VPN帮你*？还是先顾着自己的隐私再说吧
中国的互联网并不是真正开放的互联网，有时候很多人耐不住自己想要窥探外面世界的好奇心，选择用*这种方式打开世界的大门，而vpn（虚拟专用网络）就是看似用来帮助你混淆自己踪迹的帮助者。可是，你真的了解vpn吗？它真的老老实实的只为你工作吗？
三年前斯诺登泄密事件揭露的东西，从安全的角度看对互联网服务提供商来讲并没有太多的帮助，甚至可以说做的有些过火。同时也模糊了反恐政策的概念。而当新闻爆出像nsa的vulcan数据库或者它的diffie-hellman策略时，任何一个网络隐私主义者看过了都会心中发颤。突然间似乎每个人都需要重新评估下某些网上用于保持隐私的工具——vpn。
传统vpn简介
vpn（虚拟专用网络），这款工具通常用于混淆用户的ip地址，或在用户进行web浏览时增加一层安全保护。它会把你的流量转到加密且安全的vpn服务器上。不同的人使用vpn的目的也不同，有些人可能是用它来改变自身的ip地址，这样就可以获取一些其他地域的媒体内容，或者能匿名下载一些东西。还有的人希望以此规避广告商的网络追踪，或者防止盗用wifi后的负面影响，甚至只是为了在他们访问特定网站时隐藏真实的ip地址。
然而vpn的质量也是参差不齐的。事实上某些存在问题的vpn会让用户的安全更加脆弱。某些vpn是禁用了torrent下载的，还有些会记录下信息，跟踪上网行为，或者按照当地的法律对数据进行保留。
去年我开始尝试整理一份好的vpn列表，虽然网上已有不少类似的vpn清单，但是通常都充斥着附加内容链接，很难确认其准确性。这份vpn比较图表，里面概述了vpn业务流程、日志记录、服务配置和其他特性。但它存在矛盾策略，并误导读者，声明各类的服务是100%有效的。但其实大部分内容是从真实的vpn网站导入的，这就意味着可能会混入一些错误信息。
几个月的研究后，笔者的尝试都失败了。所以现在笔者仍然不能推荐一组安全的vpn列表给大家。相反的是，研究结果刷新了笔者对目前vpn的三观。当涉及到日志记录的时候，评估可行性和验证准确性也不是件容易的事，所以，我觉得与其给大家一个简单的列表，还是提供一些指导方针更加靠谱，让大家自己了解在本年度哪些vpn是有效可用的。
vpn不是用来匿名的
关于vpn的一个常见的误读是：它们会给大家提供匿名功能，即使是针对民族主义者。但是，安全研究员kenneth white表示：
“如果*对目标进行专门的监测追踪，vpn是不足以做到这一点的。”
事实上，vpn声称的会给提供用户匿名性，是“不可行的，不负责的，或者两者兼备的”。dnsleaktest.com的站长jeremy campbell在邮件里告诉记者：
“为了实现匿名去使用公共vpn是非常愚蠢而危险的，无论服务配置的有多么安全，匿名技术本身并没有在这里实现。vpn服务要求你信任他们，但匿名系统本身是没有这个属性的。”
white没有坚持完全放弃vpn，但是他警告说它应该作为一个辅助工具，而不是一个隐私的解决方案，他表示：
“相反，像专门的隐私工具如tor浏览器之类的（里面可能包含了信用良好的vpn），那就是可以使用的。它们不仅实现了匿名化属性，而且浏览器已经进行了大量定制，以实现网络隐私的最大化（比如弱化了cookie、flash、java插件等特征）。”
tor分布式网络，会尝试在多个中继传输流量来实现匿名。但其实它也很难进行核实，没有人知道tor这样是否能够获得百分百成功。tor浏览器最近受到了美国国防部的瞩目，这只会强化这种担心。某些批评者认为，tor会让人们更容易依赖过时版本的firefox，但这些东西都不能保证是万无一失的。
johns hopkins大学的密码学教授matthew green表示：
“某些在俄罗斯出口节点的恶意tor，实际上会偷偷修改二进制文件。所以，如果你不幸在tor下载文件时碰巧遇到了这些节点，它们可能会将它转换成恶意软件。”
尽管green并没有听说过vpn发生过这样的事，但他指出这样的攻击是存在可能的。与多数vpn不同，tor和tor浏览器通常用于高风险的情况，工程师需要迅速修复安全漏洞，这样的方式可能不适用于所有的vpn。
用vpn来bt下载安全吗？
某些vpn提供商会禁用p2p，如果有必要还会把用户的名字给版权所有者。代表版权所有者的利益的，可能会取消惯犯的账户。希望使用vpn进行torrent下载和流媒体观看的亲们，可以寻找那些特殊的服务提供商（或者不保留日志），但是问题又来了，campbell表示：
“然而，我们并没有办法验证vpn提供商所说的话。大家必须依靠新闻报道和网上论坛的讨论等等，来判断服务提供商的声誉。”
看来，必须时刻保持警惕才行。
vpn可以“防御”广告追踪？
尽管vpn能掩饰你的ip地址，但它不一定能保证你免受间谍广告和追踪的困扰。
campbell表示：
“vpn提供的防广告追踪的技术可以忽略不计，因为ip掩盖是一个弱标志。网络广告更倾向于cookies、supercookies和浏览器指纹技术，这些东西vpn是无法进行保护的。”
为了防止无处不在的广告跟踪，广告阻断器ublock、ublock origin，以及追踪阻断器privacybadger或disconnect会提供一定程度的保护。禁用js代码，或者使用firefox下的noscript可以消除一些指纹。更高级的用户可以使用虚拟机或者沙箱浏览器。当然，tor浏览器也能防止产生特定浏览器指纹。
vpn让你更危险？
用户使用vpn的是为了保护自身网络安全，特别是在处于公共wifi之下的时候。gogo被爆出使用了youtube的伪造证书，这可能会泄露用户的流量，包括用户的youtube密码。
因为vpn建立了用户和vpn商服务器之间的通道，所以用户对于vpn提供商的信任非常重要。毕竟提供商能看到和记录你所有的流量，甚至可以更改你的流量内容。一个vpn的配置不当，黑客就可能直接访问你的本地局域网，这比别人在咖啡店网络下，嗅探你的流量更加可怕。
“如果vpn服务供应商不老实的话，你只能自己做祈祷了。你得时刻担心是否会在本地局域网被人黑掉，若是使用了一个粗制滥造的vpn服务，很可能就会把自己推入虎口。”
预共享密钥
white提供了一个vpn的列表，在网上已有共享密钥发布：
goldenfrog、gfwvpn、vpnreactor、unblockvpn、ibvpn、astril、purevpn、privateinternetaccess、torguard、ipvanish、nordicvpn、earthvpn。
“如果我知道了你正在使用的vpn预共享密钥，并且我控制了你所在wifi的热点，那么就可以进行中间人攻击并且解密你的上网行为。也就是说，当黑客拥有这预共享密钥时，您的网络安全系数就降低了。”
pptp的代替品
一些vpn还使用了老掉牙的的pptp vpn协议，这在根本上就是不安全的。更好的选择包括ipsec（有人积极维护）、l2tp/ipsec、ikev2以及openvpn等等。
在上述的几个选项中，ipsec可以设置为不需要安装额外的软件，但有人认为这是故意破坏和削弱nsa（美国国家安全局）的力量。openvpn比它还要安全，但是搭建手法更加复杂，需要第三方软件的帮助，以及用户进行正确且复杂的配置。
根据high-tech bridge最近的研究发现，ssl vpn中，有90%会使用不安全的或者过时的加密。而有77%使用了不安全的sslv3（甚至sslv2）协议，76%用了不可信的ssl证书（黑客可以更轻易的进行中间人攻击，拦截vpn连接中的流量），更有一大部分用的不安全的rsa密钥长度的签名，以及不安全的sha-1签名。不管你信不信，其中还有10%存在心脏出血漏洞。
数据保留和日志记录
一些vpn会根据本国或当地的法律，进行日志信息保存。而且许多vpn服务提供商会记录大量信息，比如在特定的用户来连接时，是从哪里、从什么时候连上的，甚至还有他们做了哪些连接。
甚至有些vpn服务提供商，日志量少时会记录下重要日志，比如连接的ip地址和用户名，以及内部路由使用的内部负载均衡和服务器维护。某些vpn服务提供商的日志记录可能会很快销毁，而其他的由于本地的相关法律，处理方式会有所不同。不管怎样日志里保存的信息都是足以破除用户匿名性的。
仔细阅读服务条款会帮助你确定服务商日志维护保留的情况，并可以了解他们会如何使用收集到的信息。但是其中的真伪也很难验证。有人认为进行犯罪活动时vpn也会保护用户的身份，但人家美国*已经与世界上数十个国家签署了司法互助条约了。
泄露用户隐私
即使用户已经连上了vpn服务器，但某些发出的包可能没有经过vpn通道进行通信，这就泄露了用户的隐私。
campbell表示：
“从技术角度来讲，我认为最被低估的漏洞就是vpn软件客户端的网络信息泄露。严重的时候，它可能会危及用户的生命，许多网络安全和隐私社区已经对此漏洞进行了重点关注。”
一些vpn服务提供商设置了规则，在用户出篓子之前，能阻止不安全的连接。比如你首次登入某个wifi热点，或者从一个热点转入另一个的时候。其他服务商还会允许用户自己设置防火墙规则。
2015年6月，罗马sapienza大学和伦敦玛丽女王大学的研究人员测试了14款热门的商业vpn服务，他们发现了其中10个会泄露ip的数据，且都会遭受ipv6 dns劫持攻击。虽然后期研究人员并没有全面复查他们是否修复了，但是也做了一些特别的测试，并发现情况有所改善。但是可能修复了问题后，还存在其他漏洞。
伦敦玛丽女王大学的研究员garethtyson博士表示：
“我给大家的建议是，如果你担心被*监控，你应该全方面使用tor。”
同样，这可能也是一个不完美的解决方案。虽然tor浏览器提供匿名、规避审查和反监控追踪，但是它并不像vpn一样迅速。更糟糕的是，某些互联网服务提供商会拒绝tor。
营销宣传
许多声称安全的vpn服务提供商，其实缺乏可信度。某些vpn服务提供商声明不会记录日志，接受比特币，浮夸地表示他们是军用、*、nsa级别的加密。
而且，vpn不仅仅会存在安全漏洞的问题，还可能是民族主义者的蜜罐，相反，那些事先声明他们的威胁模型，讲清楚能保护的和不能提供保护vpn服务提供商，可能更值得信任。
阅读服务条款有时能给用户一个清晰的认识。比如2015年，免费的以色列vpn hola被发现将用户带宽出售给luminati vpn。那些想要隐藏ip地址的用户不知不觉就变成了vpn的出口节点和终点（暴露了自己的ip地址，混入了别人的流量）。直到8chan留言板运营商 fredrick brennan说，直到hola用户在不知不觉中被利用来攻击他的网站后，才更新了自己的faq。
如何寻找可信的vpn
看到上面所有的预防措施和vpn说明了吧，靠它们去找可信的vpn靠谱么？vpn服务提供商表示购者自慎。
某家vpn服务提供商是否使用了最新的协议，该公司的背景和声誉如何，服务条款是否容易理解，这些vpn 到底能防护什么和未能照顾到什么，它对于信息披露的细节表达了足够诚实吗？
抛开这些因素，campbell建议大家看看公司的行为，他说这可能会显示出一个服务商是否关心客户的隐私。这三年来，他自己也在寻找一个清晰明确的隐私政策，而不是只有样板政策的公司。
campbell警告道：
“在斯诺登泄密事件后，过去几年已有了很多廉价的vpn服务提供商。这些新入行的vpn服务提供商在安全方面做的不是很好。许多情况，他们想把部分服务器的主机业务转为带宽业务，但是他们完全没有安全方面的经验。”
作为最后一个预防措施，campbell也在寻找不通过第三方系统捕获用户敏感数据的vpn，他表示：
“任何尊重客户隐私的vpn服务提供商，都不会去触碰与客户交互的系统，比如第三方聊天脚本、支持票务系统、博客评论等等。用户通常会在请求包里提交非常敏感的数据，但是他们并不一定清楚他们的vpn服务提供商是否单独监控了流量系统。”
自己动手，丰衣足食
根据你的隐私需求，一个满意的预解决方案可能并不存在。如果是这样的话，懂技术的用户可以自己搭建vpn。如果你的方案里更在意速度，你可以在digitalocean、amazon主机、vultur,、ovh或者其他可靠的主机商的vps运行streisand。streisand是在土耳其推特全面被封杀后推出的，它的目的是为了帮助用户绕过互联网*。
streisand的github页面称：
“streisand可以在服务器上搭建l2tp/ipsec、openconnect、openssh、openvpn、*、sslh、stunnel，以及tor桥，它还会为这些服务生成自定义配置指令。”
其缔造者joshua lund告诉记者，streisand的目标之一就是使得安装过程尽可能简单。他设想这个开源服务能够成长为一个“集中式知识存储库”，成为一个自动化升级最佳实践的社区。
lund 在邮件中告诉记者：
“streisand将几个最困难的步骤实现了自动化，大大提升了安全性。比如streisand配置openvpn时会启用tls认证（又名hmac防火墙）”，生成了一个自定义组的diffie-hellman参数，启用了一个更强大的多密钥校验机制（aes-256/sha-256替代了原来默认的blowfish/sha1）。许多用户在手动配置时，其实会跳过这些选择性的耗时步奏。事实上，大多数商业vpn服务商并不启用这些openvpn配置。
streisand还有个好处在于，当自动安全更新和安装过程后，约十分钟就能让用户得到一个全新的服务。相比商业vpn服务商，streisand也不太可能成为审查、ddos或者流媒体*的目标。
像大多数vpn一样，streisand会不同。在2016年考察这些产品后，我们只得到一条准则：寻找vpn决定于你使用它的第一目的。寻求对自身网络安全进行保护的用户，与那些想隐藏自己真实地址的用户目的是不同的。意识到vpn的局限性和具体的弱点缺陷，至少可以帮助你做出一个更明智的复杂决定。