Opera VPN vs Surfshark

Sapa pihak katelu kasebut wis owah: pengumuman audit 2024 kandha yen server VPN Pro "diwenehake kanthi kerja sama karo Nord", lan panjelasan 2026 kandha yen VPN Pro "dilengkapi protokol Lightway generasi anyar", sing dadi duweke ExpressVPN. Ora ana dokumen sing kandha yen pengaturan kasebut wis owah.

X02 minangka temuan utama, lan rong dokumen sing dadi dhasare padha-padha duweke Opera. Pengumuman 2024 ngutip panemu Deloitte: "konfigurasi sistem IT lan manajemen operasi IT sing ndhukung wis dirancang lan ditrapake kanthi trep, ing kabeh bab sing material, adhedhasar kritéria sing diterangake ing Management Assertion Opera, per 10 Agustus 2024", lan kanthi kapisah nyandhangake ukara "Ora ana fungsi pencathetan data sing dibangun ing layanan VPN, lan ora ana data apa wae sing diklumpukake" marang Management Assertion duweke Opera dhewe.

Kiriman 2026 nyritakake maneh penugasan sing padha, kanthi kandha yen Deloitte sing nemokake temuan kasebut: "kita menehi tim Deloitte akses lengkap menyang VPN lan infrastruktur server kita, lan dheweke bisa verifikasi pratelan kita ... Nyatane, fungsi pencathetan data malah ora dibangun ing VPN wiwit wiwitan." Kiriman sing padha ngowahi periode sing ing kiriman 2024 diwenehi tanggal 18 Juni nganti 10 Agustus 2024 dadi "akses lengkap".

Opera nggambarake pratelane dhewe minangka kesimpulan auditore. Kuwi sebabe blok VERIFY kapisah kaya mangkono. V01 yaiku yes_verified adhedhasar laporan sing pancen dibukak — ringkesan manajemen sing diumumake dhewe dening Cure53 babagan asesmen Maret 2022 — dudu adhedhasar pengumuman Deloitte.

Laporan Deloitte dhewe ora diumumake ing ngendi wae, mula V02 yaiku press_only, lan saben kolom sing dadi temuan laporan kasebut, dudu fakta babagan penugasane, tetep ora dingerteni: cakupan armada (V04), standar assurance (V07), apa sing kasebut laporan babagan panyimpenan (V11), lan kekuwatan opini (V15).

Fakta penugasan — perusahaan, kategorine, tanggal, lan apa sing kacathet dites — dijupuk saka pengumuman kasebut. Panyedhiya sing wis kabukten ngganti gambaran audit iki sepisan ora dadi sumber kanggo apa sing dadi kesimpulan audit. C01 yaiku none_linkable amarga kuwi pernyataan ing pratelan privasi; V11 yaiku temuane, lan ora ana temuan sing bisa diwaca.

Laporan Cure53 iku nyata lan dadi sebab V14 yaiku yes_verified: pitung tester, rong puluh papat dina-wong, white-box ing patang paket kerja sing nyakup klien VPN, konfigurasi lan infrastruktur server, uga protokol Opera Mini sing digunakake kanggo ngirim konfigurasi VPN. Ana patbelas masalah sing relevan karo kaamanan, wolung ing antarane minangka kerentanan nyata, lima dirating kanthi tingkat keparahan dhuwur lan ora ana sing kritis.

Per Maret 2022, sanga wis didandani lan pambenahane wis diverifikasi, siji didandani sebagian, telu risikone ditampa, siji minangka tandha palsu lan siji isih ing proses. Blog Opera nyebutake yen pitung item sing langsung ana gandhengane karo VPN browser "kabeh banjur dirampungake", lan tabel ndhukung kuwi — sisa kasus ana ing paket kerja Opera Mini, dudu ing VPN dhewe.

Kepemilikan diumumake kanthi lengkap lan pungkasane ana ing negara mandat, mula X03 lan C11 nuding arah kosok balen tanpa mbantah siji lan sijine.

Pengontrol data sing disebut ing pratelan privasi Opera dhewe yaiku Opera Norway AS, sawijining perusahaan Norwegia, lan laporan transparansi diajukake nganggo jeneng kuwi.

Perusahaan induke yaiku Opera Limited, perusahaan exempted sing diinkorporasi ing Kepulauan Cayman ing Maret 2018 tanpa operasi substantif dhewe. Form 20-F kanggo 2025 nyebut Hong Kong Kunlun Tech Holding Limited minangka pemegang saham utama kanthi 68,0%, sawijining anak perusahaan Kunlun Tech Co., Ltd. sing diinkorporasi ing PRC, lan nyatakake yen Kunlun "yaiku induk utama Opera lan dikontrol dening ketua eksekutif Opera".

Dadi M06 iku NO lan C10 iku no, dene M11 iku CN lan C11 iku yes.

C12 iku sela sing paling cetha antarane pratelan VPN lan aplikasi panggonane. Bagean VPN ing pratelan privasi nyatakake ora ana logging; bagean liyane ing dokumen sing padha kandha yen nalika aplikasi Opera diinstal, "ID instalasi acak digawe. Kita nglumpukake identifier iki, uga Machine ID, spesifikasi hardware (model, tanggal rilis, lan sapanunggalane), sistem operasi, konfigurasi lingkungan, lan data panggunaan fitur", sing disimpen nganti telung taun.

Machine ID asalé saka hardware, mula identifier sing dicekel panyedhiya iku persistent_hardware_id lan dudu identifier acak sing winates ing aplikasi, apa wae sing dicathet utawa ora dicathet dening tunnel.

X12 mbandhingake rong dokumen sing diajukake Opera dhewe. Formulir Play data-safety kanggo com.opera.browser nyatakake Installed apps diklumpukake kanggo Analytics, dene pratelan privasi babar pisan ora nyebutake pangumpulan aplikasi sing diinstal ing piranti. Installed apps iku prilaku, dudu identifier, mula asilé undisclosed_behaviour.

Formulir sing padha nyatakake Device or other IDs dienggo bareng karo perusahaan liyane kanggo advertising, lan kuwi sing ndadekake C07a ana ing ads. C07b dhasare luwih sempit lan ditandhani B amarga kuwi: siji-sijine host pihak katelu ing markup sing dilayani kanggo kaca produk yaiku Google Tag Manager, lan apa sing dimuat kontainer kuwi nalika runtime ora dirinci.

U02 ora dingerteni amarga rancangan produke, dudu amarga telusuran gagal: VPN gratis iki nawakake telung wilayah — Opera nyebut Amerika, Asia lan Eropa — lan ora nate nyebut negara. C09 lan C09b asalé saka kuwi lan ora bisa ditetepake nalika kahanan iki isih ana.

X05 iku ads_supported ing panjelasan Opera dhewe, sing ndhaptar advertising minangka sing pisanan saka telung sumber pendapatan lan nerangake yen Opera Ads nglumpukake ID pangguna sing digawe kanthi acak, kutha utawa negara lan kategori umum situs sing dibukak, sing disimpen nganti setaun; bebarengan karo U05 = unlimited_free, iki persis kasus sing digawe R15 kanggo ditandhani.

X06 iku pratelan ing postingan 2026 yen AES-256 "butuh luwih saka sakmilyar taun kanggo dibobol dening hacker, sanajan nganggo komputer sing paling cepet". X09 iku self_disclosed_prompt ing rong postingan 2026 nalika Opera nerbitake kerentanan sing wis dilaporake dening peneliti njaba, bebarengan karo analisis lan versi sing wis dibenerake — iki kerentanan browser, dudu insiden VPN, lan ora ana insiden VPN sing dingerteni.

C05 iku not_sold. VPN gratis iki babar pisan ora duwe langkah pambayaran - ora ana langganan, ora ana akun - mula ora ana sing kudu dibayar kanthi anonim utawa kanthi cara liya.

Cathetan iki pisanan ditulis minangka none, sing tegese "mung cara pambayaran sing diidentifikasi sing ditawakake" lan iki ora bener ing kene, amarga wektu iku kosakatane ora duwe token kanggo layanan sing ora njupuk dhuwit; unknown bakal tegese panelusuran gagal, sing uga ora bener, lan ing antarane rong pangerten sing padha-padha salah, sing nyimpang nglawan panyedhiya sing dicathet. Token kasebut saiki wis ana lan regane ora ana, sing dadi jawaban sing jujur: yen ora ana pambayaran, ora ana identitas pambayaran sing bisa bocor.

Cathetan iki sadurunge diwaca kaping pindho — connection_timestamps ing V11 saka tembung ing audit, source_ip ing C01 saka tembung ing kabijakan — lan diwenehi biji adhedhasar sing luwih ala saka loro, sing ndadekake penyangga limalas menit nyuda biji luwih akeh tinimbang yen ora ngomong apa-apa: kolom kosong ing C01 yaiku prior pasar 0,550 lan source_ip yaiku 0,750.

R29 saiki netepake wates: data sing dibusak sajrone wektu sing wis ditemtokake lan digandhengake karo pungkasan sesi iku sambungan, dudu cathetan babagan sambungan kasebut, mula kaloro kolom kasebut maca connection_timestamps ing ukara sing padha. Sing isih diitung yaiku sing tetep ana sawise sesi — tanggal login pungkasan ing bagean 2.3.1 kabijakan lan connection timestamps sing dijenengi auditor.

Surfshark lan NordVPN nduweni pamilik utama sing padha (Nord Security, wiwit 2022), nanging kaca babagan awake dhewe duweke Surfshark nyatakake yen merek kasebut gabung "nalika tetep makarya kanthi mandiri" kanthi infrastruktur sing kapisah — M18 disetel dadi kapisah adhedhasar kuwi, selaras karo cathetan nordvpn.com.

U12a parsial, dudu ya, ing kolom P2P duweke tabel server dhewe: 88 saka 100 negara sing didaftarake nduweni label kasebut lan rolas ora (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolom kasebut digambar ing sisih klien, mula diwaca saka tabel sing wis dirender, dudu saka HTML statis, ing kono saben baris ngemot kabeh label.

Laporan transparansi ing /transparency-report — sing saiki dadi pangalihan saka /warrant-canary — ngemot kuartal April-Juni 2026 minangka tabel: 374,719 kabar DMCA, 33 pitakon saka institusi pamarentah, 1 warrant, 0 national security letters lan 0 printah bungkem. P08 ngetung 34 panjaluk hukum kasebut lan ora ngetung kabar DMCA: kuwi minangka komplain hak cipta babagan lalu lintas, dudu panjaluk data pangguna.

Kaca sing padha nyatakake yen Surfshark bakal mungkasi warrant canary lan nggantine nganggo laporan saben kuartal, mula P07 dibusak, dudu disetel dadi ora ana — canary kasebut pancen tau ana lan sengaja ditarik.

Laporan sing bakal ngowahi patang kolom. Laporan Deloitte minangka dokumen liyane sing bakal ngowahi sawetara kolom sekaligus: V04, V07, V11 lan V15 kabeh ora dingerteni mung amarga laporan kasebut ora diumumake, lan V11 mligine minangka kolom sing dadi dhasar kabeh klaim tanpa log.

Sing ora duwe dokumen. U07 ora duwe dokumen lan C13 ing mburine uga ora duwe: Opera nyebut AES-256 lan "secure tunnel" lan ora tau nyebut protokol, mula transportasi paling ringkih sing ditawakake durung kabukti. U08, U09 lan U12b ora diisi amarga alasan sing padha - tabel perbandingan fitur ing kaca produk menehi tandha centhang ing baris, nanging markup sing dijupuk ora ngemot tandha kasebut, lan maca tandha centhang saka gambar sing wis dirender dudu sumber.

Server diterangake, nanging ora dibuktekake. C02, C06 lan C08 ora duwe bukti: Opera kandha server kasebut fisik lan duweke dhewe, sing ora netepake bab disk, DNS, utawa sapa sing duwe hardware. C09b ora bisa dijawab nalika U02 isih ora dingerteni.

Siji toko, dudu loro. Mung formulir keamanan data Google Play sing diwaca; label privasi App Store kanggo browser iOS ora diwaca, mula X12 adhedhasar siji toko, dudu asil sing luwih ala saka loro toko.

Rong pamacan, dudu pratelan. Linux ing U01 disimpulake saka manual pitulungan desktop, sing nyathet VPN lan nyakup Windows, macOS lan Linux bebarengan tanpa misahake miturut platform; Android lan iOS disebutake kanthi cetha ing pengumuman audit. U10 dianggep tanpa wates amarga ora ana akun lan ora ana wates piranti sing bisa ditrapake kanggo netepake wates kasebut, sing minangka pamacan tumrap produk, dudu angka sing dipratelakake.

India lan rezim printah rahasia. P04_mandate_response=withdrew_physical yaiku metu saka India ing Juni 2022, dipulihake saka blog dhewe Surfshark (surfshark.com/blog/surfshark-servers-certin-india) sawise telusuran sadurunge nemokake kaca /trust-center wis ora ngemot. P11=judicial_only adhedhasar laporan transparansi sing nuduhake surat perintah Amsterdam District Court ing April 2026 lan jumlah National-Security-letter lan printah rahasia ana ing nol.

Rong laporan ditemokake, bisa uga ora kabeh. Mung rong laporan no-logs saka Deloitte (Des 2022, Jun 2025) sing ditemokake wis diumumake; bisa uga ana liyane sing ora disambung saka robots.txt sing ora digoleki audit iki nganggo cara liya.