Mullvad VPN vs Opera VPN

Perché il conteggio è otto. Il conteggio degli audit è otto perché la revisione di GotaTun non rientra nella lista propria del repository dell’app. Prima di questi, una revisione X41 D-Sec di 30 giornate-persona su tutte e cinque le piattaforme aveva rilevato sei vulnerabilità — tre alte, due medie, una bassa, nessuna critica.

Ciò che nessun incarico copre. Nessuno di questi incarichi copre la flotta di server: ognuno esamina l’app o il protocollo del tunnel, motivo per cui la copertura della flotta è registrata come non applicabile, anziché come campione. La dichiarazione di assenza di log sul lato dell’infrastruttura si basa quindi sul mandato di perquisizione dell’aprile 2023 — la polizia svedese è andata a cercare i dati dei clienti e se n’è andata senza trovarli — e non su un audit.

Build riproducibili, solo Android. Le build riproducibili sono disponibili solo su Android, dalla versione 2025.2 in poi, quindi il campo resta parziale; le build desktop e iOS non sono verificabili bit per bit. Turkey è l’unico paese con obbligo nell’elenco offerto e l’hosting che vi sta dietro non è accertato.

Nulla di pubblicato sulle richieste. Nulla nella scheda si basa su qualcosa che il fornitore pubblichi sulle richieste che riceve: non esistono né un rapporto sulla trasparenza né un warrant canary, quindi il sequestro dell’aprile 2023 costituisce da solo questa base. La copertura del kill switch e la politica P2P non sono accertate; l’audit più recente è una revisione del codice del protocollo, non un incarico sui no-logs, quindi V11 non si pronuncia e la conservazione si basa sulla dichiarazione.

Perché il punteggio non dipende da questo. Sia il prezzo accertato sia quello sconosciuto valgono 0,000, quindi nulla nel punteggio dipende da questo; ciò che manca è la scheda, non il numero, e la prossima esecuzione dovrebbe iniziare dai documenti depositati da Kunlun e dal registro federale dei procedimenti, non da un loro riepilogo.

Il report che sposterebbe quattro campi. Il report di Deloitte è l'altro documento che sposterebbe diversi campi in una volta sola: V04, V07, V11 e V15 sono tutti sconosciuti solo perché non è pubblicato, e V11 in particolare è il campo su cui poggia l'intera dichiarazione di assenza di log.

Ciò per cui non esiste alcun documento. U07 non ha alcun documento e lo stesso vale per C13, che ne è alla base: Opera nomina AES-256 e un «secure tunnel», ma mai un protocollo, quindi il trasporto più debole tra quelli offerti non è accertato. U08, U09 e U12b non sono compilati per lo stesso motivo: la tabella di confronto delle funzionalità nella pagina del prodotto contrassegna le righe con segni di spunta che il markup recuperato non contiene, e leggere i segni di spunta da un'immagine renderizzata non costituisce una fonte.

Server descritti, non supportati da prove. C02, C06 e C08 non hanno alcuna prova a sostegno: Opera afferma che i server sono fisici e di sua proprietà, il che non accerta né il disco né il DNS né chi possiede l'hardware. Non è possibile rispondere a C09b finché U02 è sconosciuto.

Un solo store, non due. È stato esaminato soltanto il modulo sulla sicurezza dei dati di Google Play; le etichette sulla privacy dell'App Store per il browser iOS non sono state esaminate, quindi X12 si basa su un solo store anziché sul peggiore dei due.

Due interpretazioni anziché dichiarazioni. Linux in U01 è dedotto dal manuale di assistenza desktop, che documenta la VPN e tratta insieme Windows, macOS e Linux senza distinguerli per piattaforma; Android e iOS sono nominati esplicitamente nell'annuncio dell'audit. U10 è illimitato perché non esistono né un account né un limite di dispositivi da applicare, il che è un'interpretazione del prodotto anziché un dato dichiarato.

X02 è l'accertamento su cui poggia il resto, ed entrambi i documenti su cui si basa sono di Opera. L'annuncio del 2024 cita il parere di Deloitte secondo cui «la configurazione dei sistemi IT e la gestione delle operazioni IT di supporto sono state adeguatamente progettate e implementate, sotto ogni aspetto rilevante, sulla base dei criteri descritti nella Management Assertion di Opera, al 10 agosto 2024», e attribuisce separatamente la frase «La funzionalità di registrazione dei dati non è integrata nel servizio VPN e non viene raccolto alcun dato» alla Management Assertion di Opera.

Il post del 2026 ripercorre lo stesso incarico presentando Deloitte come autore dell'accertamento: «abbiamo dato al team di Deloitte accesso completo alla nostra VPN e alla nostra infrastruttura dei server, e il team ha potuto verificare la nostra dichiarazione ... In effetti, una funzione di registrazione dei dati non è nemmeno integrata nella VPN». Lo stesso post trasforma una finestra che il post del 2024 data al 18 giugno in «accesso completo» al 10 agosto 2024.

Opera descrive la propria dichiarazione come la conclusione del proprio auditor. Per questo il blocco VERIFY è suddiviso in questo modo. V01 è yes_verified sulla base di un rapporto effettivamente consultato — la sintesi gestionale pubblicata da Cure53 della propria valutazione del marzo 2022 — e non sulla base dell'annuncio di Deloitte.

Il rapporto di Deloitte non è pubblicato da nessuna parte, quindi V02 è press_only, e ogni campo che è una risultanza di quel rapporto anziché un fatto sull'incarico resta sconosciuto: copertura della flotta (V04), standard di assurance (V07), ciò che il rapporto dichiara essere soggetto a conservazione (V11) e solidità del parere (V15).

I fatti sull'incarico — lo studio, la sua categoria, la data, ciò che era indicato come oggetto dei test — sono ricavati dall'annuncio. Un fornitore che ha dimostrabilmente ridefinito una volta questo audit non è una fonte per ciò che l'audit ha concluso. C01 è none_linkable perché questa è la dichiarazione nell'informativa sulla privacy; V11 è la risultanza, e non c'è alcuna risultanza da leggere.

Il rapporto di Cure53 è reale ed è il motivo per cui V14 è yes_verified: sette tester, ventiquattro giornate-persona, white-box su quattro pacchetti di lavoro che coprivano i client VPN, la configurazione e l'infrastruttura del server, nonché il protocollo Opera Mini utilizzato per fornire la configurazione VPN. Quattordici problemi rilevanti per la sicurezza, otto dei quali vere vulnerabilità, cinque classificati di gravità elevata e nessuno critico.

Al marzo 2022 nove erano stati risolti con le correzioni verificate, uno era stato risolto parzialmente, tre avevano il rischio accettato, uno era un falso allarme e uno era ancora in corso. Il blog di Opera afferma che i sette elementi direttamente collegati alla VPN del browser erano "all subsequently resolved", e la tabella lo conferma: gli elementi residui si trovano nel pacchetto di lavoro Opera Mini, non nella VPN stessa.

La proprietà è interamente dichiarata e termina in un paese con obbligo, motivo per cui X03 e C11 puntano in direzioni opposte senza contraddirsi.

Il titolare del trattamento indicato nell'informativa sulla privacy di Opera è Opera Norway AS, una società norvegese, e il rapporto sulla trasparenza è depositato a quel nome.

La società capogruppo è Opera Limited, una società esente costituita nelle Isole Cayman nel marzo 2018 senza operazioni sostanziali proprie. Il Form 20-F per il 2025 indica Hong Kong Kunlun Tech Holding Limited come azionista principale al 68,0%, una controllata di Kunlun Tech Co., Ltd. costituita nella RPC, e dichiara che Kunlun "is the ultimate parent of Opera and is controlled by Opera's executive chairman".

Quindi M06 è NO e C10 è no, mentre M11 è CN e C11 è yes.

C12 è la lacuna più netta tra la dichiarazione della VPN e l'applicazione in cui risiede. La sezione sulla VPN dell'informativa sulla privacy dichiara l'assenza di registrazione; una sezione diversa dello stesso documento afferma che quando un'applicazione Opera viene installata "viene generato un ID di installazione casuale. Raccogliamo questo identificatore, oltre a Machine ID, specifiche hardware (modello, data di rilascio, ecc.), sistema operativo, configurazione dell'ambiente e dati sull'uso delle funzionalità", conservati per un massimo di tre anni.

Un Machine ID è derivato dall'hardware, quindi l'identificatore in possesso del fornitore è persistent_hardware_id e non uno casuale associato all'app, indipendentemente dal fatto che il tunnel registri o meno.

X12 confronta due documenti depositati dalla stessa Opera. Il modulo Play sulla sicurezza dei dati per com.opera.browser dichiara che Installed apps viene raccolto per Analytics, mentre l'informativa sulla privacy non menziona mai la raccolta delle applicazioni installate sul dispositivo. Installed apps è un comportamento, non un identificatore, da cui undisclosed_behaviour.

Lo stesso modulo dichiara che Device or other IDs viene condiviso con altre aziende per la pubblicità, ed è questo che porta C07a a ads. C07b si basa su qualcosa di più circoscritto ed è contrassegnato con B per questo motivo: l'unico host di terze parti presente nel markup servito per la pagina del prodotto è Google Tag Manager, e ciò che quel contenitore carica durante l'esecuzione non è stato enumerato.

U02 è sconosciuto per come è progettato il prodotto, non per un mancato risultato della ricerca: la VPN gratuita offre tre regioni — Opera le chiama America, Asia ed Europa — e non indica mai un paese. C09 e C09b ne conseguono e non possono essere accertati finché questa situazione permane.

X05 è ads_supported nell'approfondimento di Opera, che colloca la pubblicità al primo posto tra tre fonti di ricavo e descrive Opera Ads mentre raccoglie un ID utente generato casualmente, la città o il paese e ampie categorie di siti visitati, conservati per un massimo di un anno; insieme a U05 = unlimited_free, questo è esattamente il caso che R15 serve a segnalare.

X06 è la dichiarazione del post del 2026 secondo cui AES-256 "richiederebbe a un hacker, anche con il computer più veloce, più di un miliardo di anni per essere violato". X09 è self_disclosed_prompt in due post del 2026 nei quali Opera ha pubblicato vulnerabilità che ricercatori esterni le avevano segnalato, insieme all'analisi e alla versione corretta: si tratta di vulnerabilità del browser, non di incidenti VPN, e non è noto alcun incidente VPN.

C05 è not_sold. La VPN gratuita non prevede alcun passaggio di pagamento: nessun abbonamento, nessun account; quindi non c'è nulla da pagare, anonimamente o altrimenti.

Questa scheda è stata inizialmente registrata come none, che si legge come «sono offerti solo i metodi di pagamento identificati», ed è falso in questo caso, perché il vocabolario non aveva alcun token per un servizio che non incassa denaro; unknown avrebbe affermato che la ricerca non era riuscita, cosa anch'essa falsa, e tra due interpretazioni errate è stata registrata quella che sbaglia a sfavore del fornitore. Il token esiste ora e ha un prezzo pari a zero, che è la risposta onesta: dove non c'è pagamento, non c'è alcuna identità di pagamento da divulgare.