AirVPN vs Opera VPN

Co pokazują wątki forum. Wątki forum pokazują, że użytkownicy wielokrotnie prosili AirVPN o canarka nakazu, bez potwierdzenia personelu, że taki canarek istnieje; jest to przesłanka, ale nie bezpośrednie zaprzeczenie, dlatego P07 pozostaje nieznane, a nie „none”.

Liczby, których nikt nie publikuje. Liczby wniosków i przekazań danych są w konsekwencji również nieznane (P08, P09), a łączna liczba subskrybentów nigdy nie jest ujawniana (M08 nieznane) — AirVPN publikuje wyłącznie aktualny licznik jednocześnie połączonych użytkowników, a nie łączną liczbę zarejestrowanych użytkowników ani subskrybentów, więc milczenie i niewiedza mają tu rzeczywiste znaczenie.

Kompilacje i pentesty. Reprodukowalne kompilacje nie są opisane na własnej stronie AirVPN dotyczącej kompilowania ze źródeł (eddie.website/support/build/), a nie znaleziono żadnego dedykowanego pentestu klienta ani infrastruktury (V13, V14 nieznane). Zakres wyłącznika awaryjnego i działanie tunelowania dzielonego opierają się na recenzji strony trzeciej, a nie na własnej dokumentacji AirVPN (U08, U09 z wiarygodnością C), ponieważ nie można było bezpośrednio dotrzeć do odpowiednich stron FAQ przez trasowanie witryny (są renderowane przez JavaScript i zwykłe żądanie fetch zwróciło jedynie szkielet ładowania).

Zakres poza podmiotami afiliacyjnymi. Relacje prasowe nie ograniczają się do podmiotów afiliacyjnych: BleepingComputer, główny serwis spoza listy agregatorów afiliacyjnych, opublikował niezależną recenzję z własną informacją o afiliacji, zamiast ograniczać się do katalogów afiliacyjnych (X08=no). Ta sama recenzja wykazała również, że AirVPN nie działał z żadną z testowanych usług streamingowych — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — dlatego U12b_streaming_works ma teraz wartość no, a nie pochodzącą z addictivetips.com wartość partial, którą miał wcześniej, zanim tę domenę uznano za niedozwoloną.

Cena roczna. U04b_price_yearly=4.08 to efektywna miesięczna stawka w EUR w planie rocznym (49 EUR/rok) na airvpn.org/buy/, niezmienna przy odnowieniu, podobnie jak w przypadku każdego okresu AirVPN.

Znak słowny. AirVPN udostępnia swój znak słowny wyłącznie jako PNG (/static/img/logo/web_header.png, logo_horiz.png) i nie ma strony prasowej ani strony marki, więc logos/airvpn.svg pozostaje nieobecny zgodnie z AUDITOR.md §1 zamiast odtwarzania grafiki rastrowej.

Dlaczego wynik od tego nie zależy. Zarówno cena dla stanu potwierdzonego, jak i dla stanu nieznanego wynosi 0,000, więc nic w wyniku od tego nie zależy; brakuje rekordu, a nie liczby, i następna iteracja powinna rozpocząć się od dokumentów Kunlun oraz akt federalnych, a nie od ich podsumowania.

Raport, który zmieniłby cztery pola. Raport Deloitte jest drugim dokumentem, który zmieniłby kilka pól jednocześnie: V04, V07, V11 i V15 są nieznane wyłącznie dlatego, że nie został opublikowany, a V11 jest w szczególności polem, na którym opiera się cała deklaracja braku logów.

Czego nie ma w żadnym dokumencie. U07 nie ma dokumentu, podobnie jak C13 stojące za nim: Opera wymienia AES-256 i „bezpieczny tunel”, ale nigdy nie wymienia protokołu, więc najsłabszy oferowany transport nie jest potwierdzony. U08, U09 i U12b pozostają niewypełnione z tego samego powodu — tabela porównania funkcji na stronie produktu oznacza wiersze znacznikami wyboru, których nie zawiera pobrany kod, a odczytywanie znaczników z wyrenderowanego obrazu nie jest źródłem.

Opisane serwery, niepotwierdzone dowodami. C02, C06 i C08 nie mają za sobą żadnych dowodów: Opera twierdzi, że serwery są fizyczne i należą do niej, co nie rozstrzyga ani kwestii dysków, ani DNS, ani tego, kto jest właścicielem sprzętu. Na C09b nie można odpowiedzieć, dopóki U02 pozostaje nieznane.

Jeden sklep, nie dwa. Przeanalizowano wyłącznie formularz bezpieczeństwa danych Google Play; etykiet prywatności App Store dla przeglądarki iOS nie przeanalizowano, więc X12 opiera się na jednym sklepie, a nie na gorszym z dwóch.

Dwie interpretacje, nie stwierdzenia. Linux w U01 wywnioskowano z podręcznika pomocy dla komputerów, który opisuje VPN i obejmuje łącznie Windows, macOS i Linux, bez rozdzielenia według platformy; Android i iOS wymieniono wyraźnie w ogłoszeniu dotyczącym audytu. U10 oznacza brak limitu, ponieważ nie ma konta ani limitu urządzeń, który mógłby go egzekwować; jest to interpretacja produktu, a nie podana wartość.

Godny odnotowania punkt dotyczący praktyki: publiczne stenogramy federalnych sądów USA w sprawie United States v. Klyushin (D. Mass., sygnatura 61629108, dokumenty nr 183 i 217, znalezione za pośrednictwem CourtListener/RECAP) pokazują, że rejestrator pen register organów ścigania został umieszczony bezpośrednio u firmy hostingowej (DediPath), a nie w AirVPN, w celu monitorowania adresu IP serwera AirVPN od stycznia do lutego 2020 r.; własny personel AirVPN, odpowiadając na forum firmy, potwierdził, że firma nie wiedziała o podsłuchu ani nie brała w nim udziału oraz że urządzenie musiało zostać zainstalowane poza własnymi systemami AirVPN.

Zapisano to w P12_case_history jako zdarzenie court_order/nothing_produced, którego źródłem jest własne potwierdzenie AirVPN na forum (a nie same pliki PDF PACER, które w zautomatyzowanych pobraniach zwracały 403 i zostały odczytane wyłącznie za pośrednictwem wtórnego podsumowania).

X02 jest ustaleniem stanowiącym podstawę, a oba leżące u jego podstaw dokumenty pochodzą od Opery. W ogłoszeniu z 2024 r. zacytowano opinię Deloitte: „konfiguracja systemów IT i zarządzanie wspierającymi operacjami IT zostały odpowiednio zaprojektowane i wdrożone, we wszystkich istotnych aspektach, w oparciu o kryteria opisane w Management Assertion Opery, na dzień 10 sierpnia 2024 r.”; osobno zdanie „W usłudze VPN nie ma wbudowanej funkcji rejestrowania danych i nie są zbierane żadne dane” przypisano własnemu dokumentowi Opera Management Assertion.

Wpis z 2026 r. przedstawia to samo zlecenie jako ustalenie dokonane przez Deloitte: „zapewniliśmy zespołowi Deloitte pełny dostęp do naszej infrastruktury VPN i serwerów, a oni mogli zweryfikować nasze twierdzenie ... W rzeczywistości funkcja rejestrowania danych nie jest nawet wbudowana w VPN”. Ten sam wpis przedstawia okres, który wpis z 2024 r. określa jako od 18 czerwca do 10 sierpnia 2024 r., jako „pełny dostęp”.

Opera przedstawia własne twierdzenie jako wniosek audytora. Dlatego blok VERIFY dzieli się w ten sposób. V01 ma wartość yes_verified na podstawie faktycznie otwartego raportu — opublikowanego przez Cure53 własnego podsumowania zarządczego oceny z marca 2022 r. — a nie na podstawie ogłoszenia Deloitte.

Sam raport Deloitte nie został nigdzie opublikowany, więc V02 ma wartość press_only, a każde pole będące ustaleniem z tego raportu, a nie faktem dotyczącym zlecenia, pozostaje nieznane: zakres floty (V04), standard zapewnienia (V07), to, co raport stwierdza na temat retencji (V11), oraz siła opinii (V15).

Fakty dotyczące zlecenia — firma, jej kategoria, data i to, co wymieniono jako objęte testami — pochodzą z ogłoszenia. Dostawca, który w sposób możliwy do wykazania raz zmienił opis tego audytu, nie jest źródłem informacji o tym, do jakiego wniosku doszedł audyt. C01 ma wartość none_linkable, ponieważ takie jest oświadczenie w polityce prywatności; V11 jest ustaleniem, a nie ma żadnego ustalenia do odczytania.

Raport Cure53 jest rzeczywisty i dlatego V14 ma wartość yes_verified: siedmiu testerów, dwadzieścia cztery osobodni, testy white-box w ramach czterech pakietów prac obejmujących klientów VPN, konfigurację i infrastrukturę serwera oraz protokół Opera Mini używany do dostarczania konfiguracji VPN. Czternaście kwestii związanych z bezpieczeństwem, z których osiem stanowiło rzeczywiste podatności, pięć oceniono jako poważne, a żadnej jako krytyczną.

W marcu 2022 r. dziewięć zostało naprawionych, a naprawy zweryfikowano, jedna została naprawiona częściowo, w przypadku trzech zaakceptowano ryzyko, jedna była fałszywym alarmem, a jedna nadal była w toku. Blog Opery stwierdza, że siedem elementów odnoszących się bezpośrednio do VPN w przeglądarce zostało „następnie w całości rozwiązanych”, a tabela to potwierdza — pozostałe kwestie dotyczą pakietu prac Opera Mini, a nie samego VPN.