Opera VPN vs Surfshark

서버는 설명되었지만, 근거는 없음. C02, C06 및 C08의 뒷받침 근거는 전혀 없다. Opera는 서버가 물리적이며 자체 소유라고 말하지만, 이는 디스크도 DNS도 하드웨어 소유자가 누구인지도 확인하지 못한다. U02가 불명인 동안에는 C09b에 답할 수 없다.

스토어 하나이지, 둘이 아님. Google Play 데이터 안전성 양식만 검토했고, iOS 브라우저의 App Store 개인정보 보호 라벨은 검토하지 않았으므로 X12는 두 곳 중 더 불리한 쪽이 아니라 한 스토리에 근거한다.

명시가 아닌 두 가지 해석. U01의 Linux는 데스크톱 도움말 매뉴얼에서 추론한 것이다. 이 매뉴얼은 VPN을 설명하고 Windows, macOS 및 Linux를 플랫폼별로 나누지 않고 함께 다룬다. Android와 iOS는 감사 발표에서 명시적으로 언급된다. U10은 이를 시행할 계정도 기기 한도도 없으므로 무제한이다. 이는 명시된 수치가 아니라 제품에 대한 해석이다.

India와 비밀 명령 체제. P04_mandate_response=withdrew_physical는 2022년 6월 India 철수를 의미하며, 이전 조사에서 /trust-center 페이지에 더 이상 해당 내용이 없다는 사실을 확인한 뒤 Surfshark 자체 블로그(surfshark.com/blog/surfshark-servers-certin-india)에서 복원했다. P11=judicial_only는 투명성 보고서에 2026년 4월 Amsterdam District Court 영장과 National-Security-letter 및 gag-order 카운터가 0으로 표시된 사실에 근거한다.

두 보고서가 발견되었지만, 전부인지는 불명. 공개된 Deloitte no-logs 보고서는 두 건(2022년 12월, 2025년 6월)만 발견되었다. robots.txt에서 연결되지 않은 다른 보고서가 있을 수 있으며, 이 감사에서는 다른 방법으로 이를 찾지 않았다.

2026년 게시물은 같은 업무를 Deloitte가 판정을 수행한 것으로 다시 설명한다. "우리는 Deloitte 팀에 VPN과 서버 인프라에 대한 완전한 접근 권한을 제공했고, 팀은 우리의 주장을 검증할 수 있었다 ... 실제로 데이터 로깅 기능은 애초에 VPN에 내장되어 있지도 않다." 같은 게시물은 2024년 게시물이 2024년 6월 18일부터 8월 10일까지로 날짜를 제시한 기간을 "완전한 접근 권한"으로 격상한다.

Opera는 자체 주장을 감사인의 결론으로 서술하고 있다. VERIFY 블록이 이렇게 나뉘는 이유가 여기에 있다. V01은 Deloitte 발표에 근거한 것이 아니라, 실제로 열람한 보고서인 Cure53 자체의 2022년 3월 평가에 관한 공개 관리 요약에 근거하여 yes_verified이다.

Deloitte 보고서 자체는 어디에도 공개되어 있지 않으므로 V02는 press_only이며, 해당 보고서의 발견 사항이지 감사 업무에 관한 사실이 아닌 모든 필드는 불명으로 남는다. 즉 플릿 범위(V04), 보증 기준(V07), 보고서가 보존된다고 명시하는 내용(V11), 그리고 의견의 강도(V15)이다.

업무 관련 사실, 즉 해당 회사, 그 범주, 날짜, 테스트 대상으로 기재된 내용은 발표에서 가져온다. 이 감사를 한 번 명백히 다르게 규정한 벤더는 감사가 어떤 결론에 이르렀는지에 대한 출처가 아니다. C01이 none_linkable인 이유는 개인정보처리방침에 그렇게 선언되어 있기 때문이며, V11은 발견 사항이고 읽어낼 발견 사항은 없다.

Cure53의 보고서는 실제로 존재하며 V14가 yes_verified인 이유이다. 7명의 테스터, 24인일, VPN 클라이언트, 서버 구성 및 인프라, 그리고 VPN 구성을 전달하는 데 사용된 Opera Mini 프로토콜을 다루는 4개 작업 패키지에 대한 화이트박스 테스트가 수행되었다. 보안 관련 이슈는 14건이었고, 그중 8건은 실제 취약점이었으며, 5건은 높은 심각도로 평가되었고 치명적인 것은 없었다.

2022년 3월 기준으로 9건은 수정되었고 수정 사항이 검증되었으며, 1건은 부분 수정, 3건은 위험 수용, 1건은 오탐, 1건은 아직 진행 중이었다. Opera의 블로그는 브라우저 VPN과 직접 관련된 7개 항목이 "all subsequently resolved"라고 말하며, 표도 이를 뒷받침한다. 남은 항목은 VPN 자체가 아니라 Opera Mini 작업 패키지에 있다.

소유권은 완전히 공개되어 있고 의무 국가에서 끝나므로, X03과 C11은 서로 모순되지 않으면서 반대 방향을 가리킨다.

Opera 자체의 개인정보처리방침에 명시된 데이터 관리자는 노르웨이 회사인 Opera Norway AS이며, 투명성 보고서는 해당 명의로 제출되어 있다.

지주 회사는 2018년 3월 케이맨 제도에 설립된 자체 실질 영업이 없는 면제 회사인 Opera Limited다. 2025년 Form 20-F는 쿤룬 테크 유한회사(Kunlun Tech Co., Ltd.)의 자회사이자 PRC에 설립된 Hong Kong Kunlun Tech Holding Limited를 68.0%의 최대 주주로 명시하며, Kunlun이 "Opera의 최종 모회사이며 Opera의 집행 회장이 지배한다"고 밝힌다.

따라서 M06은 NO이고 C10은 no인 반면, M11은 CN이고 C11은 yes다.

C12는 VPN의 선언과 그것이 들어 있는 애플리케이션 사이의 가장 뚜렷한 공백이다. 개인정보 보호 성명의 VPN 섹션은 로그를 기록하지 않는다고 선언하지만, 같은 문서의 다른 섹션은 Opera 애플리케이션이 설치될 때 "무작위 설치 ID가 생성됩니다. 당사는 이 식별자와 Machine ID, 하드웨어 사양(모델, 출시일 등), 운영 체제, 환경 구성 및 기능 사용 데이터를 수집합니다"라고 밝히며, 이를 최대 3년간 보존한다고 한다.

Machine ID는 하드웨어에서 파생되므로, 프로바이더가 보유하는 식별자는 앱 범위의 무작위 ID가 아니라 persistent_hardware_id다. 터널이 무엇을 기록하는지 또는 기록하지 않는지와는 무관하다.

X12는 Opera가 직접 제출한 두 문서를 비교한다. com.opera.browser의 Play 데이터 안전 양식은 분석을 위해 Installed apps를 수집한다고 선언하지만, 개인정보 보호 성명은 기기에 설치된 애플리케이션의 수집을 전혀 언급하지 않는다. Installed apps는 식별자가 아니라 행태이므로 undisclosed_behaviour다.

같은 양식은 광고를 위해 Device or other IDs를 다른 회사와 공유한다고 선언하며, 이 때문에 C07a는 ads가 된다. C07b는 더 좁은 근거에 기반하므로 B로 표시된다. 제품 페이지에 제공된 마크업에 등장하는 유일한 제3자 호스트는 Google Tag Manager이며, 이 컨테이너가 실행 시 불러오는 내용은 열거되지 않았다.

U02가 불명인 것은 검색이 실패해서가 아니라 제품의 설계 때문이다. 무료 VPN은 세 지역을 제공하며 Opera는 이를 America, Asia, Europe이라고 부르지만 국가를 전혀 제시하지 않는다. C09와 C09b는 여기서 도출되며, 이 상태가 유지되는 동안에는 확정할 수 없다.

X05는 Opera 자체 설명 자료에서 ads_supported이며, 이 자료는 세 가지 수익원 중 광고를 첫 번째로 열거하고 Opera Ads가 무작위로 생성된 사용자 ID, 도시 또는 국가, 그리고 방문한 사이트의 광범위한 범주를 수집하며 이를 최대 1년간 보존한다고 설명한다. U05 = unlimited_free와 함께 이는 R15가 표시하기 위해 존재하는 바로 그 사례다.

X06은 2026년 게시물에서 AES-256을 "가장 빠른 컴퓨터를 가진 해커라도 해독하는 데 10억 년 이상이 걸릴 것"이라고 자체 신고한 내용이다. X09는 2026년 게시물 두 건에서 Opera가 외부 연구자들이 보고한 취약점과 그 분석 및 수정된 버전을 공개한 self_disclosed_prompt이다. 이는 VPN 사고가 아니라 브라우저 취약점이며, 알려진 VPN 사고는 없다.

C05는 not_sold이다. 무료 VPN에는 결제 단계가 전혀 없다. 구독도 계정도 없으므로 익명으로든 다른 방식으로든 결제할 일이 없다.

이 레코드는 처음에 none으로 기록되었는데, 이는 "확인된 결제 수단만 제공된다"는 뜻으로 읽히며, 서비스가 돈을 전혀 받지 않는 경우를 나타내는 토큰이 어휘에 없었기 때문에 여기서는 사실이 아니다. unknown은 검색이 실패했다고 주장했을 텐데 이 역시 사실이 아니었으며, 두 가지 잘못된 해석 중 프로바이더에 불리하게 틀리는 쪽을 기록했다. 이제 해당 토큰이 존재하고 가격이 없음을 나타내므로 이것이 정직한 답이다. 결제가 없다면 유출될 결제 신원도 없다.

이제 R29가 기준을 정한다. 세션 종료와 연결된 명시된 기간 안에 상태가 삭제되는 것은 기록 자체가 아니라 연결이므로, 두 필드 모두 같은 문장에서 connection_timestamps로 읽힌다. 여전히 비용으로 반영되는 것은 세션보다 오래 남는 것이다 — 정책 2.3.1항의 마지막 로그인 날짜와 감사인이 명시한 연결 타임스탬프다.

Surfshark와 NordVPN은 같은 모회사를 공유하지만(Nord Security, 2022년 이후), Surfshark의 자체 회사 소개 페이지는 별도의 인프라를 두고 '독립적으로 운영하면서' 브랜드가 합병되었다고 명시한다 — M18은 이를 근거로 별도로 설정되며, nordvpn.com 레코드에도 같은 방식이 적용된다.

U12a는 서버 표 자체의 P2P 열에서 yes가 아니라 부분이다. 나열된 100개 국가 중 88개에는 해당 표시가 있고 12개에는 없다(AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). 이 열은 클라이언트 측에서 그려지므로 모든 행에 모든 라벨이 들어 있는 정적 HTML이 아니라 렌더링된 표에서 읽었다.

현재 /warrant-canary가 리디렉션되는 곳인 /transparency-report의 투명성 보고서는 2026년 4월~6월 분기를 표로 싣고 있다. DMCA 통지 374,719건, 정부 기관의 문의 33건, 영장 1건, 국가안보 서한 0건, 함구명령 0건이다. P08은 법적 요청 34건을 집계하고 DMCA 통지는 제외한다. 이는 사용자의 데이터 요청이 아니라 트래픽에 관한 저작권 신고이기 때문이다.

같은 페이지는 Surfshark가 영장 카나리아를 분기별 보고로 대체하기 위해 폐지한다고 명시한다. 따라서 P07은 none이 아니라 제거된다. 카나리아는 존재했으며 의도적으로 철회되었다.

U07_protocols에는 Surfshark 자체의 표현에 따라 Dausos에 대해 proprietary가 들어간다. 해당 프로토콜 페이지는 Dausos를 "Surfshark의 독점 프로토콜"이라고 부르며 출처를 공개하지 않는다. 그리고 그 단일 값이 C13_weakest_protocol과 이어지는 위생 비용을 설정한다. Surfshark가 여전히 문서화하고 있으므로 IKEv2는 유지되지만, 자체 블로그에는 Windows 앱에서 제거된 내용이 기록되어 있다. Shadowsocks는 지원 색인에서 사라졌으며 목록에 없다.