Opera VPN vs Windscribe

Laporan yang akan mengubah empat bidang. Laporan Deloitte adalah dokumen lain yang akan mengubah beberapa bidang sekaligus: V04, V07, V11, dan V15 semuanya tidak diketahui hanya karena laporan itu tidak dipublikasikan, dan V11 khususnya adalah bidang yang menjadi tumpuan seluruh klaim tanpa pencatatan.

Yang tidak memiliki dokumen. U07 tidak memiliki dokumen dan C13 yang mendasarinya juga demikian: Opera menyebut AES-256 dan "terowongan aman" tetapi tidak pernah menyebut protokol, sehingga transportasi terlemah yang ditawarkan belum dipastikan. U08, U09, dan U12b tidak terisi karena alasan yang sama - tabel perbandingan fitur di halaman produk menandai baris dengan tanda centang yang tidak dibawa oleh markup yang diambil, dan membaca tanda centang dari gambar yang dirender bukanlah sumber.

Server dideskripsikan, bukan dibuktikan. C02, C06, dan C08 tidak memiliki bukti pendukung: Opera mengatakan server tersebut bersifat fisik dan miliknya sendiri, yang tidak memastikan disk, DNS, maupun siapa pemilik perangkat kerasnya. C09b tidak dapat dijawab selama U02 tidak diketahui.

Satu toko, bukan dua. Hanya formulir keamanan data Google Play yang dibaca; label privasi App Store untuk peramban iOS tidak dibaca, sehingga X12 bertumpu pada satu toko, bukan pada yang lebih buruk di antara dua toko.

Dua pembacaan, bukan pernyataan. Linux dalam U01 disimpulkan dari manual bantuan desktop, yang mendokumentasikan VPN dan mencakup Windows, macOS, dan Linux sekaligus tanpa membedakan berdasarkan platform; Android dan iOS disebutkan secara eksplisit dalam pengumuman audit. U10 tidak terbatas karena tidak ada akun dan tidak ada batas perangkat yang dapat diberlakukan, yang merupakan pembacaan atas produk, bukan angka yang dinyatakan.

Mengapa retensi dinilai berdasarkan temuan. Oleh karena itu, retensi dinilai berdasarkan apa yang dibuktikan auditor dapat dijangkau, bukan berdasarkan apa yang dinyatakan kebijakan, dan saluran integritas membawa jarak antara keduanya. Bacalah ini sebagai temuan pada satu node yang berusia dua tahun, bukan sebagai pengukuran saat ini: cakupannya hanya ca-023.windscribe.com, dan keterlibatan yang lebih baru yang mencakup lebih banyak bagian armada adalah hal yang akan memastikannya.

Daftar yang tidak pernah dibaca. Daftar negara yang ditawarkan tidak pernah dibaca, sehingga skor negara untuk kegunaan maupun irisan mandat tidak dapat dihitung — Windscribe mempublikasikan perbedaan fisik/virtual, yang membuat C09b dapat dijawab di sini segera setelah daftarnya dibaca. Skala pengguna juga belum dipastikan, sehingga kisaran paparan bertumpu pada hal yang lebih sedikit daripada seharusnya.

Dari mana ketiga peristiwa itu sekarang mengambil sitasi. AIN.UA masih memuat server Ukraina yang disita pada 24 Juni 2021, dan blog milik Windscribe memuat kasus Yunani yang dihentikan pada 11 April 2025. Penyitaan Belanda dan bidang penyitaan itu sendiri sekarang mengambil sitasi dari halaman no-logs milik Windscribe, bukan dari media yang dibayar afiliasi yang pertama kali melaporkannya: catatan perusahaan tentang penyitaannya sendiri adalah sumber primer, bukan catatan orang lain tentang satu penyitaan. Peristiwa Ukraina diberi tanggal berdasarkan penyitaannya sendiri, bukan berdasarkan tulisan tentangnya.

Siapa pihak ketiga tersebut telah berubah: pengumuman audit 2024 menyatakan bahwa server VPN Pro "disediakan melalui kolaborasi dengan Nord", dan penjelasan 2026 menyatakan bahwa VPN Pro "dilengkapi dengan protokol Lightway generasi berikutnya", yang merupakan milik ExpressVPN. Tidak satu pun dokumen menyatakan bahwa pengaturannya berubah.

X02 adalah temuan utama yang menjadi penopang, dan kedua dokumen yang mendasarinya merupakan dokumen milik Opera sendiri. Pengumuman 2024 mengutip pendapat Deloitte sebagai berikut: "konfigurasi sistem TI dan pengelolaan operasi TI pendukung telah dirancang dan diterapkan secara tepat, dalam semua hal yang material, berdasarkan kriteria yang dijelaskan dalam Pernyataan Manajemen Opera, per 10 Agustus 2024", dan secara terpisah mengaitkan kalimat "Tidak ada fungsi pencatatan data yang terintegrasi ke dalam layanan VPN, dan sama sekali tidak ada data yang dikumpulkan" dengan Pernyataan Manajemen Opera milik Opera sendiri.

Tulisan 2026 menceritakan kembali penugasan yang sama sebagai Deloitte yang melakukan penemuan tersebut: "kami memberikan akses penuh kepada tim Deloitte ke infrastruktur VPN dan server kami, dan mereka dapat memverifikasi klaim kami ... Faktanya, fungsi pencatatan data bahkan sejak awal tidak terintegrasi ke dalam VPN." Tulisan yang sama meningkatkan cakupan yang dalam tulisan 2024 diberi tanggal 18 Juni hingga 10 Agustus 2024 menjadi "akses penuh".

Opera menggambarkan pernyataannya sendiri sebagai kesimpulan auditornya. Itulah sebabnya blok VERIFY terbagi seperti itu. V01 adalah yes_verified berdasarkan laporan yang benar-benar dibuka—ringkasan manajemen yang dipublikasikan oleh Cure53 sendiri mengenai penilaiannya pada Maret 2022—bukan berdasarkan pengumuman Deloitte.

Laporan Deloitte itu sendiri tidak dipublikasikan di mana pun, sehingga V02 adalah press_only, dan setiap bidang yang merupakan temuan laporan itu, bukan fakta tentang penugasannya, tetap tidak diketahui: cakupan armada (V04), standar assurance (V07), hal yang dinyatakan laporan sebagai dipertahankan (V11), dan kekuatan opini (V15).

Fakta penugasan—firma, kategorinya, tanggalnya, dan hal yang tercantum sebagai diuji—diambil dari pengumuman tersebut. Penyedia yang terbukti telah menggambarkan ulang audit ini satu kali bukanlah sumber untuk mengetahui kesimpulan audit. C01 adalah none_linkable karena itulah deklarasi dalam pernyataan privasi; V11 adalah temuannya, dan tidak ada temuan yang dapat dibaca.

Laporan Cure53 itu nyata dan menjadi alasan V14 adalah yes_verified: tujuh penguji, dua puluh empat hari-orang, white-box pada empat paket kerja yang mencakup klien VPN, konfigurasi dan infrastruktur server, serta protokol Opera Mini yang digunakan untuk mengirimkan konfigurasi VPN. Empat belas masalah yang relevan dengan keamanan, delapan di antaranya merupakan kerentanan aktual, lima dinilai memiliki tingkat keparahan tinggi dan tidak ada yang kritis.

Per Maret 2022, sembilan telah diperbaiki dengan perbaikannya diverifikasi, satu diperbaiki sebagian, tiga risikonya diterima, satu merupakan peringatan palsu, dan satu masih dalam proses. Blog Opera menyatakan bahwa tujuh item yang berkaitan langsung dengan VPN browser "semuanya kemudian diselesaikan", dan tabel tersebut menegaskannya—sisa masalah berada dalam paket kerja Opera Mini, bukan di VPN itu sendiri.

Kepemilikan diungkapkan sepenuhnya dan berakhir di negara mandat, sehingga X03 dan C11 menunjuk ke arah yang berlawanan tanpa saling bertentangan.

Pengendali data yang disebutkan dalam pernyataan privasi Opera sendiri adalah Opera Norway AS, sebuah perusahaan Norwegia, dan laporan transparansi diajukan atas nama tersebut.

Perusahaan induknya adalah Opera Limited, sebuah perusahaan exempted yang didirikan di Kepulauan Cayman pada Maret 2018 tanpa operasi substantifnya sendiri. Form 20-F untuk 2025 menyebut Hong Kong Kunlun Tech Holding Limited sebagai pemegang saham utama dengan 68,0%, anak perusahaan Kunlun Tech Co., Ltd. yang didirikan di PRC, dan menyatakan bahwa Kunlun "adalah perusahaan induk terakhir Opera dan dikendalikan oleh ketua eksekutif Opera".

Jadi M06 adalah NO dan C10 adalah no, sementara M11 adalah CN dan C11 adalah yes.

C12 adalah celah paling tajam antara pernyataan VPN dan aplikasi tempat VPN berada. Bagian VPN dari pernyataan privasi menyatakan tidak ada pencatatan; bagian lain dari dokumen yang sama menyatakan bahwa ketika aplikasi Opera diinstal, "ID instalasi acak dibuat. Kami mengumpulkan pengenal ini, serta Machine ID, spesifikasi perangkat keras (model, tanggal rilis, dan sebagainya), sistem operasi, konfigurasi lingkungan, dan data penggunaan fitur", yang disimpan hingga tiga tahun.

Machine ID berasal dari perangkat keras, sehingga pengenal yang disimpan penyedia adalah persistent_hardware_id dan bukan pengenal acak yang terbatas pada aplikasi, terlepas dari apakah tunnel mencatatnya atau tidak.

X12 membandingkan dua dokumen yang diajukan sendiri oleh Opera. Formulir keamanan data Play untuk com.opera.browser menyatakan bahwa Aplikasi terinstal dikumpulkan untuk Analitik, sedangkan pernyataan privasi sama sekali tidak menyebutkan pengumpulan aplikasi yang terinstal di perangkat. Aplikasi terinstal adalah perilaku, bukan pengenal, sehingga undisclosed_behaviour.

Formulir yang sama menyatakan bahwa ID Perangkat atau ID lainnya dibagikan kepada perusahaan lain untuk periklanan, yang menempatkan C07a pada ads. C07b bertumpu pada hal yang lebih sempit dan ditandai B karenanya: satu-satunya host pihak ketiga dalam markup yang disajikan untuk halaman produk adalah Google Tag Manager, dan apa yang dimuat container tersebut saat runtime tidak dirinci.

U02 tidak diketahui berdasarkan desain produk, bukan karena kegagalan pencarian: VPN gratis tersebut menawarkan tiga wilayah—Opera menamainya America, Asia, dan Europe—dan tidak pernah menyebut negara. C09 dan C09b mengikuti hal itu dan tidak dapat dipastikan selama kondisi tersebut berlaku.

X05 adalah ads_supported pada penjelasan milik Opera sendiri, yang mencantumkan periklanan sebagai sumber pendapatan pertama dari tiga sumber dan menjelaskan bahwa Opera Ads mengumpulkan ID pengguna yang dibuat secara acak, kota atau negara, serta kategori umum situs yang dijelajahi, yang disimpan hingga satu tahun; bersama U05 = unlimited_free, ini tepat merupakan kasus yang hendak ditandai oleh R15.

X06 adalah klaim dalam postingan 2026 bahwa AES-256 "akan membutuhkan waktu lebih dari satu miliar tahun bagi peretas dengan komputer tercepat sekalipun untuk membobolnya". X09 adalah self_disclosed_prompt pada dua postingan 2026 yang di dalamnya Opera memublikasikan kerentanan yang telah dilaporkan kepadanya oleh peneliti eksternal, beserta analisis dan versi yang telah diperbaiki—ini adalah kerentanan browser, bukan insiden VPN, dan tidak ada insiden VPN yang diketahui.

C05 adalah not_sold. VPN gratis ini sama sekali tidak memiliki langkah pembayaran—tidak ada langganan, tidak ada akun—jadi tidak ada yang perlu dibayar secara anonim ataupun sebaliknya.

Berkas ini pertama kali ditulis sebagai none, yang terbaca sebagai "hanya metode pembayaran yang teridentifikasi yang ditawarkan" dan salah dalam kasus ini, karena kosakatanya tidak memiliki token untuk layanan yang tidak menerima uang; unknown akan menyatakan bahwa pencarian gagal, yang juga salah, dan di antara dua pembacaan yang keliru, yang merugikan penyedia dicatat. Token tersebut sekarang tersedia dan harganya nihil, yang merupakan jawaban yang jujur: jika tidak ada pembayaran, tidak ada identitas pembayaran yang dapat bocor.