NordVPN наспрам Opera VPN

Канаринац, и квартал који га је заменио. Иста страница је повукла канаринца за налоге (P07=removed) у корист кварталних извештаја о транспарентности; последњи потпуни квартал (април–јун 2026) показује 85 упита влада и 0 откривања података, па се P08/P09 односе на тај период, а не на доживотни износ.

Индија и режим тајних налога. P04=withdrew_physical је повлачење из Индије у јуну 2022. P11=none_known заснива се на изјави странице да NordVPN није примио ниједно обавезујуће писмо о националној безбедности или забрану обавештавања, као и на одсуству таквог режима у Панами.

Ниво уверења који нико не може да провери. NordVPN описује ангажман Deloitte Lithuania као ангажман са разумним уверењем према стандарду ISAE 3000 (Revised), што би био јачи облик; у извештају PIA, који се може прочитати, наводи се закључак са ограниченим уверењем.

Зашто се јачи облик не признаје. Модел сада вреднује ту разлику, а овај запис од ње нема користи: V15_assurance_strength је непознато јер је једина изјава о нивоу NordVPN-ова, о извештају који нико изван Nord Account-а не може да отвори. Документ иза пријаве овде није доказ ни на једном нивоу, па се ангажман признаје према тржишној норми, а не према нивоу за који се тврди да је достигнут.

Извештај иза пријаве. Сам извештај је читљив тек након пријављивања на Nord Account, па нико изван тог односа није проверио његов обухват, а свако поље ревизије овде почива на NordVPN-овом сопственом сажетку, а не на документу. То, а не налаз против услуге, разлог је што је овај запис најмање поткрепљен у каталогу.

Поља о власнику. M11_owner_jurisdiction и X04_owner_group_history су непозната: nordvpn.com и nordsecurity.com наводе Nord Security као власника, али ниједан не наводи сопствену јурисдикцију оснивања Nord Security-а нити било какав претходни запис о групи; секундарни медијски извештаји повезују холдинг ентитет „Cyberspace“ са Холандијом након спајања из 2022. године, али то није потврђено на примарној страници Nord Security-а или NordVPN-а у расположивом времену.

Оно што уопште није могло да се прочита. Пуни текст Deloitte извештаја из 2025. године уопште не може да се прочита (приступ је условљен пријавом), па није забележен никакав налаз о задржавању података осим сопственог тврђења политике у C01_linkable_retention.

Табела сервера која се није отворила. C09b_mandate_hosting је непознато: жива табела сервера по земљама приказује статус физичких/виртуелних сервера само за регион Америке у стању акордеона које је ова ревизија могла да прикаже; одељци за Европу, Азију и Пацифик и Африку/Блиски исток (који обухватају неколико земаља са мандатима у којима флота пружа услугу, нпр. AE, IN, TR, VN, IQ, KZ према API-ју сервера) учитавају се на страни клијента након клика и нису проширени.

Остављено непознатим, а не тврђеним. C04-C07, U06 (доказ цензуре), U11, V12-V14, X06, X07, X10 и X11 нису независно потврђени на основу примарног документа и остављени су непознатим, а не тврђеним на основу секундарних извора.

Једна сумња остаје отворена и није наплаћена. Једна сумња остаје отворена у вези са X12, без урачунавања: Play образац за безбедност података за com.nordvpn.android наводи Installed apps у оквиру аналитике на Android-у, док обавештење о приватности NordVPN-а помиње инсталиране апликације само на једном месту — у скенирању рањивости на малвер — и обухват обраде назива и верзија апликација ограничава на Windows.

Зашто се и даље чита као подударање. Категорија је обелодањена, а не одсутна, и R28 не доноси налаз на основу разлике у обухвату платформе, па вредност гласи matches_policy; али сврха на Android-у није она коју описује обавештење, а само NordVPN може да каже шта је од то двоје погрешно написано.

Зашто резултат не зависи од тога. И чиста и непозната цена износе 0,000, па ништа у резултату не зависи од овога; оно што недостаје јесте запис, а не број, и следећи пролаз треба да почне од поднесака компаније Kunlun и федералног судског предмета, а не од њиховог сажетка.

Извештај који би померио четири поља. Извештај компаније Deloitte је други документ који би одједном померио неколико поља: V04, V07, V11 и V15 су непознати само зато што није објављен, а V11 је нарочито поље на којем почива цела тврдња о неевидентирању.

Оно за шта нема документа. За U07 нема документа, као ни за C13 који стоји иза њега: Opera наводи AES-256 и „secure tunnel“, али никада не наводи протокол, па најслабији понуђени транспорт није утврђен. U08, U09 и U12b нису попуњени из истог разлога — табела поређења функција на страници производа означава редове квачицама које преузета ознака не садржи, а очитавање квачица са приказане слике није извор.

Сервери описани, не поткрепљени доказима. Иза C02, C06 и C08 нема ничега: Opera каже да су сервери физички и њени, што не утврђује ни диск, ни DNS, ни то ко поседује хардвер. На C09b се не може одговорити док је U02 непознато.

Једна продавница, не две. Прочитан је само Google Play образац за безбедност података; ознаке приватности у App Store-у за iOS прегледач нису прочитане, па се X12 заснива на једној продавници, а не на неповољнијем од два извора.

Два тумачења, а не тврдње. Linux у U01 изведен је из приручника за помоћ на десктопу, који документује VPN и заједно обухвата Windows, macOS и Linux, без раздвајања по платформама; Android и iOS су изричито наведени у објави ревизије. U10 је неограничено јер нема налога ни ограничења броја уређаја које би то ограничење спроводило, што је тумачење производа, а не наведена бројка.

Повреда безбедности дата-центра у Финској из 2018. била је упад треће стране, а не заплена од стране органа за спровођење закона — забележена је у оквиру P12_case_history као kind=breach, а не P01_seizure_event. Сопствени извештај NordVPN-а (nordvpn.com/blog/official-response-datacenter-breach/) и истовремено извештавање Bloomberg-а слажу се да је обелодањивање уследило после навода спољних истраживача на Twitter-у, а не на сопствену иницијативу NordVPN-а — отуда third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имају исту матичну компанију (Nord Security), али сопствена објава обе компаније о спајању наводи одвојену инфраструктуру и планове развоја производа; M18 је на тој основи подешен на одвојено.

X02 је кључни налаз, а оба документа на којима се заснива су Operina. Објава из 2024. цитира мишљење Deloitte-а: „конфигурација ИТ система и управљање пратећим ИТ операцијама били су на одговарајући начин осмишљени и спроведени, у свим материјално значајним аспектима, на основу критеријума описаних у документу Opera Management Assertion, на дан 10. августа 2024.“, а реченицу „У VPN услугу није уграђена функционалност евидентирања података и никакви подаци се не прикупљају“ засебно приписује Operinom документу Management Assertion.

Објава из 2026. поново описује исти ангажман тако што наводи да је Deloitte обавио налаз: „нашем тиму Deloitte-а дали смо потпун приступ нашој VPN и серверској инфраструктури и они су могли да провере нашу тврдњу ... Заправо, функција евидентирања података чак није ни уграђена у VPN.“ Иста објава период који објава из 2024. датира од 18. јуна до 10. августа 2024. преиначује у „потпун приступ“.

Opera своју тврдњу описује као закључак свог ревизора. Зато се блок VERIFY дели на овај начин. V01 је yes_verified на основу извештаја који је заиста отворен — сопственог објављеног сажетка руководства компаније Cure53 о њеној процени из марта 2022. — а не на основу саопштења компаније Deloitte.

Сам извештај компаније Deloitte није нигде објављен, па је V02 press_only, а свако поље које представља налаз тог извештаја, а не чињеницу о ангажману, остаје непознато: обухват флоте (V04), стандард уверења (V07), шта извештај наводи да се задржава (V11) и снага мишљења (V15).

Чињенице о ангажману — фирма, њена категорија, датум, оно што је наведено као тестирано — преузете су из саопштења. Добављач који је једном доказиво другачије окарактерисао ову ревизију није извор за оно што је ревизијом закључено. C01 је none_linkable јер је то изјава у саопштењу о приватности; V11 је налаз, а налаза за читање нема.

Извештај компаније Cure53 је стваран и разлог је што је V14 yes_verified: седам тестера, двадесет четири човек-дана, тестирање типа white-box кроз четири пакета рада који обухватају VPN клијенте, конфигурацију сервера и инфраструктуру, као и протокол Opera Mini који се користи за испоруку VPN конфигурације. Четрнаест питања релевантних за безбедност, од којих су осам стварне рањивости, пет оцењених као високо озбиљне и ниједна критична.

До марта 2022. девет је исправљено, а исправке су проверене, једно је делимично исправљено, за три је ризик прихваћен, једно је било лажно упозорење, а једно је још било у току. Блог компаније Opera наводи да је седам ставки које се непосредно односе на VPN прегледача „све накнадно решено“, а табела то потврђује — преостале ставке су у пакету рада Opera Mini, а не у самом VPN-у.

Власништво је у потпуности објављено и завршава се у земљи са мандатом, због чега X03 и C11 упућују у супротним смеровима, а да нису у противречности.