IVPN vs Opera VPN

最新的紀錄並非相關紀錄。2024 年 4 月的稽核是 Cure53 與 IVPN 的第六次合作，測試了客戶帳號網站、API 與託管環境；其自身的範圍頁面將用戶端應用程式與 VPN 伺服器列為範圍外，因此既未延伸應用程式的證據，也未延伸閘道的證據，而 V03_audit_subject 對此讀取為 unknown，不會延續該項認定。第七次合作針對新的電子郵件與 DNS 服務，僅公告將於 2025 年 5 月進行；目前沒有已公開的紀錄。

主要網站從未確認的事項。僅使用 RAM 被紀錄為部分，因為 IVPN 將其描述為一項正在轉換的措施，測試部署正在進行，且尚未宣布完成。伺服器硬體所有權（租用或自有）、出口處的流量修改，以及實益所有人的個人管轄地均未確認：沒有任何 IVPN 主要頁面說明這三項，也沒有說明使用者基數規模。

知識庫回答的三個欄位，而非首次填寫時閱讀的頁面回答的欄位。IP 配置是依設計共用的——「crowding」讓使用者共用一個位址，以減弱歸因。P2P 在所有地點都允許，但 IVPN 要求客戶避免使用美國出口，理由是上游的 DMCA 壓力。串流沒有任何保證，但公司表示許多客戶確實可以連線使用。

一個商店，而非兩個。 僅查閱了 Google Play 的資料安全表單；沒有查閱 iOS 瀏覽器在 App Store 的隱私標籤，因此 X12 是基於一個商店，而不是兩者中較差者。

兩項解讀，而非陳述。 U01 中的 Linux 是從桌面版說明手冊推知的；該手冊記載 VPN，並一併涵蓋 Windows、macOS 和 Linux，沒有按平台拆分；稽核公告則明確列出 Android 和 iOS。U10 被視為不限量，因為沒有帳號，也沒有裝置上限可用來執行此限制；這是對產品的解讀，而非已陳述的數值。

Opera 將其自身的主張描述成其稽核員的結論。這就是 VERIFY 區塊會如此拆分的原因。V01 是 yes_verified，依據的是一份實際開啟的報告——Cure53 自行公開的 2022 年 3 月評估管理摘要——而不是 Deloitte 公告的內容。

Deloitte 報告本身未在任何地方公開，因此 V02 是 press_only；凡是該報告的發現而非關於該次委任的事實的欄位，都維持未知：伺服器群涵蓋範圍（V04）、鑑證標準（V07）、報告所述的留存內容（V11），以及意見強度（V15）。

委任事實——該公司、其類別、日期、列明測試的項目——取自公告。一個已明確重新描述過這次稽核的業者，不是說明稽核結論的來源。C01 是 none_linkable，因為隱私聲明中的宣告就是如此；V11 是該項發現，而沒有任何發現可供讀取。

Cure53 的報告確實存在，也是 V14 為 yes_verified 的原因：七名測試人員、二十四人日，對四個工作套件進行白箱測試，涵蓋 VPN 用戶端、伺服器設定與基礎架構，以及用於傳送 VPN 設定的 Opera Mini 通訊協定。共有十四項與安全性相關的問題，其中八項為實際漏洞，五項評為高嚴重度，無一項為重大漏洞。

截至 2022 年 3 月，其中九項已修復且修復結果已獲驗證，一項部分修復，三項接受風險，一項為誤報，另一項仍在進行中。Opera 的部落格表示，直接涉及瀏覽器 VPN 的七個項目「之後均已解決」，表格也證實了這點——剩餘項目位於 Opera Mini 工作套件，而非 VPN 本身。

所有者集團已完整揭露，且最終位於義務國家，因此 X03 與 C11 指向相反方向，並不互相矛盾。

Opera 自身隱私聲明中列名的資料控制者是 Opera Norway AS，一家挪威公司；透明度報告也以該名稱提交。

控股公司是 Opera Limited，於 2018 年 3 月在開曼群島註冊成立的豁免公司，本身沒有實質營運。2025 年的 Form 20-F 將 Hong Kong Kunlun Tech Holding Limited 列為持有 68.0% 股份的主要股東；該公司是 Kunlun Tech Co., Ltd. 的子公司，於 PRC 註冊成立，並表示 Kunlun「是 Opera 的最終母公司，且受 Opera 執行主席控制」。

因此 M06 是 NO，而 C10 是 no；M11 是 CN，而 C11 是 yes。

C12 是 VPN 的宣告與其所在應用程式之間最明顯的空白。隱私聲明中的 VPN 區段宣告不記錄；同一份文件的另一個區段則表示，安裝 Opera 應用程式時「會產生隨機安裝 ID。我們會收集此識別碼，以及 Machine ID、硬體規格（型號、發行日期等）、作業系統、環境設定與功能使用資料」，留存最長達三年。

Machine ID 源自硬體，因此業者持有的識別碼是 persistent_hardware_id，而不是應用程式範圍的隨機識別碼，無論通道是否記錄這些資料。

X12 比對 Opera 自行提交的兩份文件。com.opera.browser 的 Play 資料安全表單宣告會收集 Installed apps 作為 Analytics 使用，而隱私聲明完全未提及收集裝置上已安裝的應用程式。Installed apps 是行為而非識別碼，因此是 undisclosed_behaviour。

同一份表單宣告會為廣告目的與其他公司分享 Device or other IDs，這使 C07a 判定為 ads。C07b 的依據較窄，因此標記為 B：產品頁面所提供的標記中唯一的第三方主機是 Google Tag Manager，而該容器在執行階段載入的內容未列明。

U02 因產品設計而未知，而不是因搜尋失敗：免費 VPN 提供三個區域——Opera 將其命名為 America、Asia 與 Europe——卻從未指定國家。C09 與 C09b 由此而來，在此狀態維持期間無法確認。

X05 是 Opera 自己說明頁上的 ads_supported；該頁將廣告列為三項收入來源中的第一項，並說明 Opera Ads 會收集隨機產生的使用者 ID、城市或國家，以及瀏覽網站的廣泛類別，留存最長達一年；加上 U05 = unlimited_free，這正是 R15 設立來標記的情況。

X06 是 2026 年文章中的宣稱：AES-256「即使是使用最快電腦的駭客，也要超過十億年才能破解」。X09 是兩篇 2026 年文章中的 self_disclosed_prompt；Opera 在其中公開了外部研究人員向其回報的弱點，以及分析結果與修正版本——這些是瀏覽器弱點而非 VPN 事件，且目前未知有任何 VPN 事件。

C05 為 not_sold。免費 VPN 完全沒有付款步驟——沒有訂閱、沒有帳號——因此無論匿名與否，都沒有需要付款的項目。

這筆紀錄最初記為 none，讀起來是「只提供已確認的付款方式」，而這在此處並不正確，因為當時的詞彙沒有表示服務完全不收費的標記；記為 unknown 則會表示搜尋失敗，同樣不正確，而在兩種錯誤解讀之間，紀錄了對業者不利的那一種。現在已有這個標記，且價格為零，這才是誠實的答案：沒有付款，就沒有付款身分可供洩漏。