Opera VPN - Private Internet Access

Dört alanı değiştirecek rapor. Deloitte raporu, aynı anda birkaç alanı değiştirecek diğer belgedir: V04, V07, V11 ve V15 yalnızca yayımlanmadığı için bilinmiyor ve özellikle V11, tüm kayıt tutulmaması iddiasının dayandığı alandır.

Belgesi olmayan şey. U07'nin belgesi yok ve onun arkasındaki C13'ün de yok: Opera AES-256'dan ve bir "güvenli tünel"den söz ediyor, ancak hiçbir zaman bir protokol belirtmiyor; bu nedenle sunulan en zayıf aktarım kanıtlanmış değil. U08, U09 ve U12b de aynı nedenle doldurulmamış — ürün sayfasındaki özellik karşılaştırma tablosu, getirilen işaretlemenin taşımadığı satırları onay işaretleriyle gösteriyor ve işaretleri oluşturulmuş bir görüntüden okumak kaynak sayılmaz.

Sunucular betimlenmiş, kanıtlanmamış. C02, C06 ve C08'in arkasında hiçbir şey yok: Opera sunucuların fiziksel ve kendisine ait olduğunu söylüyor; bu, disklerin veya DNS'in durumunu ya da donanıma kimin sahip olduğunu açıklığa kavuşturmuyor. U02 bilinmiyorken C09b yanıtlanamaz.

İki değil, bir mağaza. Yalnızca Google Play veri güvenliği formu okundu; iOS tarayıcısının App Store gizlilik etiketleri okunmadı, dolayısıyla X12 iki mağazadan daha kötüsüne değil, tek bir mağazaya dayanıyor.

Beyanlardan ziyade iki okuma. U01'deki Linux, VPN'i belgeleyen ve Windows, macOS ile Linux'u platformlara göre ayırmadan birlikte kapsayan masaüstü yardım kılavuzundan çıkarılıyor; Android ve iOS, denetim duyurusunda açıkça adlandırılıyor. U10 sınırsızdır; çünkü bir hesap ve bunu uygulayacak bir cihaz sınırı yoktur; bu da beyan edilmiş bir rakamdan ziyade ürünün okunmasıdır.

Neyi incelemedi. Rapor yalnızca altyapıyı kapsıyor. C07a_app_sdk ve C12_device_identifier, raporun hiç incelemediği uygulama tarafı olgularıdır; bunlar artık, web sitesi ziyaretçileri için analizleri ve platform ile uygulama sürümünü taşıyan, tercihe bağlı tanı raporlarını açıklayan gizlilik politikasına kaynak veriyor. Bunlardan herhangi birini uygulamaya derlenmiş SDK'lar hakkında bir ifade olarak okumak bu sicildeki en zayıf bağlantıdır ve bunun gerçekten karara bağlanacağı yer açık kaynak istemcilerdir.

2016 tarihli mahkeme celbi mahkeme dosyasına değil, PIA'nın kendi beyanına dayanıyor. McWaters davasının (S.D. Fla., 9:16-cr-80043) tek ayrıntılı anlatımı, bu sicilin kaynak gösteremeyeceği bir bağlı kuruluş sitesinde yer alıyor; CourtListener'ın bu davaya ilişkin dosyasında mahkeme celbinden, sağlayıcıdan veya sonuçtan söz edilmiyor. P03_court_record ve P12_case_history artık PIA'nın, 2016-2017'de kendisine mahkeme celbi gönderildiğini ve hiçbir şey sunmadığını belirten şeffaflık raporu beyanına dayanıyor — doğrulanmış bir mahkeme kaydı değil, B düzeyi bir öz beyan.

X02, temel bulgudur ve arkasındaki her iki belge de Opera'nın kendisine ait. 2024 duyurusu, Deloitte'un görüşünü şöyle aktarıyor: "BT sistemlerinin yapılandırması ve destekleyici BT operasyonlarının yönetimi, Opera'nın Yönetim Beyanı'nda açıklanan kriterlere dayanarak, 10 Ağustos 2024 itibarıyla, tüm önemli yönleriyle uygun şekilde tasarlanmış ve uygulanmıştır"; ayrıca "VPN hizmetinde yerleşik hiçbir veri kaydı işlevi yoktur ve hiçbir veri toplanmamaktadır" cümlesini Opera'nın kendi Yönetim Beyanı'na atfediyor.

2026 gönderisi aynı denetim çalışmasını, bulguyu Deloitte'un yaptığı şeklinde yeniden anlatıyor: "Deloitte'un ekibine VPN'imize ve sunucu altyapımıza tam erişim verdik ve iddiamızı doğrulayabildiler ... Aslında, VPN'in içinde baştan beri bir veri kaydı işlevi bile yerleşik değil." Aynı gönderi, 2024 gönderisinin 18 Haziran'dan 10 Ağustos 2024'e tarihlendirdiği bir erişim dönemini "tam erişim" olarak yükseltiyor.

Opera, kendi beyanını denetçisinin vardığı sonuç olarak tanımlıyor. VERIFY bloğunun bu şekilde bölünmesinin nedeni budur. V01, Deloitte duyurusuna değil, fiilen açılmış bir rapora — Cure53'nin Mart 2022 değerlendirmesine ilişkin kendi yayımlanmış yönetim özetine — dayanılarak yes_verified durumundadır.

Deloitte raporunun kendisi hiçbir yerde yayımlanmamıştır; bu nedenle V02 press_only durumundadır ve denetim çalışması hakkındaki bir olgu yerine o raporun bulgusu olan her alan bilinmiyor olarak kalır: filo kapsamı (V04), güvence standardı (V07), raporun saklananlara ilişkin belirttiği husus (V11) ve görüşün gücü (V15).

Denetim çalışmasına ilişkin olgular — firma, kategorisi, tarih, test edildiği listelenenler — duyurudan alınmıştır. Bu denetimi bir kez açıkça yeniden nitelendirmiş bir sağlayıcı, denetimin ne sonucuna vardığı konusunda kaynak değildir. C01 none_linkable durumundadır, çünkü gizlilik bildirimindeki beyan budur; V11 bulgudur ve okunacak bir bulgu yoktur.

Cure53'nin raporu gerçektir ve V14'ün yes_verified olmasının nedenidir: VPN istemcilerini, sunucu yapılandırmasını ve altyapıyı ve VPN yapılandırmasını sunmak için kullanılan Opera Mini protokolünü kapsayan dört iş paketinde yedi test uzmanı, yirmi dört kişi-gün ve white-box testi. Güvenlikle ilgili on dört sorun, bunların sekizi gerçek güvenlik açığı, beşine yüksek önem derecesi verilmiş ve hiçbiri kritik değil.

Mart 2022 itibarıyla dokuzu düzeltildi ve düzeltmeleri doğrulandı, biri kısmen düzeltildi, üçünde risk kabul edildi, biri yanlış alarmdı ve biri hâlâ devam ediyordu. Opera'nın blogu, tarayıcı VPN'iyle doğrudan ilgili yedi öğenin "daha sonra tümüyle çözüldüğünü" söylüyor ve tablo da bunu doğruluyor — kalanlar VPN'in kendisinde değil, Opera Mini iş paketinde bulunuyor.

Sahiplik tamamen açıklanmış ve bir yükümlülük ülkesinde sona eriyor; bu nedenle X03 ile C11 birbirine zıt yönleri gösterirken birbiriyle çelişmiyor.

Opera'nın kendi gizlilik bildiriminde adı geçen veri sorumlusu, Norveçli bir şirket olan Opera Norway AS'dir ve şeffaflık raporu bu adla sunulmuştur.

Holding şirketi, Mart 2018'de Cayman Adaları'nda kurulmuş, kendi başına esaslı bir faaliyeti olmayan muaf bir şirket olan Opera Limited'dir. 2025 Form 20-F'si, %68,0 oranındaki başlıca hissedar olarak Kunlun Tech Co., Ltd.'nin Çin Halk Cumhuriyeti'nde kurulmuş bir yan kuruluşu olan Hong Kong Kunlun Tech Holding Limited'i adlandırıyor ve Kunlun'un "Opera'nın nihai ana şirketi olduğunu ve Opera'nın icra kurulu başkanı tarafından kontrol edildiğini" belirtiyor.

Dolayısıyla M06 NO ve C10 no iken, M11 CN ve C11 yes.

C12, VPN'in beyanı ile içinde yer aldığı uygulama arasındaki en belirgin boşluktur. Gizlilik bildiriminin VPN bölümünde hiç kayıt tutulmadığı beyan edilir; aynı belgenin farklı bir bölümü, bir Opera uygulaması yüklendiğinde "rastgele bir yükleme kimliği oluşturulur. Bu tanımlayıcıyı, ayrıca Machine ID'yi, donanım özelliklerini (model, çıkış tarihi vb.), işletim sistemini, ortam yapılandırmasını ve özellik kullanım verilerini toplarız" der ve bunların üç yıla kadar saklandığını belirtir.

Machine ID donanımdan türetildiğinden, sağlayıcının elinde tuttuğu tanımlayıcı, tünelin neyi kaydettiğinden veya kaydetmediğinden bağımsız olarak, uygulama kapsamlı rastgele bir tanımlayıcı değil persistent_hardware_id'dir.

X12, Opera'nın kendi sunduğu iki belgeyi karşılaştırır. com.opera.browser için Play veri güvenliği formunda Analytics amacıyla Installed apps toplandığı beyan edilir; gizlilik bildiriminde ise cihaza yüklenmiş uygulamaların toplandığından hiç söz edilmez. Installed apps bir davranıştır, tanımlayıcı değildir; bu nedenle undisclosed_behaviour'dır.

Aynı form, Device or other IDs'nin reklam amacıyla başka şirketlerle paylaşıldığını beyan eder; C07a'yı ads yapan da budur. C07b daha dar bir şeye dayanır ve bu nedenle B olarak işaretlenmiştir: ürün sayfası için sunulan işaretlemede bulunan tek üçüncü taraf ana makine Google Tag Manager'dır ve bu kapsayıcının çalışma zamanında ne yüklediği listelenmemiştir.

U02, aramanın başarısız olması nedeniyle değil, ürünün tasarımı gereği bilinmiyor: ücretsiz VPN üç bölge sunuyor — Opera bunları America, Asia ve Europe olarak adlandırıyor — ve hiçbir zaman bir ülke belirtmiyor. C09 ve C09b bundan kaynaklanır ve bu durum sürdükçe kesinleştirilemez.

X05, Opera'nın kendi açıklamasındaki ads_supported değeridir; bu açıklama, üç gelir kalemi arasında reklamcılığı ilk sırada listeler ve Opera Ads'in rastgele oluşturulmuş bir kullanıcı kimliği, şehir veya ülke ile ziyaret edilen sitelerin geniş kategorilerini topladığını ve bunları bir yıla kadar sakladığını belirtir. U05 = unlimited_free ile birlikte bu, R15'in işaretlemek üzere var olduğu durumun tam kendisidir.

X06, 2026 tarihli yazıda yer alan, AES-256'nın "en hızlı bilgisayara sahip bir bilgisayar korsanının bile kırması için bir milyar yıldan fazla zaman alacağı" iddiasıdır. X09, Opera'nın dış araştırmacıların kendisine bildirdiği güvenlik açıklarını, analizle ve düzeltilmiş sürümle birlikte yayımladığı 2026 tarihli iki yazıdaki self_disclosed_prompt'tur — bunlar VPN olayları değil, tarayıcı güvenlik açıklarıdır ve bilinen bir VPN olayı yoktur.

C05 not_sold. Ücretsiz VPN'de hiçbir ödeme adımı yoktur — abonelik yok, hesap yok — dolayısıyla anonim olarak ya da başka şekilde ödenecek hiçbir şey yoktur.

Bu kayıt ilk olarak none olarak yazılmıştı; bu, "yalnızca belirlenmiş ödeme yöntemleri sunuluyor" şeklinde okunur ve burada yanlıştır, çünkü söz varlığında hiç para almayan bir hizmet için belirteç yoktu; unknown ise aramanın başarısız olduğunu iddia edecekti, bu da yanlıştı ve iki yanlış okumadan sağlayıcı aleyhine hata yapan kaydedildi. Belirteç artık var ve fiyatı sıfırdır; dürüst yanıt budur: ödeme yoksa sızdırılacak bir ödeme kimliği de yoktur.

M08_user_scale, P02_disclosure_history, P03_court_record ve P12_case_history aynı kaynaklara karşı yeniden okundu ve değişmeden kaldı; ana şeffaflık raporu sayfasında, dosyada zaten yer alan 2016-2017 tarihli mahkeme celpleri dışında hâlâ hiçbir dava adı geçmiyor. Aynı buy-vpn-online sayfasına karşı yapılan fiyat yeniden okumasında her iki rakamın da değişmediği görüldü: aydan aya $11.95, ilk yıl için faturalandırılan ve aynı $47.88 üzerinden otomatik yenilenen bir yıllık plan; başlangıç/yenileme farkı yok ve bu, kataloğun başka bir yerinde belirtilen PIA'nın sabit ücretli fiyatlandırmasıyla tutarlı.

privateinternetaccess.com's kendi sayfaları ve blogundan, iki Deloitte ISAE 3000 (Revised) 'Independent Limited Assurance Report' PDF'sinden (Nisan 2024 ve Aralık 2025, her ikisi de doğrudan açılıp okundu), Kape Technologies'in kendi sitesinden, Kape'in Unikmind Holdings (Teddy Sagi) tarafından 2023'te özel şirket haline getirilmesine ilişkin Isle of Man/Companies House kaynaklı raporlardan ve açık kaynak istemciler için resmi pia-foss GitHub kuruluşundan kaynaklandırıldı.

United States v. McWaters (9:16-cr-80043, S.D. Fla.) için kamuya açık CourtListener dosyası açıldı, ancak dosyada hiçbir mahkeme celbi, VPN sağlayıcısı veya sonuç adı geçmiyor; bu mahkeme celbini ayrıntılı olarak anlatan bağlı kuruluş yazısı (vpncompare.co.uk) yasak bir kaynak olduğu için çıkarıldı ve TorrentFreak'in kendi haberleri, curl dahil bu çalışmadaki her getirme denemesinde HTTP 403 döndürdü. P03/P12 artık bunun yerine PIA'nın kendi şeffaflık raporu öz beyanına dayanıyor.

Wikipedia, V12'den çıkarılarak GitHub kuruluşunun kendisi tercih edildi. Bu sicilde hiçbir yerde bağlı kuruluş veya 'best VPN' derleyici sitesi olgusal kaynak olarak kullanılmadı; arama sonuçlarında, birincil bir sayfaya karşı çapraz denetlenemeyen makul görünen sayılarla (sunucu sayıları, kullanıcı sayıları, denetim tarihleri) defalarca karşılaşılmış olsa da bunlar kullanılmak yerine elendi.