IVPN vs Opera VPN

Identitatea acelui terț a variat: anunțul auditului din 2024 spune că serverele VPN Pro sunt „furnizate în colaborare cu Nord”, iar explicația din 2026 spune că VPN Pro este „echipat cu protocolul Lightway de nouă generație”, care aparține ExpressVPN. Niciunul dintre documente nu spune că aranjamentul s-a schimbat.

X02 este constatarea de care depinde totul, iar ambele documente care o susțin sunt ale Opera. Anunțul din 2024 citează opinia Deloitte astfel: „configurația sistemelor informatice și gestionarea operațiunilor IT aferente au fost proiectate și implementate în mod adecvat, în toate privințele semnificative, pe baza criteriilor descrise în Management Assertion al Opera, la data de 10 august 2024”, și atribuie separat propoziția „Funcționalitatea de jurnalizare a datelor nu este integrată în serviciul VPN și nu se colectează absolut niciun fel de date” propriului Management Assertion al Opera.

Postarea din 2026 prezintă din nou aceeași misiune, descriind constatarea ca fiind realizată de Deloitte: „am oferit echipei Deloitte acces complet la VPN-ul și infrastructura noastră de servere, iar aceasta a putut verifica afirmația noastră ... De fapt, o funcție de jurnalizare a datelor nici măcar nu este integrată în VPN de la bun început.” Aceeași postare transformă un interval pe care postarea din 2024 îl datează între 18 iunie și 10 august 2024 în „acces complet”.

Opera își descrie propria afirmație ca fiind concluzia auditorului său. De aceea blocul VERIFY este împărțit astfel. V01 este yes_verified pe baza unui raport deschis efectiv — propriul rezumat public al conducerii întocmit de Cure53 pentru evaluarea din martie 2022 — nu pe baza anunțului Deloitte.

Raportul Deloitte în sine nu este publicat nicăieri, așadar V02 este press_only, iar fiecare câmp care reprezintă o constatare a acelui raport, nu un fapt despre angajament, rămâne necunoscut: acoperirea flotei (V04), standardul de asigurare (V07), ce afirmă raportul că este reținut (V11) și nivelul de forță al opiniei (V15).

Faptele despre angajament — firma, categoria sa, data, ceea ce a fost enumerat ca fiind testat — sunt preluate din anunț. Un furnizor care a redefinit în mod demonstrabil acest audit o dată nu este o sursă pentru ceea ce a concluzionat auditul. C01 este none_linkable deoarece aceasta este declarația din informarea privind confidențialitatea; V11 este constatarea, iar nu există nicio constatare de citit.

Raportul Cure53 este real și acesta este motivul pentru care V14 este yes_verified: șapte testeri, douăzeci și patru de zile-om, testare white-box în cadrul a patru pachete de lucru care acoperă clienții VPN, configurația și infrastructura serverului, precum și protocolul Opera Mini utilizat pentru furnizarea configurației VPN. Paisprezece probleme relevante pentru securitate, dintre care opt vulnerabilități propriu-zise, cinci evaluate ca având severitate ridicată și niciuna critică.

La data de martie 2022, nouă erau remediate, iar remedierile erau verificate, una era remediată parțial, trei riscuri erau acceptate, una era o alertă falsă și una era încă în desfășurare. Blogul Opera afirmă că cele șapte elemente referitoare direct la VPN-ul browserului au fost „toate rezolvate ulterior”, iar tabelul confirmă acest lucru — restul se află în pachetul de lucru Opera Mini, nu în VPN-ul propriu-zis.

Proprietatea este dezvăluită complet și se încheie într-o țară cu obligație legală, motiv pentru care X03 și C11 indică direcții opuse fără a se contrazice.

Operatorul de date menționat în propria informare privind confidențialitatea a Opera este Opera Norway AS, o companie norvegiană, iar raportul de transparență este depus sub acest nume.

Compania holding este Opera Limited, o companie exceptată constituită în Insulele Cayman în martie 2018, fără operațiuni proprii substanțiale. Formularul 20-F pentru 2025 o menționează pe Hong Kong Kunlun Tech Holding Limited drept acționar principal, cu 68,0%, o filială a Kunlun Tech Co., Ltd. constituită în PRC, și afirmă că Kunlun „este compania-mamă finală a Opera și este controlată de președintele executiv al Opera”.

Așadar, M06 este NO, iar C10 este no, în timp ce M11 este CN, iar C11 este yes.

C12 este cea mai evidentă lacună dintre declarația VPN-ului și aplicația în care este integrat. Secțiunea VPN din declarația de confidențialitate declară că nu reține jurnale; o altă secțiune a aceluiași document spune că, atunci când o aplicație Opera este instalată, „se generează un ID de instalare aleatoriu. Colectăm acest identificator, precum și Machine ID, specificațiile hardware (modelul, data lansării etc.), sistemul de operare, configurația mediului și datele privind utilizarea funcțiilor”, păstrate timp de până la trei ani.

Un Machine ID este derivat din hardware, astfel încât identificatorul deținut de furnizor este persistent_hardware_id, nu unul aleatoriu asociat aplicației, indiferent de ceea ce înregistrează sau nu tunelul.

X12 compară două documente depuse chiar de Opera. Formularul Play privind siguranța datelor pentru com.opera.browser declară că Installed apps este colectat pentru Analytics, iar declarația de confidențialitate nu menționează deloc colectarea aplicațiilor instalate pe dispozitiv. Installed apps ține de comportament, nu este un identificator, de aici undisclosed_behaviour.

Același formular declară că Device or other IDs sunt partajate cu alte companii pentru publicitate, ceea ce plasează C07a la ads. C07b se bazează pe ceva mai restrâns și este marcat B pentru acest motiv: singura gazdă terță din marcajul servit pentru pagina produsului este Google Tag Manager, iar ceea ce încarcă acel container în timpul rulării nu a fost enumerat.

U02 este necunoscut prin concepția produsului, nu din cauza unui eșec al căutării: VPN-ul gratuit oferă trei regiuni — Opera le numește America, Asia și Europe — și niciodată o țară. C09 și C09b rezultă din aceasta și nu pot fi stabilite cât timp situația se menține.

X05 este ads_supported în propriul material explicativ al Opera, care enumeră publicitatea prima dintre cele trei surse de venit și descrie Opera Ads ca colectând un ID de utilizator generat aleatoriu, orașul sau țara și categorii largi de site-uri vizitate, păstrate timp de până la un an; împreună cu U05 = unlimited_free, acesta este exact cazul pe care R15 există pentru a-l semnala.

X06 este afirmația din postarea din 2026 potrivit căreia AES-256 „i-ar lua unui hacker care dispune chiar și de cel mai rapid computer mai mult de un miliard de ani pentru a-l sparge”. X09 este self_disclosed_prompt în două postări din 2026 în care Opera a publicat vulnerabilități raportate de cercetători externi, împreună cu analiza și versiunea remediată — acestea sunt vulnerabilități ale browserului, nu incidente VPN, iar niciun incident VPN nu este cunoscut.

C05 este not_sold. VPN-ul gratuit nu are deloc etapă de plată — nici abonament, nici cont — deci nu există nimic de plătit anonim sau în alt mod.

Această fișă a fost scrisă inițial ca none, ceea ce se interpretează ca „sunt oferite doar metodele de plată identificate” și este fals aici, deoarece vocabularul nu avea niciun token pentru un serviciu care nu încasează bani; necunoscut ar fi susținut că căutarea a eșuat, ceea ce era de asemenea fals, iar dintre două interpretări greșite a fost înregistrată cea care greșește în defavoarea furnizorului. Tokenul există acum și are prețul de nimic, ceea ce este răspunsul onest: acolo unde nu există plată, nu există identitate de plată care să poată fi divulgată.

Auditul încă nepublicat. Al optulea audit anual Cure53 era programat pentru iulie 2026, iar niciun raport pentru 2025 sau 2026 nu este încă publicat, motiv pentru care cea mai recentă dată a raportului este cea din aprilie 2024.

Incidentul din august 2026. În august 2026, un atacator a exploatat o vulnerabilitate din BTCPay Server găzduit autonom, înainte ca aceasta să fie publică, și a sustras fondurile operaționale Lightning proprii ale IVPN. IVPN a publicat relatarea patru zile mai târziu, fără să i se solicite, și a limitat-o la acea mașină: gateway-urile VPN nu au fost implicate, nu s-a ajuns la înregistrările clienților și nu s-au pierdut bani ai clienților.

De ce nu costă nimic. Modelul nu percepe nimic pentru aceasta, acesta fiind și motivul — un operator care spune prompt acest lucru se comportă în modul pe care câmpul este menit să îl recompenseze, iar fișa este aici pentru ca cititorul să știe că s-a întâmplat, nu pentru a modifica un număr.

Ce au acoperit misiunile. Testul de penetrare al aplicațiilor (iOS, Android, Electron, daemonul) este din martie 2022, iar analiza gateway-ului și a sistemului de operare al serverului este din februarie 2023; niciuna nu a testat declarația privind lipsa jurnalelor în sine, raportul din 2023 afirmă explicit acest lucru, astfel că reținerea se bazează exclusiv pe declarația din politica de confidențialitate.

Cel mai recent raport nu este cel relevant. Auditul din aprilie 2024, al șaselea realizat de Cure53 pentru IVPN, a testat site-ul contului de client, API-ul și găzduirea; pagina sa privind domeniul de aplicare menționează aplicațiile client și serverele VPN ca fiind în afara domeniului, astfel că nu extinde nici dovezile privind aplicația, nici pe cele privind gateway-ul, iar