注重隐私的 VPN：如何评估服务商

VPN 并不会让你的网络生活不再需要信任，它只是把信任转移到了别处。没有 VPN 时，网络运营者和你的网络服务商通常能看到你访问了哪些网站；有了 VPN，这种可见性就转移到了 VPN 服务商身上，因为它位于你和其他一切之间。如果服务商处理你的数据不当，你只是把一个观察者换成了另一个观察者。因此，出于隐私考虑选择 VPN，应当主要看服务商的数据处理方式，而不是功能列表。

本文给你一套方法。你会了解服务商可能持有哪些数据，怎样通过读隐私政策找到具体的承诺，什么算证据、什么只是营销，并把答案整理成一张可以套用到任何服务商的评分表。本文不会点名服务商，也不会宣布赢家，因为答案取决于你自己的风险，而 建立一个简单的威胁模型 可以帮助你界定这一点。

隐私是数据问题，不是功能问题

首先要放下"隐私是一个能买到的开关"这种想法。服务商的隐私水平，是它收集的数据、保存的时间、共享的对象，以及它以书面形式作出的承诺的总和。把这些数据分成三类会更清晰。

类别	例子	为什么重要
账户与付款	邮箱、用户名、付款记录、账单国家、订单历史	把真实的人与服务关联起来
连接与会话	连接时间、设备类型、大致网络、传输的数据量、使用的 IP 地址	可能显示你何时、从哪里使用过服务
应用与设备	分析事件、崩溃报告、广告标识符、权限、应用内的追踪器	即使隧道正常，也可能给你画像

这三类之外还有一项：流量本身，也就是你通过隧道访问的网站和服务。服务商要转发你的流量，所以技术上能看到目的地信息。关键在于它是否记录、保存多久、谁能接触到。想了解服务商究竟处在什么位置、能看到什么，可以读 VPN 服务商能看到你的哪些信息。

评估服务商时，对每一类数据问同样的问题：收集了什么、为什么、保存多久，以及我能不能不提供。

第一类：账户与付款数据

这是你直接提供的数据，也是最容易评估的一类。

• 账户标识。 服务需要邮箱、手机号，还是只要用户名？标识越少，能泄露或被要求交出的就越少。
• 付款方式。 银行卡付款会把购买与发卡机构和支付处理方持有的金融身份关联起来。这在大多数网购中都很正常，多数人可以接受。如果这对你很重要，可以问服务商付款成功后保存了什么，是仅有参考编号，还是完整的卡信息。
• 计费方式。 自动续费的订阅会更长时间保留你的付款信息。一次性预付可能留下的残余数据更少，不过你仍应读一读它为税务和会计保留了什么。
• 账户找回。 账户越容易找回，通常关联的个人数据越多。两个极端都不完美，你需要的是清楚的说明。
• 营销同意。 看注册是否同时订阅了营销信息，以及能否在不失去服务的前提下选择退出。

一个有用的测试是：如果只提供最少的信息，一个标识、一次付款、不留手机号，你还能使用这项服务吗？如果服务商无缘无故要求多得多的信息，这本身就是关于服务商的信息。

第二类：连接与会话数据

大部分隐私争论都发生在这一类，也是服务商的说法最难验证的一类。

有些服务商会为运行服务而保留连接数据，例如执行连接数限制、发现滥用或排查故障。有些则除了连接那一刻所需之外，什么也不留。正确的问题不是有没有数据，而是有哪些数据、保存多久，以及政策是否用具体的措辞写明。

要找的是：

1. 点名的数据类型。 好的政策会列出来：连接时间戳、传输数据量、来源 IP 地址、设备型号。
2. 保存期限。 "30 天后删除"是你可以拿来追问的承诺，"在必要期间保存"则不是。
3. 隔离。 会话数据是与你的账户身份关联保存，还是在没有这种关联的情况下保存？
4. 目的。 每一项为什么要收集？为每类数据给出理由，说明有人认真想过。
5. 第三方。 连接数据是否与分析工具或基础设施供应商共享，是否点名？

营销页面的措辞往往比法律政策的措辞更强烈。两者不一致时，以政策为准，因为那才是服务商受约束的文件。如果你想要结构化的对比，如何比较 VPN 服务商 提供了一份透明度评分表。

第三类：应用本身收集什么

即使服务商对连接数据有严格的规定，也可能通过自己的应用泄露隐私。你安装的是一个深度接触网络的软件，所以要检查它做了什么。

• 追踪器与分析。 许多应用内置第三方分析库，会把事件报告给外部公司。在 iPhone 上，商店页面里的 App Privacy 部分汇总了应用自称会与你关联或用于追踪你的数据。这个标签来自开发者自己的声明，所以应把它当作需要与政策对照的说法，而不是证据。
• 权限。 VPN 需要创建网络连接的权限，却很少需要你的通讯录、照片或精确位置。不必要的权限是一个警示信号。
• 崩溃与诊断报告。 往往有用，也往往可选。找一找开关。
• 广告标识符。 注重隐私的 VPN 没什么理由去读取它们。
• 浏览器扩展。 它们运行在浏览器内部，能看到的比应用更多。安装之前请读 浏览器扩展与 VPN 应用有何不同。

你还可以在连接之后测试浏览器泄露了什么。EFF 的 Cover Your Tracks 工具会显示你的浏览器配置有多容易被识别，提醒你 VPN 隐藏的是地址，而不是所有指纹。

逐句读隐私政策

大多数政策很长，但十分钟就能扫完。下面是值得留意的说法，以及怎么理解。

政策里的说法	怎么理解
"我们收集你的邮箱、付款参考编号和下单日期。"	具体且可核对，好迹象。
"我们可能为改进服务而收集信息。"	模糊。问是什么信息，能不能关闭。
"我们与可信的合作伙伴共享数据。"	是谁？签的什么合同？看有没有点名的类别。
"连接数据会在 24 小时内删除。"	具体的保存期限。如果说明是哪些数据就更好。
"我们不出售你的数据。"	范围很窄。出售并不是数据离开公司的唯一方式。要读允许共享的是什么。
"我们在必要期间保存数据。"	没有承诺。要求给出期限。
"我们遵守适用的法律。"	常规表述。有用的问题是服务商可能被强制交出什么，这就是为什么管辖地和数据最小化都很重要。

也要看日期。多年没更新的政策可能已经不能描述现在的服务。还要读关于变更的部分：可以随意修改条款而不通知的服务商，其承诺比答应通知你的服务商更弱。

管辖地、所有权与独立核查

除了政策本身，还有三类证据可以帮助你判断说法的可信度。

管辖地。 服务商注册所在的国家，会影响它能收到哪些法律请求、必须遵守哪些数据保留规定。这本身并不决定隐私水平，只是其中一个因素。文章 VPN 管辖地解析 解释了五眼联盟之类的组织究竟意味着什么，以及为什么一个看起来有利的注册地并不是保证。

所有权与透明度。 你能查到是谁在经营这家公司、在哪里、如何联系吗？愿意让人识别身份的服务商更容易被问责。有些会发布透明度报告，说明收到的法律请求及其处理方式。即使数字是零，这类报告也有用，前提是报告解释了统计方法。

独立核查。 具名的第三方审计可以支持某种说法。问四个问题：审查了什么（应用、服务器还是政策）、由谁审查、什么时候、能否看到完整报告。对去年软件的审计并不能说明今年的情况。请把审计当作辅助证据，而不是最终证明，也要提防那种背后没有报告的徽章。

绝对化的说法应该降低你的信任度。声称没有人能识别出你的服务商，在作一个没有任何技术能兑现的承诺，正如 VPN 能让你匿名吗 所解释的那样。

一份可复用的加权评分表

为了公平地比较服务商，请根据自己的风险给每项标准分配权重，然后为每个服务商打 0 到 5 分。下表的权重是一个示例，适用于主要担心共享网络和爱窥探的网络服务商的普通用户。

标准	权重	5 分的样子
账户数据最小化	15%	一个标识，不要手机号，营销可选
连接数据说明具体	25%	点名数据类型并给出保存期限
应用没有多余追踪器	20%	权限少，诊断可选
政策清晰	15%	语句平实，标明日期，变更时通知
营销之外的证据	15%	具名的审计或报告，公司可识别
付费方式	10%	符合你的偏好：预付或订阅

计算示例。 服务商 A 提供预付通行证，在政策里说明保存哪些连接字段、保存多少天，并公布了今年一次独立审计的范围。服务商 B 宣传"军用级隐私"和便宜的年付方案，但政策写着可能为改进服务而收集数据并与合作伙伴共享。打分如下：

• 服务商 A：账户数据 4，连接数据 4，应用 3，清晰度 5，证据 4，付费方式 5。加权结果：0.15×4 + 0.25×4 + 0.20×3 + 0.15×5 + 0.15×4 + 0.10×5 = 0.60 + 1.00 + 0.60 + 0.75 + 0.60 + 0.50 = 4.05。
• 服务商 B：账户数据 3，连接数据 1，应用 2，清晰度 1，证据 1，付费方式 2。加权结果：0.45 + 0.25 + 0.40 + 0.15 + 0.15 + 0.20 = 1.60。

重点不在于具体数字，而在于你写下了为什么一个服务商得分更高，这样你就不会凭形容词做选择。

选好之后仍然重要的习惯

再注重隐私的服务商，也无法保护你免受自己账户和设备的影响。

1. 不需要的账户保持退出登录。 网站是靠登录来识别你的，而不是靠 IP 地址。
2. 使用不同的浏览器配置文件，处理不该被关联起来的事情。
3. 如果应用有 kill switch，就打开它，这样连接中断时不会暴露真实地址。
4. 检查泄漏，步骤见 如何测试 VPN。
5. 保持软件更新。 过时的应用或浏览器比任何网络都更容易被攻击。
6. 每隔几个月检查一次手机上的权限。

任何服务商都无法承诺的事

在任何隐私评估中，对局限性保持诚实都是应有之义。

• VPN 无法在你登录的网站面前隐藏你是谁。
• 它无法阻止你自己设备上的恶意软件报告你的行为。
• 它无法保护你不受钓鱼、弱密码或账户被盗的影响。
• 它无法保证服务商一定信守承诺，只能给你一些可以据以判断的证据。
• 它无法让你匿名，只能减少某些观察者所能看到的内容。

如果服务商的营销模糊了这些局限，请在你的评分表的"清晰度"一栏扣分。如果你的需求高于日常隐私，例如保护信息来源或应对有决心的对手，VPN 只是一个更大计划中的一小部分，你应当阅读更全面的指南，例如 EFF 的 Surveillance Self-Defense。

总结

注重隐私的最佳 VPN，是你能理解、核查并接受其数据处理方式的那一个。把服务商可能持有的东西分成账户数据、连接数据和应用数据，读政策时找具体的承诺而不是让人放心的形容词，寻找诸如可识别的所有权和近期独立核查之类的证据，并用你自己写下的加权清单给候选者打分。没有任何服务商能把信任从等式中去掉，所以请选择那个用具体细节赢得信任的。

如果一次性刷卡付款的简单预付通行证符合你想要的购买方式，可以在 价格页面 了解它是如何运作的。