如何比较不同 VPN 的独立安全审计报告

搜索一款注重隐私的 VPN，几乎每个首页都会出现“已通过审计”的字样。有些说法背后是外部机构撰写的、公开的长篇报告；另一些只有一段话和一个标志。在两家服务商之间做选择时，很容易因为它们用了同一个词就把它们等量齐观。其实并不相同，而且如果你知道往哪里看，差别往往就写在文件里。

本文不是品牌排名，也不点名任何品牌，因为排名很快过时，还常常有人付费。我们提供的是一套方法：一组问题和一张评分表，你可以用它来填写任何服务商的情况，从而让比较的双方真正可比。开始之前，你也许想先读一下我们对 VPN 审计是什么 的入门介绍。本文假设你已经知道什么是审计，现在想把几份审计放在一起比较。

为什么审计说法很难比较

审计是由服务商以外的人所做的结构化检查。这个词唯一能保证的就是这一点，其他都各不相同。

• 检查对象。 报告可能审查书面隐私政策、服务器配置、应用代码、处理账号的基础设施，或其中几项的组合。
• 方法。 审查人员可能是阅读文件、访谈员工、检查配置、对系统做测试，或逐行阅读源代码。
• 深度。 对一批服务器样本做一周的审查，与可访问一切的长期合作不是一回事。
• 结果。 报告可能列出发现及严重程度，也可能只给一段让人安心的话。
• 公布方式。 有些服务商公布完整报告，有些公布摘要，有些分享审计方出具的函件，还有些除了一枚徽章什么也不公布。

由于服务商自己决定委托审查什么、公布什么，两个“已审计”的品牌可能处在证据强度的两个极端。我们的任务是把文件读到足以把每家放到这个尺度上的程度。

对每份报告都要问的六个问题

对你找到的每份审计都用这六个问题，把答案记下来，规律很快就会显现。

1. 到底审查了什么？

找“范围”部分。清晰的范围会点明被审查的系统，比如“处理客户连接的生产服务器”“某版本的 Windows 和 Android 应用”或“处理法律请求的流程”。没有点名的都在范围之外。只写“该服务”而没有细节的范围是薄弱的。

2. 测试的是哪项声明？

有的报告测试具体、可核对的陈述，例如服务器不保存某些类别的数据；有的测试一般性的安全管理，例如打补丁和访问控制。两者都有用，但回答的问题不同。如果你关心的是服务商记录了关于你的什么，那么应用的渗透测试并不能回答，反过来也一样。我们对 VPN 服务商能看到什么 的概述，可以帮你判断哪一项声明对你最重要。

3. 谁来做的，独立性如何？

确认审计方是一家有名有姓、在安全或鉴证方面有履历的机构。如果审计方是同时向该服务商出售服务的咨询公司，或者报告是为营销而不是为鉴证而写，就要小心。独立不意味着对立，而是意味着服务商不能修改结论。

4. 什么时候做的，覆盖哪个版本？

日期和版本是不可缺少的。关于去年应用的报告，很难说明今年的情况。看覆盖的时间段，以及服务商是否说明此后有什么变化。按计划重复审计的服务商，说明它把鉴证当作持续的工作。

5. 审计方发现了什么，之后怎么处理？

对任何真实的系统来说，零发现的报告都很少见。诚实的报告会列出问题、按严重程度排序，并说明服务商的回应。发布后续报告、说明哪些项已修复的服务商，比提供一份无瑕但含糊摘要的服务商给出了更有力的证据。

6. 有没有完整报告，在哪里？

服务商自家网站上的链接不错。审计方托管的副本更好，因为服务商不能悄悄替换。如果只公开了节选，看看摘要是否说明了省略了什么。

可以直接抄用的评分表

选两三家服务商，每行打 0 到 2 分：0 表示缺失或不清楚，1 表示部分具备，2 表示清楚且有文件记录。这些数字只是为了看出差异，并非正式评级。

问题	服务商 A	服务商 B	服务商 C
范围明确
测试的声明具体且可核对
审计方具名且独立
注明日期和软件版本
列出带严重程度的发现
公布整改或后续情况
完整报告公开可得
按固定周期重复进行

总分接近满分，说明服务商把审计当作对外负责的方式。分数低并不证明有不当行为，但意味着你依赖的是信任而不是证据。请注意，这张表并不奖励“已审计”这个词，而是奖励文件。

不同类型的审计回答不同的问题

并非每种审计都是为回答隐私问题而设计的。知道类型，才知道能得出什么结论。

审计类型	能告诉你什么	不能告诉你什么
政策或鉴证审查	服务商的做法是否与书面说法一致	软件是否存在安全缺陷
基础设施或配置审查	服务器如何配置、保存什么	应用是否没有漏洞
应用渗透测试	攻击者能否攻破应用或让流量泄露	服务商对数据处理的决定
源代码审查	在该版本下代码是否如所称那样工作	你看不到的服务器的行为
合规认证	是否遵循了有文件记录的流程	标准范围之外的任何事情

只有扎实的应用测试而没有基础设施审查，说明你得到的是软件方面的证据，而非服务器方面的。只有政策审查而没有技术工作，则是把话与话相互核对。最好的证据来自多种类型随时间的累积。

关于服务商描述自己记录什么所用的措辞，请阅读我们的 VPN 日志政策 指南。透明度报告则增加了另一层：说明有关部门多久要求一次数据，以及结果如何。可以参阅 VPN 透明度报告 学习如何阅读。

阅读文件：警示信号与良好信号

给每份报告花十分钟，找下面这些标记。

警示信号

• 范围含糊，或局限于与所宣传声明无关的内容。
• 报告只是一页纸的函件，没有任何方法说明。
• 审计方未具名，或看起来主要是为发徽章而存在的机构。
• 日期很旧，或版本与当前应用对不上。
• 营销说法超出报告所说，例如报告只测试一个组件，却宣称“完全私密”。
• 链接指向需要登录的页面，或文件已被撤下。
• 报告是由另一家公司或上一任所有者委托的。

良好信号

• 发现附有严重程度评级和服务商的回应。
• 数年间有多次审计，每次范围清晰。
• 公布下一步将审计什么的计划。
• 审计之外还有漏洞赏金计划或明确的安全联系渠道。
• 坦率说明审计没有覆盖什么。

三个比较实例

A. 徽章与报告。 小玛比较两家服务商。一家在网站顶部展示“已审计”印章，却没有任何链接；另一家链接到一份 40 页的报告，由具名机构撰写，有明确范围、一年内的日期、发现清单，以及哪些已修复的说明。在评分表上，前者 16 分里得 1 分，后者得 13 分。她并没有因此知道后者完美，但知道了哪一家给了她可以核实的东西。

B. 范围不同的两份真实报告。 小戴找到两家都公开报告的服务商。一份检查了应用，发现若干中等问题，均已修复；另一份检查了服务器配置，报告了保存的内容。两者没有优劣，只是回答不同的问题。小戴决定自己更关心保存了什么，于是更仔细地读第二份，然后问第一家服务商是否做过服务器审查。

C. 过时的审计。 一家服务商引用数年前的审计。此后它换了所有者，重写了应用，新增了服务器基础设施。玛丽亚读了报告，发现它所覆盖的系统已基本被替换，于是把它视为历史而非证据。她发邮件询问是否有更新的审查。对方是否迅速、具体地回复，本身就是有价值的信息。

审计无法告诉你的事

审计有些局限，任何比较表都无法弥补。

• 它是快照。你明天使用的系统可能与被审查的系统不同。
• 它只覆盖范围内的内容。
• 它无法证明某件事从未发生，只能说明工作期间没有发现。
• 它不能代替你自己的良好习惯：保持应用更新、使用唯一密码、两步验证，以及对链接保持警惕。
• 它不能说明公司在所有权、财务或法律处境变化时会怎么做。那是信任问题，VPN 信任模型 一文讨论了这一点。
• 它不能代替测试。你仍然可以自己检查基本情况，方法见 如何测试 VPN。

如果想要比审计更广的评分清单，请看 如何比较 VPN 服务商。

一封可以发出的简短邮件

如果服务商的审计信息不清楚，就去问。简短而具体的邮件效果不错。

1. 说明你询问的是哪份报告或哪项声明。
2. 询问是否有完整副本，在哪里可以获得。
3. 询问覆盖了哪个软件版本和哪些系统。
4. 询问下一次审查计划在什么时候。
5. 询问自上次报告以来有什么变化。

欢迎这些问题的服务商通常早有准备好的回答。缓慢、含糊或带防御性的回复，同样是有用的信息。

总结

“已审计”是起点，不是结论。要按范围、被测试的声明、审计方的独立性、日期与版本、发现与整改、可获得性以及是否重复来比较报告。不同类型的审计回答不同的问题，因此要与你自己的关切对应起来，并记住每次审计都只是一张快照。用评分表保持比较公平，遇到不清楚的地方就问服务商，并把审计证据与清晰的条款、透明度报告以及你自己的测试结合起来。

如果你更喜欢到期自动结束的预付套餐，可以在做完这些功课、准备好之后看看 价格页面。