Opera VPN vs Private Internet Access

Dlaczego wynik od tego nie zależy. Zarówno cena dla stanu potwierdzonego, jak i dla stanu nieznanego wynosi 0,000, więc nic w wyniku od tego nie zależy; brakuje rekordu, a nie liczby, i następna iteracja powinna rozpocząć się od dokumentów Kunlun oraz akt federalnych, a nie od ich podsumowania.

Raport, który zmieniłby cztery pola. Raport Deloitte jest drugim dokumentem, który zmieniłby kilka pól jednocześnie: V04, V07, V11 i V15 są nieznane wyłącznie dlatego, że nie został opublikowany, a V11 jest w szczególności polem, na którym opiera się cała deklaracja braku logów.

Czego nie ma w żadnym dokumencie. U07 nie ma dokumentu, podobnie jak C13 stojące za nim: Opera wymienia AES-256 i „bezpieczny tunel”, ale nigdy nie wymienia protokołu, więc najsłabszy oferowany transport nie jest potwierdzony. U08, U09 i U12b pozostają niewypełnione z tego samego powodu — tabela porównania funkcji na stronie produktu oznacza wiersze znacznikami wyboru, których nie zawiera pobrany kod, a odczytywanie znaczników z wyrenderowanego obrazu nie jest źródłem.

Opisane serwery, niepotwierdzone dowodami. C02, C06 i C08 nie mają za sobą żadnych dowodów: Opera twierdzi, że serwery są fizyczne i należą do niej, co nie rozstrzyga ani kwestii dysków, ani DNS, ani tego, kto jest właścicielem sprzętu. Na C09b nie można odpowiedzieć, dopóki U02 pozostaje nieznane.

Jeden sklep, nie dwa. Przeanalizowano wyłącznie formularz bezpieczeństwa danych Google Play; etykiet prywatności App Store dla przeglądarki iOS nie przeanalizowano, więc X12 opiera się na jednym sklepie, a nie na gorszym z dwóch.

Dwie interpretacje, nie stwierdzenia. Linux w U01 wywnioskowano z podręcznika pomocy dla komputerów, który opisuje VPN i obejmuje łącznie Windows, macOS i Linux, bez rozdzielenia według platformy; Android i iOS wymieniono wyraźnie w ogłoszeniu dotyczącym audytu. U10 oznacza brak limitu, ponieważ nie ma konta ani limitu urządzeń, który mógłby go egzekwować; jest to interpretacja produktu, a nie podana wartość.

Czego nie zbadano. Raport obejmuje wyłącznie infrastrukturę. C07a_app_sdk i C12_device_identifier to fakty po stronie aplikacji, których raport nigdy nie badał; obecnie odwołują się one zamiast tego do polityki prywatności, która opisuje analitykę dla odwiedzających stronę oraz dobrowolnie włączane raporty diagnostyczne zawierające platformę i wersję aplikacji. Odczytanie któregokolwiek z nich jako stwierdzenia dotyczącego SDK skompilowanych w aplikacji jest najsłabszym ogniwem tego rejestru, a to właśnie klienci open-source rozstrzygnęliby tę kwestię.

Wezwanie sądowe z 2016 roku opiera się na własnych słowach PIA, nie na aktach sądowych. Jedyny szczegółowy opis sprawy McWaters (S.D. Fla., 9:16-cr-80043) znajduje się na stronie afiliacyjnej, której ten rejestr nie może cytować; wokanda CourtListener dla tej sprawy nie wymienia wezwania sądowego, dostawcy ani wyniku. P03_court_record i P12_case_history opierają się teraz na własnym oświadczeniu PIA w raporcie przejrzystości, że w latach 2016–2017 otrzymała wezwanie sądowe i nie przekazała żadnych danych — samodeklaracja poziomu B, a nie zweryfikowany zapis sądowy.

X02 jest ustaleniem stanowiącym podstawę, a oba leżące u jego podstaw dokumenty pochodzą od Opery. W ogłoszeniu z 2024 r. zacytowano opinię Deloitte: „konfiguracja systemów IT i zarządzanie wspierającymi operacjami IT zostały odpowiednio zaprojektowane i wdrożone, we wszystkich istotnych aspektach, w oparciu o kryteria opisane w Management Assertion Opery, na dzień 10 sierpnia 2024 r.”; osobno zdanie „W usłudze VPN nie ma wbudowanej funkcji rejestrowania danych i nie są zbierane żadne dane” przypisano własnemu dokumentowi Opera Management Assertion.

Wpis z 2026 r. przedstawia to samo zlecenie jako ustalenie dokonane przez Deloitte: „zapewniliśmy zespołowi Deloitte pełny dostęp do naszej infrastruktury VPN i serwerów, a oni mogli zweryfikować nasze twierdzenie ... W rzeczywistości funkcja rejestrowania danych nie jest nawet wbudowana w VPN”. Ten sam wpis przedstawia okres, który wpis z 2024 r. określa jako od 18 czerwca do 10 sierpnia 2024 r., jako „pełny dostęp”.

Opera przedstawia własne twierdzenie jako wniosek audytora. Dlatego blok VERIFY dzieli się w ten sposób. V01 ma wartość yes_verified na podstawie faktycznie otwartego raportu — opublikowanego przez Cure53 własnego podsumowania zarządczego oceny z marca 2022 r. — a nie na podstawie ogłoszenia Deloitte.

Sam raport Deloitte nie został nigdzie opublikowany, więc V02 ma wartość press_only, a każde pole będące ustaleniem z tego raportu, a nie faktem dotyczącym zlecenia, pozostaje nieznane: zakres floty (V04), standard zapewnienia (V07), to, co raport stwierdza na temat retencji (V11), oraz siła opinii (V15).

Fakty dotyczące zlecenia — firma, jej kategoria, data i to, co wymieniono jako objęte testami — pochodzą z ogłoszenia. Dostawca, który w sposób możliwy do wykazania raz zmienił opis tego audytu, nie jest źródłem informacji o tym, do jakiego wniosku doszedł audyt. C01 ma wartość none_linkable, ponieważ takie jest oświadczenie w polityce prywatności; V11 jest ustaleniem, a nie ma żadnego ustalenia do odczytania.

Raport Cure53 jest rzeczywisty i dlatego V14 ma wartość yes_verified: siedmiu testerów, dwadzieścia cztery osobodni, testy white-box w ramach czterech pakietów prac obejmujących klientów VPN, konfigurację i infrastrukturę serwera oraz protokół Opera Mini używany do dostarczania konfiguracji VPN. Czternaście kwestii związanych z bezpieczeństwem, z których osiem stanowiło rzeczywiste podatności, pięć oceniono jako poważne, a żadnej jako krytyczną.

W marcu 2022 r. dziewięć zostało naprawionych, a naprawy zweryfikowano, jedna została naprawiona częściowo, w przypadku trzech zaakceptowano ryzyko, jedna była fałszywym alarmem, a jedna nadal była w toku. Blog Opery stwierdza, że siedem elementów odnoszących się bezpośrednio do VPN w przeglądarce zostało „następnie w całości rozwiązanych”, a tabela to potwierdza — pozostałe kwestie dotyczą pakietu prac Opera Mini, a nie samego VPN.

Własność jest w pełni ujawniona i kończy się w kraju objętym obowiązkiem (retencyjnym), dlatego X03 i C11 wskazują przeciwne kierunki, nie zaprzeczając sobie nawzajem.

Administratorem danych wskazanym we własnej polityce prywatności Opery jest Opera Norway AS, spółka norweska, a raport przejrzystości złożono pod tą nazwą.

Spółką holdingową jest Opera Limited, spółka typu exempted zarejestrowana na Kajmanach w marcu 2018 r., bez własnej istotnej działalności operacyjnej. Formularz 20-F za 2025 r. wskazuje Hong Kong Kunlun Tech Holding Limited jako głównego akcjonariusza z udziałem 68,0%, będącego spółką zależną Kunlun Tech Co., Ltd. zarejestrowaną w PRC, oraz stwierdza, że Kunlun „jest ostateczną spółką dominującą Opery i pozostaje pod kontrolą prezesa wykonawczego Opery”.

Zatem M06 to NO, a C10 to no, podczas gdy M11 to CN, a C11 to yes.

C12 to największa rozbieżność między deklaracją VPN a aplikacją, w której on działa. Sekcja VPN oświadczenia o prywatności deklaruje brak logów; inna sekcja tego samego dokumentu stwierdza, że po zainstalowaniu aplikacji Opera „generowany jest losowy identyfikator instalacji. Zbieramy ten identyfikator, a także Machine ID, specyfikacje sprzętu (model, data wydania itd.), system operacyjny, konfigurację środowiska i dane o korzystaniu z funkcji”, przechowywane do trzech lat.

Machine ID jest pochodny od sprzętu, więc identyfikator przechowywany przez dostawcę to persistent_hardware_id, a nie losowy identyfikator ograniczony do aplikacji, niezależnie od tego, co tunel rejestruje lub czego nie rejestruje.

X12 porównuje dwa dokumenty złożone przez samą Opera. Formularz bezpieczeństwa danych Play dla com.opera.browser deklaruje zbieranie zainstalowanych aplikacji na potrzeby analityki, a oświadczenie o prywatności w ogóle nie wspomina o zbieraniu aplikacji zainstalowanych na urządzeniu. Zainstalowane aplikacje to zachowanie, a nie identyfikator, stąd undisclosed_behaviour.

Ten sam formularz deklaruje udostępnianie innym firmom identyfikatorów urządzenia lub innych identyfikatorów na potrzeby reklam, co przypisuje C07a do reklam. C07b opiera się na czymś węższym i jest za to oznaczone jako B: jedynym hostem strony trzeciej w kodzie dostarczonym dla strony produktu jest Google Tag Manager, a zawartość ładowana przez ten kontener w czasie działania nie została wyszczególniona.

U02 jest nieznane z powodu konstrukcji produktu, a nie z powodu niepowodzenia wyszukiwania: bezpłatny VPN oferuje trzy regiony — Opera nazywa je Ameryką, Azją i Europą — i nigdy nie wskazuje kraju. C09 i C09b wynikają z tego i nie mogą zostać rozstrzygnięte, dopóki ten stan się utrzymuje.

X05 to ads_supported w wyjaśnieniu samej Opera, które wymienia reklamy jako pierwsze z trzech źródeł przychodu i opisuje, że Opera Ads zbiera losowo generowany identyfikator użytkownika, miasto lub kraj oraz ogólne kategorie odwiedzanych stron, przechowywane do roku; razem z U05 = unlimited_free jest to dokładnie przypadek, który R15 ma oznaczać.

X06 to twierdzenie z wpisu z 2026 roku, że AES-256 „wymagałoby od hakera korzystającego nawet z najszybszego komputera ponad miliarda lat na złamanie”. X09 to self_disclosed_prompt w dwóch wpisach z 2026 roku, w których Opera opublikowała luki zgłoszone jej przez zewnętrznych badaczy, wraz z analizą i naprawioną wersją — są to luki w przeglądarce, a nie incydenty dotyczące VPN, i żaden incydent dotyczący VPN nie jest znany.

C05 to not_sold. Darmowa usługa VPN nie ma w ogóle etapu płatności — ani subskrypcji, ani konta — więc nie ma niczego, za co można by zapłacić anonimowo ani w inny sposób.

Ten rekord został początkowo zapisany jako none, co oznacza „oferowane są wyłącznie zidentyfikowane metody płatności” i jest tutaj fałszem, ponieważ słownik nie zawierał tokenu dla usługi, która nie pobiera żadnych pieniędzy; unknown oznaczałoby, że wyszukiwanie się nie powiodło, co również było fałszem, a spośród dwóch błędnych interpretacji zapisano tę, która działa na niekorzyść dostawcy. Token ten teraz istnieje i ma cenę zero, co jest uczciwą odpowiedzią: tam, gdzie nie ma płatności, nie ma też tożsamości płatniczej, która mogłaby wyciec.

M08_user_scale, P02_disclosure_history, P03_court_record i P12_case_history odczytano ponownie na podstawie tych samych źródeł i pozostają bez zmian; główna strona raportu przejrzystości nadal nie wymienia żadnej sprawy poza wezwaniami sądowymi z lat 2016–2017 już znajdującymi się w aktach. Ponowny przegląd cen na tej samej stronie buy-vpn-online wykazał, że obie wartości pozostały bez zmian: plan miesięczny $11,95, plan roczny $47,88 naliczane za pierwszy rok i odnawiane automatycznie po tej samej cenie $47,88, bez różnicy między ceną wstępną a ceną odnowienia, zgodnie ze stałą taryfą PIA odnotowaną w innych miejscach katalogu.

Źródła stanowiły własne strony i blog privateinternetaccess.com, dwa pliki PDF Deloitte „Independent Limited Assurance Report” zgodne z ISAE 3000 (Revised) (z kwietnia 2024 roku i grudnia 2025 roku, oba otwarte i przeczytane bezpośrednio), własna strona Kape Technologies, raporty oparte na źródłach z Isle of Man/Companies House dotyczące wycofania Kape z giełdy w 2023 roku przez Unikmind Holdings (Teddy Sagi) oraz oficjalna organizacja pia-foss w serwisie GitHub dotycząca klientów open source.

Publiczna wokanda CourtListener dla United States v. McWaters (9:16-cr-80043, S.D. Fla.) została otwarta, ale nie wymienia wezwania sądowego, dostawcy VPN ani wyniku; opis na stronie afiliacyjnej (vpncompare.co.uk), który szczegółowo opisuje to wezwanie sądowe, odrzucono jako niedozwolone źródło, a własne materiały TorrentFreak zwracały HTTP 403 przy każdej próbie pobrania w tej turze, w tym przy użyciu curl. P03/P12 opierają się teraz na własnej samodeklaracji PIA w raporcie przejrzystości.

Wikipedia została usunięta z V12 na rzecz samej organizacji GitHub. W żadnym miejscu tego rejestru nie użyto strony afiliacyjnej ani agregatora „best VPN” jako źródła faktów, mimo że w wynikach wyszukiwania wielokrotnie pojawiało się kilka takich stron z pozornie wiarygodnymi liczbami (liczby serwerów, liczby użytkowników, daty audytów), których nie można było sprawdzić względem strony źródłowej; odrzucono je zamiast wykorzystać.