VPN 独立审计：如何读懂审计报告

许多 VPN 服务的首页上都有一枚写着“已通过独立审计”的徽章。它听起来像是证据，所以才让人乐于放在网站上。然而这个词涵盖的工作范围非常宽：从对服务商源代码的深入审查，到一封仅确认几条说法看起来前后一致的简短信函。知道其中的区别，才能分辨一个令人安心的信号和一个空洞的信号。

本指南说明什么是独立审计、你可能遇到的几种类型、典型报告的结构，以及如何读懂关键部分：范围、日期、方法、发现项和服务商的回应。同时也列出需要警惕的信号，并坦率说明即使是好的审计也无法告诉你什么。本文建立在我们的VPN 服务商对比指南之上，对其评分表中的一项信号做更深入的说明。

审计是什么，不是什么

最简单地说，审计就是由不为被检查对象工作的一方对某件事物进行检查，然后给出书面声明，说明发现了什么。对 VPN 而言，这件“事物”可能是：

• 手机和电脑上的应用，
• 服务器及其配置方式，
• 服务商的后台软件，例如账号和支付系统，
• 服务商关于保存哪些数据的书面声明，
• 或者公司在安全和数据处理方面的流程。

审计不是“总体良好”的证书。审计方受雇完成一项明确的工作，只测试这项工作包含的内容，并写出只描述这些内容的报告。如果报告说审计方在某个日期检查了服务器配置，那么它对应用、对一个月之后的服务器都没有说明任何事情。

可以把它想成房屋检查。一份写着“3 月 3 日检查了屋顶，未发现漏水”的报告很有用，但它并不能告诉你水管是否正常。

审计的主要类型

服务商用同一个词指代差别很大的工作。下表把常见的几种归类。

审计类型	检查什么	能告诉你什么	不能告诉你什么
应用安全评估	手机和桌面应用，测试是否存在缺陷	是否发现常见的编码或设计弱点	服务器是如何运营的
服务器与基础设施审查	服务器上的配置、访问控制、更新实践	审查当日服务器是否遵循安全实践	之后是否仍然如此
源代码审查	应用或后台软件的代码	书面代码是否按声称的方式工作	生产环境中实际运行的是什么代码
隐私或日志核验	系统存储的内容是否与政策所述一致	所述的数据做法在当时是否与被审查的系统相符	审查窗口之外或被审查系统之外的行为
渗透测试	以攻击者可能的方式尝试突破	被测部分的抗攻击能力	测试规则和时限之外的任何事
管理体系认证	公司流程（安全管理、控制措施）	流程是否存在并被执行	某个具体产品在技术上的隐私性

许多服务商会组合多种类型。如果报告公开且范围清晰，这是个好迹象；如果只有一个没有任何细节的标志，说服力就弱得多。

报告的结构

有用的报告通常有相同的基本组成。按顺序阅读，比从头到尾通读更快。

1. 封面与摘要。 谁写的、写给谁、什么时候写的。不要只看到这里。
2. 范围。 检查了什么，同样重要的是排除了什么。
3. 日期。 工作是什么时候做的，针对软件或系统的哪些版本。
4. 方法。 工作是怎样完成的：访谈、配置审查、读代码、测试工具、实际访问。
5. 发现项。 发现的问题，通常带有严重程度评级。
6. 服务商的回应。 哪些已修复、哪些被接受为风险、哪些仍未解决。
7. 局限性。 审计方无法验证的内容的声明。
8. 结论。 审计方的总体陈述，应当与前面各部分一致。

如果服务商公布的内容缺少其中任何一部分，请追问原因。“摘要信”可能是正当的，但分量不如它所概括的报告。

读范围：一个具体例子

范围是大部分含义隐藏的地方。设想报告里有这样一段虚构的话：

“我们在 5 月 14 日和 15 日审查了 12 台生产服务器的配置，并就数据处理访谈了两名工程师。我们没有测试移动应用、计费平台，也没有测试 5 月 15 日之后新增的服务器。”

阅读方式如下。

• **“12 台生产服务器”**是抽样，不一定是全部。报告是否说明了样本是如何选择的？
• **“5 月 14 日和 15 日”**是审查窗口。此后做法的任何变化都在报告之外。
• **“访谈了两名工程师”**意味着一部分证据是人们的说法。这可以成立，但不如直接检查系统有力。
• **“没有测试移动应用、计费平台以及 5 月 15 日之后新增的服务器”**是对未检查内容的精确清单。这种坦率是好迹象。

对比“我们的服务已通过审计并被认定为安全”这样的标题。这个标题不包含上述任何细节，而“安全”是一个宽泛的说法，范围狭窄的审计方根本无法支持。

谁付的钱，为什么重要

多数审计由服务商自己委托并付费。这很正常，因为很少有外部人士为此类工作出资，但它确实带来了动机问题。可以用下面的问题判断独立性。

• 审计方是否是有名、成熟的公司， 有其他公开的工作成果，还是你根本查不到的机构？
• 审计方是否发表了自己的声明， 或者在自己的网站上确认了这项工作，而不是只在服务商的网站上？
• 服务商是否公布了完整报告， 包括不那么好看的发现项，还是只给了一小段摘录？
• 是否公开了委托条款， 例如审计方被允许访问什么？
• 同一家公司是否反复审计同一个服务商？ 如果是，报告显示深度在增加，还是重复同一套清单？

这些问题都不能证明有什么不当行为，但它们能帮你判断应该给结果多大的分量。

发现项：健康的报告什么样

多数报告按严重程度给问题分级，常用的词有严重、高、中、低和信息性。看上去健康的报告往往有一些共同点。

特征	健康的迹象	警示信号
发现项数量	数量合理，包含一些低严重度的项目	在广而深的范围内零发现
严重度标签	有定义且一致	没有定义，或全部标为“信息性”
服务商回应	说明了修复方式，注明复测	对严重问题“接受”而不作解释
复测	有后续复测确认修复	看不出修复是否被核实
详细程度	足够具体，懂技术的读者能看明白	含糊措辞，没有对问题的描述

一份列出问题、显示它们已被修复并记录了复测的报告，往往比一份无懈可击的报告更可信。软件是人写的，深入的审查通常总会发现点什么。

时效性：审计很快就会过时

VPN 服务在不断变化：新的应用发布，服务器增加，员工流动，代码被重写。审计描述的是当时的状态，所以它的价值会随时间下降。

• 看工作完成的日期，而不是徽章被放上网站的日期。
• 看被审计的版本是否与当前版本相符。 报告之后若有重大改版，报告的分量会减弱。
• 留意是否定期重复。 间隔一段时间重复审计的服务商，体现的是一种流程，而不是一次性的举动。
• 对已有数年之久的报告要谨慎， 尤其是此后服务商的应用、所有权或基础设施发生了变化时。

对多久算太久，并没有通用的规则，但一份早于服务重大变化的报告，对现在几乎说明不了什么。

审计无法告诉你的事

即使是出色的报告也有局限。

• 它无法说明审查结束之后会发生什么。
• 它并不描述你的设备、网络或宽带服务商，这些都有各自的记录。每种情况下仍然可见的内容，请参阅VPN 服务商能看到你的哪些信息。
• 它不会告诉你服务商的法律所在地是否使其容易受到请求。这是另一个问题，见VPN 司法辖区详解。
• 它不会使你匿名。认为 VPN 或审计能做到这一点，是常见的 VPN 安全误区之一。
• 它可能在某些方面很窄，而营销把这一点掩盖了。

审计是一项证据。它比没有任何依据的说法更有分量，又比人们以为的要弱。

阅读任何审计声明的清单

看到徽章或新闻稿时，可以用这份清单。

1. 我能打开真正的报告吗，而不只是摘要或标志？
2. 审计方有名称吗，审计方是否独立确认了这项工作？
3. 范围究竟包括什么，排除了什么？
4. 工作的起止日期是什么时候？
5. 审查的是应用或系统的哪些版本？
6. 工作是怎样完成的：访谈、配置审查、代码，还是测试？
7. 发现了什么，严重程度如何，是否已修复？
8. 有没有复测？
9. 报告有多新，之后服务是否发生了变化？
10. 服务商是否随时间重复进行审计？

如果服务商对其中大部分问题能坦然回答，这比任何单一的标志都是更好的指标。如果回答不了，这本身也是有用的信息。

三个场景

检查徽章的学生。 小米在某服务商首页看到“由独立公司审计”。点进去后，只有一封三行的信，没有范围，没有日期，而且那家公司在网上查不到。她把这枚徽章视为营销，转而寻找公布完整报告的服务商。

阅读真实报告的自由职业者。 老唐打开了一份 40 页的报告。他先读范围，发现应用被测试了，而服务器没有。报告列出了几项中等严重度的发现，每一项都有“已修复并复测”的备注。他得出结论：应用确实经过了认真审查，而服务器方面的做法，他仍需阅读服务商的政策。

对比两家服务商的买家。 小艾有一家服务商，报告是三年前的，早于一次大规模的应用重写；另一家没有审计，但有详细的数据处理政策和清晰的条款。哪一家都不理想。她判断旧报告是个较弱的信号，于是阅读了两家的政策，并利用一段短期试用看哪家实际表现更好。我们的付款前该检查什么指南对这一步有帮助。

常见错误

• 不读报告，就把徽章当作证据。
• 忽视范围，以为“已审计”涵盖一切。
• 相信没有具名审计方的报告。
• 以为零发现比有若干已修复的发现更好。
• 忽略日期和版本。
• 相信审计意味着服务商永远不会出错。
• 把没有审计当作行为不良的证据。

总结

VPN 独立审计是第三方在特定时间对服务某一特定部分进行的检查。请依次阅读范围、日期、方法、发现项和回应，核对审计方是谁、完整报告是否公开，并根据此后的变化来判断时效。好的审计能增加信心，但不能保证未来的行为，也不涵盖所有事情。把它作为一个信号，与政策、过往记录和你自己的测试一起使用。

如果在你权衡这些信号的同时，一个简单的预付通行证适合你的需求，可以随时到价格页面看看。