AirVPN против Opera VPN

Примечательная практическая деталь: опубликованные стенограммы заседаний федерального суда США по делу United States v. Klyushin (D. Mass., docket 61629108, документы №183 и №217), найденные через CourtListener/RECAP, показывают, что устройство pen register для правоохранительных органов было установлено непосредственно у хостинговой компании (DediPath), а не у AirVPN, чтобы отслеживать IP-адрес сервера AirVPN в январе—феврале 2020 года; сотрудники AirVPN, отвечая на своём форуме, подтвердили, что компания не знала о перехвате и не участвовала в нём, а устройство пришлось устанавливать за пределами собственных систем AirVPN.

Это записано в P12_case_history как событие court_order/nothing_produced, источник которого — подтверждение на собственном форуме AirVPN (а не сами PDF-файлы PACER, которые возвращали 403 при автоматической загрузке и были прочитаны только через вторичное резюме).

Кто является этим третьим лицом, со временем изменилось: в объявлении об аудите 2024 года говорится, что серверы VPN Pro «предоставляются в сотрудничестве с Nord», а в пояснении 2026 года сказано, что VPN Pro «оснащён протоколом нового поколения Lightway», принадлежащим ExpressVPN. Ни в одном из документов не сказано, что договорённость изменилась.

X02 — ключевой вывод, и оба лежащих в его основе документа принадлежат Opera. В объявлении 2024 года приводится мнение Deloitte: «конфигурация ИТ-систем и управление вспомогательными ИТ-операциями были надлежащим образом спроектированы и внедрены во всех существенных отношениях на основе критериев, описанных в Management Assertion Opera, по состоянию на 10 августа 2024 года», а предложение «В службу VPN не встроена функция регистрации данных, и вообще никакие данные не собираются» отдельно приписывается собственному Management Assertion Opera.

В публикации 2026 года та же проверка вновь описывается так, будто вывод сделал Deloitte: «мы предоставили команде Deloitte полный доступ к нашей VPN-инфраструктуре и серверной инфраструктуре, и они смогли проверить наше утверждение ... На самом деле функция регистрации данных изначально даже не встроена в VPN». В той же публикации период, который публикация 2024 года датирует 18 июня — 10 августа 2024 года, преобразуется в «полный доступ».

Opera описывает собственное утверждение как вывод аудитора. Поэтому блок VERIFY разделён именно так. V01 имеет значение yes_verified благодаря фактически открытому отчёту — опубликованному Cure53 собственному резюме руководства по результатам оценки за март 2022 года, — а не благодаря объявлению Deloitte.

Сам отчёт Deloitte нигде не опубликован, поэтому V02 имеет значение press_only, а каждое поле, являющееся результатом этого отчёта, а не фактом о проведении аудита, остаётся неизвестным: охват инфраструктуры (V04), стандарт подтверждения (V07), что, согласно отчёту, хранится (V11), и сила заключения (V15).

Факты о проведении аудита — фирма, её категория, дата и то, что было указано как проверенное, — взяты из объявления. Провайдер, который однажды явно изменил характеристику этого аудита, не является источником сведений о выводе аудита. C01 имеет значение none_linkable, поскольку таково заявление в политике конфиденциальности; V11 — это результат, а результата, который можно было бы прочитать, нет.

Отчёт Cure53 реален и является основанием для значения yes_verified у V14: семь тестировщиков, двадцать четыре человеко-дня, тестирование методом белого ящика по четырём рабочим пакетам, охватывающим VPN-клиенты, конфигурацию и инфраструктуру сервера, а также протокол Opera Mini, использовавшийся для доставки конфигурации VPN. Выявлено четырнадцать проблем, имеющих отношение к безопасности, из них восемь — реальные уязвимости; пять получили высокую степень серьёзности, критических не было.

Что показывают темы форума. Темы форума показывают, что пользователи неоднократно просили AirVPN о канарейке ордера, но сотрудники не подтверждали наличие такой канарейки; это указывает на её возможное отсутствие, но не является первичным отрицанием, поэтому P07 остаётся неизвестно, а не «нет».

Количество, которое никто не публикует. Поэтому количество запросов и передач данных также неизвестно (P08, P09), а общее количество подписчиков никогда не раскрывается (M08 неизвестно) — AirVPN публикует только счётчик одновременно подключённых пользователей в реальном времени, а не общее количество зарегистрированных пользователей или подписчиков, поэтому молчание или незнание здесь имеют реальный вес.

Сборки и пентесты. Воспроизводимые сборки не задокументированы на собственной странице AirVPN по сборке из исходного кода (eddie.website/support/build/), а найти отдельный пентест клиента или инфраструктуры не удалось (V13, V14 неизвестно). Область действия аварийного отключения и поведение раздельного туннелирования взяты из стороннего обзора, а не из собственной документации AirVPN (U08, U09 с уровнем достоверности C), поскольку соответствующие страницы FAQ не удалось напрямую открыть через маршрутизацию сайта (они отображаются через JavaScript и при обычном запросе вернули только оболочку загрузки).

Освещение за пределами аффилированных источников. Освещение в прессе не ограничивается аффилированными источниками: BleepingComputer, крупное издание, не входящее в список агрегаторов аффилированных источников, опубликовало независимый обзор с собственным уведомлением о раскрытии аффилированной связи, а не ограничилось каталогами аффилированных источников (X08=no). В том же обзоре также установлено, что AirVPN не справился ни с одним из проверенных потоковых сервисов — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS, — поэтому теперь U12b_streaming_works имеет значение no, а не полученное ранее из addictivetips.com значение partial, которое использовалось до того, как этот источник был признан запрещённым.

Годовая цена. U04b_price_yearly=4,08 — это эффективная помесячная цена в EUR для годового плана (49 EUR/год) на airvpn.org/buy/, не меняющаяся при продлении, как и цена любого срока AirVPN.

Текстовый логотип. AirVPN предоставляет свой текстовый логотип только в формате PNG (/static/img/logo/web_header.png, logo_horiz.png) и не имеет страницы для прессы или страницы бренда, поэтому logos/airvpn.svg оставлен отсутствующим в соответствии с AUDITOR.md §1, а растровое изображение не обводилось.

Почему это не влияет на балл. И для clean, и для unknown цена равна 0,000, поэтому в балле от этого ничего не зависит; отсутствует запись, а не число, и следующий запуск следует начать с документов Kunlun и федерального реестра дел, а не с их краткого изложения.

Отчёт, который изменил бы четыре поля. Отчёт Deloitte — другой документ, который одновременно изменил бы несколько полей: V04, V07, V11 и V15 неизвестны только потому, что он не опубликован, а V11, в частности, — это поле, на котором основывается всё заявление об отсутствии журналов.

Без документа. Для U07 нет документа, как нет его и для связанного с ним C13: Opera называет AES-256 и «безопасный туннель», но никогда не называет протокол, поэтому самый слабый предлагаемый транспорт не установлен. U08, U09 и U12b не заполнены по той же причине: таблица сравнения функций на странице продукта помечает строки галочками, которых нет в полученной разметке, а считывание галочек с отображаемого изображения не является источником.

Серверы описаны, но не подтверждены доказательствами. За C02, C06 и C08 ничего не стоит: Opera говорит, что серверы физические и принадлежат ей, но это не устанавливает ни хранение на диске, ни DNS, ни владельца оборудования. На C09b нельзя ответить, пока U02 имеет значение неизвестно.

Один магазин, а не два. Были изучены только данные формы безопасности Google Play; метки конфиденциальности App Store для браузера iOS не изучались, поэтому X12 опирается на данные одного магазина, а не на худший из двух.

Две интерпретации, а не утверждения. Linux в U01 выведен из справочного руководства для настольной версии, в котором описывается VPN и Windows, macOS и Linux рассматриваются вместе, без разбивки по платформам; Android и iOS прямо названы в объявлении об аудите. U10 не ограничен, поскольку отсутствуют учётная запись и ограничение числа устройств, которое нужно было бы применять, — это интерпретация продукта, а не заявленная цифра.