NordVPN - Opera VPN

Canary ve onun yerini alan çeyrek. Aynı sayfa, üç aylık şeffaflık raporları için arama emri canary'sini kullanımdan kaldırdı (P07=removed); tamamlanmış en son çeyrek (Nis–Haz 2026) 85 devlet soruşturması ve 0 açıklama gösteriyor, dolayısıyla P08/P09 ömür boyu rakamı değil, bu dönemi ifade ediyor.

Hindistan ve gizli emir rejimi. P04=withdrew_physical, Haziran 2022'de Hindistan'dan çıkıştır. P11=none_known, sayfanın NordVPN'in bağlayıcı National Security mektupları veya ifşa yasakları almadığı yönündeki ifadesine ve Panama'da böyle bir rejimin bulunmamasına dayanıyor.

Kimsenin kontrol edemeyeceği bir güvence düzeyi. NordVPN, Deloitte Lithuania çalışmasını ISAE 3000 (Revised) kapsamında makul güvence çalışması olarak tanımlıyor; bu daha güçlü biçim olurdu. Okunabilen PIA raporu ise sınırlı güvence sonucu belirtiyor.

Daha güçlü biçimin neden puanlanmadığı. Model artık bu farkı fiyatlandırıyor ve bu kayıt bundan yararlanmıyor: V15_assurance_strength bilinmiyor, çünkü düzeye ilişkin tek beyan NordVPN'in, Nord Account dışındaki hiç kimsenin açamadığı bir rapor hakkındaki kendi beyanı. Giriş yapılmasını gerektiren bir belge burada hiçbir düzeyde kanıt değildir; bu nedenle denetim çalışması ulaştığı söylenen düzeyde değil, piyasa normunda puanlanır.

Giriş yapılmasını gerektiren bir rapor. Raporun kendisi yalnızca bir Nord Account'a giriş yaptıktan sonra okunabildiğinden, bu ilişkinin dışından hiç kimse kapsamını kontrol etmemiştir ve buradaki her denetim alanı belgeden değil, NordVPN'in rapora ilişkin kendi özetinden hareket eder. Hizmete karşı bir bulgu değil, bu nedenle bu kayıt katalogdaki en zayıf kayıttır.

Sahip alanları. M11_owner_jurisdiction ve X04_owner_group_history bilinmiyor: nordvpn.com ve nordsecurity.com sahibi Nord Security olarak adlandırıyor, ancak ikisi de Nord Security'nin kendi kuruluş yargı yetkisini veya grup için herhangi bir önceki kaydı belirtmiyor; ikincil basın, 2022 birleşmesinden itibaren bir 'Cyberspace' holding kuruluşunu Hollanda'ya bağlıyor, ancak mevcut süre içinde bu, birincil bir Nord Security veya NordVPN sayfasıyla doğrulanmadı.

Hiç okunamayan şey. 2025 Deloitte raporunun tam metni hiç okunamıyor (girişle sınırlı); bu nedenle C01_linkable_retention alanında politikanın kendi beyanının ötesinde hiçbir saklama bulgusu kaydedilmedi.

Açılmayan sunucu tablosu. C09b_mandate_hosting bilinmiyor: canlı ülke başına sunucu tablosu, bu denetimin görüntüleyebildiği akordeon durumunda yalnızca Amerika kıtaları bölgesi için fiziksel/sanal durumunu gösteriyor; Avrupa, Asya-Pasifik ve Afrika/Orta Doğu bölümleri (filonun hizmet verdiği AE, IN, TR, VN, IQ, KZ gibi birkaç yükümlülük ülkesini içerir) tıklamayla istemci tarafında yükleniyor ve açılmadı.

Beyan edilmek yerine bilinmiyor olarak bırakıldı. C04-C07, U06 (sansür kanıtı), U11, V12-V14, X06, X07, X10 ve X11 birincil bir belgeye karşı bağımsız olarak doğrulanmadı ve ikincil haberlerden beyan edilmek yerine bilinmiyor olarak bırakıldı.

Bir kuşku açık bırakıldı ve puana yansıtılmadı. X12 konusunda bir kuşku, puana yansıtılmadan açık bırakıldı: com.nordvpn.android için Play veri güvenliği formu, Android'de analitik kapsamında Installed apps beyan ediyor; NordVPN gizlilik bildirimi ise yüklü uygulamalardan yalnızca tek bir yerde — kötü amaçlı yazılımlara karşı güvenlik açığı taramasında — söz ediyor ve uygulama adları ile sürümlerinin işlenmesini Windows'la sınırlıyor.

Neden hâlâ eşleşme olarak göründüğü. Kategori yok olmak yerine açıklanmış ve R28 bir platform kapsam farkı hakkında bulgu oluşturmuyor; bu nedenle değer matches_policy olarak görünür, ancak Android amacı bildirimin açıkladığı amaç değildir ve ikisinden hangisinin yanlış yazıldığını yalnızca NordVPN söyleyebilir.

Dört alanı değiştirecek rapor. Deloitte raporu, aynı anda birkaç alanı değiştirecek diğer belgedir: V04, V07, V11 ve V15 yalnızca yayımlanmadığı için bilinmiyor ve özellikle V11, tüm kayıt tutulmaması iddiasının dayandığı alandır.

Belgesi olmayan şey. U07'nin belgesi yok ve onun arkasındaki C13'ün de yok: Opera AES-256'dan ve bir "güvenli tünel"den söz ediyor, ancak hiçbir zaman bir protokol belirtmiyor; bu nedenle sunulan en zayıf aktarım kanıtlanmış değil. U08, U09 ve U12b de aynı nedenle doldurulmamış — ürün sayfasındaki özellik karşılaştırma tablosu, getirilen işaretlemenin taşımadığı satırları onay işaretleriyle gösteriyor ve işaretleri oluşturulmuş bir görüntüden okumak kaynak sayılmaz.

Sunucular betimlenmiş, kanıtlanmamış. C02, C06 ve C08'in arkasında hiçbir şey yok: Opera sunucuların fiziksel ve kendisine ait olduğunu söylüyor; bu, disklerin veya DNS'in durumunu ya da donanıma kimin sahip olduğunu açıklığa kavuşturmuyor. U02 bilinmiyorken C09b yanıtlanamaz.

İki değil, bir mağaza. Yalnızca Google Play veri güvenliği formu okundu; iOS tarayıcısının App Store gizlilik etiketleri okunmadı, dolayısıyla X12 iki mağazadan daha kötüsüne değil, tek bir mağazaya dayanıyor.

Beyanlardan ziyade iki okuma. U01'deki Linux, VPN'i belgeleyen ve Windows, macOS ile Linux'u platformlara göre ayırmadan birlikte kapsayan masaüstü yardım kılavuzundan çıkarılıyor; Android ve iOS, denetim duyurusunda açıkça adlandırılıyor. U10 sınırsızdır; çünkü bir hesap ve bunu uygulayacak bir cihaz sınırı yoktur; bu da beyan edilmiş bir rakamdan ziyade ürünün okunmasıdır.

2018 Finlandiya veri merkezi ihlali, kolluk kuvvetlerinin el koyması değil, üçüncü tarafça gerçekleştirilen bir sızmaydı — P01_seizure_event altında değil, kind=breach olarak P12_case_history altında kaydedildi. NordVPN'in kendi açıklaması (nordvpn.com/blog/official-response-datacenter-breach/) ve Bloomberg'in aynı dönemdeki haberleri, açıklamanın NordVPN'in kendi girişimiyle değil, dışarıdaki araştırmacıların Twitter iddialarının ardından yapıldığı konusunda hemfikir — bu nedenle self_disclosed_late yerine third_party_disclosed kullanıldı.

NordVPN ve Surfshark aynı üst şirkete (Nord Security) sahip, ancak her iki şirketin kendi birleşme duyurusu ayrı altyapıları ve ürün yol haritalarını belirtiyor; bu temelde M18 ayrı olarak ayarlandı.

X02, temel bulgudur ve arkasındaki her iki belge de Opera'nın kendisine ait. 2024 duyurusu, Deloitte'un görüşünü şöyle aktarıyor: "BT sistemlerinin yapılandırması ve destekleyici BT operasyonlarının yönetimi, Opera'nın Yönetim Beyanı'nda açıklanan kriterlere dayanarak, 10 Ağustos 2024 itibarıyla, tüm önemli yönleriyle uygun şekilde tasarlanmış ve uygulanmıştır"; ayrıca "VPN hizmetinde yerleşik hiçbir veri kaydı işlevi yoktur ve hiçbir veri toplanmamaktadır" cümlesini Opera'nın kendi Yönetim Beyanı'na atfediyor.

2026 gönderisi aynı denetim çalışmasını, bulguyu Deloitte'un yaptığı şeklinde yeniden anlatıyor: "Deloitte'un ekibine VPN'imize ve sunucu altyapımıza tam erişim verdik ve iddiamızı doğrulayabildiler ... Aslında, VPN'in içinde baştan beri bir veri kaydı işlevi bile yerleşik değil." Aynı gönderi, 2024 gönderisinin 18 Haziran'dan 10 Ağustos 2024'e tarihlendirdiği bir erişim dönemini "tam erişim" olarak yükseltiyor.

Opera, kendi beyanını denetçisinin vardığı sonuç olarak tanımlıyor. VERIFY bloğunun bu şekilde bölünmesinin nedeni budur. V01, Deloitte duyurusuna değil, fiilen açılmış bir rapora — Cure53'nin Mart 2022 değerlendirmesine ilişkin kendi yayımlanmış yönetim özetine — dayanılarak yes_verified durumundadır.

Deloitte raporunun kendisi hiçbir yerde yayımlanmamıştır; bu nedenle V02 press_only durumundadır ve denetim çalışması hakkındaki bir olgu yerine o raporun bulgusu olan her alan bilinmiyor olarak kalır: filo kapsamı (V04), güvence standardı (V07), raporun saklananlara ilişkin belirttiği husus (V11) ve görüşün gücü (V15).

Denetim çalışmasına ilişkin olgular — firma, kategorisi, tarih, test edildiği listelenenler — duyurudan alınmıştır. Bu denetimi bir kez açıkça yeniden nitelendirmiş bir sağlayıcı, denetimin ne sonucuna vardığı konusunda kaynak değildir. C01 none_linkable durumundadır, çünkü gizlilik bildirimindeki beyan budur; V11 bulgudur ve okunacak bir bulgu yoktur.

Cure53'nin raporu gerçektir ve V14'ün yes_verified olmasının nedenidir: VPN istemcilerini, sunucu yapılandırmasını ve altyapıyı ve VPN yapılandırmasını sunmak için kullanılan Opera Mini protokolünü kapsayan dört iş paketinde yedi test uzmanı, yirmi dört kişi-gün ve white-box testi. Güvenlikle ilgili on dört sorun, bunların sekizi gerçek güvenlik açığı, beşine yüksek önem derecesi verilmiş ve hiçbiri kritik değil.

Mart 2022 itibarıyla dokuzu düzeltildi ve düzeltmeleri doğrulandı, biri kısmen düzeltildi, üçünde risk kabul edildi, biri yanlış alarmdı ve biri hâlâ devam ediyordu. Opera'nın blogu, tarayıcı VPN'iyle doğrudan ilgili yedi öğenin "daha sonra tümüyle çözüldüğünü" söylüyor ve tablo da bunu doğruluyor — kalanlar VPN'in kendisinde değil, Opera Mini iş paketinde bulunuyor.

Sahiplik tamamen açıklanmış ve bir yükümlülük ülkesinde sona eriyor; bu nedenle X03 ile C11 birbirine zıt yönleri gösterirken birbiriyle çelişmiyor.