NordVPN vs Opera VPN

Canary, dan triwulan yang menggantikannya. Halaman yang sama menghentikan canary surat perintah (P07=removed) demi laporan transparansi triwulanan; triwulan lengkap terbaru (April–Juni 2026) menunjukkan 85 permintaan pemerintah dan 0 pengungkapan, jadi P08/P09 adalah periode tersebut, bukan angka seumur hidup.

India, dan rezim perintah rahasia. P04=withdrew_physical adalah keluarnya dari India pada Juni 2022. P11=none_known didasarkan pada pernyataan halaman tersebut bahwa NordVPN belum menerima National Security letters atau perintah bungkam yang mengikat dan pada tidak adanya rezim semacam itu di Panama.

Tingkat assurance yang tidak dapat diperiksa siapa pun. NordVPN menggambarkan engagement Deloitte Lithuania sebagai engagement assurance wajar berdasarkan ISAE 3000 (Revised), yang akan menjadi bentuk yang lebih kuat; laporan PIA, yang dapat dibaca, menyatakan kesimpulan assurance terbatas.

Mengapa bentuk yang lebih kuat tidak diberi kredit. Model kini memberi harga pada perbedaan itu, dan berkas ini tidak mendapat manfaat darinya: V15_assurance_strength tidak diketahui karena satu-satunya pernyataan tentang tingkat tersebut berasal dari NordVPN sendiri, mengenai laporan yang tidak dapat dibuka oleh siapa pun di luar Nord Account. Dokumen di balik login bukan bukti di sini pada tingkat apa pun, jadi keterlibatan ini diberi kredit pada norma pasar, bukan pada tingkat yang diklaim telah dicapainya.

Laporan di balik login. Laporan itu sendiri hanya dapat dibaca setelah masuk ke Nord Account, jadi tidak ada seorang pun di luar hubungan tersebut yang telah memeriksa cakupannya, dan setiap bidang audit di sini bertumpu pada ringkasan NordVPN sendiri, bukan pada dokumennya. Hal itu, bukan temuan yang merugikan layanan, adalah alasan berkas ini memiliki bukti paling tipis dalam katalog.

Bidang pemilik. M11_owner_jurisdiction dan X04_owner_group_history tidak diketahui: nordvpn.com dan nordsecurity.com menyebut Nord Security sebagai pemilik, tetapi tidak satu pun menyatakan yurisdiksi pendirian Nord Security sendiri atau catatan sebelumnya untuk grup tersebut; pers sekunder mengaitkan entitas pemegang "Cyberspace" dengan Belanda dari merger 2022, tetapi hal itu tidak dikonfirmasi terhadap halaman utama Nord Security atau NordVPN dalam waktu yang tersedia.

Yang sama sekali tidak dapat dibaca. Teks lengkap laporan Deloitte 2025 sama sekali tidak dapat dibaca (akses dibatasi login), jadi tidak ada temuan retensi yang dicatat selain klaim kebijakan itu sendiri dalam C01_linkable_retention.

Tabel server yang tidak dapat dibuka. C09b_mandate_hosting tidak diketahui: tabel server langsung per negara hanya menunjukkan status fisik/virtual untuk wilayah Amerika dalam keadaan akordeon yang dapat dirender oleh audit ini; bagian Eropa, Asia-Pasifik, dan Afrika/Timur Tengah (yang mencakup beberapa negara mandat yang dilayani armada ini, misalnya AE, IN, TR, VN, IQ, KZ menurut API server) dimuat di sisi klien saat diklik dan tidak dibuka.

Dibiarkan tidak diketahui, bukan dinyatakan. C04-C07, U06 (bukti sensor), U11, V12-V14, X06, X07, X10, dan X11 tidak dikonfirmasi secara independen terhadap dokumen utama dan dibiarkan tidak diketahui, bukan dinyatakan berdasarkan liputan sekunder.

Satu keraguan dibiarkan terbuka dan tidak dibebankan. Satu keraguan tetap terbuka pada X12 tanpa dibebankan: formulir keamanan data Play untuk com.nordvpn.android menyatakan Aplikasi yang terinstal di bawah analitik pada Android, sementara pemberitahuan privasi NordVPN menyebut aplikasi yang terinstal hanya di satu tempat — pemindaian kerentanan antimalware — dan membatasi pemrosesan nama serta versi aplikasi pada Windows.

Mengapa tetap terbaca sebagai kecocokan. Kategori tersebut dipublikasikan, bukan tidak ada, dan R28 tidak menjadikan perbedaan cakupan platform sebagai temuan, sehingga nilainya terbaca matches_policy; tetapi tujuan Android bukan yang dijelaskan dalam pemberitahuan tersebut, dan hanya NordVPN yang dapat mengatakan mana dari kedua pernyataan itu yang salah tulis.

Laporan yang akan mengubah empat bidang. Laporan Deloitte adalah dokumen lain yang akan mengubah beberapa bidang sekaligus: V04, V07, V11, dan V15 semuanya tidak diketahui hanya karena laporan itu tidak dipublikasikan, dan V11 khususnya adalah bidang yang menjadi tumpuan seluruh klaim tanpa pencatatan.

Yang tidak memiliki dokumen. U07 tidak memiliki dokumen dan C13 yang mendasarinya juga demikian: Opera menyebut AES-256 dan "terowongan aman" tetapi tidak pernah menyebut protokol, sehingga transportasi terlemah yang ditawarkan belum dipastikan. U08, U09, dan U12b tidak terisi karena alasan yang sama - tabel perbandingan fitur di halaman produk menandai baris dengan tanda centang yang tidak dibawa oleh markup yang diambil, dan membaca tanda centang dari gambar yang dirender bukanlah sumber.

Server dideskripsikan, bukan dibuktikan. C02, C06, dan C08 tidak memiliki bukti pendukung: Opera mengatakan server tersebut bersifat fisik dan miliknya sendiri, yang tidak memastikan disk, DNS, maupun siapa pemilik perangkat kerasnya. C09b tidak dapat dijawab selama U02 tidak diketahui.

Satu toko, bukan dua. Hanya formulir keamanan data Google Play yang dibaca; label privasi App Store untuk peramban iOS tidak dibaca, sehingga X12 bertumpu pada satu toko, bukan pada yang lebih buruk di antara dua toko.

Dua pembacaan, bukan pernyataan. Linux dalam U01 disimpulkan dari manual bantuan desktop, yang mendokumentasikan VPN dan mencakup Windows, macOS, dan Linux sekaligus tanpa membedakan berdasarkan platform; Android dan iOS disebutkan secara eksplisit dalam pengumuman audit. U10 tidak terbatas karena tidak ada akun dan tidak ada batas perangkat yang dapat diberlakukan, yang merupakan pembacaan atas produk, bukan angka yang dinyatakan.

Pembobolan pusat data Finlandia pada 2018 merupakan intrusi pihak ketiga, bukan penyitaan oleh penegak hukum — dicatat dalam P12_case_history sebagai kind=breach, bukan P01_seizure_event. Pernyataan NordVPN sendiri (nordvpn.com/blog/official-response-datacenter-breach/) dan liputan Bloomberg pada saat itu sepakat bahwa pengungkapan tersebut mengikuti tuduhan di Twitter oleh peneliti eksternal, bukan inisiatif NordVPN sendiri — sehingga digunakan third_party_disclosed, bukan self_disclosed_late.

NordVPN dan Surfshark memiliki pemilik yang sama (Nord Security), tetapi pengumuman merger milik kedua perusahaan tersebut menyatakan bahwa infrastruktur dan peta jalan produk tetap terpisah; M18 ditetapkan terpisah berdasarkan hal itu.

Siapa pihak ketiga tersebut telah berubah: pengumuman audit 2024 menyatakan bahwa server VPN Pro "disediakan melalui kolaborasi dengan Nord", dan penjelasan 2026 menyatakan bahwa VPN Pro "dilengkapi dengan protokol Lightway generasi berikutnya", yang merupakan milik ExpressVPN. Tidak satu pun dokumen menyatakan bahwa pengaturannya berubah.

X02 adalah temuan utama yang menjadi penopang, dan kedua dokumen yang mendasarinya merupakan dokumen milik Opera sendiri. Pengumuman 2024 mengutip pendapat Deloitte sebagai berikut: "konfigurasi sistem TI dan pengelolaan operasi TI pendukung telah dirancang dan diterapkan secara tepat, dalam semua hal yang material, berdasarkan kriteria yang dijelaskan dalam Pernyataan Manajemen Opera, per 10 Agustus 2024", dan secara terpisah mengaitkan kalimat "Tidak ada fungsi pencatatan data yang terintegrasi ke dalam layanan VPN, dan sama sekali tidak ada data yang dikumpulkan" dengan Pernyataan Manajemen Opera milik Opera sendiri.

Tulisan 2026 menceritakan kembali penugasan yang sama sebagai Deloitte yang melakukan penemuan tersebut: "kami memberikan akses penuh kepada tim Deloitte ke infrastruktur VPN dan server kami, dan mereka dapat memverifikasi klaim kami ... Faktanya, fungsi pencatatan data bahkan sejak awal tidak terintegrasi ke dalam VPN." Tulisan yang sama meningkatkan cakupan yang dalam tulisan 2024 diberi tanggal 18 Juni hingga 10 Agustus 2024 menjadi "akses penuh".

Opera menggambarkan pernyataannya sendiri sebagai kesimpulan auditornya. Itulah sebabnya blok VERIFY terbagi seperti itu. V01 adalah yes_verified berdasarkan laporan yang benar-benar dibuka—ringkasan manajemen yang dipublikasikan oleh Cure53 sendiri mengenai penilaiannya pada Maret 2022—bukan berdasarkan pengumuman Deloitte.

Laporan Deloitte itu sendiri tidak dipublikasikan di mana pun, sehingga V02 adalah press_only, dan setiap bidang yang merupakan temuan laporan itu, bukan fakta tentang penugasannya, tetap tidak diketahui: cakupan armada (V04), standar assurance (V07), hal yang dinyatakan laporan sebagai dipertahankan (V11), dan kekuatan opini (V15).

Fakta penugasan—firma, kategorinya, tanggalnya, dan hal yang tercantum sebagai diuji—diambil dari pengumuman tersebut. Penyedia yang terbukti telah menggambarkan ulang audit ini satu kali bukanlah sumber untuk mengetahui kesimpulan audit. C01 adalah none_linkable karena itulah deklarasi dalam pernyataan privasi; V11 adalah temuannya, dan tidak ada temuan yang dapat dibaca.

Laporan Cure53 itu nyata dan menjadi alasan V14 adalah yes_verified: tujuh penguji, dua puluh empat hari-orang, white-box pada empat paket kerja yang mencakup klien VPN, konfigurasi dan infrastruktur server, serta protokol Opera Mini yang digunakan untuk mengirimkan konfigurasi VPN. Empat belas masalah yang relevan dengan keamanan, delapan di antaranya merupakan kerentanan aktual, lima dinilai memiliki tingkat keparahan tinggi dan tidak ada yang kritis.

Per Maret 2022, sembilan telah diperbaiki dengan perbaikannya diverifikasi, satu diperbaiki sebagian, tiga risikonya diterima, satu merupakan peringatan palsu, dan satu masih dalam proses. Blog Opera menyatakan bahwa tujuh item yang berkaitan langsung dengan VPN browser "semuanya kemudian diselesaikan", dan tabel tersebut menegaskannya—sisa masalah berada dalam paket kerja Opera Mini, bukan di VPN itu sendiri.

Kepemilikan diungkapkan sepenuhnya dan berakhir di negara mandat, sehingga X03 dan C11 menunjuk ke arah yang berlawanan tanpa saling bertentangan.

Pengendali data yang disebutkan dalam pernyataan privasi Opera sendiri adalah Opera Norway AS, sebuah perusahaan Norwegia, dan laporan transparansi diajukan atas nama tersebut.

Perusahaan induknya adalah Opera Limited, sebuah perusahaan exempted yang didirikan di Kepulauan Cayman pada Maret 2018 tanpa operasi substantifnya sendiri. Form 20-F untuk 2025 menyebut Hong Kong Kunlun Tech Holding Limited sebagai pemegang saham utama dengan 68,0%, anak perusahaan Kunlun Tech Co., Ltd. yang didirikan di PRC, dan menyatakan bahwa Kunlun "adalah perusahaan induk terakhir Opera dan dikendalikan oleh ketua eksekutif Opera".

Jadi M06 adalah NO dan C10 adalah no, sementara M11 adalah CN dan C11 adalah yes.

C12 adalah celah paling tajam antara pernyataan VPN dan aplikasi tempat VPN berada. Bagian VPN dari pernyataan privasi menyatakan tidak ada pencatatan; bagian lain dari dokumen yang sama menyatakan bahwa ketika aplikasi Opera diinstal, "ID instalasi acak dibuat. Kami mengumpulkan pengenal ini, serta Machine ID, spesifikasi perangkat keras (model, tanggal rilis, dan sebagainya), sistem operasi, konfigurasi lingkungan, dan data penggunaan fitur", yang disimpan hingga tiga tahun.

Machine ID berasal dari perangkat keras, sehingga pengenal yang disimpan penyedia adalah persistent_hardware_id dan bukan pengenal acak yang terbatas pada aplikasi, terlepas dari apakah tunnel mencatatnya atau tidak.

X12 membandingkan dua dokumen yang diajukan sendiri oleh Opera. Formulir keamanan data Play untuk com.opera.browser menyatakan bahwa Aplikasi terinstal dikumpulkan untuk Analitik, sedangkan pernyataan privasi sama sekali tidak menyebutkan pengumpulan aplikasi yang terinstal di perangkat. Aplikasi terinstal adalah perilaku, bukan pengenal, sehingga undisclosed_behaviour.

Formulir yang sama menyatakan bahwa ID Perangkat atau ID lainnya dibagikan kepada perusahaan lain untuk periklanan, yang menempatkan C07a pada ads. C07b bertumpu pada hal yang lebih sempit dan ditandai B karenanya: satu-satunya host pihak ketiga dalam markup yang disajikan untuk halaman produk adalah Google Tag Manager, dan apa yang dimuat container tersebut saat runtime tidak dirinci.

U02 tidak diketahui berdasarkan desain produk, bukan karena kegagalan pencarian: VPN gratis tersebut menawarkan tiga wilayah—Opera menamainya America, Asia, dan Europe—dan tidak pernah menyebut negara. C09 dan C09b mengikuti hal itu dan tidak dapat dipastikan selama kondisi tersebut berlaku.

X05 adalah ads_supported pada penjelasan milik Opera sendiri, yang mencantumkan periklanan sebagai sumber pendapatan pertama dari tiga sumber dan menjelaskan bahwa Opera Ads mengumpulkan ID pengguna yang dibuat secara acak, kota atau negara, serta kategori umum situs yang dijelajahi, yang disimpan hingga satu tahun; bersama U05 = unlimited_free, ini tepat merupakan kasus yang hendak ditandai oleh R15.

X06 adalah klaim dalam postingan 2026 bahwa AES-256 "akan membutuhkan waktu lebih dari satu miliar tahun bagi peretas dengan komputer tercepat sekalipun untuk membobolnya". X09 adalah self_disclosed_prompt pada dua postingan 2026 yang di dalamnya Opera memublikasikan kerentanan yang telah dilaporkan kepadanya oleh peneliti eksternal, beserta analisis dan versi yang telah diperbaiki—ini adalah kerentanan browser, bukan insiden VPN, dan tidak ada insiden VPN yang diketahui.

C05 adalah not_sold. VPN gratis ini sama sekali tidak memiliki langkah pembayaran—tidak ada langganan, tidak ada akun—jadi tidak ada yang perlu dibayar secara anonim ataupun sebaliknya.

Berkas ini pertama kali ditulis sebagai none, yang terbaca sebagai "hanya metode pembayaran yang teridentifikasi yang ditawarkan" dan salah dalam kasus ini, karena kosakatanya tidak memiliki token untuk layanan yang tidak menerima uang; unknown akan menyatakan bahwa pencarian gagal, yang juga salah, dan di antara dua pembacaan yang keliru, yang merugikan penyedia dicatat. Token tersebut sekarang tersedia dan harganya nihil, yang merupakan jawaban yang jujur: jika tidak ada pembayaran, tidak ada identitas pembayaran yang dapat bocor.