Opera VPN vs Windscribe

서버는 설명되었지만, 근거는 없음. C02, C06 및 C08의 뒷받침 근거는 전혀 없다. Opera는 서버가 물리적이며 자체 소유라고 말하지만, 이는 디스크도 DNS도 하드웨어 소유자가 누구인지도 확인하지 못한다. U02가 불명인 동안에는 C09b에 답할 수 없다.

스토어 하나이지, 둘이 아님. Google Play 데이터 안전성 양식만 검토했고, iOS 브라우저의 App Store 개인정보 보호 라벨은 검토하지 않았으므로 X12는 두 곳 중 더 불리한 쪽이 아니라 한 스토리에 근거한다.

명시가 아닌 두 가지 해석. U01의 Linux는 데스크톱 도움말 매뉴얼에서 추론한 것이다. 이 매뉴얼은 VPN을 설명하고 Windows, macOS 및 Linux를 플랫폼별로 나누지 않고 함께 다룬다. Android와 iOS는 감사 발표에서 명시적으로 언급된다. U10은 이를 시행할 계정도 기기 한도도 없으므로 무제한이다. 이는 명시된 수치가 아니라 제품에 대한 해석이다.

끝내 읽히지 않은 목록. 제공된 국가 목록은 끝내 읽히지 않았으므로 사용성 국가 점수도 의무 교집합도 계산할 수 없다 — Windscribe는 물리적/가상 구분을 공개하고 있어, 목록을 읽는 즉시 여기서 C09b에 답할 수 있다. 사용자 규모도 확인되지 않아 노출 구간은 마땅히 그래야 할 수준보다 낮은 근거에 의존한다.

이제 세 사건이 인용하는 출처. AIN.UA에는 2021년 6월 24일 압수된 우크라이나 서버가 여전히 실려 있고, Windscribe의 자체 블로그에는 2025년 4월 11일 기각된 그리스 사건이 실려 있다. 네덜란드 압수와 압수 필드 자체는 이제 처음 보도한 제휴 비용을 받은 언론이 아니라 Windscribe의 자체 무로그 페이지를 인용한다. 회사가 자체 압수에 대해 작성한 설명은 누군가가 그 압수에 대해 작성한 설명이 아니라 1차 자료다. 우크라이나 사건의 날짜는 보도문이 아니라 압수 자체에 맞춰져 있다.

2026년 게시물은 같은 업무를 Deloitte가 판정을 수행한 것으로 다시 설명한다. "우리는 Deloitte 팀에 VPN과 서버 인프라에 대한 완전한 접근 권한을 제공했고, 팀은 우리의 주장을 검증할 수 있었다 ... 실제로 데이터 로깅 기능은 애초에 VPN에 내장되어 있지도 않다." 같은 게시물은 2024년 게시물이 2024년 6월 18일부터 8월 10일까지로 날짜를 제시한 기간을 "완전한 접근 권한"으로 격상한다.

Opera는 자체 주장을 감사인의 결론으로 서술하고 있다. VERIFY 블록이 이렇게 나뉘는 이유가 여기에 있다. V01은 Deloitte 발표에 근거한 것이 아니라, 실제로 열람한 보고서인 Cure53 자체의 2022년 3월 평가에 관한 공개 관리 요약에 근거하여 yes_verified이다.

Deloitte 보고서 자체는 어디에도 공개되어 있지 않으므로 V02는 press_only이며, 해당 보고서의 발견 사항이지 감사 업무에 관한 사실이 아닌 모든 필드는 불명으로 남는다. 즉 플릿 범위(V04), 보증 기준(V07), 보고서가 보존된다고 명시하는 내용(V11), 그리고 의견의 강도(V15)이다.

업무 관련 사실, 즉 해당 회사, 그 범주, 날짜, 테스트 대상으로 기재된 내용은 발표에서 가져온다. 이 감사를 한 번 명백히 다르게 규정한 벤더는 감사가 어떤 결론에 이르렀는지에 대한 출처가 아니다. C01이 none_linkable인 이유는 개인정보처리방침에 그렇게 선언되어 있기 때문이며, V11은 발견 사항이고 읽어낼 발견 사항은 없다.

Cure53의 보고서는 실제로 존재하며 V14가 yes_verified인 이유이다. 7명의 테스터, 24인일, VPN 클라이언트, 서버 구성 및 인프라, 그리고 VPN 구성을 전달하는 데 사용된 Opera Mini 프로토콜을 다루는 4개 작업 패키지에 대한 화이트박스 테스트가 수행되었다. 보안 관련 이슈는 14건이었고, 그중 8건은 실제 취약점이었으며, 5건은 높은 심각도로 평가되었고 치명적인 것은 없었다.

2022년 3월 기준으로 9건은 수정되었고 수정 사항이 검증되었으며, 1건은 부분 수정, 3건은 위험 수용, 1건은 오탐, 1건은 아직 진행 중이었다. Opera의 블로그는 브라우저 VPN과 직접 관련된 7개 항목이 "all subsequently resolved"라고 말하며, 표도 이를 뒷받침한다. 남은 항목은 VPN 자체가 아니라 Opera Mini 작업 패키지에 있다.

소유권은 완전히 공개되어 있고 의무 국가에서 끝나므로, X03과 C11은 서로 모순되지 않으면서 반대 방향을 가리킨다.

Opera 자체의 개인정보처리방침에 명시된 데이터 관리자는 노르웨이 회사인 Opera Norway AS이며, 투명성 보고서는 해당 명의로 제출되어 있다.

지주 회사는 2018년 3월 케이맨 제도에 설립된 자체 실질 영업이 없는 면제 회사인 Opera Limited다. 2025년 Form 20-F는 쿤룬 테크 유한회사(Kunlun Tech Co., Ltd.)의 자회사이자 PRC에 설립된 Hong Kong Kunlun Tech Holding Limited를 68.0%의 최대 주주로 명시하며, Kunlun이 "Opera의 최종 모회사이며 Opera의 집행 회장이 지배한다"고 밝힌다.

따라서 M06은 NO이고 C10은 no인 반면, M11은 CN이고 C11은 yes다.

C12는 VPN의 선언과 그것이 들어 있는 애플리케이션 사이의 가장 뚜렷한 공백이다. 개인정보 보호 성명의 VPN 섹션은 로그를 기록하지 않는다고 선언하지만, 같은 문서의 다른 섹션은 Opera 애플리케이션이 설치될 때 "무작위 설치 ID가 생성됩니다. 당사는 이 식별자와 Machine ID, 하드웨어 사양(모델, 출시일 등), 운영 체제, 환경 구성 및 기능 사용 데이터를 수집합니다"라고 밝히며, 이를 최대 3년간 보존한다고 한다.

Machine ID는 하드웨어에서 파생되므로, 프로바이더가 보유하는 식별자는 앱 범위의 무작위 ID가 아니라 persistent_hardware_id다. 터널이 무엇을 기록하는지 또는 기록하지 않는지와는 무관하다.

X12는 Opera가 직접 제출한 두 문서를 비교한다. com.opera.browser의 Play 데이터 안전 양식은 분석을 위해 Installed apps를 수집한다고 선언하지만, 개인정보 보호 성명은 기기에 설치된 애플리케이션의 수집을 전혀 언급하지 않는다. Installed apps는 식별자가 아니라 행태이므로 undisclosed_behaviour다.

같은 양식은 광고를 위해 Device or other IDs를 다른 회사와 공유한다고 선언하며, 이 때문에 C07a는 ads가 된다. C07b는 더 좁은 근거에 기반하므로 B로 표시된다. 제품 페이지에 제공된 마크업에 등장하는 유일한 제3자 호스트는 Google Tag Manager이며, 이 컨테이너가 실행 시 불러오는 내용은 열거되지 않았다.

U02가 불명인 것은 검색이 실패해서가 아니라 제품의 설계 때문이다. 무료 VPN은 세 지역을 제공하며 Opera는 이를 America, Asia, Europe이라고 부르지만 국가를 전혀 제시하지 않는다. C09와 C09b는 여기서 도출되며, 이 상태가 유지되는 동안에는 확정할 수 없다.

X05는 Opera 자체 설명 자료에서 ads_supported이며, 이 자료는 세 가지 수익원 중 광고를 첫 번째로 열거하고 Opera Ads가 무작위로 생성된 사용자 ID, 도시 또는 국가, 그리고 방문한 사이트의 광범위한 범주를 수집하며 이를 최대 1년간 보존한다고 설명한다. U05 = unlimited_free와 함께 이는 R15가 표시하기 위해 존재하는 바로 그 사례다.

X06은 2026년 게시물에서 AES-256을 "가장 빠른 컴퓨터를 가진 해커라도 해독하는 데 10억 년 이상이 걸릴 것"이라고 자체 신고한 내용이다. X09는 2026년 게시물 두 건에서 Opera가 외부 연구자들이 보고한 취약점과 그 분석 및 수정된 버전을 공개한 self_disclosed_prompt이다. 이는 VPN 사고가 아니라 브라우저 취약점이며, 알려진 VPN 사고는 없다.

C05는 not_sold이다. 무료 VPN에는 결제 단계가 전혀 없다. 구독도 계정도 없으므로 익명으로든 다른 방식으로든 결제할 일이 없다.

이 레코드는 처음에 none으로 기록되었는데, 이는 "확인된 결제 수단만 제공된다"는 뜻으로 읽히며, 서비스가 돈을 전혀 받지 않는 경우를 나타내는 토큰이 어휘에 없었기 때문에 여기서는 사실이 아니다. unknown은 검색이 실패했다고 주장했을 텐데 이 역시 사실이 아니었으며, 두 가지 잘못된 해석 중 프로바이더에 불리하게 틀리는 쪽을 기록했다. 이제 해당 토큰이 존재하고 가격이 없음을 나타내므로 이것이 정직한 답이다. 결제가 없다면 유출될 결제 신원도 없다.