AirVPN và Opera VPN

Các chủ đề diễn đàn cho thấy điều gì. Các chủ đề diễn đàn cho thấy người dùng nhiều lần yêu cầu AirVPN cung cấp tín hiệu canary về lệnh khám xét nhưng không có xác nhận nào từ nhân viên rằng một tín hiệu như vậy tồn tại; điều này mang tính gợi ý nhưng không phải là lời phủ nhận trực tiếp, vì vậy P07 vẫn không xác định thay vì là 'none'.

Các con số không ai công bố. Do đó, số lượng yêu cầu/bàn giao dữ liệu cũng không xác định (P08, P09), và tổng số người đăng ký không bao giờ được tiết lộ (M08 không xác định) — AirVPN chỉ công bố bộ đếm trực tiếp số người dùng đang kết nối đồng thời, không công bố tổng số người dùng đã đăng ký hay người đăng ký, nên sự im lặng/thiếu thông tin thực sự có trọng lượng ở đây.

Bản dựng và kiểm thử xâm nhập. Bản dựng có thể tái lập không được ghi nhận trên trang tự dựng từ mã nguồn của AirVPN (eddie.website/support/build/), và không tìm thấy kiểm thử xâm nhập chuyên biệt nào đối với ứng dụng khách/cơ sở hạ tầng (V13, V14 không xác định). Phạm vi của công tắc ngắt kết nối và cách hoạt động của phân tách đường truyền được lấy từ một bài đánh giá của bên thứ ba thay vì tài liệu của chính AirVPN (U08, U09 ở mức độ tin cậy C) vì không thể truy cập trực tiếp các trang FAQ liên quan thông qua cơ chế định tuyến của trang (chúng được hiển thị bằng JavaScript và chỉ trả về một khung đang tải khi dùng yêu cầu fetch đơn giản).

Phạm vi đưa tin ngoài các đơn vị liên kết. Phạm vi đưa tin không chỉ giới hạn ở các đơn vị liên kết: BleepingComputer, một kênh truyền thông chính thống nằm ngoài danh sách các bên tổng hợp liên kết, đã công bố một bài đánh giá độc lập có thông báo tiết lộ liên kết riêng, thay vì chỉ xuất hiện trong các thư mục liên kết (X08=no). Bài đánh giá đó cũng nhận thấy AirVPN không hoạt động với bất kỳ dịch vụ phát trực tuyến nào mà họ thử — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — đó là lý do U12b_streaming_works hiện ghi nhận là no thay vì partial lấy nguồn từ addictivetips.com trước khi máy chủ đó bị xác định là bị cấm.

Mức giá theo năm. U04b_price_yearly=4.08 là mức giá hiệu dụng theo tháng bằng EUR của gói một năm (49 EUR/năm) trên airvpn.org/buy/, không đổi khi gia hạn như mọi gói cước của AirVPN.

Logo chữ. AirVPN chỉ cung cấp logo chữ ở dạng PNG (/static/img/logo/web_header.png, logo_horiz.png) và không có trang báo chí hay thương hiệu, nên logos/airvpn.svg được để trống theo AUDITOR.md §1 thay vì dựng lại từ ảnh raster.

Báo cáo có thể làm thay đổi bốn trường. Báo cáo Deloitte là tài liệu còn lại có thể làm thay đổi nhiều trường cùng lúc: V04, V07, V11 và V15 đều chưa xác lập chỉ vì báo cáo này chưa được công bố, và riêng V11 là trường mà toàn bộ tuyên bố không lưu nhật ký dựa vào.

Điều không có tài liệu. U07 không có tài liệu và C13 đứng sau nó cũng vậy: Opera nêu AES-256 và một "secure tunnel" nhưng không bao giờ nêu giao thức, nên phương thức truyền tải yếu nhất được cung cấp vẫn chưa xác lập. U08, U09 và U12b chưa được điền vì cùng lý do — bảng so sánh tính năng trên trang sản phẩm đánh dấu các hàng bằng dấu kiểm mà phần markup được tải xuống không chứa, và đọc dấu kiểm từ một hình ảnh đã kết xuất không phải là nguồn.

Máy chủ được mô tả, không có bằng chứng. C02, C06 và C08 không có gì làm căn cứ: Opera nói máy chủ là máy chủ vật lý và thuộc sở hữu của mình, nhưng điều đó không xác lập vấn đề ổ đĩa, DNS hay ai sở hữu phần cứng. Không thể trả lời C09b khi U02 chưa xác định.

Một cửa hàng, không phải hai. Chỉ biểu mẫu an toàn dữ liệu của Google Play được đọc; nhãn quyền riêng tư trên App Store dành cho trình duyệt iOS thì không, nên X12 dựa trên một cửa hàng thay vì nguồn bất lợi hơn trong hai cửa hàng.

Hai cách diễn giải thay vì các tuyên bố. Linux trong U01 được suy ra từ tài liệu trợ giúp trên máy tính để bàn, trong đó ghi nhận VPN và đề cập chung đến Windows, macOS và Linux mà không tách theo nền tảng; Android và iOS được nêu rõ trong thông báo kiểm toán. U10 là không giới hạn vì không có tài khoản và không có giới hạn thiết bị để thực thi giới hạn đó, đây là cách diễn giải về sản phẩm chứ không phải một con số được nêu rõ.

Một dữ kiện đáng chú ý về thực tiễn: các bản ghi lời khai tại tòa án liên bang Hoa Kỳ được công khai trong United States v. Klyushin (D. Mass., hồ sơ 61629108, tài liệu #183 và #217, tìm thấy qua CourtListener/RECAP) cho thấy một thiết bị ghi nhận số điện thoại phục vụ công tác thi hành pháp luật được đặt trực tiếp tại công ty lưu trữ (DediPath), không phải tại AirVPN, để giám sát IP của một máy chủ AirVPN trong khoảng tháng 1–2 năm 2020; nhân viên AirVPN, trả lời trên diễn đàn của họ, xác nhận công ty không biết hoặc không tham gia vào việc nghe lén và thiết bị phải được lắp đặt bên ngoài các hệ thống của chính AirVPN.

Việc này được ghi trong P12_case_history dưới dạng sự kiện court_order/nothing_produced, dựa trên xác nhận trên diễn đàn của chính AirVPN (không dựa trên các tệp PDF PACER, vốn trả về lỗi 403 đối với các lượt tìm nạp tự động và chỉ được đọc qua một bản tóm tắt thứ cấp).

Danh tính của bên thứ ba đó đã thay đổi: thông báo kiểm toán năm 2024 nói rằng máy chủ VPN Pro được "cung cấp với sự hợp tác của Nord", còn bài giải thích năm 2026 nói VPN Pro "được trang bị giao thức Lightway thế hệ mới", vốn là giao thức của ExpressVPN. Không tài liệu nào nói thỏa thuận đã thay đổi.

X02 là phát hiện then chốt, và cả hai tài liệu làm căn cứ cho nó đều là của chính Opera. Thông báo năm 2024 trích dẫn ý kiến của Deloitte rằng "cấu hình của các hệ thống CNTT và việc quản lý các hoạt động CNTT hỗ trợ đã được thiết kế và triển khai phù hợp, xét trên mọi khía cạnh trọng yếu, dựa trên các tiêu chí được mô tả trong Management Assertion của Opera, tính đến ngày 10 tháng 8 năm 2024", đồng thời quy câu "Không có chức năng ghi nhật ký dữ liệu nào được tích hợp trong dịch vụ VPN, và hoàn toàn không có dữ liệu nào được thu thập" cho chính Management Assertion của Opera.

Bài đăng năm 2026 kể lại cùng cuộc kiểm tra theo hướng Deloitte đã thực hiện phát hiện này: "chúng tôi đã cho đội ngũ của Deloitte quyền truy cập đầy đủ vào VPN và cơ sở hạ tầng máy chủ của mình, và họ đã có thể xác minh tuyên bố của chúng tôi ... Trên thực tế, ngay từ đầu VPN thậm chí còn không được tích hợp chức năng ghi nhật ký dữ liệu." Bài đăng đó nâng cấp một khoảng thời gian mà bài đăng năm 2024 ghi là từ ngày 18 tháng 6 đến ngày 10 tháng 8 năm 2024 thành "quyền truy cập đầy đủ".

Opera đang mô tả tuyên bố của chính mình như kết luận của kiểm toán viên. Đó là lý do khối VERIFY được tách như vậy. V01 là yes_verified dựa trên một báo cáo thực sự đã được mở — bản tóm tắt quản lý do chính Cure53 công bố về cuộc đánh giá tháng 3 năm 2022 — chứ không dựa trên thông báo của Deloitte.

Bản thân báo cáo của Deloitte không được công bố ở bất kỳ đâu, nên V02 là press_only, và mọi trường là phát hiện của báo cáo đó thay vì sự thật về cuộc kiểm toán đều vẫn là không xác định: phạm vi bao phủ đội máy chủ (V04), tiêu chuẩn đảm bảo (V07), báo cáo nêu dữ liệu nào được lưu giữ (V11) và mức độ mạnh của ý kiến (V15).

Các sự kiện về cuộc kiểm toán — công ty, loại hình, ngày tháng, những gì được liệt kê là đã kiểm thử — được lấy từ thông báo. Một nhà cung cấp đã được chứng minh là từng mô tả lại cuộc kiểm toán này thì không phải là nguồn cho nội dung kết luận của cuộc kiểm toán. C01 là none_linkable vì đó là tuyên bố trong tuyên bố về quyền riêng tư; V11 là phát hiện, và không có phát hiện nào để đọc.

Báo cáo của Cure53 là có thật và là lý do V14 là yes_verified: bảy kiểm thử viên, hai mươi bốn ngày công, kiểm thử white-box trên bốn gói công việc bao phủ các ứng dụng VPN, cấu hình và hạ tầng máy chủ, cùng giao thức Opera Mini được sử dụng để cung cấp cấu hình VPN. Có mười bốn vấn đề liên quan đến bảo mật, trong đó tám vấn đề là lỗ hổng thực sự, năm vấn đề được xếp mức độ nghiêm trọng cao và không có vấn đề nào nghiêm trọng.

Tính đến tháng 3 năm 2022, chín vấn đề đã được khắc phục và các bản sửa đã được xác minh, một vấn đề được khắc phục một phần, ba vấn đề được chấp nhận rủi ro, một vấn đề là cảnh báo nhầm và một vấn đề vẫn đang được xử lý. Bài viết trên blog của Opera nói rằng bảy mục liên quan trực tiếp đến VPN của trình duyệt đã "được giải quyết sau đó", và bảng này xác nhận điều đó — phần còn lại nằm trong gói công việc Opera Mini, không nằm trong chính VPN.

Quyền sở hữu được công bố đầy đủ và kết thúc tại một quốc gia có nghĩa vụ pháp lý, đó là lý do X03 và C11 chỉ theo hai hướng ngược nhau mà không mâu thuẫn.

Bên kiểm soát dữ liệu được nêu trong chính tuyên bố về quyền riêng tư của Opera là Opera Norway AS, một công ty Na Uy, và báo cáo minh bạch được nộp dưới tên đó.

Công ty holding là Opera Limited, một công ty miễn trừ được thành lập tại Quần đảo Cayman vào tháng 3 năm 2018, không có hoạt động thực chất của riêng mình. Form 20-F cho năm 2025 nêu Hong Kong Kunlun Tech Holding Limited là cổ đông chính với tỷ lệ 68,0%, một công ty con của Kunlun Tech Co., Ltd. được thành lập tại PRC, và nêu rằng Kunlun "là công ty mẹ tối cao của Opera và chịu sự kiểm soát của chủ tịch điều hành của Opera".

Vì vậy M06 là NO và C10 là no, trong khi M11 là CN và C11 là yes.

C12 là khoảng trống rõ nhất giữa tuyên bố của VPN và ứng dụng chứa nó. Phần VPN trong tuyên bố về quyền riêng tư tuyên bố không ghi nhật ký; một phần khác của cùng tài liệu nói rằng khi một ứng dụng Opera được cài đặt, "một ID cài đặt ngẫu nhiên được tạo. Chúng tôi thu thập mã định danh này, cũng như Machine ID, thông số phần cứng (mẫu máy, ngày phát hành, v.v.), hệ điều hành, cấu hình môi trường và dữ liệu sử dụng tính năng", được lưu giữ tối đa ba năm.

Machine ID được tạo ra từ phần cứng, vì vậy mã định danh mà nhà cung cấp nắm giữ là persistent_hardware_id chứ không phải mã ngẫu nhiên theo phạm vi ứng dụng, bất kể đường hầm có ghi nhật ký gì hay không.

X12 đối chiếu hai tài liệu do Opera tự nộp. Biểu mẫu an toàn dữ liệu của Play cho com.opera.browser tuyên bố thu thập Ứng dụng đã cài đặt cho mục đích Phân tích, còn tuyên bố về quyền riêng tư hoàn toàn không đề cập đến việc thu thập các ứng dụng được cài đặt trên thiết bị. Ứng dụng đã cài đặt là hành vi, không phải mã định danh, do đó là undisclosed_behaviour.

Biểu mẫu này cũng tuyên bố chia sẻ Device or other IDs với các công ty khác cho mục đích quảng cáo, khiến C07a ở mức ads. C07b dựa trên một cơ sở hẹp hơn và được đánh dấu B vì điều đó: máy chủ bên thứ ba duy nhất trong mã đánh dấu được phân phối cho trang sản phẩm là Google Tag Manager, còn những gì container đó tải lúc chạy không được liệt kê.

U02 là không xác định do thiết kế của sản phẩm, không phải do việc tìm kiếm không thành công: VPN miễn phí cung cấp ba khu vực — Opera gọi chúng là châu Mỹ, châu Á và châu Âu — và không bao giờ nêu một quốc gia. C09 và C09b bắt nguồn từ đó và không thể được xác lập khi tình trạng này còn tồn tại.

X05 là ads_supported trong bài giải thích của chính Opera, trong đó quảng cáo được liệt kê đầu tiên trong ba dòng doanh thu và mô tả Opera Ads thu thập ID người dùng được tạo ngẫu nhiên, thành phố hoặc quốc gia và các nhóm khái quát về những trang web đã truy cập, được lưu giữ tối đa một năm; cùng với U05 = unlimited_free, đây chính xác là trường hợp mà R15 được tạo ra để đánh dấu.

X06 là tuyên bố trong bài đăng năm 2026 rằng AES-256 "sẽ khiến một hacker, ngay cả với máy tính nhanh nhất, mất hơn một tỷ năm để bẻ khóa". X09 là self_disclosed_prompt trong hai bài đăng năm 2026, trong đó Opera công bố các lỗ hổng mà các nhà nghiên cứu bên ngoài đã báo cáo cho họ, cùng với phân tích và phiên bản đã sửa — đây là các lỗ hổng của trình duyệt chứ không phải sự cố VPN, và không có sự cố VPN nào được biết đến.

C05 là not_sold. VPN miễn phí hoàn toàn không có bước thanh toán nào — không đăng ký, không tài khoản — vì vậy không có gì để thanh toán một cách ẩn danh hay theo cách khác.

Hồ sơ này ban đầu được ghi là none, cách này được hiểu là “chỉ cung cấp các phương thức thanh toán đã xác định” và trong trường hợp này là sai, vì từ vựng khi đó không có mã cho một dịch vụ không thu tiền; unknown sẽ khẳng định rằng việc tìm kiếm đã thất bại, điều này cũng sai, và giữa hai cách hiểu sai, cách bất lợi cho nhà cung cấp đã được ghi nhận. Mã này hiện đã tồn tại và có mức giá bằng không, đó là câu trả lời trung thực: khi không có thanh toán thì không có danh tính thanh toán nào để bị rò rỉ.