IVPN vs Opera VPN

2026年の投稿は、同じ業務について、Deloitteが確認を行ったと改めて説明している。「私たちはDeloitteのチームにVPNとサーバーインフラストラクチャへの完全なアクセスを提供し、同チームは私たちの主張を検証することができた。実際、そもそもデータロギング機能はVPNに組み込まれていない」。同じ投稿は、2024年の投稿が6月18日から8月10日までとした期間を、「完全なアクセス」へと格上げしている。

Operaは、自社の主張を監査人の結論として説明しています。それが、VERIFYブロックがこのように分かれる理由です。V01がyes_verifiedなのは、Deloitteの発表によるのではなく、実際に開かれたレポート、すなわちCure53が公開した2022年3月の評価に関する独自の管理サマリーに基づいています。

Deloitteのレポート自体はどこにも公開されていないため、V02はpress_onlyです。また、そのエンゲージメントに関する事実ではなく、そのレポートの所見であるすべてのフィールドは不明のままです。対象フリート（V04）、保証基準（V07）、レポートが保持されていると述べている内容（V11）、意見の強さ（V15）がこれに該当します。

エンゲージメントの事実、すなわち会社、そのカテゴリー、日付、テスト対象として記載された内容は、発表から取得しています。この監査を一度でも別のものとして再記述したベンダーは、監査の結論についての情報源にはなりません。C01がnone_linkableなのは、それがプライバシーステートメントにおける宣言だからです。V11は所見であり、読むべき所見はありません。

Cure53のレポートは実在し、V14がyes_verifiedである理由です。7人のテスター、24人日、4つの作業パッケージにわたるホワイトボックス方式で、VPNクライアント、サーバー設定とインフラストラクチャー、そしてVPN設定の配信に使用されるOpera Miniプロトコルを対象としていました。セキュリティ関連の問題は14件で、そのうち実際の脆弱性が8件、高重大度と評価されたものが5件、重大なものはありませんでした。

2022年3月時点で、9件は修正済みで修正が確認済み、1件は部分的に修正済み、3件はリスク受容、1件は誤警告、1件は対応中でした。Operaのブログは、ブラウザVPNに直接関係する7項目は「その後すべて解決された」と述べており、表もそれを裏付けています。残っているものはVPN自体ではなく、Opera Miniの作業パッケージにあります。

所有権は完全に公開されており、最終的に義務のある国に至るため、X03とC11は互いに反対の方向を示しますが、矛盾していません。

Opera自身のプライバシーステートメントで指定されているデータ管理者は、ノルウェー企業のOpera Norway ASであり、透明性レポートはその名義で提出されています。

持株会社はOpera Limitedです。これは2018年3月にケイマン諸島で設立された免除会社で、自社の実質的な事業はありません。2025年のForm 20-Fは、Hong Kong Kunlun Tech Holding Limitedを68.0%の主要株主として挙げています。同社はPRCで設立されたKunlun Tech Co., Ltd.の子会社であり、Kunlunについて「Operaの最終親会社であり、Operaの執行会長によって支配されている」と述べています。

したがってM06はNOでC10はno、一方M11はCNでC11はyesです。

C12は、VPNの申告と、それが組み込まれているアプリケーションとの間にある最も明確な空白です。プライバシー声明のVPNセクションはログ記録なしと宣言していますが、同じ文書の別のセクションには、Operaアプリケーションがインストールされると「ランダムなインストールIDが生成されます。私たちはこの識別子に加え、Machine ID、ハードウェア仕様（モデル、リリース日など）、オペレーティングシステム、環境設定、機能の使用データを収集します」と記載されており、最長3年間保持されます。

Machine IDはハードウェアに由来するため、プロバイダーが保持する識別子は、トンネルがログを記録するかどうかにかかわらず、アプリスコープのランダムなものではなくpersistent_hardware_idです。

X12は、Opera自身が提出した2つの文書を比較します。com.opera.browserのPlayデータセーフティフォームは、分析のためにInstalled appsを収集すると宣言していますが、プライバシー声明はデバイスにインストールされたアプリケーションの収集についてまったく言及していません。Installed appsは識別子ではなく挙動であるため、undisclosed_behaviourです。

同じフォームは、広告のためにDevice or other IDsを他社と共有すると宣言しており、それによってC07aはadsとなります。C07bはそれより狭い事項に基づいており、そのためBと記録されています。製品ページのマークアップで提供される第三者ホストはGoogle Tag Managerだけであり、そのコンテナが実行時に読み込むものは列挙されていません。

U02が不明なのは検索の失敗ではなく、製品の設計によるものです。無料VPNは3地域を提供し、OperaはそれらをAmerica、Asia、Europeと呼んでいますが、国名は一切示していません。C09とC09bはそこから導かれるため、この状態が続く限り確定できません。

X05はOpera自身の説明資料におけるads_supportedです。この資料は3つの収益源のうち広告を最初に挙げ、Opera Adsがランダムに生成されたユーザーID、市または国、閲覧したサイトの大まかなカテゴリーを収集し、最長1年間保持すると説明しています。これにU05 = unlimited_freeを組み合わせると、まさにR15がフラグを立てる対象です。

X06は、AES-256について「最速のコンピューターを使ったハッカーでさえ、解読するのに10億年以上かかるだろう」とする2026年の投稿の主張です。X09は、Operaが外部の研究者から報告を受けた脆弱性を、分析および修正済みバージョンとともに公開した2026年の2件の投稿におけるself_disclosed_promptです。これらはVPNのインシデントではなくブラウザーの脆弱性であり、既知のVPNインシデントはありません。

C05 は not_sold です。無料VPNには支払い手順がまったくありません。サブスクリプションもアカウントもないため、匿名であろうとなかろうと、支払うものはありません。

このレコードは当初 none として記録されました。これは「確認された支払い方法のみが提供される」と読めますが、ここでは誤りです。支払いを一切受け取らないサービスを表すトークンが、当時の語彙にはなかったためです。unknown とすれば検索に失敗したと主張することになり、それも誤りでした。2つの誤った読み方のうち、プロバイダーに不利な誤りを犯す方が記録されました。現在はそのトークンが存在し、料金はゼロです。これが正直な回答です。支払いがなければ、漏洩する支払い識別情報もありません。

契約が対象としたもの。 アプリの侵入テスト（iOS、Android、Electron、デーモン）は2022年3月のもので、ゲートウェイ／サーバーOSのレビューは2023年2月のものである。どちらもログなしという主張自体を検証しておらず、2023年のレポートはそのことを明記している。そのため、保持はプライバシーポリシーの宣言だけを根拠としている。

最新のレポートは該当するものではない。 2024年4月のエンゲージメントは、IVPNに対するCure53の6回目のエンゲージメントであり、顧客アカウントのウェブサイト、API、ホスティングを検査した。Cure53自身のスコープページではクライアントアプリとVPNサーバーが対象外とされているため、アプリまたはゲートウェイのエビデンスを拡張するものではなく、V03_audit_subjectもその分を繰り越さずunknownと記録される。新しいメールおよびDNSサービスを対象とした7回目のエンゲージメントは、2025年5月に実施予定であると発表されただけであり、そのレポートは公開されていない。

一次サイトで確認できないこと。 RAMのみは、IVPNがテスト展開を進めている移行として説明しており、完了を発表していないため、部分的として記録される。サーバーハードウェアの所有（リースか所有か）、出口でのトラフィック変更、実質的所有者個人の法域は確認されていない。IVPNの一次ページにはこの3点のいずれを記載したものもなく、ユーザーベースの規模も記載されていない。

初回入力時に最初に読んだページではなく、ナレッジベースが回答する3つのフィールド。 IPの割り当ては設計上共有されている。「crowding」により、帰属を困難にするため、1つのアドレスにユーザーを集める。P2Pはどこでも許可されているが、IVPNは上流事業者からのDMCAの圧力を理由に、米国の出口を避けるよう顧客に求めている。ストリーミングの保証はないが、同社は多くの顧客が実際にアクセスできていると述べている。