Mullvad VPN và Opera VPN

Danh tính của bên thứ ba đó đã thay đổi: thông báo kiểm toán năm 2024 nói rằng máy chủ VPN Pro được "cung cấp với sự hợp tác của Nord", còn bài giải thích năm 2026 nói VPN Pro "được trang bị giao thức Lightway thế hệ mới", vốn là giao thức của ExpressVPN. Không tài liệu nào nói thỏa thuận đã thay đổi.

X02 là phát hiện then chốt, và cả hai tài liệu làm căn cứ cho nó đều là của chính Opera. Thông báo năm 2024 trích dẫn ý kiến của Deloitte rằng "cấu hình của các hệ thống CNTT và việc quản lý các hoạt động CNTT hỗ trợ đã được thiết kế và triển khai phù hợp, xét trên mọi khía cạnh trọng yếu, dựa trên các tiêu chí được mô tả trong Management Assertion của Opera, tính đến ngày 10 tháng 8 năm 2024", đồng thời quy câu "Không có chức năng ghi nhật ký dữ liệu nào được tích hợp trong dịch vụ VPN, và hoàn toàn không có dữ liệu nào được thu thập" cho chính Management Assertion của Opera.

Bài đăng năm 2026 kể lại cùng cuộc kiểm tra theo hướng Deloitte đã thực hiện phát hiện này: "chúng tôi đã cho đội ngũ của Deloitte quyền truy cập đầy đủ vào VPN và cơ sở hạ tầng máy chủ của mình, và họ đã có thể xác minh tuyên bố của chúng tôi ... Trên thực tế, ngay từ đầu VPN thậm chí còn không được tích hợp chức năng ghi nhật ký dữ liệu." Bài đăng đó nâng cấp một khoảng thời gian mà bài đăng năm 2024 ghi là từ ngày 18 tháng 6 đến ngày 10 tháng 8 năm 2024 thành "quyền truy cập đầy đủ".

Opera đang mô tả tuyên bố của chính mình như kết luận của kiểm toán viên. Đó là lý do khối VERIFY được tách như vậy. V01 là yes_verified dựa trên một báo cáo thực sự đã được mở — bản tóm tắt quản lý do chính Cure53 công bố về cuộc đánh giá tháng 3 năm 2022 — chứ không dựa trên thông báo của Deloitte.

Bản thân báo cáo của Deloitte không được công bố ở bất kỳ đâu, nên V02 là press_only, và mọi trường là phát hiện của báo cáo đó thay vì sự thật về cuộc kiểm toán đều vẫn là không xác định: phạm vi bao phủ đội máy chủ (V04), tiêu chuẩn đảm bảo (V07), báo cáo nêu dữ liệu nào được lưu giữ (V11) và mức độ mạnh của ý kiến (V15).

Các sự kiện về cuộc kiểm toán — công ty, loại hình, ngày tháng, những gì được liệt kê là đã kiểm thử — được lấy từ thông báo. Một nhà cung cấp đã được chứng minh là từng mô tả lại cuộc kiểm toán này thì không phải là nguồn cho nội dung kết luận của cuộc kiểm toán. C01 là none_linkable vì đó là tuyên bố trong tuyên bố về quyền riêng tư; V11 là phát hiện, và không có phát hiện nào để đọc.

Báo cáo của Cure53 là có thật và là lý do V14 là yes_verified: bảy kiểm thử viên, hai mươi bốn ngày công, kiểm thử white-box trên bốn gói công việc bao phủ các ứng dụng VPN, cấu hình và hạ tầng máy chủ, cùng giao thức Opera Mini được sử dụng để cung cấp cấu hình VPN. Có mười bốn vấn đề liên quan đến bảo mật, trong đó tám vấn đề là lỗ hổng thực sự, năm vấn đề được xếp mức độ nghiêm trọng cao và không có vấn đề nào nghiêm trọng.

Tính đến tháng 3 năm 2022, chín vấn đề đã được khắc phục và các bản sửa đã được xác minh, một vấn đề được khắc phục một phần, ba vấn đề được chấp nhận rủi ro, một vấn đề là cảnh báo nhầm và một vấn đề vẫn đang được xử lý. Bài viết trên blog của Opera nói rằng bảy mục liên quan trực tiếp đến VPN của trình duyệt đã "được giải quyết sau đó", và bảng này xác nhận điều đó — phần còn lại nằm trong gói công việc Opera Mini, không nằm trong chính VPN.

Quyền sở hữu được công bố đầy đủ và kết thúc tại một quốc gia có nghĩa vụ pháp lý, đó là lý do X03 và C11 chỉ theo hai hướng ngược nhau mà không mâu thuẫn.

Bên kiểm soát dữ liệu được nêu trong chính tuyên bố về quyền riêng tư của Opera là Opera Norway AS, một công ty Na Uy, và báo cáo minh bạch được nộp dưới tên đó.

Công ty holding là Opera Limited, một công ty miễn trừ được thành lập tại Quần đảo Cayman vào tháng 3 năm 2018, không có hoạt động thực chất của riêng mình. Form 20-F cho năm 2025 nêu Hong Kong Kunlun Tech Holding Limited là cổ đông chính với tỷ lệ 68,0%, một công ty con của Kunlun Tech Co., Ltd. được thành lập tại PRC, và nêu rằng Kunlun "là công ty mẹ tối cao của Opera và chịu sự kiểm soát của chủ tịch điều hành của Opera".

Vì vậy M06 là NO và C10 là no, trong khi M11 là CN và C11 là yes.

C12 là khoảng trống rõ nhất giữa tuyên bố của VPN và ứng dụng chứa nó. Phần VPN trong tuyên bố về quyền riêng tư tuyên bố không ghi nhật ký; một phần khác của cùng tài liệu nói rằng khi một ứng dụng Opera được cài đặt, "một ID cài đặt ngẫu nhiên được tạo. Chúng tôi thu thập mã định danh này, cũng như Machine ID, thông số phần cứng (mẫu máy, ngày phát hành, v.v.), hệ điều hành, cấu hình môi trường và dữ liệu sử dụng tính năng", được lưu giữ tối đa ba năm.

Machine ID được tạo ra từ phần cứng, vì vậy mã định danh mà nhà cung cấp nắm giữ là persistent_hardware_id chứ không phải mã ngẫu nhiên theo phạm vi ứng dụng, bất kể đường hầm có ghi nhật ký gì hay không.

X12 đối chiếu hai tài liệu do Opera tự nộp. Biểu mẫu an toàn dữ liệu của Play cho com.opera.browser tuyên bố thu thập Ứng dụng đã cài đặt cho mục đích Phân tích, còn tuyên bố về quyền riêng tư hoàn toàn không đề cập đến việc thu thập các ứng dụng được cài đặt trên thiết bị. Ứng dụng đã cài đặt là hành vi, không phải mã định danh, do đó là undisclosed_behaviour.

Biểu mẫu này cũng tuyên bố chia sẻ Device or other IDs với các công ty khác cho mục đích quảng cáo, khiến C07a ở mức ads. C07b dựa trên một cơ sở hẹp hơn và được đánh dấu B vì điều đó: máy chủ bên thứ ba duy nhất trong mã đánh dấu được phân phối cho trang sản phẩm là Google Tag Manager, còn những gì container đó tải lúc chạy không được liệt kê.

U02 là không xác định do thiết kế của sản phẩm, không phải do việc tìm kiếm không thành công: VPN miễn phí cung cấp ba khu vực — Opera gọi chúng là châu Mỹ, châu Á và châu Âu — và không bao giờ nêu một quốc gia. C09 và C09b bắt nguồn từ đó và không thể được xác lập khi tình trạng này còn tồn tại.

X05 là ads_supported trong bài giải thích của chính Opera, trong đó quảng cáo được liệt kê đầu tiên trong ba dòng doanh thu và mô tả Opera Ads thu thập ID người dùng được tạo ngẫu nhiên, thành phố hoặc quốc gia và các nhóm khái quát về những trang web đã truy cập, được lưu giữ tối đa một năm; cùng với U05 = unlimited_free, đây chính xác là trường hợp mà R15 được tạo ra để đánh dấu.

X06 là tuyên bố trong bài đăng năm 2026 rằng AES-256 "sẽ khiến một hacker, ngay cả với máy tính nhanh nhất, mất hơn một tỷ năm để bẻ khóa". X09 là self_disclosed_prompt trong hai bài đăng năm 2026, trong đó Opera công bố các lỗ hổng mà các nhà nghiên cứu bên ngoài đã báo cáo cho họ, cùng với phân tích và phiên bản đã sửa — đây là các lỗ hổng của trình duyệt chứ không phải sự cố VPN, và không có sự cố VPN nào được biết đến.

C05 là not_sold. VPN miễn phí hoàn toàn không có bước thanh toán nào — không đăng ký, không tài khoản — vì vậy không có gì để thanh toán một cách ẩn danh hay theo cách khác.

Hồ sơ này ban đầu được ghi là none, cách này được hiểu là “chỉ cung cấp các phương thức thanh toán đã xác định” và trong trường hợp này là sai, vì từ vựng khi đó không có mã cho một dịch vụ không thu tiền; unknown sẽ khẳng định rằng việc tìm kiếm đã thất bại, điều này cũng sai, và giữa hai cách hiểu sai, cách bất lợi cho nhà cung cấp đã được ghi nhận. Mã này hiện đã tồn tại và có mức giá bằng không, đó là câu trả lời trung thực: khi không có thanh toán thì không có danh tính thanh toán nào để bị rò rỉ.

Vì sao số lượng là tám. Số lượng kiểm toán là tám vì đợt rà soát GotaTun nằm ngoài danh sách riêng của kho ứng dụng. Trước các đợt này, một cuộc rà soát X41 D-Sec kéo dài 30 ngày công trên cả năm nền tảng đã phát hiện sáu lỗ hổng — ba lỗ hổng cao, hai lỗ hổng trung bình, một lỗ hổng thấp, không có lỗ hổng nghiêm trọng.

Không đợt đánh giá nào bao quát. Điều không đợt đánh giá nào trong số này bao quát là đội máy chủ: từng đợt đều kiểm tra ứng dụng hoặc giao thức đường hầm, vì vậy phạm vi bao quát đội máy chủ được ghi nhận là không áp dụng chứ không phải là một mẫu. Do đó, tuyên bố không lưu nhật ký ở phía hạ tầng dựa trên lệnh khám xét tháng 4 năm 2023 — cảnh sát Thụy Điển đến tìm dữ liệu khách hàng nhưng rời đi mà không có dữ liệu đó — chứ không dựa trên bất kỳ cuộc kiểm toán nào.

Bản dựng có thể tái lập, chỉ Android. Bản dựng có thể tái lập chỉ áp dụng cho Android, từ phiên bản 2025.2 trở đi, nên trường vẫn ở trạng thái một phần; các bản dựng cho máy tính để bàn và iOS không thể được xác minh từng bit một. Thổ Nhĩ Kỳ là quốc gia duy nhất có nghĩa vụ pháp lý trong danh sách được cung cấp và dịch vụ hosting đứng sau đó chưa được xác lập.

Không có gì được công bố về các yêu cầu. Không điều gì trong hồ sơ dựa trên bất kỳ nội dung nào nhà cung cấp công bố về các yêu cầu mà họ nhận được: không có báo cáo minh bạch và không có warrant canary, vì vậy vụ thu giữ tháng 4 năm 2023 là cơ sở duy nhất đó. Phạm vi công tắc ngắt kết nối và chính sách P2P chưa được xác lập; cuộc kiểm toán mới nhất là một đợt rà soát mã giao thức, không phải một đợt đánh giá về việc không lưu nhật ký, nên V11 không có kết luận và việc lưu giữ dữ liệu dựa vào tuyên bố.

Báo cáo có thể làm thay đổi bốn trường. Báo cáo Deloitte là tài liệu còn lại có thể làm thay đổi nhiều trường cùng lúc: V04, V07, V11 và V15 đều chưa xác lập chỉ vì báo cáo này chưa được công bố, và riêng V11 là trường mà toàn bộ tuyên bố không lưu nhật ký dựa vào.

Điều không có tài liệu. U07 không có tài liệu và C13 đứng sau nó cũng vậy: Opera nêu AES-256 và một "secure tunnel" nhưng không bao giờ nêu giao thức, nên phương thức truyền tải yếu nhất được cung cấp vẫn chưa xác lập. U08, U09 và U12b chưa được điền vì cùng lý do — bảng so sánh tính năng trên trang sản phẩm đánh dấu các hàng bằng dấu kiểm mà phần markup được tải xuống không chứa, và đọc dấu kiểm từ một hình ảnh đã kết xuất không phải là nguồn.

Máy chủ được mô tả, không có bằng chứng. C02, C06 và C08 không có gì làm căn cứ: Opera nói máy chủ là máy chủ vật lý và thuộc sở hữu của mình, nhưng điều đó không xác lập vấn đề ổ đĩa, DNS hay ai sở hữu phần cứng. Không thể trả lời C09b khi U02 chưa xác định.

Một cửa hàng, không phải hai. Chỉ biểu mẫu an toàn dữ liệu của Google Play được đọc; nhãn quyền riêng tư trên App Store dành cho trình duyệt iOS thì không, nên X12 dựa trên một cửa hàng thay vì nguồn bất lợi hơn trong hai cửa hàng.

Hai cách diễn giải thay vì các tuyên bố. Linux trong U01 được suy ra từ tài liệu trợ giúp trên máy tính để bàn, trong đó ghi nhận VPN và đề cập chung đến Windows, macOS và Linux mà không tách theo nền tảng; Android và iOS được nêu rõ trong thông báo kiểm toán. U10 là không giới hạn vì không có tài khoản và không có giới hạn thiết bị để thực thi giới hạn đó, đây là cách diễn giải về sản phẩm chứ không phải một con số được nêu rõ.