Opera VPN và Private Internet Access

Báo cáo có thể làm thay đổi bốn trường. Báo cáo Deloitte là tài liệu còn lại có thể làm thay đổi nhiều trường cùng lúc: V04, V07, V11 và V15 đều chưa xác lập chỉ vì báo cáo này chưa được công bố, và riêng V11 là trường mà toàn bộ tuyên bố không lưu nhật ký dựa vào.

Điều không có tài liệu. U07 không có tài liệu và C13 đứng sau nó cũng vậy: Opera nêu AES-256 và một "secure tunnel" nhưng không bao giờ nêu giao thức, nên phương thức truyền tải yếu nhất được cung cấp vẫn chưa xác lập. U08, U09 và U12b chưa được điền vì cùng lý do — bảng so sánh tính năng trên trang sản phẩm đánh dấu các hàng bằng dấu kiểm mà phần markup được tải xuống không chứa, và đọc dấu kiểm từ một hình ảnh đã kết xuất không phải là nguồn.

Máy chủ được mô tả, không có bằng chứng. C02, C06 và C08 không có gì làm căn cứ: Opera nói máy chủ là máy chủ vật lý và thuộc sở hữu của mình, nhưng điều đó không xác lập vấn đề ổ đĩa, DNS hay ai sở hữu phần cứng. Không thể trả lời C09b khi U02 chưa xác định.

Một cửa hàng, không phải hai. Chỉ biểu mẫu an toàn dữ liệu của Google Play được đọc; nhãn quyền riêng tư trên App Store dành cho trình duyệt iOS thì không, nên X12 dựa trên một cửa hàng thay vì nguồn bất lợi hơn trong hai cửa hàng.

Hai cách diễn giải thay vì các tuyên bố. Linux trong U01 được suy ra từ tài liệu trợ giúp trên máy tính để bàn, trong đó ghi nhận VPN và đề cập chung đến Windows, macOS và Linux mà không tách theo nền tảng; Android và iOS được nêu rõ trong thông báo kiểm toán. U10 là không giới hạn vì không có tài khoản và không có giới hạn thiết bị để thực thi giới hạn đó, đây là cách diễn giải về sản phẩm chứ không phải một con số được nêu rõ.

Báo cáo không kiểm tra điều gì. Báo cáo chỉ bao quát cơ sở hạ tầng. C07a_app_sdk và C12_device_identifier là các sự kiện phía ứng dụng mà báo cáo chưa từng kiểm tra; hiện các trường này dẫn đến chính sách quyền riêng tư, trong đó mô tả hoạt động phân tích đối với khách truy cập trang web và các báo cáo chẩn đoán được người dùng chọn gửi, có kèm nền tảng và phiên bản ứng dụng. Đọc một trong hai trường này như một tuyên bố về các SDK được biên dịch vào ứng dụng là mắt xích yếu nhất trong hồ sơ này, và các ứng dụng khách nguồn mở mới là nơi vấn đề đó thực sự được xác lập.

Trát đòi năm 2016 dựa trên lời tự công bố của PIA, không phải hồ sơ tòa án. Bản tường thuật chi tiết duy nhất về vụ McWaters (S.D. Fla., 9:16-cr-80043) nằm trên một trang liên kết mà hồ sơ này không thể trích dẫn; sổ hồ sơ của CourtListener về vụ đó không nêu trát đòi, nhà cung cấp hay kết quả nào. P03_court_record và P12_case_history hiện dựa trên tuyên bố trong báo cáo minh bạch của PIA rằng PIA đã nhận trát đòi trong giai đoạn 2016-2017 và không cung cấp gì — một bản tự công bố cấp B, không phải hồ sơ tòa án đã được xác minh.

Danh tính của bên thứ ba đó đã thay đổi: thông báo kiểm toán năm 2024 nói rằng máy chủ VPN Pro được "cung cấp với sự hợp tác của Nord", còn bài giải thích năm 2026 nói VPN Pro "được trang bị giao thức Lightway thế hệ mới", vốn là giao thức của ExpressVPN. Không tài liệu nào nói thỏa thuận đã thay đổi.

X02 là phát hiện then chốt, và cả hai tài liệu làm căn cứ cho nó đều là của chính Opera. Thông báo năm 2024 trích dẫn ý kiến của Deloitte rằng "cấu hình của các hệ thống CNTT và việc quản lý các hoạt động CNTT hỗ trợ đã được thiết kế và triển khai phù hợp, xét trên mọi khía cạnh trọng yếu, dựa trên các tiêu chí được mô tả trong Management Assertion của Opera, tính đến ngày 10 tháng 8 năm 2024", đồng thời quy câu "Không có chức năng ghi nhật ký dữ liệu nào được tích hợp trong dịch vụ VPN, và hoàn toàn không có dữ liệu nào được thu thập" cho chính Management Assertion của Opera.

Bài đăng năm 2026 kể lại cùng cuộc kiểm tra theo hướng Deloitte đã thực hiện phát hiện này: "chúng tôi đã cho đội ngũ của Deloitte quyền truy cập đầy đủ vào VPN và cơ sở hạ tầng máy chủ của mình, và họ đã có thể xác minh tuyên bố của chúng tôi ... Trên thực tế, ngay từ đầu VPN thậm chí còn không được tích hợp chức năng ghi nhật ký dữ liệu." Bài đăng đó nâng cấp một khoảng thời gian mà bài đăng năm 2024 ghi là từ ngày 18 tháng 6 đến ngày 10 tháng 8 năm 2024 thành "quyền truy cập đầy đủ".

Opera đang mô tả tuyên bố của chính mình như kết luận của kiểm toán viên. Đó là lý do khối VERIFY được tách như vậy. V01 là yes_verified dựa trên một báo cáo thực sự đã được mở — bản tóm tắt quản lý do chính Cure53 công bố về cuộc đánh giá tháng 3 năm 2022 — chứ không dựa trên thông báo của Deloitte.

Bản thân báo cáo của Deloitte không được công bố ở bất kỳ đâu, nên V02 là press_only, và mọi trường là phát hiện của báo cáo đó thay vì sự thật về cuộc kiểm toán đều vẫn là không xác định: phạm vi bao phủ đội máy chủ (V04), tiêu chuẩn đảm bảo (V07), báo cáo nêu dữ liệu nào được lưu giữ (V11) và mức độ mạnh của ý kiến (V15).

Các sự kiện về cuộc kiểm toán — công ty, loại hình, ngày tháng, những gì được liệt kê là đã kiểm thử — được lấy từ thông báo. Một nhà cung cấp đã được chứng minh là từng mô tả lại cuộc kiểm toán này thì không phải là nguồn cho nội dung kết luận của cuộc kiểm toán. C01 là none_linkable vì đó là tuyên bố trong tuyên bố về quyền riêng tư; V11 là phát hiện, và không có phát hiện nào để đọc.

Báo cáo của Cure53 là có thật và là lý do V14 là yes_verified: bảy kiểm thử viên, hai mươi bốn ngày công, kiểm thử white-box trên bốn gói công việc bao phủ các ứng dụng VPN, cấu hình và hạ tầng máy chủ, cùng giao thức Opera Mini được sử dụng để cung cấp cấu hình VPN. Có mười bốn vấn đề liên quan đến bảo mật, trong đó tám vấn đề là lỗ hổng thực sự, năm vấn đề được xếp mức độ nghiêm trọng cao và không có vấn đề nào nghiêm trọng.

Tính đến tháng 3 năm 2022, chín vấn đề đã được khắc phục và các bản sửa đã được xác minh, một vấn đề được khắc phục một phần, ba vấn đề được chấp nhận rủi ro, một vấn đề là cảnh báo nhầm và một vấn đề vẫn đang được xử lý. Bài viết trên blog của Opera nói rằng bảy mục liên quan trực tiếp đến VPN của trình duyệt đã "được giải quyết sau đó", và bảng này xác nhận điều đó — phần còn lại nằm trong gói công việc Opera Mini, không nằm trong chính VPN.

Quyền sở hữu được công bố đầy đủ và kết thúc tại một quốc gia có nghĩa vụ pháp lý, đó là lý do X03 và C11 chỉ theo hai hướng ngược nhau mà không mâu thuẫn.

Bên kiểm soát dữ liệu được nêu trong chính tuyên bố về quyền riêng tư của Opera là Opera Norway AS, một công ty Na Uy, và báo cáo minh bạch được nộp dưới tên đó.

Công ty holding là Opera Limited, một công ty miễn trừ được thành lập tại Quần đảo Cayman vào tháng 3 năm 2018, không có hoạt động thực chất của riêng mình. Form 20-F cho năm 2025 nêu Hong Kong Kunlun Tech Holding Limited là cổ đông chính với tỷ lệ 68,0%, một công ty con của Kunlun Tech Co., Ltd. được thành lập tại PRC, và nêu rằng Kunlun "là công ty mẹ tối cao của Opera và chịu sự kiểm soát của chủ tịch điều hành của Opera".

Vì vậy M06 là NO và C10 là no, trong khi M11 là CN và C11 là yes.

C12 là khoảng trống rõ nhất giữa tuyên bố của VPN và ứng dụng chứa nó. Phần VPN trong tuyên bố về quyền riêng tư tuyên bố không ghi nhật ký; một phần khác của cùng tài liệu nói rằng khi một ứng dụng Opera được cài đặt, "một ID cài đặt ngẫu nhiên được tạo. Chúng tôi thu thập mã định danh này, cũng như Machine ID, thông số phần cứng (mẫu máy, ngày phát hành, v.v.), hệ điều hành, cấu hình môi trường và dữ liệu sử dụng tính năng", được lưu giữ tối đa ba năm.

Machine ID được tạo ra từ phần cứng, vì vậy mã định danh mà nhà cung cấp nắm giữ là persistent_hardware_id chứ không phải mã ngẫu nhiên theo phạm vi ứng dụng, bất kể đường hầm có ghi nhật ký gì hay không.

X12 đối chiếu hai tài liệu do Opera tự nộp. Biểu mẫu an toàn dữ liệu của Play cho com.opera.browser tuyên bố thu thập Ứng dụng đã cài đặt cho mục đích Phân tích, còn tuyên bố về quyền riêng tư hoàn toàn không đề cập đến việc thu thập các ứng dụng được cài đặt trên thiết bị. Ứng dụng đã cài đặt là hành vi, không phải mã định danh, do đó là undisclosed_behaviour.

Biểu mẫu này cũng tuyên bố chia sẻ Device or other IDs với các công ty khác cho mục đích quảng cáo, khiến C07a ở mức ads. C07b dựa trên một cơ sở hẹp hơn và được đánh dấu B vì điều đó: máy chủ bên thứ ba duy nhất trong mã đánh dấu được phân phối cho trang sản phẩm là Google Tag Manager, còn những gì container đó tải lúc chạy không được liệt kê.

U02 là không xác định do thiết kế của sản phẩm, không phải do việc tìm kiếm không thành công: VPN miễn phí cung cấp ba khu vực — Opera gọi chúng là châu Mỹ, châu Á và châu Âu — và không bao giờ nêu một quốc gia. C09 và C09b bắt nguồn từ đó và không thể được xác lập khi tình trạng này còn tồn tại.

X05 là ads_supported trong bài giải thích của chính Opera, trong đó quảng cáo được liệt kê đầu tiên trong ba dòng doanh thu và mô tả Opera Ads thu thập ID người dùng được tạo ngẫu nhiên, thành phố hoặc quốc gia và các nhóm khái quát về những trang web đã truy cập, được lưu giữ tối đa một năm; cùng với U05 = unlimited_free, đây chính xác là trường hợp mà R15 được tạo ra để đánh dấu.

X06 là tuyên bố trong bài đăng năm 2026 rằng AES-256 "sẽ khiến một hacker, ngay cả với máy tính nhanh nhất, mất hơn một tỷ năm để bẻ khóa". X09 là self_disclosed_prompt trong hai bài đăng năm 2026, trong đó Opera công bố các lỗ hổng mà các nhà nghiên cứu bên ngoài đã báo cáo cho họ, cùng với phân tích và phiên bản đã sửa — đây là các lỗ hổng của trình duyệt chứ không phải sự cố VPN, và không có sự cố VPN nào được biết đến.

C05 là not_sold. VPN miễn phí hoàn toàn không có bước thanh toán nào — không đăng ký, không tài khoản — vì vậy không có gì để thanh toán một cách ẩn danh hay theo cách khác.

Hồ sơ này ban đầu được ghi là none, cách này được hiểu là “chỉ cung cấp các phương thức thanh toán đã xác định” và trong trường hợp này là sai, vì từ vựng khi đó không có mã cho một dịch vụ không thu tiền; unknown sẽ khẳng định rằng việc tìm kiếm đã thất bại, điều này cũng sai, và giữa hai cách hiểu sai, cách bất lợi cho nhà cung cấp đã được ghi nhận. Mã này hiện đã tồn tại và có mức giá bằng không, đó là câu trả lời trung thực: khi không có thanh toán thì không có danh tính thanh toán nào để bị rò rỉ.

M08_user_scale, P02_disclosure_history, P03_court_record và P12_case_history được đọc lại đối chiếu với cùng các nguồn và không thay đổi; trang báo cáo minh bạch chính vẫn không nêu vụ nào ngoài các trát đòi năm 2016-2017 đã có trong hồ sơ. Lần đọc lại thông tin giá đối chiếu với cùng trang buy-vpn-online cho thấy cả hai con số đều không thay đổi: trả theo tháng $11.95, gói một năm $47.88 được tính cho năm đầu tiên và tự động gia hạn với cùng mức $47.88, không có chênh lệch giữa giá giới thiệu/giá gia hạn, phù hợp với cách định giá đồng nhất của PIA được ghi nhận ở nơi khác trong danh mục.

Nguồn được lấy từ các trang và blog của chính privateinternetaccess.com, hai tệp PDF 'Independent Limited Assurance Report' của Deloitte theo ISAE 3000 (Revised) (tháng 4 năm 2024 và tháng 12 năm 2025, cả hai đều được mở và đọc trực tiếp), trang của chính Kape Technologies, các báo cáo có nguồn từ Isle of Man/Companies House về việc Unikmind Holdings (Teddy Sagi) mua lại Kape và đưa công ty thành công ty tư nhân vào năm 2023, cùng tổ chức GitHub chính thức pia-foss dành cho các ứng dụng khách nguồn mở.

Sổ hồ sơ công khai của CourtListener về United States v. McWaters (9:16-cr-80043, S.D. Fla.) đã được mở nhưng không nêu trát đòi, nhà cung cấp VPN hay kết quả nào; bài viết trên trang liên kết (vpncompare.co.uk) mô tả chi tiết trát đòi đó đã bị loại vì là nguồn bị cấm, và các bài đưa tin riêng của TorrentFreak trả về HTTP 403 trong mọi lần thử tải ở đợt này, kể cả curl. P03/P12 hiện dựa trên bản tự công bố trong báo cáo minh bạch của PIA.

Wikipedia bị loại khỏi V12 để thay bằng chính tổ chức GitHub. Không sử dụng trang liên kết hay trang tổng hợp 'best VPN' nào làm nguồn thực tế ở bất kỳ đâu trong hồ sơ này, dù một số trang liên tục xuất hiện trong kết quả tìm kiếm với các con số có vẻ hợp lý (số máy chủ, số người dùng, ngày kiểm toán) nhưng không thể đối chiếu với trang nguồn chính và đã bị loại thay vì sử dụng.