Mullvad VPN против Opera VPN

Кто является этим третьим лицом, со временем изменилось: в объявлении об аудите 2024 года говорится, что серверы VPN Pro «предоставляются в сотрудничестве с Nord», а в пояснении 2026 года сказано, что VPN Pro «оснащён протоколом нового поколения Lightway», принадлежащим ExpressVPN. Ни в одном из документов не сказано, что договорённость изменилась.

X02 — ключевой вывод, и оба лежащих в его основе документа принадлежат Opera. В объявлении 2024 года приводится мнение Deloitte: «конфигурация ИТ-систем и управление вспомогательными ИТ-операциями были надлежащим образом спроектированы и внедрены во всех существенных отношениях на основе критериев, описанных в Management Assertion Opera, по состоянию на 10 августа 2024 года», а предложение «В службу VPN не встроена функция регистрации данных, и вообще никакие данные не собираются» отдельно приписывается собственному Management Assertion Opera.

В публикации 2026 года та же проверка вновь описывается так, будто вывод сделал Deloitte: «мы предоставили команде Deloitte полный доступ к нашей VPN-инфраструктуре и серверной инфраструктуре, и они смогли проверить наше утверждение ... На самом деле функция регистрации данных изначально даже не встроена в VPN». В той же публикации период, который публикация 2024 года датирует 18 июня — 10 августа 2024 года, преобразуется в «полный доступ».

Opera описывает собственное утверждение как вывод аудитора. Поэтому блок VERIFY разделён именно так. V01 имеет значение yes_verified благодаря фактически открытому отчёту — опубликованному Cure53 собственному резюме руководства по результатам оценки за март 2022 года, — а не благодаря объявлению Deloitte.

Сам отчёт Deloitte нигде не опубликован, поэтому V02 имеет значение press_only, а каждое поле, являющееся результатом этого отчёта, а не фактом о проведении аудита, остаётся неизвестным: охват инфраструктуры (V04), стандарт подтверждения (V07), что, согласно отчёту, хранится (V11), и сила заключения (V15).

Факты о проведении аудита — фирма, её категория, дата и то, что было указано как проверенное, — взяты из объявления. Провайдер, который однажды явно изменил характеристику этого аудита, не является источником сведений о выводе аудита. C01 имеет значение none_linkable, поскольку таково заявление в политике конфиденциальности; V11 — это результат, а результата, который можно было бы прочитать, нет.

Отчёт Cure53 реален и является основанием для значения yes_verified у V14: семь тестировщиков, двадцать четыре человеко-дня, тестирование методом белого ящика по четырём рабочим пакетам, охватывающим VPN-клиенты, конфигурацию и инфраструктуру сервера, а также протокол Opera Mini, использовавшийся для доставки конфигурации VPN. Выявлено четырнадцать проблем, имеющих отношение к безопасности, из них восемь — реальные уязвимости; пять получили высокую степень серьёзности, критических не было.

По состоянию на март 2022 года девять проблем были исправлены, и исправления проверены, одна исправлена частично, по трём риск был принят, одна оказалась ложным срабатыванием, а одна всё ещё находилась в работе. В блоге Opera говорится, что семь пунктов, непосредственно относившихся к VPN браузера, «впоследствии были полностью устранены», и таблица это подтверждает: оставшиеся пункты относятся к рабочему пакету Opera Mini, а не к самому VPN.

Владение полностью раскрыто и заканчивается в стране с предписанием, поэтому X03 и C11 указывают в противоположных направлениях, не противореча друг другу.

Контролёром данных, указанным в собственной политике конфиденциальности Opera, является Opera Norway AS, норвежская компания, и отчёт о прозрачности подан от её имени.

Холдинговой компанией является Opera Limited, освобождённая компания, зарегистрированная на Каймановых островах в марте 2018 года и не имеющая собственной существенной деятельности. В Form 20-F за 2025 год Hong Kong Kunlun Tech Holding Limited названа основным акционером с долей 68,0%; она является дочерней компанией Kunlun Tech Co., Ltd., зарегистрированной в PRC, и в документе указано, что Kunlun «является конечной материнской компанией Opera и находится под контролем исполнительного председателя Opera».

Таким образом, M06 имеет значение NO, а C10 — no, тогда как M11 имеет значение CN, а C11 — yes.

C12 — самый существенный пробел между заявлением VPN и приложением, частью которого он является. В разделе о VPN заявления о конфиденциальности заявлено отсутствие журналирования; в другом разделе того же документа сказано, что при установке приложения Opera «генерируется случайный идентификатор установки. Мы собираем этот идентификатор, а также Machine ID, характеристики оборудования (модель, дата выпуска и т. д.), операционную систему, конфигурацию среды и данные об использовании функций», которые хранятся до трёх лет.

Machine ID выводится из характеристик оборудования, поэтому идентификатор, которым располагает провайдер, — persistent_hardware_id, а не случайный идентификатор, связанный с приложением, независимо от того, что именно туннель журналирует или не журналирует.

X12 сопоставляет два документа, которые Opera подала самостоятельно. В форме Play о безопасности данных для com.opera.browser заявлено, что Installed apps собираются для Analytics, а в заявлении о конфиденциальности вообще не упоминается сбор приложений, установленных на устройстве. Installed apps — это поведение, а не идентификатор, поэтому значение — undisclosed_behaviour.

В той же форме заявлено, что Device or other IDs передаются другим компаниям для рекламы, что и помещает C07a в ads. C07b основан на более узком обстоятельстве и поэтому отмечен как B: единственный сторонний хост в разметке страницы продукта — Google Tag Manager, а содержимое, которое этот контейнер загружает во время работы, не перечислено.

U02 неизвестно по замыслу продукта, а не из-за неудачи поиска: бесплатный VPN предлагает три региона — Opera называет их America, Asia и Europe — и никогда не указывает страну. Из этого следуют C09 и C09b, и пока это сохраняется, их нельзя установить.

X05 — ads_supported в собственном пояснении Opera, где реклама указана первой среди трёх источников дохода и описано, что Opera Ads собирает случайно сгенерированный идентификатор пользователя, город или страну и широкие категории посещённых сайтов, хранящиеся до года; вместе с U05 = unlimited_free это в точности тот случай, который призван обозначать R15.

X06 — заявление из публикации 2026 года о том, что AES-256 «потребуется хакеру даже с самым быстрым компьютером больше миллиарда лет, чтобы взломать». X09 — self_disclosed_prompt в двух публикациях 2026 года, в которых Opera опубликовала уязвимости, о которых ей сообщили внешние исследователи, вместе с анализом и исправленной версией; это уязвимости браузера, а не инциденты VPN, и ни об одном инциденте VPN неизвестно.

C05 — not_sold. В бесплатном VPN вообще нет этапа оплаты — ни подписки, ни учётной записи, — поэтому платить анонимно или каким-либо иным образом нечему.

Эта запись сначала была внесена как none, что читается как «предлагаются только выявленные способы оплаты», и здесь это неверно, поскольку в словаре не было токена для сервиса, который не взимает денег; значение unknown означало бы, что поиск не дал результата, что также было бы неверно, а между двумя ошибочными трактовками была записана та, которая неблагоприятна для провайдера. Теперь токен существует и имеет нулевую цену, что является честным ответом: если оплаты нет, то нет и идентификатора платежа, который мог бы утечь.

Почему в подсчёте восемь. Количество аудитов равно восьми, потому что проверка GotaTun не входит в собственный список репозитория приложения. До них проверка X41 D-Sec продолжительностью 30 человеко-дней на всех пяти платформах выявила шесть уязвимостей — три высокой, две средней и одну низкой степени, критических нет.

Что не охватывает ни один аудит. Ни один из этих аудитов не охватывает парк серверов: каждый из них проверяет приложение или протокол туннеля, поэтому покрытие парка записано как неприменимое, а не как выборка. Поэтому заявление об отсутствии журналов в инфраструктуре опирается на ордер на обыск от апреля 2023 года — шведская полиция пришла за данными клиентов и ушла без них, — а не на какой-либо аудит.

Воспроизводимые сборки — только Android. Воспроизводимые сборки доступны только для Android, начиная с версии 2025.2, поэтому поле остаётся частичным; сборки для настольных систем и iOS невозможно проверить побитно. Турция — единственная страна с предписанием в предложенном списке, а хостинг за ней не установлен.

О требованиях ничего не опубликовано. Ни одно утверждение в записи не опирается на то, что провайдер публикует о получаемых им требованиях: нет ни отчёта о прозрачности, ни канарейки ордеров, поэтому изъятие в апреле 2023 года является единственным основанием. Покрытие аварийного отключения и политика P2P не установлены; последний аудит — это проверка кода протокола, а не аудит отсутствия журналов, поэтому V11 не содержит данных, а хранение опирается на декларацию.