskeerimise väli viitavad nüüd Windscribe'i enda logivabaduse lehele, mitte partneri tasutud meediale, mis sellest esimesena teatas: ettevõtte enda kirjeldus enda konfiskeerimisest on esmane allikas, mitte kellegi teise kirjeldus ühest juhtumist. Ukraina sündmus on dateeritud konfiskeerimise enda, mitte selle kirjelduse järgi.

X02 on keskse tähtsusega leid ja mõlemad selle aluseks olevad dokumendid on Opera enda omad. 2024. aasta teadaandes tsiteeritakse Deloitte'i hinnangut: "IT-süsteemide konfiguratsioon ning toetavate IT-toimingute haldus olid olulises osas sobivalt kavandatud ja rakendatud, tuginedes Opera's Management Assertionis kirjeldatud kriteeriumidele 10. augusti 2024 seisuga", ning lause "VPN-teenusesse ei ole sisse ehitatud andmete logimise funktsiooni ja mitte mingeid andmeid ei koguta" omistatakse eraldi Opera enda dokumendile Management Assertion.

2026. aasta postitus kirjeldab sama tööd uuesti nii, et leiu tegi Deloitte: "andsime Deloitte'i meeskonnale täieliku juurdepääsu oma VPN-i ja serveritaristule ning nad said meie väidet kontrollida ... Tegelikult ei ole andmete logimise funktsioon VPN-i algusest peale sisse ehitatud." Sama postitus muudab 2024. aasta postituses 18. juunist 10. augustini 2024 dateeritud ajavahemiku "täielikuks juurdepääsuks".

Opera esitab oma väidet audiitori järeldusena. Seetõttu jaguneb VERIFY-plokk nii, nagu see jaguneb. V01 on yes_verified tegelikult avatud raporti põhjal – Cure53 enda avaldatud juhtkonna kokkuvõtte põhjal, mis käsitleb 2022. aasta märtsis tehtud hindamist –, mitte Deloitte'i teadaande põhjal.

Deloitte'i raportit ennast ei ole kusagil avaldatud, seega on V02 press_only ning iga väli, mis kajastab selle raporti tulemust, mitte kaasamisega seotud fakti, jääb teadmata: serveripargi katvus (V04), kindlustusstandard (V07), mida raport säilitamise kohta väidab (V11), ja hinnangu tugevus (V15).

Auditi läbiviimise faktid – ettevõte, selle kategooria, kuupäev ja see, mis oli testitavana loetletud – pärinevad teadaandest. Teenusepakkuja, kes on seda auditit tõendatult juba korra ümber kirjeldanud, ei ole allikas selle kohta, millisele järeldusele audit jõudis. C01 on none_linkable, sest see on privaatsusavalduses sisalduv deklaratsioon; V11 on tulemus ja lugemiseks ei ole tulemust.

Cure53 raport on tegelik ja seetõttu on V14 yes_verified: seitse testijat, kakskümmend neli inimtööpäeva, white-box neljas tööpaketis, mis hõlmasid VPN-kliente, serveri konfiguratsiooni ja taristut ning VPN-i konfiguratsiooni edastamiseks kasutatavat Opera Mini protokolli. Neliteist turbe seisukohast asjakohast probleemi, millest kaheksa olid tegelikud haavatavused, viis hinnati kõrge raskusastmega ja ükski ei olnud kriitiline.

2022. aasta märtsi seisuga oli üheksa parandatud ja parandused kontrollitud, üks osaliselt parandatud, kolme puhul risk aktsepteeritud, üks oli valeteade ja ühega alles tegeleti. Opera ajaveeb ütleb, et seitse otse brauseri VPN-iga seotud üksust „lahendati hiljem kõik“ ning tabel kinnitab seda – allesjäänud probleemid paiknevad Opera Mini tööpaketis, mitte VPN-is endas.

Omand on täielikult avalikustatud ja lõpeb kohustusriigis, mistõttu X03 ja C11 osutavad vastassuundades, ilma et need oleksid omavahel vastuolus.

Opera enda privaatsusavalduses nimetatud vastutav töötleja on Opera Norway AS, Norra ettevõte, ning läbipaistvusraport on esitatud selle nime all.

Valdusettevõte on Opera Limited, 2018. aasta märtsis Kaimanisaartel asutatud exempted-ettevõte, millel endal puudub sisuline tegevus. 2025. aasta Form 20-F nimetab peamise aktsionärina 68,0% osalusega Hong Kong Kunlun Tech Holding Limitedi, mis on PRC-s asutatud Kunlun Tech Co., Ltd. tütarettevõte, ning märgib, et Kunlun „on Opera lõplik emaettevõte ja seda kontrollib Opera tegevjuhtkonna esimees“.

Seega on M06 NO ja C10 no, samal ajal kui M11 on CN ja C11 yes.

C12 on kõige teravam lünk VPN-i deklaratsiooni ja selle rakenduse vahel, mille sees see toimib. Privaatsusavalduse VPN-i jaotis kinnitab, et logimist ei toimu; sama dokumendi teine jaotis ütleb, et Opera rakenduse installimisel „genereeritakse juhuslik installimise ID. Kogume seda identifikaatorit ning Machine ID-d, riistvara spetsifikatsioone (mudel, väljalaskekuupäev jne), operatsioonisüsteemi, keskkonna konfiguratsiooni ja funktsioonide kasutusandmeid”, mida säilitatakse kuni kolm aastat.

Machine ID tuletatakse riistvarast, seega on teenusepakkuja valduses olev identifikaator persistent_hardware_id, mitte rakendusepõhine juhuslik identifikaator, olenemata sellest, mida tunnel logib või ei logi.

X12 võrdleb kahte dokumenti, mille Opera ise esitas. com.opera.browseri Play andmeohutuse vorm kinnitab, et Installed apps kogutakse Analyticsi jaoks, samas kui privaatsusavalduses ei mainita üldse seadmesse installitud rakenduste kogumist. Installed apps kirjeldab käitumist, mitte identifikaatorit, seega on tulemuseks undisclosed_behaviour.

Sama vorm kinnitab, et Device or other IDs jagatakse reklaamimiseks teiste ettevõtetega, mistõttu saab C07a väärtuseks ads. C07b põhineb kitsamal asjaolul ja sellele on märgitud B: tootelehe märgistuses esinev ainus kolmanda osapoole host on Google Tag Manager ning seda, mida see konteiner käitusajal laadib, ei ole loetletud.

U02 on teadmata toote ülesehituse tõttu, mitte otsingu ebaõnnestumise tõttu: tasuta VPN pakub kolme piirkonda – Opera nimetab neid Ameerikaks, Aasiaks ja Euroopaks – ega nimeta kunagi riiki. C09 ja C09b tulenevad sellest ning neid ei saa enne lahendada, kui see olukord püsib.

X05 on Opera enda selgituses ads_supported; selles loetletakse reklaam kolmest tuluallikast esimesena ja kirjeldatakse, kuidas Opera Ads kogub juhuslikult genereeritud kasutaja ID-d, linna või riiki ning sirvitud saitide üldisi kategooriaid, mida säilitatakse kuni aasta. Koos väärtusega U05 = unlimited_free on see täpselt juhtum, mille märkimiseks R15 eksisteerib.

X06 on 2026. aasta postituse väide, et AES-256 „purustamiseks kuluks isegi kõige kiirema arvutiga häkkeril rohkem kui miljard aastat”. X09 on self_disclosed_prompt kahes 2026. aasta postituses, milles Opera avaldas haavatavused, millest välised uurijad olid talle teatanud, koos analüüsi ja parandatud versiooniga – need on brauseri haavatavused, mitte VPN-i intsidendid, ning ükski VPN-i intsident ei ole teada.

C05 on not_sold. Tasuta VPN-il puudub üldse makseetapp – ei tellimust ega kontot –, seega pole midagi, mille eest anonüümselt või muul viisil maksta.

See kirje kirjutati algselt kui none, mis tähendab „pakutakse ainult tuvastatud makseviise” ja on siin väär, sest sõnavaras puudus tunnus teenuse kohta, mis ei võta üldse raha; unknown oleks väitnud, et otsing ebaõnnestus, mis oli samuti väär, ning kahe väära tõlgenduse vahel registreeriti teenusepakkuja suhtes ebasoodsam. Tunnus on nüüd olemas ja hinnaks on null, mis on aus vastus: kui makset ei ole, ei ole ka lekitatavat makseidentiteeti.