AirVPN - Opera VPN

Forum başlıklarının gösterdiği. Forum başlıkları, kullanıcıların AirVPN'den tekrar tekrar warrant canary talep ettiğini, ancak personelden böyle bir şeyin var olduğuna dair hiçbir teyit gelmediğini gösterir; bu durum düşündürücü olsa da birincil ret değildir, bu nedenle P07 'none' yerine bilinmiyor olarak kalır.

Kimsenin yayımlamadığı sayımlar. Talep/veri teslimi sayıları da bunun sonucunda bilinmiyor (P08, P09) ve toplam abone sayısı hiçbir zaman açıklanmıyor (M08 bilinmiyor) — AirVPN yalnızca canlı, eşzamanlı bağlı kullanıcı sayacını yayımlar; kayıtlı kullanıcı veya abone toplamını yayımlamaz, dolayısıyla buradaki sessizlik/bilinmezlik gerçek bir ağırlık taşır.

Derlemeler ve sızma testleri. Tekrarlanabilir derlemeler AirVPN'in kendi kaynaktan derleme sayfasında belgelenmemiştir (eddie.website/support/build/) ve özel bir istemci/altyapı sızma testi bulunamamıştır (V13, V14 bilinmiyor). Kill switch kapsamı ve bölünmüş tünelleme davranışı, AirVPN'in kendi belgelerinden değil üçüncü taraf bir incelemeden alınmıştır (U08, U09 güven düzeyi C); bunun nedeni, ilgili SSS sayfalarına sitenin yönlendirmesi üzerinden doğrudan erişilememesi (sayfalar JavaScript ile oluşturuluyor ve düz bir fetch isteğine yalnızca bir yükleme kabuğu döndürüyordu).

Bağlı kuruluşların dışındaki kapsam. Basında yer alma yalnızca bağlı kuruluşlarla sınırlı değildir: bağlı kuruluş-toplayıcı listesi dışında kalan ana akım bir yayın olan BleepingComputer, bağlı kuruluş dizinleriyle sınırlı kalmak yerine kendi bağlı kuruluş açıklaması bildirimini taşıyan bağımsız bir inceleme yayımlamıştır (X08=no). Aynı incelemede AirVPN'in denediği her yayın hizmetinde başarısız olduğu da bulundu — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — bu nedenle U12b_streaming_works artık, bu site yasaklı ilan edilmeden önce addictivetips.com kaynaklı partial değerini taşımasının aksine no olarak okunuyor.

Yıllık fiyat. U04b_price_yearly=4.08, airvpn.org/buy/ adresindeki bir yıllık planın (yıllık 49 EUR) EUR cinsinden etkin aylık oranıdır; her AirVPN süresinde olduğu gibi yenilemede sabittir.

Kelime işareti. AirVPN kelime işaretini yalnızca PNG olarak (/static/img/logo/web_header.png, logo_horiz.png) sunuyor ve basın ya da marka sayfası bulunmuyor; bu nedenle bir rasteri izlemek yerine AUDITOR.md §1 uyarınca logos/airvpn.svg eksik bırakıldı.

Dört alanı değiştirecek rapor. Deloitte raporu, aynı anda birkaç alanı değiştirecek diğer belgedir: V04, V07, V11 ve V15 yalnızca yayımlanmadığı için bilinmiyor ve özellikle V11, tüm kayıt tutulmaması iddiasının dayandığı alandır.

Belgesi olmayan şey. U07'nin belgesi yok ve onun arkasındaki C13'ün de yok: Opera AES-256'dan ve bir "güvenli tünel"den söz ediyor, ancak hiçbir zaman bir protokol belirtmiyor; bu nedenle sunulan en zayıf aktarım kanıtlanmış değil. U08, U09 ve U12b de aynı nedenle doldurulmamış — ürün sayfasındaki özellik karşılaştırma tablosu, getirilen işaretlemenin taşımadığı satırları onay işaretleriyle gösteriyor ve işaretleri oluşturulmuş bir görüntüden okumak kaynak sayılmaz.

Sunucular betimlenmiş, kanıtlanmamış. C02, C06 ve C08'in arkasında hiçbir şey yok: Opera sunucuların fiziksel ve kendisine ait olduğunu söylüyor; bu, disklerin veya DNS'in durumunu ya da donanıma kimin sahip olduğunu açıklığa kavuşturmuyor. U02 bilinmiyorken C09b yanıtlanamaz.

İki değil, bir mağaza. Yalnızca Google Play veri güvenliği formu okundu; iOS tarayıcısının App Store gizlilik etiketleri okunmadı, dolayısıyla X12 iki mağazadan daha kötüsüne değil, tek bir mağazaya dayanıyor.

Beyanlardan ziyade iki okuma. U01'deki Linux, VPN'i belgeleyen ve Windows, macOS ile Linux'u platformlara göre ayırmadan birlikte kapsayan masaüstü yardım kılavuzundan çıkarılıyor; Android ve iOS, denetim duyurusunda açıkça adlandırılıyor. U10 sınırsızdır; çünkü bir hesap ve bunu uygulayacak bir cihaz sınırı yoktur; bu da beyan edilmiş bir rakamdan ziyade ürünün okunmasıdır.

Dikkate değer bir uygulama verisi noktası: United States v. Klyushin (D. Mass., docket 61629108, documents #183 ve #217) hakkındaki, CourtListener/RECAP aracılığıyla bulunan kamuya açık ABD federal mahkemesi tutanakları, bir AirVPN sunucusunun IP'sini Ocak–Şubat 2020 arasında izlemek için bir kolluk pen register'ının AirVPN'e değil, doğrudan barındırma şirketine (DediPath) yerleştirildiğini gösteriyor; AirVPN'in kendi personeli, forumlarında yanıt vererek şirketin dinlemeden haberdar olmadığını veya buna dahil olmadığını ve cihazın AirVPN'in kendi sistemlerinin dışına kurulması gerektiğini doğruladı.

Bu, AirVPN'in kendi forumundaki doğrulamaya dayanan (otomatik getirmelerde 403 dönen ve yalnızca ikincil bir özet aracılığıyla okunan PACER PDF'lerine dayanmayan) court_order/nothing_produced olayı olarak P12_case_history alanına kaydedilmiştir.

X02, temel bulgudur ve arkasındaki her iki belge de Opera'nın kendisine ait. 2024 duyurusu, Deloitte'un görüşünü şöyle aktarıyor: "BT sistemlerinin yapılandırması ve destekleyici BT operasyonlarının yönetimi, Opera'nın Yönetim Beyanı'nda açıklanan kriterlere dayanarak, 10 Ağustos 2024 itibarıyla, tüm önemli yönleriyle uygun şekilde tasarlanmış ve uygulanmıştır"; ayrıca "VPN hizmetinde yerleşik hiçbir veri kaydı işlevi yoktur ve hiçbir veri toplanmamaktadır" cümlesini Opera'nın kendi Yönetim Beyanı'na atfediyor.

2026 gönderisi aynı denetim çalışmasını, bulguyu Deloitte'un yaptığı şeklinde yeniden anlatıyor: "Deloitte'un ekibine VPN'imize ve sunucu altyapımıza tam erişim verdik ve iddiamızı doğrulayabildiler ... Aslında, VPN'in içinde baştan beri bir veri kaydı işlevi bile yerleşik değil." Aynı gönderi, 2024 gönderisinin 18 Haziran'dan 10 Ağustos 2024'e tarihlendirdiği bir erişim dönemini "tam erişim" olarak yükseltiyor.

Opera, kendi beyanını denetçisinin vardığı sonuç olarak tanımlıyor. VERIFY bloğunun bu şekilde bölünmesinin nedeni budur. V01, Deloitte duyurusuna değil, fiilen açılmış bir rapora — Cure53'nin Mart 2022 değerlendirmesine ilişkin kendi yayımlanmış yönetim özetine — dayanılarak yes_verified durumundadır.

Deloitte raporunun kendisi hiçbir yerde yayımlanmamıştır; bu nedenle V02 press_only durumundadır ve denetim çalışması hakkındaki bir olgu yerine o raporun bulgusu olan her alan bilinmiyor olarak kalır: filo kapsamı (V04), güvence standardı (V07), raporun saklananlara ilişkin belirttiği husus (V11) ve görüşün gücü (V15).

Denetim çalışmasına ilişkin olgular — firma, kategorisi, tarih, test edildiği listelenenler — duyurudan alınmıştır. Bu denetimi bir kez açıkça yeniden nitelendirmiş bir sağlayıcı, denetimin ne sonucuna vardığı konusunda kaynak değildir. C01 none_linkable durumundadır, çünkü gizlilik bildirimindeki beyan budur; V11 bulgudur ve okunacak bir bulgu yoktur.

Cure53'nin raporu gerçektir ve V14'ün yes_verified olmasının nedenidir: VPN istemcilerini, sunucu yapılandırmasını ve altyapıyı ve VPN yapılandırmasını sunmak için kullanılan Opera Mini protokolünü kapsayan dört iş paketinde yedi test uzmanı, yirmi dört kişi-gün ve white-box testi. Güvenlikle ilgili on dört sorun, bunların sekizi gerçek güvenlik açığı, beşine yüksek önem derecesi verilmiş ve hiçbiri kritik değil.

Mart 2022 itibarıyla dokuzu düzeltildi ve düzeltmeleri doğrulandı, biri kısmen düzeltildi, üçünde risk kabul edildi, biri yanlış alarmdı ve biri hâlâ devam ediyordu. Opera'nın blogu, tarayıcı VPN'iyle doğrudan ilgili yedi öğenin "daha sonra tümüyle çözüldüğünü" söylüyor ve tablo da bunu doğruluyor — kalanlar VPN'in kendisinde değil, Opera Mini iş paketinde bulunuyor.

Sahiplik tamamen açıklanmış ve bir yükümlülük ülkesinde sona eriyor; bu nedenle X03 ile C11 birbirine zıt yönleri gösterirken birbiriyle çelişmiyor.