Opera VPN

サーバーは記述されているが、根拠はない。 C02、C06、C08には根拠がない。Operaはサーバーが物理サーバーであり、自社所有であると述べているが、それによってディスク、DNS、ハードウェアの所有者のいずれも確認できるわけではない。U02が不明である間は、C09bには回答できない。

ストアは2つではなく1つ。 Google Playのデータセーフティフォームだけを確認した。iOSブラウザーのApp Storeプライバシーラベルは確認していないため、X12は2つのストアのうち悪い方ではなく、1つのストアに基づいている。

記述ではなく、2つの解釈。 U01のLinuxはデスクトップのヘルプマニュアルから推定したものである。同マニュアルはVPNについて説明し、Windows、macOS、Linuxをプラットフォーム別に分けずにまとめて扱っている。AndroidとiOSは監査の告知で明示的に記載されている。U10が無制限なのは、アカウントもデバイス上限もなく、それを適用するものがないためであり、これは明示された数値ではなく、製品についての解釈である。

2026年の投稿は、同じ業務について、Deloitteが確認を行ったと改めて説明している。「私たちはDeloitteのチームにVPNとサーバーインフラストラクチャへの完全なアクセスを提供し、同チームは私たちの主張を検証することができた。実際、そもそもデータロギング機能はVPNに組み込まれていない」。同じ投稿は、2024年の投稿が6月18日から8月10日までとした期間を、「完全なアクセス」へと格上げしている。

Operaは、自社の主張を監査人の結論として説明しています。それが、VERIFYブロックがこのように分かれる理由です。V01がyes_verifiedなのは、Deloitteの発表によるのではなく、実際に開かれたレポート、すなわちCure53が公開した2022年3月の評価に関する独自の管理サマリーに基づいています。

Deloitteのレポート自体はどこにも公開されていないため、V02はpress_onlyです。また、そのエンゲージメントに関する事実ではなく、そのレポートの所見であるすべてのフィールドは不明のままです。対象フリート（V04）、保証基準（V07）、レポートが保持されていると述べている内容（V11）、意見の強さ（V15）がこれに該当します。

エンゲージメントの事実、すなわち会社、そのカテゴリー、日付、テスト対象として記載された内容は、発表から取得しています。この監査を一度でも別のものとして再記述したベンダーは、監査の結論についての情報源にはなりません。C01がnone_linkableなのは、それがプライバシーステートメントにおける宣言だからです。V11は所見であり、読むべき所見はありません。

Cure53のレポートは実在し、V14がyes_verifiedである理由です。7人のテスター、24人日、4つの作業パッケージにわたるホワイトボックス方式で、VPNクライアント、サーバー設定とインフラストラクチャー、そしてVPN設定の配信に使用されるOpera Miniプロトコルを対象としていました。セキュリティ関連の問題は14件で、そのうち実際の脆弱性が8件、高重大度と評価されたものが5件、重大なものはありませんでした。

2022年3月時点で、9件は修正済みで修正が確認済み、1件は部分的に修正済み、3件はリスク受容、1件は誤警告、1件は対応中でした。Operaのブログは、ブラウザVPNに直接関係する7項目は「その後すべて解決された」と述べており、表もそれを裏付けています。残っているものはVPN自体ではなく、Opera Miniの作業パッケージにあります。

所有権は完全に公開されており、最終的に義務のある国に至るため、X03とC11は互いに反対の方向を示しますが、矛盾していません。

Opera自身のプライバシーステートメントで指定されているデータ管理者は、ノルウェー企業のOpera Norway ASであり、透明性レポートはその名義で提出されています。

持株会社はOpera Limitedです。これは2018年3月にケイマン諸島で設立された免除会社で、自社の実質的な事業はありません。2025年のForm 20-Fは、Hong Kong Kunlun Tech Holding Limitedを68.0%の主要株主として挙げています。同社はPRCで設立されたKunlun Tech Co., Ltd.の子会社であり、Kunlunについて「Operaの最終親会社であり、Operaの執行会長によって支配されている」と述べています。

したがってM06はNOでC10はno、一方M11はCNでC11はyesです。

C12は、VPNの申告と、それが組み込まれているアプリケーションとの間にある最も明確な空白です。プライバシー声明のVPNセクションはログ記録なしと宣言していますが、同じ文書の別のセクションには、Operaアプリケーションがインストールされると「ランダムなインストールIDが生成されます。私たちはこの識別子に加え、Machine ID、ハードウェア仕様（モデル、リリース日など）、オペレーティングシステム、環境設定、機能の使用データを収集します」と記載されており、最長3年間保持されます。

Machine IDはハードウェアに由来するため、プロバイダーが保持する識別子は、トンネルがログを記録するかどうかにかかわらず、アプリスコープのランダムなものではなくpersistent_hardware_idです。