Opera VPN против Surfshark

Почему это не влияет на балл. И для clean, и для unknown цена равна 0,000, поэтому в балле от этого ничего не зависит; отсутствует запись, а не число, и следующий запуск следует начать с документов Kunlun и федерального реестра дел, а не с их краткого изложения.

Отчёт, который изменил бы четыре поля. Отчёт Deloitte — другой документ, который одновременно изменил бы несколько полей: V04, V07, V11 и V15 неизвестны только потому, что он не опубликован, а V11, в частности, — это поле, на котором основывается всё заявление об отсутствии журналов.

Без документа. Для U07 нет документа, как нет его и для связанного с ним C13: Opera называет AES-256 и «безопасный туннель», но никогда не называет протокол, поэтому самый слабый предлагаемый транспорт не установлен. U08, U09 и U12b не заполнены по той же причине: таблица сравнения функций на странице продукта помечает строки галочками, которых нет в полученной разметке, а считывание галочек с отображаемого изображения не является источником.

Серверы описаны, но не подтверждены доказательствами. За C02, C06 и C08 ничего не стоит: Opera говорит, что серверы физические и принадлежат ей, но это не устанавливает ни хранение на диске, ни DNS, ни владельца оборудования. На C09b нельзя ответить, пока U02 имеет значение неизвестно.

Один магазин, а не два. Были изучены только данные формы безопасности Google Play; метки конфиденциальности App Store для браузера iOS не изучались, поэтому X12 опирается на данные одного магазина, а не на худший из двух.

Две интерпретации, а не утверждения. Linux в U01 выведен из справочного руководства для настольной версии, в котором описывается VPN и Windows, macOS и Linux рассматриваются вместе, без разбивки по платформам; Android и iOS прямо названы в объявлении об аудите. U10 не ограничен, поскольку отсутствуют учётная запись и ограничение числа устройств, которое нужно было бы применять, — это интерпретация продукта, а не заявленная цифра.

Индия и режим секретных предписаний. P04_mandate_response=withdrew_physical — это уход из Индии в июне 2022 года, восстановленный по собственной публикации Surfshark (surfshark.com/blog/surfshark-servers-certin-india), после того как предыдущая проверка обнаружила, что на странице /trust-center это больше не указано. P11=judicial_only основан на отчёте о прозрачности, где число ордеров Amsterdam District Court за апрель 2026 года и ответов на письма о национальной безопасности и запреты на разглашение равно нулю.

Найдены два отчёта, возможно, не все. Опубликованными были найдены только два отчёта Deloitte об отсутствии журналов (декабрь 2022 года, июнь 2025 года); могут существовать и другие, не связанные из robots.txt, поиск которых другими способами этот аудит не проводил.

Кто является этим третьим лицом, со временем изменилось: в объявлении об аудите 2024 года говорится, что серверы VPN Pro «предоставляются в сотрудничестве с Nord», а в пояснении 2026 года сказано, что VPN Pro «оснащён протоколом нового поколения Lightway», принадлежащим ExpressVPN. Ни в одном из документов не сказано, что договорённость изменилась.

X02 — ключевой вывод, и оба лежащих в его основе документа принадлежат Opera. В объявлении 2024 года приводится мнение Deloitte: «конфигурация ИТ-систем и управление вспомогательными ИТ-операциями были надлежащим образом спроектированы и внедрены во всех существенных отношениях на основе критериев, описанных в Management Assertion Opera, по состоянию на 10 августа 2024 года», а предложение «В службу VPN не встроена функция регистрации данных, и вообще никакие данные не собираются» отдельно приписывается собственному Management Assertion Opera.

В публикации 2026 года та же проверка вновь описывается так, будто вывод сделал Deloitte: «мы предоставили команде Deloitte полный доступ к нашей VPN-инфраструктуре и серверной инфраструктуре, и они смогли проверить наше утверждение ... На самом деле функция регистрации данных изначально даже не встроена в VPN». В той же публикации период, который публикация 2024 года датирует 18 июня — 10 августа 2024 года, преобразуется в «полный доступ».

Opera описывает собственное утверждение как вывод аудитора. Поэтому блок VERIFY разделён именно так. V01 имеет значение yes_verified благодаря фактически открытому отчёту — опубликованному Cure53 собственному резюме руководства по результатам оценки за март 2022 года, — а не благодаря объявлению Deloitte.

Сам отчёт Deloitte нигде не опубликован, поэтому V02 имеет значение press_only, а каждое поле, являющееся результатом этого отчёта, а не фактом о проведении аудита, остаётся неизвестным: охват инфраструктуры (V04), стандарт подтверждения (V07), что, согласно отчёту, хранится (V11), и сила заключения (V15).

Факты о проведении аудита — фирма, её категория, дата и то, что было указано как проверенное, — взяты из объявления. Провайдер, который однажды явно изменил характеристику этого аудита, не является источником сведений о выводе аудита. C01 имеет значение none_linkable, поскольку таково заявление в политике конфиденциальности; V11 — это результат, а результата, который можно было бы прочитать, нет.

Отчёт Cure53 реален и является основанием для значения yes_verified у V14: семь тестировщиков, двадцать четыре человеко-дня, тестирование методом белого ящика по четырём рабочим пакетам, охватывающим VPN-клиенты, конфигурацию и инфраструктуру сервера, а также протокол Opera Mini, использовавшийся для доставки конфигурации VPN. Выявлено четырнадцать проблем, имеющих отношение к безопасности, из них восемь — реальные уязвимости; пять получили высокую степень серьёзности, критических не было.

По состоянию на март 2022 года девять проблем были исправлены, и исправления проверены, одна исправлена частично, по трём риск был принят, одна оказалась ложным срабатыванием, а одна всё ещё находилась в работе. В блоге Opera говорится, что семь пунктов, непосредственно относившихся к VPN браузера, «впоследствии были полностью устранены», и таблица это подтверждает: оставшиеся пункты относятся к рабочему пакету Opera Mini, а не к самому VPN.

Владение полностью раскрыто и заканчивается в стране с предписанием, поэтому X03 и C11 указывают в противоположных направлениях, не противореча друг другу.

Контролёром данных, указанным в собственной политике конфиденциальности Opera, является Opera Norway AS, норвежская компания, и отчёт о прозрачности подан от её имени.

Холдинговой компанией является Opera Limited, освобождённая компания, зарегистрированная на Каймановых островах в марте 2018 года и не имеющая собственной существенной деятельности. В Form 20-F за 2025 год Hong Kong Kunlun Tech Holding Limited названа основным акционером с долей 68,0%; она является дочерней компанией Kunlun Tech Co., Ltd., зарегистрированной в PRC, и в документе указано, что Kunlun «является конечной материнской компанией Opera и находится под контролем исполнительного председателя Opera».

Таким образом, M06 имеет значение NO, а C10 — no, тогда как M11 имеет значение CN, а C11 — yes.

C12 — самый существенный пробел между заявлением VPN и приложением, частью которого он является. В разделе о VPN заявления о конфиденциальности заявлено отсутствие журналирования; в другом разделе того же документа сказано, что при установке приложения Opera «генерируется случайный идентификатор установки. Мы собираем этот идентификатор, а также Machine ID, характеристики оборудования (модель, дата выпуска и т. д.), операционную систему, конфигурацию среды и данные об использовании функций», которые хранятся до трёх лет.

Machine ID выводится из характеристик оборудования, поэтому идентификатор, которым располагает провайдер, — persistent_hardware_id, а не случайный идентификатор, связанный с приложением, независимо от того, что именно туннель журналирует или не журналирует.

X12 сопоставляет два документа, которые Opera подала самостоятельно. В форме Play о безопасности данных для com.opera.browser заявлено, что Installed apps собираются для Analytics, а в заявлении о конфиденциальности вообще не упоминается сбор приложений, установленных на устройстве. Installed apps — это поведение, а не идентификатор, поэтому значение — undisclosed_behaviour.

В той же форме заявлено, что Device or other IDs передаются другим компаниям для рекламы, что и помещает C07a в ads. C07b основан на более узком обстоятельстве и поэтому отмечен как B: единственный сторонний хост в разметке страницы продукта — Google Tag Manager, а содержимое, которое этот контейнер загружает во время работы, не перечислено.

U02 неизвестно по замыслу продукта, а не из-за неудачи поиска: бесплатный VPN предлагает три региона — Opera называет их America, Asia и Europe — и никогда не указывает страну. Из этого следуют C09 и C09b, и пока это сохраняется, их нельзя установить.

X05 — ads_supported в собственном пояснении Opera, где реклама указана первой среди трёх источников дохода и описано, что Opera Ads собирает случайно сгенерированный идентификатор пользователя, город или страну и широкие категории посещённых сайтов, хранящиеся до года; вместе с U05 = unlimited_free это в точности тот случай, который призван обозначать R15.

X06 — заявление из публикации 2026 года о том, что AES-256 «потребуется хакеру даже с самым быстрым компьютером больше миллиарда лет, чтобы взломать». X09 — self_disclosed_prompt в двух публикациях 2026 года, в которых Opera опубликовала уязвимости, о которых ей сообщили внешние исследователи, вместе с анализом и исправленной версией; это уязвимости браузера, а не инциденты VPN, и ни об одном инциденте VPN неизвестно.

C05 — not_sold. В бесплатном VPN вообще нет этапа оплаты — ни подписки, ни учётной записи, — поэтому платить анонимно или каким-либо иным образом нечему.

Эта запись сначала была внесена как none, что читается как «предлагаются только выявленные способы оплаты», и здесь это неверно, поскольку в словаре не было токена для сервиса, который не взимает денег; значение unknown означало бы, что поиск не дал результата, что также было бы неверно, а между двумя ошибочными трактовками была записана та, которая неблагоприятна для провайдера. Теперь токен существует и имеет нулевую цену, что является честным ответом: если оплаты нет, то нет и идентификатора платежа, который мог бы утечь.

Эта запись ранее была прочитана дважды — connection_timestamps в V11 по формулировке аудита и source_ip в C01 по формулировке политики — и оценена по худшему из двух вариантов, из-за чего пятнадцатиминутный буфер стоил больше, чем отсутствие утверждения: пропуск в C01 даёт рыночное априорное значение 0,550, а source_ip — 0,750.

R29 теперь проводит границу: если указано, что данные удаляются в заявленный срок, связанный с окончанием сеанса, речь идёт о подключении, а не о записи о нём, поэтому оба поля в этом же предложении читаются как connection_timestamps. По-прежнему учитывается то, что переживает сеанс: дата последнего входа в разделе 2.3.1 политики и временные метки подключений, названные аудитором.

Surfshark и NordVPN имеют общего владельца (Nord Security, с 2022 года), но на собственной странице Surfshark о компании указано, что бренды объединились «при независимой работе» с отдельной инфраструктурой — поэтому для M18 установлено разделение, как и в записи nordvpn.com.

Для U12a установлено частичное значение, а не «да», по собственной колонке P2P в таблице серверов: у 88 из 100 перечисленных стран есть эта пометка, а у двенадцати её нет (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Колонка формируется на стороне клиента, поэтому её прочитали в отображённой таблице, а не в статическом HTML, где каждая строка содержит все метки.

В отчёте о прозрачности по адресу /transparency-report — куда теперь перенаправляет /warrant-canary — квартал за апрель—июнь 2026 года представлен в виде таблицы: 374 719 уведомлений DMCA, 33 запроса от государственных учреждений, 1 предписание, 0 писем о национальной безопасности и 0 запретов на разглашение. P08 учитывает 34 правовых запроса и не учитывает уведомления DMCA: это жалобы на нарушение авторских прав в связи с трафиком, а не запросы данных пользователя.

На той же странице указано, что Surfshark отказывается от уведомления о предписаниях в пользу ежеквартальной отчётности, поэтому P07 удалено, а не отмечено как отсутствующее: уведомление существовало и было намеренно отозвано.