ExpressVPN vs Opera VPN

X02 è l'accertamento su cui poggia il resto, ed entrambi i documenti su cui si basa sono di Opera. L'annuncio del 2024 cita il parere di Deloitte secondo cui «la configurazione dei sistemi IT e la gestione delle operazioni IT di supporto sono state adeguatamente progettate e implementate, sotto ogni aspetto rilevante, sulla base dei criteri descritti nella Management Assertion di Opera, al 10 agosto 2024», e attribuisce separatamente la frase «La funzionalità di registrazione dei dati non è integrata nel servizio VPN e non viene raccolto alcun dato» alla Management Assertion di Opera.

Il post del 2026 ripercorre lo stesso incarico presentando Deloitte come autore dell'accertamento: «abbiamo dato al team di Deloitte accesso completo alla nostra VPN e alla nostra infrastruttura dei server, e il team ha potuto verificare la nostra dichiarazione ... In effetti, una funzione di registrazione dei dati non è nemmeno integrata nella VPN». Lo stesso post trasforma una finestra che il post del 2024 data al 18 giugno in «accesso completo» al 10 agosto 2024.

Opera descrive la propria dichiarazione come la conclusione del proprio auditor. Per questo il blocco VERIFY è suddiviso in questo modo. V01 è yes_verified sulla base di un rapporto effettivamente consultato — la sintesi gestionale pubblicata da Cure53 della propria valutazione del marzo 2022 — e non sulla base dell'annuncio di Deloitte.

Il rapporto di Deloitte non è pubblicato da nessuna parte, quindi V02 è press_only, e ogni campo che è una risultanza di quel rapporto anziché un fatto sull'incarico resta sconosciuto: copertura della flotta (V04), standard di assurance (V07), ciò che il rapporto dichiara essere soggetto a conservazione (V11) e solidità del parere (V15).

I fatti sull'incarico — lo studio, la sua categoria, la data, ciò che era indicato come oggetto dei test — sono ricavati dall'annuncio. Un fornitore che ha dimostrabilmente ridefinito una volta questo audit non è una fonte per ciò che l'audit ha concluso. C01 è none_linkable perché questa è la dichiarazione nell'informativa sulla privacy; V11 è la risultanza, e non c'è alcuna risultanza da leggere.

Il rapporto di Cure53 è reale ed è il motivo per cui V14 è yes_verified: sette tester, ventiquattro giornate-persona, white-box su quattro pacchetti di lavoro che coprivano i client VPN, la configurazione e l'infrastruttura del server, nonché il protocollo Opera Mini utilizzato per fornire la configurazione VPN. Quattordici problemi rilevanti per la sicurezza, otto dei quali vere vulnerabilità, cinque classificati di gravità elevata e nessuno critico.

Al marzo 2022 nove erano stati risolti con le correzioni verificate, uno era stato risolto parzialmente, tre avevano il rischio accettato, uno era un falso allarme e uno era ancora in corso. Il blog di Opera afferma che i sette elementi direttamente collegati alla VPN del browser erano "all subsequently resolved", e la tabella lo conferma: gli elementi residui si trovano nel pacchetto di lavoro Opera Mini, non nella VPN stessa.

La proprietà è interamente dichiarata e termina in un paese con obbligo, motivo per cui X03 e C11 puntano in direzioni opposte senza contraddirsi.

Il titolare del trattamento indicato nell'informativa sulla privacy di Opera è Opera Norway AS, una società norvegese, e il rapporto sulla trasparenza è depositato a quel nome.

La società capogruppo è Opera Limited, una società esente costituita nelle Isole Cayman nel marzo 2018 senza operazioni sostanziali proprie. Il Form 20-F per il 2025 indica Hong Kong Kunlun Tech Holding Limited come azionista principale al 68,0%, una controllata di Kunlun Tech Co., Ltd. costituita nella RPC, e dichiara che Kunlun "is the ultimate parent of Opera and is controlled by Opera's executive chairman".

Quindi M06 è NO e C10 è no, mentre M11 è CN e C11 è yes.

C12 è la lacuna più netta tra la dichiarazione della VPN e l'applicazione in cui risiede. La sezione sulla VPN dell'informativa sulla privacy dichiara l'assenza di registrazione; una sezione diversa dello stesso documento afferma che quando un'applicazione Opera viene installata "viene generato un ID di installazione casuale. Raccogliamo questo identificatore, oltre a Machine ID, specifiche hardware (modello, data di rilascio, ecc.), sistema operativo, configurazione dell'ambiente e dati sull'uso delle funzionalità", conservati per un massimo di tre anni.

Un Machine ID è derivato dall'hardware, quindi l'identificatore in possesso del fornitore è persistent_hardware_id e non uno casuale associato all'app, indipendentemente dal fatto che il tunnel registri o meno.

X12 confronta due documenti depositati dalla stessa Opera. Il modulo Play sulla sicurezza dei dati per com.opera.browser dichiara che Installed apps viene raccolto per Analytics, mentre l'informativa sulla privacy non menziona mai la raccolta delle applicazioni installate sul dispositivo. Installed apps è un comportamento, non un identificatore, da cui undisclosed_behaviour.

Lo stesso modulo dichiara che Device or other IDs viene condiviso con altre aziende per la pubblicità, ed è questo che porta C07a a ads. C07b si basa su qualcosa di più circoscritto ed è contrassegnato con B per questo motivo: l'unico host di terze parti presente nel markup servito per la pagina del prodotto è Google Tag Manager, e ciò che quel contenitore carica durante l'esecuzione non è stato enumerato.

U02 è sconosciuto per come è progettato il prodotto, non per un mancato risultato della ricerca: la VPN gratuita offre tre regioni — Opera le chiama America, Asia ed Europa — e non indica mai un paese. C09 e C09b ne conseguono e non possono essere accertati finché questa situazione permane.

X05 è ads_supported nell'approfondimento di Opera, che colloca la pubblicità al primo posto tra tre fonti di ricavo e descrive Opera Ads mentre raccoglie un ID utente generato casualmente, la città o il paese e ampie categorie di siti visitati, conservati per un massimo di un anno; insieme a U05 = unlimited_free, questo è esattamente il caso che R15 serve a segnalare.

X06 è la dichiarazione del post del 2026 secondo cui AES-256 "richiederebbe a un hacker, anche con il computer più veloce, più di un miliardo di anni per essere violato". X09 è self_disclosed_prompt in due post del 2026 nei quali Opera ha pubblicato vulnerabilità che ricercatori esterni le avevano segnalato, insieme all'analisi e alla versione corretta: si tratta di vulnerabilità del browser, non di incidenti VPN, e non è noto alcun incidente VPN.

C05 è not_sold. La VPN gratuita non prevede alcun passaggio di pagamento: nessun abbonamento, nessun account; quindi non c'è nulla da pagare, anonimamente o altrimenti.

Questa scheda è stata inizialmente registrata come none, che si legge come «sono offerti solo i metodi di pagamento identificati», ed è falso in questo caso, perché il vocabolario non aveva alcun token per un servizio che non incassa denaro; unknown avrebbe affermato che la ricerca non era riuscita, cosa anch'essa falsa, e tra due interpretazioni errate è stata registrata quella che sbaglia a sfavore del fornitore. Il token esiste ora e ha un prezzo pari a zero, che è la risposta onesta: dove non c'è pagamento, non c'è alcuna identità di pagamento da divulgare.