Mullvad VPN กับ Opera VPN

X02 เป็นข้อค้นพบหลัก และเอกสารทั้งสองฉบับที่รองรับข้อนี้เป็นเอกสารของ Opera เอง ประกาศปี 2024 อ้างความเห็นของ Deloitte ว่า "การกำหนดค่าระบบไอทีและการจัดการการดำเนินงานด้านไอทีที่สนับสนุนได้รับการออกแบบและนำไปใช้อย่างเหมาะสมในสาระสำคัญทุกประการ โดยอิงตามเกณฑ์ที่อธิบายไว้ใน Management Assertion ของ Opera ณ วันที่ 10 สิงหาคม 2024" และแยกกันระบุว่าประโยค "ไม่มีฟังก์ชันการบันทึกข้อมูลติดตั้งอยู่ในบริการ VPN และไม่มีการเก็บข้อมูลใด ๆ ทั้งสิ้น" มาจาก Management Assertion ของ Opera เอง

โพสต์ปี 2026 เล่าการตรวจสอบครั้งเดียวกันอีกครั้ง โดยระบุว่า Deloitte เป็นผู้ดำเนินการตรวจสอบ: "เราให้ทีมของ Deloitte เข้าถึง VPN และโครงสร้างพื้นฐานเซิร์ฟเวอร์ของเราได้อย่างครบถ้วน และพวกเขาสามารถตรวจสอบคำกล่าวอ้างของเราได้ ... ที่จริงแล้ว ฟังก์ชันการบันทึกข้อมูลไม่ได้ติดตั้งอยู่ใน VPN ตั้งแต่แรกด้วยซ้ำ" โพสต์เดียวกันนี้ยกระดับช่วงเวลาที่โพสต์ปี 2024 ระบุไว้ว่า 18 มิถุนายนถึง 10 สิงหาคม 2024 ให้กลายเป็น "การเข้าถึงอย่างครบถ้วน"

Opera กำลังอธิบายคำกล่าวอ้างของตนเองว่าเป็นข้อสรุปของผู้ตรวจสอบ นั่นคือเหตุผลที่บล็อก VERIFY แยกออกมาในลักษณะนี้ V01 เป็น yes_verified โดยอาศัยรายงานที่เปิดอ่านได้จริง — บทสรุปการจัดการที่ Cure53 เผยแพร่เองเกี่ยวกับการประเมินในเดือนมีนาคม 2022 — ไม่ใช่โดยอาศัยประกาศของ Deloitte

รายงานของ Deloitte เองไม่ได้เผยแพร่ไว้ที่ใดเลย ดังนั้น V02 จึงเป็น press_only และทุกฟิลด์ที่เป็นข้อค้นพบของรายงานนั้น ไม่ใช่ข้อเท็จจริงเกี่ยวกับการว่าจ้าง ยังคงเป็นไม่ทราบ ได้แก่ ความครอบคลุมของกลุ่มเซิร์ฟเวอร์ (V04) มาตรฐานการให้ความเชื่อมั่น (V07) สิ่งที่รายงานระบุว่าเก็บไว้ (V11) และความหนักแน่นของความเห็น (V15)

ข้อเท็จจริงเกี่ยวกับการว่าจ้าง — บริษัท ประเภทของบริษัท วันที่ และสิ่งที่ระบุว่าทดสอบ — นำมาจากประกาศ ผู้ขายที่มีหลักฐานชัดเจนว่าเคยอธิบายการตรวจสอบนี้ใหม่ครั้งหนึ่งแล้ว ไม่ใช่แหล่งข้อมูลสำหรับข้อสรุปของการตรวจสอบ C01 เป็น none_linkable เพราะนั่นคือคำประกาศในคำชี้แจงความเป็นส่วนตัว ส่วน V11 คือข้อค้นพบ และไม่มีข้อค้นพบให้อ่าน

รายงานของ Cure53 มีอยู่จริง และเป็นเหตุผลที่ V14 เป็น yes_verified: ผู้ทดสอบเจ็ดคน ใช้เวลาทำงานยี่สิบสี่วันต่อคน ตรวจสอบแบบ white-box ครอบคลุมชุดงานสี่ชุด ได้แก่ ไคลเอนต์ VPN การกำหนดค่าและโครงสร้างพื้นฐานของเซิร์ฟเวอร์ และโปรโตคอล Opera Mini ที่ใช้ส่งการกำหนดค่า VPN พบประเด็นที่เกี่ยวข้องกับความปลอดภัยสิบสี่รายการ โดยแปดรายการเป็นช่องโหว่จริง ห้ารายการได้รับการจัดระดับความรุนแรงสูง และไม่มีรายการใดวิกฤต

ณ เดือนมีนาคม 2022 มีการแก้ไขแล้วเก้ารายการและมีการยืนยันการแก้ไขแล้ว หนึ่งรายการแก้ไขบางส่วน สามรายการยอมรับความเสี่ยง หนึ่งรายการเป็นการแจ้งเตือนเท็จ และหนึ่งรายการยังอยู่ระหว่างดำเนินการ บล็อกของ Opera ระบุว่ารายการทั้งเจ็ดที่เกี่ยวข้องโดยตรงกับ VPN ของเบราว์เซอร์ "ได้รับการแก้ไขทั้งหมดในเวลาต่อมา" และตารางก็ยืนยันเช่นนั้น — รายการที่ยังเหลืออยู่ในชุดงาน Opera Mini ไม่ใช่ในตัว VPN เอง

มีการเปิดเผยความเป็นเจ้าของอย่างครบถ้วน และสายความเป็นเจ้าของสิ้นสุดที่ประเทศที่มีข้อบังคับ จึงเป็นเหตุผลที่ X03 และ C11 ชี้ไปคนละทิศทางโดยไม่ขัดแย้งกัน

ผู้ควบคุมข้อมูลที่ระบุในคำชี้แจงความเป็นส่วนตัวของ Opera เองคือ Opera Norway AS ซึ่งเป็นบริษัทนอร์เวย์ และรายงานความโปร่งใสก็ยื่นในชื่อนี้

บริษัทโฮลดิงคือ Opera Limited ซึ่งเป็นบริษัท exempted ที่จดทะเบียนจัดตั้งในหมู่เกาะเคย์แมนในเดือนมีนาคม 2018 และไม่มีการดำเนินงานที่มีสาระสำคัญเป็นของตนเอง Form 20-F สำหรับ 2025 ระบุว่า Hong Kong Kunlun Tech Holding Limited เป็นผู้ถือหุ้นหลักที่ 68.0% ซึ่งเป็นบริษัทย่อยของ Kunlun Tech Co., Ltd. ที่จดทะเบียนจัดตั้งใน PRC และระบุว่า Kunlun "เป็นบริษัทแม่สูงสุดของ Opera และอยู่ภายใต้การควบคุมของประธานกรรมการบริหารของ Opera"

ดังนั้น M06 คือ NO และ C10 คือ no ขณะที่ M11 คือ CN และ C11 คือ yes

C12 คือช่องว่างที่ชัดเจนที่สุดระหว่างคำประกาศของ VPN กับแอปพลิเคชันที่ VPN นั้นอยู่ภายใน ส่วน VPN ของคำชี้แจงความเป็นส่วนตัวประกาศว่าไม่มีการบันทึกข้อมูล ส่วนอื่นของเอกสารฉบับเดียวกันระบุว่าเมื่อมีการติดตั้งแอปพลิเคชัน Opera "ระบบจะสร้าง ID การติดตั้งแบบสุ่ม เราเก็บตัวระบุนี้ รวมถึง Machine ID ข้อมูลจำเพาะของฮาร์ดแวร์ (รุ่น วันที่วางจำหน่าย และอื่น ๆ) ระบบปฏิบัติการ การกำหนดค่าสภาพแวดล้อม และข้อมูลการใช้งานฟีเจอร์" โดยเก็บไว้นานสูงสุดสามปี

Machine ID มาจากฮาร์ดแวร์ ดังนั้นตัวระบุที่ผู้ให้บริการถือครองคือ persistent_hardware_id ไม่ใช่ตัวระบุแบบสุ่มที่จำกัดขอบเขตอยู่ในแอป ไม่ว่าอุโมงค์จะบันทึกข้อมูลหรือไม่ก็ตาม

X12 เปรียบเทียบเอกสารสองฉบับที่ Opera ยื่นเอง แบบฟอร์มความปลอดภัยของข้อมูล Play สำหรับ com.opera.browser ระบุว่ามีการเก็บ Installed apps เพื่อ Analytics แต่คำชี้แจงความเป็นส่วนตัวไม่เคยกล่าวถึงการเก็บแอปพลิเคชันที่ติดตั้งบนอุปกรณ์เลย Installed apps เป็นพฤติกรรม ไม่ใช่ตัวระบุ ดังนั้นจึงเป็น undisclosed_behaviour

แบบฟอร์มฉบับเดียวกันระบุว่ามีการแชร์ Device or other IDs กับบริษัทอื่นเพื่อการโฆษณา ซึ่งเป็นเหตุให้ C07a อยู่ที่ ads ส่วน C07b อาศัยสิ่งที่แคบกว่านั้นและจึงถูกทำเครื่องหมายเป็น B: โฮสต์บุคคลที่สามเพียงรายเดียวในมาร์กอัปที่ให้บริการสำหรับหน้าผลิตภัณฑ์คือ Google Tag Manager และไม่มีการแจกแจงสิ่งที่คอนเทนเนอร์นั้นโหลดขณะทำงาน

U02 ไม่ทราบโดยการออกแบบของผลิตภัณฑ์ ไม่ใช่เพราะการค้นหาล้มเหลว: VPN ฟรีมีสามภูมิภาค — Opera เรียกว่า America, Asia และ Europe — และไม่เคยระบุประเทศ C09 และ C09b เป็นผลจากสิ่งนั้น และไม่สามารถยุติข้อสรุปได้ตราบใดที่ยังเป็นเช่นนี้

X05 คือ ads_supported ตามคำอธิบายของ Opera เอง ซึ่งระบุการโฆษณาเป็นแหล่งรายได้ลำดับแรกจากสามรายการ และอธิบายว่า Opera Ads เก็บ user ID ที่สร้างขึ้นแบบสุ่ม เมืองหรือประเทศ และหมวดหมู่กว้าง ๆ ของเว็บไซต์ที่เข้าชม โดยเก็บไว้นานสูงสุดหนึ่งปี เมื่อรวมกับ U05 = unlimited_free แล้ว นี่ตรงกับกรณีที่ R15 มีไว้เพื่อชี้ให้เห็นพอดี

X06 คือคำกล่าวอ้างในโพสต์ปี 2026 ที่ว่า AES-256 "จะใช้เวลามากกว่าพันล้านปีในการถอดรหัส แม้แต่สำหรับแฮ็กเกอร์ที่มีคอมพิวเตอร์เร็วที่สุด" X09 คือ self_disclosed_prompt ในโพสต์ปี 2026 สองโพสต์ที่ Opera เผยแพร่ช่องโหว่ซึ่งนักวิจัยภายนอกรายงานให้ทราบ พร้อมการวิเคราะห์และเวอร์ชันที่แก้ไขแล้ว — สิ่งเหล่านี้เป็นช่องโหว่ของเบราว์เซอร์ ไม่ใช่เหตุการณ์ของ VPN และไม่ทราบเหตุการณ์ของ VPN ใด

C05 เป็น not_sold VPN ฟรีไม่มีขั้นตอนการชำระเงินเลย — ไม่มีการสมัครสมาชิก ไม่มีบัญชี — ดังนั้นจึงไม่มีอะไรให้ชำระโดยไม่เปิดเผยตัวตนหรือในรูปแบบอื่น

บันทึกนี้เดิมเขียนเป็น none ซึ่งอ่านได้ว่า "มีการเสนอเฉพาะวิธีการชำระเงินที่ระบุไว้เท่านั้น" และไม่เป็นจริงในกรณีนี้ เพราะในเวลานั้นคลังคำศัพท์ไม่มีโทเค็นสำหรับบริการที่ไม่รับเงินเลย ส่วน unknown จะเป็นการกล่าวอ้างว่าการค้นหาล้มเหลว ซึ่งก็ไม่เป็นจริงเช่นกัน และเมื่อมีความหมายที่ผิดอยู่สองแบบ จึงบันทึกแบบที่ผิดพลาดไปในทางเป็นผลเสียต่อผู้ให้บริการ โทเค็นนี้มีอยู่แล้วในปัจจุบันและมีราคาเป็นศูนย์ ซึ่งเป็นคำตอบที่ตรงไปตรงมา: เมื่อไม่มีการชำระเงิน ก็ไม่มีข้อมูลระบุตัวตนด้านการชำระเงินให้รั่วไหล

เหตุใดจำนวนจึงเป็นแปด จำนวนการตรวจสอบเป็นแปด เพราะการตรวจสอบ GotaTun อยู่นอกเหนือรายการของคลังแอปเอง ก่อนหน้านั้น การตรวจสอบ X41 D-Sec เป็นเวลา 30 คน-วัน ครอบคลุมทั้งห้าแพลตฟอร์ม พบช่องโหว่หกรายการ — ระดับ high สามรายการ ระดับ medium สองรายการ ระดับ low หนึ่งรายการ และไม่มีระดับ critical

สิ่งที่ไม่มีการว่าจ้างรายการใดครอบคลุม สิ่งที่การว่าจ้างเหล่านี้ไม่มีรายการใดครอบคลุมคือกลุ่มเซิร์ฟเวอร์: ทุกรายการตรวจสอบแอปหรือโปรโตคอลอุโมงค์ ซึ่งเป็นเหตุผลที่ความครอบคลุมของกลุ่มเซิร์ฟเวอร์ถูกบันทึกว่าไม่เกี่ยวข้อง แทนที่จะเป็นตัวอย่าง ดังนั้นคำกล่าวอ้างว่าไม่เก็บบันทึกในฝั่งโครงสร้างพื้นฐานจึงอาศัยหมายค้นในเดือนเมษายน 2023 — ตำรวจสวีเดนมาหาข้อมูลลูกค้าและกลับไปโดยไม่มีข้อมูลดังกล่าว — ไม่ใช่การตรวจสอบใด ๆ

บิลด์ที่ทำซ้ำได้ เฉพาะ Android บิลด์ที่ทำซ้ำได้มีเฉพาะ Android ตั้งแต่เวอร์ชัน 2025.2 เป็นต้นไป ดังนั้นฟิลด์นี้จึงยังไม่ครบถ้วน; บิลด์เดสก์ท็อปและ iOS ไม่สามารถตรวจสอบแบบบิตต่อบิตได้ ตุรกีเป็นประเทศเดียวที่มีข้อบังคับในรายการที่เสนอ และโฮสติ้งที่อยู่เบื้องหลังประเทศนั้นยังไม่ยืนยัน

ไม่มีการเผยแพร่เรื่องคำขอใด ๆ ไม่มีสิ่งใดในบันทึกที่อาศัยข้อมูลที่ผู้ให้บริการเผยแพร่เกี่ยวกับคำขอที่ได้รับ: ไม่มีรายงานความโปร่งใสและไม่มีสัญญาณเตือนหมายค้น ดังนั้นการยึดข้อมูลในเดือนเมษายน 2023 จึงมีพื้นฐานจากเรื่องนี้เพียงอย่างเดียว ความครอบคลุมของคิลสวิตช์และนโยบาย P2P ยังไม่ยืนยัน; การตรวจสอบล่าสุดเป็นการตรวจสอบโค้ดของโปรโตคอล ไม่ใช่การว่าจ้างตรวจสอบการไม่เก็บบันทึก ดังนั้น V11 จึงไม่ระบุข้อมูล และการเก็บข้อมูลอาศัยคำประกาศ

รายงานที่จะเปลี่ยนสถานะสี่ฟิลด์ รายงานของ Deloitte เป็นเอกสารอีกฉบับที่จะเปลี่ยนสถานะหลายฟิลด์ได้พร้อมกัน: V04, V07, V11 และ V15 ล้วนเป็นไม่ทราบเพียงเพราะไม่ได้เผยแพร่ และโดยเฉพาะ V11 คือฟิลด์ที่คำกล่าวอ้างว่าไม่มีการเก็บบันทึกทั้งหมดตั้งอยู่บนฟิลด์นี้

สิ่งที่ไม่มีเอกสาร U07 ไม่มีเอกสาร และ C13 ที่อยู่เบื้องหลังก็เช่นกัน: Opera ระบุ AES-256 และ "secure tunnel" แต่ไม่เคยระบุโพรโทคอล ดังนั้นการขนส่งที่อ่อนที่สุดที่เสนอจึงยังไม่ได้รับการยืนยัน U08, U09 และ U12b ไม่ได้กรอกด้วยเหตุผลเดียวกัน — ตารางเปรียบเทียบฟีเจอร์บนหน้าผลิตภัณฑ์ทำเครื่องหมายถูกในแถวต่าง ๆ แต่ markup ที่ดึงมาไม่มีเครื่องหมายดังกล่าว และการอ่านเครื่องหมายถูกจากภาพที่เรนเดอร์ไม่ใช่แหล่งข้อมูล

เซิร์ฟเวอร์ถูกอธิบายไว้ แต่ไม่มีหลักฐานยืนยัน. C02, C06 และ C08 ไม่มีหลักฐานรองรับ: Opera ระบุว่าเซิร์ฟเวอร์เป็นเซิร์ฟเวอร์จริงและเป็นของตนเอง ซึ่งยังไม่ได้ยืนยันทั้งเรื่องดิสก์ DNS หรือผู้เป็นเจ้าของฮาร์ดแวร์ C09b ไม่สามารถตอบได้ขณะที่ U02 ยังไม่ทราบ

ร้านค้าเดียว ไม่ใช่สองร้าน. อ่านเฉพาะแบบฟอร์มความปลอดภัยของข้อมูลใน Google Play เท่านั้น ไม่ได้อ่านป้ายความเป็นส่วนตัวของ App Store สำหรับเบราว์เซอร์ iOS ดังนั้น X12 จึงอาศัยข้อมูลจากร้านค้าเดียว ไม่ใช่ด้านที่แย่กว่าของสองร้าน

การตีความสองประการ ไม่ใช่คำกล่าว. Linux ใน U01 อนุมานจากคู่มือช่วยเหลือบนเดสก์ท็อป ซึ่งบันทึกเกี่ยวกับ VPN และครอบคลุม Windows, macOS และ Linux ร่วมกันโดยไม่ได้แยกตามแพลตฟอร์ม ส่วน Android และ iOS มีการระบุชื่อไว้อย่างชัดเจนในประกาศการตรวจสอบ U10 เป็นแบบไม่จำกัด เนื่องจากไม่มีบัญชีและไม่มีขีดจำกัดอุปกรณ์ที่จะบังคับใช้ข้อจำกัดดังกล่าว ซึ่งเป็นการตีความผลิตภัณฑ์ ไม่ใช่ตัวเลขที่ระบุไว้