Opera VPN và Surfshark

Danh tính của bên thứ ba đó đã thay đổi: thông báo kiểm toán năm 2024 nói rằng máy chủ VPN Pro được "cung cấp với sự hợp tác của Nord", còn bài giải thích năm 2026 nói VPN Pro "được trang bị giao thức Lightway thế hệ mới", vốn là giao thức của ExpressVPN. Không tài liệu nào nói thỏa thuận đã thay đổi.

X02 là phát hiện then chốt, và cả hai tài liệu làm căn cứ cho nó đều là của chính Opera. Thông báo năm 2024 trích dẫn ý kiến của Deloitte rằng "cấu hình của các hệ thống CNTT và việc quản lý các hoạt động CNTT hỗ trợ đã được thiết kế và triển khai phù hợp, xét trên mọi khía cạnh trọng yếu, dựa trên các tiêu chí được mô tả trong Management Assertion của Opera, tính đến ngày 10 tháng 8 năm 2024", đồng thời quy câu "Không có chức năng ghi nhật ký dữ liệu nào được tích hợp trong dịch vụ VPN, và hoàn toàn không có dữ liệu nào được thu thập" cho chính Management Assertion của Opera.

Bài đăng năm 2026 kể lại cùng cuộc kiểm tra theo hướng Deloitte đã thực hiện phát hiện này: "chúng tôi đã cho đội ngũ của Deloitte quyền truy cập đầy đủ vào VPN và cơ sở hạ tầng máy chủ của mình, và họ đã có thể xác minh tuyên bố của chúng tôi ... Trên thực tế, ngay từ đầu VPN thậm chí còn không được tích hợp chức năng ghi nhật ký dữ liệu." Bài đăng đó nâng cấp một khoảng thời gian mà bài đăng năm 2024 ghi là từ ngày 18 tháng 6 đến ngày 10 tháng 8 năm 2024 thành "quyền truy cập đầy đủ".

Opera đang mô tả tuyên bố của chính mình như kết luận của kiểm toán viên. Đó là lý do khối VERIFY được tách như vậy. V01 là yes_verified dựa trên một báo cáo thực sự đã được mở — bản tóm tắt quản lý do chính Cure53 công bố về cuộc đánh giá tháng 3 năm 2022 — chứ không dựa trên thông báo của Deloitte.

Bản thân báo cáo của Deloitte không được công bố ở bất kỳ đâu, nên V02 là press_only, và mọi trường là phát hiện của báo cáo đó thay vì sự thật về cuộc kiểm toán đều vẫn là không xác định: phạm vi bao phủ đội máy chủ (V04), tiêu chuẩn đảm bảo (V07), báo cáo nêu dữ liệu nào được lưu giữ (V11) và mức độ mạnh của ý kiến (V15).

Các sự kiện về cuộc kiểm toán — công ty, loại hình, ngày tháng, những gì được liệt kê là đã kiểm thử — được lấy từ thông báo. Một nhà cung cấp đã được chứng minh là từng mô tả lại cuộc kiểm toán này thì không phải là nguồn cho nội dung kết luận của cuộc kiểm toán. C01 là none_linkable vì đó là tuyên bố trong tuyên bố về quyền riêng tư; V11 là phát hiện, và không có phát hiện nào để đọc.

Báo cáo của Cure53 là có thật và là lý do V14 là yes_verified: bảy kiểm thử viên, hai mươi bốn ngày công, kiểm thử white-box trên bốn gói công việc bao phủ các ứng dụng VPN, cấu hình và hạ tầng máy chủ, cùng giao thức Opera Mini được sử dụng để cung cấp cấu hình VPN. Có mười bốn vấn đề liên quan đến bảo mật, trong đó tám vấn đề là lỗ hổng thực sự, năm vấn đề được xếp mức độ nghiêm trọng cao và không có vấn đề nào nghiêm trọng.

Tính đến tháng 3 năm 2022, chín vấn đề đã được khắc phục và các bản sửa đã được xác minh, một vấn đề được khắc phục một phần, ba vấn đề được chấp nhận rủi ro, một vấn đề là cảnh báo nhầm và một vấn đề vẫn đang được xử lý. Bài viết trên blog của Opera nói rằng bảy mục liên quan trực tiếp đến VPN của trình duyệt đã "được giải quyết sau đó", và bảng này xác nhận điều đó — phần còn lại nằm trong gói công việc Opera Mini, không nằm trong chính VPN.

Quyền sở hữu được công bố đầy đủ và kết thúc tại một quốc gia có nghĩa vụ pháp lý, đó là lý do X03 và C11 chỉ theo hai hướng ngược nhau mà không mâu thuẫn.

Bên kiểm soát dữ liệu được nêu trong chính tuyên bố về quyền riêng tư của Opera là Opera Norway AS, một công ty Na Uy, và báo cáo minh bạch được nộp dưới tên đó.

Công ty holding là Opera Limited, một công ty miễn trừ được thành lập tại Quần đảo Cayman vào tháng 3 năm 2018, không có hoạt động thực chất của riêng mình. Form 20-F cho năm 2025 nêu Hong Kong Kunlun Tech Holding Limited là cổ đông chính với tỷ lệ 68,0%, một công ty con của Kunlun Tech Co., Ltd. được thành lập tại PRC, và nêu rằng Kunlun "là công ty mẹ tối cao của Opera và chịu sự kiểm soát của chủ tịch điều hành của Opera".

Vì vậy M06 là NO và C10 là no, trong khi M11 là CN và C11 là yes.

C12 là khoảng trống rõ nhất giữa tuyên bố của VPN và ứng dụng chứa nó. Phần VPN trong tuyên bố về quyền riêng tư tuyên bố không ghi nhật ký; một phần khác của cùng tài liệu nói rằng khi một ứng dụng Opera được cài đặt, "một ID cài đặt ngẫu nhiên được tạo. Chúng tôi thu thập mã định danh này, cũng như Machine ID, thông số phần cứng (mẫu máy, ngày phát hành, v.v.), hệ điều hành, cấu hình môi trường và dữ liệu sử dụng tính năng", được lưu giữ tối đa ba năm.

Machine ID được tạo ra từ phần cứng, vì vậy mã định danh mà nhà cung cấp nắm giữ là persistent_hardware_id chứ không phải mã ngẫu nhiên theo phạm vi ứng dụng, bất kể đường hầm có ghi nhật ký gì hay không.

X12 đối chiếu hai tài liệu do Opera tự nộp. Biểu mẫu an toàn dữ liệu của Play cho com.opera.browser tuyên bố thu thập Ứng dụng đã cài đặt cho mục đích Phân tích, còn tuyên bố về quyền riêng tư hoàn toàn không đề cập đến việc thu thập các ứng dụng được cài đặt trên thiết bị. Ứng dụng đã cài đặt là hành vi, không phải mã định danh, do đó là undisclosed_behaviour.

Biểu mẫu này cũng tuyên bố chia sẻ Device or other IDs với các công ty khác cho mục đích quảng cáo, khiến C07a ở mức ads. C07b dựa trên một cơ sở hẹp hơn và được đánh dấu B vì điều đó: máy chủ bên thứ ba duy nhất trong mã đánh dấu được phân phối cho trang sản phẩm là Google Tag Manager, còn những gì container đó tải lúc chạy không được liệt kê.

U02 là không xác định do thiết kế của sản phẩm, không phải do việc tìm kiếm không thành công: VPN miễn phí cung cấp ba khu vực — Opera gọi chúng là châu Mỹ, châu Á và châu Âu — và không bao giờ nêu một quốc gia. C09 và C09b bắt nguồn từ đó và không thể được xác lập khi tình trạng này còn tồn tại.

X05 là ads_supported trong bài giải thích của chính Opera, trong đó quảng cáo được liệt kê đầu tiên trong ba dòng doanh thu và mô tả Opera Ads thu thập ID người dùng được tạo ngẫu nhiên, thành phố hoặc quốc gia và các nhóm khái quát về những trang web đã truy cập, được lưu giữ tối đa một năm; cùng với U05 = unlimited_free, đây chính xác là trường hợp mà R15 được tạo ra để đánh dấu.

X06 là tuyên bố trong bài đăng năm 2026 rằng AES-256 "sẽ khiến một hacker, ngay cả với máy tính nhanh nhất, mất hơn một tỷ năm để bẻ khóa". X09 là self_disclosed_prompt trong hai bài đăng năm 2026, trong đó Opera công bố các lỗ hổng mà các nhà nghiên cứu bên ngoài đã báo cáo cho họ, cùng với phân tích và phiên bản đã sửa — đây là các lỗ hổng của trình duyệt chứ không phải sự cố VPN, và không có sự cố VPN nào được biết đến.

C05 là not_sold. VPN miễn phí hoàn toàn không có bước thanh toán nào — không đăng ký, không tài khoản — vì vậy không có gì để thanh toán một cách ẩn danh hay theo cách khác.

Hồ sơ này ban đầu được ghi là none, cách này được hiểu là “chỉ cung cấp các phương thức thanh toán đã xác định” và trong trường hợp này là sai, vì từ vựng khi đó không có mã cho một dịch vụ không thu tiền; unknown sẽ khẳng định rằng việc tìm kiếm đã thất bại, điều này cũng sai, và giữa hai cách hiểu sai, cách bất lợi cho nhà cung cấp đã được ghi nhận. Mã này hiện đã tồn tại và có mức giá bằng không, đó là câu trả lời trung thực: khi không có thanh toán thì không có danh tính thanh toán nào để bị rò rỉ.

Hồ sơ này trước đây đã được đọc hai lần — connection_timestamps trong V11 từ cách diễn đạt của kiểm toán, source_ip trong C01 từ cách diễn đạt của chính sách — và được chấm theo kết quả kém hơn trong hai kết quả đó, khiến bộ đệm 15 phút bị trừ nhiều hơn so với việc không ghi nhận gì: để trống C01 có mức trước của thị trường là 0.550 còn source_ip là 0.750.

R29 giờ đây vạch rõ ranh giới: trạng thái bị xóa trong một khoảng thời gian đã công bố gắn với thời điểm kết thúc phiên là kết nối, không phải hồ sơ về kết nối đó, nên cả hai trường đều ghi connection_timestamps trong cùng một câu. Điều vẫn được tính là những gì tồn tại sau phiên — ngày đăng nhập gần nhất trong mục 2.3.1 của chính sách và các dấu thời gian kết nối mà kiểm toán viên nêu.

Surfshark và NordVPN có cùng một công ty mẹ (Nord Security, từ năm 2022), nhưng trang about-us của Surfshark nêu rằng các thương hiệu đã sáp nhập 'trong khi hoạt động độc lập' với hạ tầng riêng — M18 được đặt là riêng biệt trên cơ sở đó, phù hợp với hồ sơ nordvpn.com.

U12a là một phần thay vì có trên chính cột P2P của bảng máy chủ: 88 trong số 100 quốc gia được liệt kê có mục này và 12 quốc gia không có (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Cột này được dựng ở phía máy khách, nên đã được đọc từ bảng đã hiển thị thay vì HTML tĩnh, nơi mọi hàng đều mang mọi nhãn.

Báo cáo minh bạch tại /transparency-report — là nơi /warrant-canary hiện chuyển hướng tới — trình bày quý tháng 4–tháng 6 năm 2026 dưới dạng bảng: 374,719 thông báo DMCA, 33 yêu cầu từ các cơ quan chính phủ, 1 lệnh khám xét, 0 thư an ninh quốc gia và 0 lệnh bí mật. P08 tính 34 yêu cầu pháp lý và loại các thông báo DMCA ra: đó là khiếu nại bản quyền về lưu lượng, không phải yêu cầu dữ liệu của người dùng.

Chính trang đó nêu rằng Surfshark đang loại bỏ tín hiệu cảnh báo lệnh khám xét để chuyển sang báo cáo theo quý, đó là lý do P07 bị loại bỏ thay vì để là không có — tín hiệu này đã tồn tại và được chủ động rút lại.

Báo cáo có thể làm thay đổi bốn trường. Báo cáo Deloitte là tài liệu còn lại có thể làm thay đổi nhiều trường cùng lúc: V04, V07, V11 và V15 đều chưa xác lập chỉ vì báo cáo này chưa được công bố, và riêng V11 là trường mà toàn bộ tuyên bố không lưu nhật ký dựa vào.

Điều không có tài liệu. U07 không có tài liệu và C13 đứng sau nó cũng vậy: Opera nêu AES-256 và một "secure tunnel" nhưng không bao giờ nêu giao thức, nên phương thức truyền tải yếu nhất được cung cấp vẫn chưa xác lập. U08, U09 và U12b chưa được điền vì cùng lý do — bảng so sánh tính năng trên trang sản phẩm đánh dấu các hàng bằng dấu kiểm mà phần markup được tải xuống không chứa, và đọc dấu kiểm từ một hình ảnh đã kết xuất không phải là nguồn.

Máy chủ được mô tả, không có bằng chứng. C02, C06 và C08 không có gì làm căn cứ: Opera nói máy chủ là máy chủ vật lý và thuộc sở hữu của mình, nhưng điều đó không xác lập vấn đề ổ đĩa, DNS hay ai sở hữu phần cứng. Không thể trả lời C09b khi U02 chưa xác định.

Một cửa hàng, không phải hai. Chỉ biểu mẫu an toàn dữ liệu của Google Play được đọc; nhãn quyền riêng tư trên App Store dành cho trình duyệt iOS thì không, nên X12 dựa trên một cửa hàng thay vì nguồn bất lợi hơn trong hai cửa hàng.

Hai cách diễn giải thay vì các tuyên bố. Linux trong U01 được suy ra từ tài liệu trợ giúp trên máy tính để bàn, trong đó ghi nhận VPN và đề cập chung đến Windows, macOS và Linux mà không tách theo nền tảng; Android và iOS được nêu rõ trong thông báo kiểm toán. U10 là không giới hạn vì không có tài khoản và không có giới hạn thiết bị để thực thi giới hạn đó, đây là cách diễn giải về sản phẩm chứ không phải một con số được nêu rõ.

Ấn Độ và chế độ lệnh bí mật. P04_mandate_response=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022, được khôi phục từ blog của chính Surfshark (surfshark.com/blog/surfshark-servers-certin-india) sau khi lần kiểm tra trước đó phát hiện trang /trust-center không còn nêu nội dung này. P11=judicial_only dựa trên báo cáo minh bạch, trong đó lệnh của Amsterdam District Court vào tháng 4 năm 2026 cùng các bộ đếm National-Security-letter và lệnh bí mật đều bằng 0.

Tìm thấy hai báo cáo, có thể chưa phải tất cả. Chỉ tìm thấy hai báo cáo không lưu nhật ký của Deloitte được công bố (tháng 12 năm 2022, tháng 6 năm 2025); có thể còn những báo cáo khác không được liên kết từ robots.txt mà cuộc kiểm toán này không tìm kiếm bằng phương thức khác.