Opera VPN против Windscribe

Кто является этим третьим лицом, со временем изменилось: в объявлении об аудите 2024 года говорится, что серверы VPN Pro «предоставляются в сотрудничестве с Nord», а в пояснении 2026 года сказано, что VPN Pro «оснащён протоколом нового поколения Lightway», принадлежащим ExpressVPN. Ни в одном из документов не сказано, что договорённость изменилась.

X02 — ключевой вывод, и оба лежащих в его основе документа принадлежат Opera. В объявлении 2024 года приводится мнение Deloitte: «конфигурация ИТ-систем и управление вспомогательными ИТ-операциями были надлежащим образом спроектированы и внедрены во всех существенных отношениях на основе критериев, описанных в Management Assertion Opera, по состоянию на 10 августа 2024 года», а предложение «В службу VPN не встроена функция регистрации данных, и вообще никакие данные не собираются» отдельно приписывается собственному Management Assertion Opera.

В публикации 2026 года та же проверка вновь описывается так, будто вывод сделал Deloitte: «мы предоставили команде Deloitte полный доступ к нашей VPN-инфраструктуре и серверной инфраструктуре, и они смогли проверить наше утверждение ... На самом деле функция регистрации данных изначально даже не встроена в VPN». В той же публикации период, который публикация 2024 года датирует 18 июня — 10 августа 2024 года, преобразуется в «полный доступ».

Opera описывает собственное утверждение как вывод аудитора. Поэтому блок VERIFY разделён именно так. V01 имеет значение yes_verified благодаря фактически открытому отчёту — опубликованному Cure53 собственному резюме руководства по результатам оценки за март 2022 года, — а не благодаря объявлению Deloitte.

Сам отчёт Deloitte нигде не опубликован, поэтому V02 имеет значение press_only, а каждое поле, являющееся результатом этого отчёта, а не фактом о проведении аудита, остаётся неизвестным: охват инфраструктуры (V04), стандарт подтверждения (V07), что, согласно отчёту, хранится (V11), и сила заключения (V15).

Факты о проведении аудита — фирма, её категория, дата и то, что было указано как проверенное, — взяты из объявления. Провайдер, который однажды явно изменил характеристику этого аудита, не является источником сведений о выводе аудита. C01 имеет значение none_linkable, поскольку таково заявление в политике конфиденциальности; V11 — это результат, а результата, который можно было бы прочитать, нет.

Отчёт Cure53 реален и является основанием для значения yes_verified у V14: семь тестировщиков, двадцать четыре человеко-дня, тестирование методом белого ящика по четырём рабочим пакетам, охватывающим VPN-клиенты, конфигурацию и инфраструктуру сервера, а также протокол Opera Mini, использовавшийся для доставки конфигурации VPN. Выявлено четырнадцать проблем, имеющих отношение к безопасности, из них восемь — реальные уязвимости; пять получили высокую степень серьёзности, критических не было.

По состоянию на март 2022 года девять проблем были исправлены, и исправления проверены, одна исправлена частично, по трём риск был принят, одна оказалась ложным срабатыванием, а одна всё ещё находилась в работе. В блоге Opera говорится, что семь пунктов, непосредственно относившихся к VPN браузера, «впоследствии были полностью устранены», и таблица это подтверждает: оставшиеся пункты относятся к рабочему пакету Opera Mini, а не к самому VPN.

Владение полностью раскрыто и заканчивается в стране с предписанием, поэтому X03 и C11 указывают в противоположных направлениях, не противореча друг другу.

Контролёром данных, указанным в собственной политике конфиденциальности Opera, является Opera Norway AS, норвежская компания, и отчёт о прозрачности подан от её имени.

Холдинговой компанией является Opera Limited, освобождённая компания, зарегистрированная на Каймановых островах в марте 2018 года и не имеющая собственной существенной деятельности. В Form 20-F за 2025 год Hong Kong Kunlun Tech Holding Limited названа основным акционером с долей 68,0%; она является дочерней компанией Kunlun Tech Co., Ltd., зарегистрированной в PRC, и в документе указано, что Kunlun «является конечной материнской компанией Opera и находится под контролем исполнительного председателя Opera».

Таким образом, M06 имеет значение NO, а C10 — no, тогда как M11 имеет значение CN, а C11 — yes.

C12 — самый существенный пробел между заявлением VPN и приложением, частью которого он является. В разделе о VPN заявления о конфиденциальности заявлено отсутствие журналирования; в другом разделе того же документа сказано, что при установке приложения Opera «генерируется случайный идентификатор установки. Мы собираем этот идентификатор, а также Machine ID, характеристики оборудования (модель, дата выпуска и т. д.), операционную систему, конфигурацию среды и данные об использовании функций», которые хранятся до трёх лет.

Machine ID выводится из характеристик оборудования, поэтому идентификатор, которым располагает провайдер, — persistent_hardware_id, а не случайный идентификатор, связанный с приложением, независимо от того, что именно туннель журналирует или не журналирует.

X12 сопоставляет два документа, которые Opera подала самостоятельно. В форме Play о безопасности данных для com.opera.browser заявлено, что Installed apps собираются для Analytics, а в заявлении о конфиденциальности вообще не упоминается сбор приложений, установленных на устройстве. Installed apps — это поведение, а не идентификатор, поэтому значение — undisclosed_behaviour.

В той же форме заявлено, что Device or other IDs передаются другим компаниям для рекламы, что и помещает C07a в ads. C07b основан на более узком обстоятельстве и поэтому отмечен как B: единственный сторонний хост в разметке страницы продукта — Google Tag Manager, а содержимое, которое этот контейнер загружает во время работы, не перечислено.

U02 неизвестно по замыслу продукта, а не из-за неудачи поиска: бесплатный VPN предлагает три региона — Opera называет их America, Asia и Europe — и никогда не указывает страну. Из этого следуют C09 и C09b, и пока это сохраняется, их нельзя установить.

X05 — ads_supported в собственном пояснении Opera, где реклама указана первой среди трёх источников дохода и описано, что Opera Ads собирает случайно сгенерированный идентификатор пользователя, город или страну и широкие категории посещённых сайтов, хранящиеся до года; вместе с U05 = unlimited_free это в точности тот случай, который призван обозначать R15.

X06 — заявление из публикации 2026 года о том, что AES-256 «потребуется хакеру даже с самым быстрым компьютером больше миллиарда лет, чтобы взломать». X09 — self_disclosed_prompt в двух публикациях 2026 года, в которых Opera опубликовала уязвимости, о которых ей сообщили внешние исследователи, вместе с анализом и исправленной версией; это уязвимости браузера, а не инциденты VPN, и ни об одном инциденте VPN неизвестно.

C05 — not_sold. В бесплатном VPN вообще нет этапа оплаты — ни подписки, ни учётной записи, — поэтому платить анонимно или каким-либо иным образом нечему.

Эта запись сначала была внесена как none, что читается как «предлагаются только выявленные способы оплаты», и здесь это неверно, поскольку в словаре не было токена для сервиса, который не взимает денег; значение unknown означало бы, что поиск не дал результата, что также было бы неверно, а между двумя ошибочными трактовками была записана та, которая неблагоприятна для провайдера. Теперь токен существует и имеет нулевую цену, что является честным ответом: если оплаты нет, то нет и идентификатора платежа, который мог бы утечь.

Почему это не влияет на балл. И для clean, и для unknown цена равна 0,000, поэтому в балле от этого ничего не зависит; отсутствует запись, а не число, и следующий запуск следует начать с документов Kunlun и федерального реестра дел, а не с их краткого изложения.

Отчёт, который изменил бы четыре поля. Отчёт Deloitte — другой документ, который одновременно изменил бы несколько полей: V04, V07, V11 и V15 неизвестны только потому, что он не опубликован, а V11, в частности, — это поле, на котором основывается всё заявление об отсутствии журналов.

Без документа. Для U07 нет документа, как нет его и для связанного с ним C13: Opera называет AES-256 и «безопасный туннель», но никогда не называет протокол, поэтому самый слабый предлагаемый транспорт не установлен. U08, U09 и U12b не заполнены по той же причине: таблица сравнения функций на странице продукта помечает строки галочками, которых нет в полученной разметке, а считывание галочек с отображаемого изображения не является источником.

Серверы описаны, но не подтверждены доказательствами. За C02, C06 и C08 ничего не стоит: Opera говорит, что серверы физические и принадлежат ей, но это не устанавливает ни хранение на диске, ни DNS, ни владельца оборудования. На C09b нельзя ответить, пока U02 имеет значение неизвестно.

Один магазин, а не два. Были изучены только данные формы безопасности Google Play; метки конфиденциальности App Store для браузера iOS не изучались, поэтому X12 опирается на данные одного магазина, а не на худший из двух.

Две интерпретации, а не утверждения. Linux в U01 выведен из справочного руководства для настольной версии, в котором описывается VPN и Windows, macOS и Linux рассматриваются вместе, без разбивки по платформам; Android и iOS прямо названы в объявлении об аудите. U10 не ограничен, поскольку отсутствуют учётная запись и ограничение числа устройств, которое нужно было бы применять, — это интерпретация продукта, а не заявленная цифра.