选择 VPN 之前，先做一份简单的隐私威胁模型

大多数人选 VPN，就像挑外套：看哪款流行、比比价格、然后希望合身。更好的办法是先问一句：你要应对的是什么样的天气？在安全领域，这个问题叫做威胁模型，它其实比听起来简单得多。

威胁模型就是一份简短而诚实的说明：你想保护什么、防范谁、值得为此花多少精力。有了它，选择 VPN 就不再是猜测。你能看出 VPN 能降低哪些风险、对哪些风险无能为力，以及还应在它旁边做些什么。本文带你走一遍五个问题的简易版本，并附上可以套用的例子。内容属于一般性信息，不能替代面临严重风险的人所需要的专业帮助。

什么是威胁模型，为什么要先做

威胁模型是一种思考方式，而不是要安装的工具。电子前哨基金会（EFF）的 Surveillance Self-Defense 指南，正是围绕同一个理念写成的：安全不是某一个产品，而是与你的处境相匹配的一套计划。

在选 VPN 之前先做，有三点好处：

• 避免买得过度。 如果你的主要风险是咖啡馆里的其他顾客，就不需要和面对有决心、资源雄厚的对手的人一样的配置。
• 避免虚假的安心。 VPN 能解决一些问题，解决不了另一些。知道差距在哪里，才不会在没被保护的时候以为自己已经安全。
• 把精力用在对的地方。 往往最有价值的一步是强密码和两步验证，而不是再装一个新应用。

五个问题

EFF 的指南围绕五个问题来制定安全计划，用通俗的话说就是：

1. 我要保护什么？ 账户、消息、照片、位置、浏览记录、文件或资金。
2. 我要防范谁？ 同一网络里的其他人、网络运营者、广告商、犯罪分子、好打听的熟人，或者资源更多的对手。
3. 我需要保护它的可能性有多大？ 常见的风险比罕见的风险更值得关注。
4. 如果失败了，后果有多严重？ 丢了一个社交账号，和失去网银访问权限，或危及某个人的安全，完全不是一回事。
5. 为了避免这些后果，我愿意花多大力气？ 你不会照做的计划，就不是计划。

答案要简短。一页纸，甚至几行字就够了。

第 1 步：列出你要保护的东西

先列一份具体的清单。不要略过那些看似无聊的条目，因为它们往往正是攻击者想要的。

要保护的内容	举例	为何重要
账户登录信息	邮箱、网银、社交媒体	一个邮箱账户可以重置许多其他账户
私人消息与文件	聊天记录、文档、照片	涉及个人或工作的敏感信息
浏览习惯	访问的网站、搜索内容	被广告商或网络运营者建立画像
位置与日常行程	住所、工作地点、出行计划	人身安全与隐私
资金与身份	银行卡信息、证件号码	欺诈与身份盗用
工作信息	客户文件、内部工具	对雇主或客户负有义务

然后标出泄露后伤害最大的两三项。它们决定了你的取舍。

第 2 步：弄清要防范谁

想一想，现实中谁有可能看到或接触到你的数据。多数人的清单比想象中平常得多。下表列出常见的对象、他们通常能看到什么，以及 VPN 与之的关系。

对象	可能看到什么	VPN 有帮助吗？
同一 Wi-Fi 上的其他用户	未加密的流量，以及你连接了哪些服务	有。设备与 VPN 服务器之间的流量是加密的。参见 公共 Wi-Fi 安全。
Wi-Fi 所有者（咖啡馆、酒店、机场）	连接的目的地和时间	在目的地方面基本有帮助，因为他们只看到 VPN 连接
你的网络运营商	域名和流量大小	部分有帮助。它看到的是 VPN 链路，而不是链路里的网站
网站和广告商	你的 IP 地址、Cookie、账户活动	只对 IP 地址这一部分有帮助。登录和 Cookie 仍会识别你
对你实施钓鱼的犯罪分子	你在假页面上输入的一切	没有。防钓鱼需要谨慎的习惯和两步验证
能接触到你手机或电脑的人	设备上的一切	没有。请使用锁屏和设备加密
VPN 服务商本身	经过其服务器的流量	VPN 把信任转移到了服务商身上，所以要慎重选择
资源雄厚、有针对性的对手	可能非常多	面向个人用户的 VPN 不够，需要更全面的计划和专家的帮助

注意，VPN 服务商也在清单上。VPN 并不会消除观察者，只是改变了观察者是谁。这就是信任必须纳入模型的原因。想完整了解它的局限，请阅读 VPN 无法保护你的方面。

第 3 步：权衡可能性与后果

并非每种风险都值得投入同样的精力。简单的排序办法是：对每种风险的可能性和影响分别打 1（低）到 3（高）分，然后相乘。

风险	可能性	影响	得分	合理的应对
有人在公共 Wi-Fi 上偷看	2	2	4	使用 VPN，优先访问 HTTPS 网站
钓鱼窃取密码	3	3	9	两步验证，谨慎的习惯
手机丢失或被盗	2	3	6	锁屏，设备加密
广告商建立用户画像	3	1	3	浏览器隐私设置，拦截追踪器
强大对手的定向攻击	1	3	3	专业建议，更全面的安全计划

你的数字会不同，关键在于排序。在这个例子里，钓鱼和手机丢失排在公共 Wi-Fi 偷看之前，所以只从 VPN 入手反而有些奇怪，两步验证才是更有价值的第一步。参见 什么是两步验证 以及 CISA 的指南不要只靠密码。

实际例子

校园 Wi-Fi 上的学生。 她要保护邮箱、学校门户和社交账号，主要防范共享网络上的其他用户和钓鱼。可能性中等，影响不大。在共享网络上使用 VPN，再加上两步验证，是相称的方案。她同时遵守校园网络的规定。

经常出行的人。 他在酒店和机场之间辗转，需要保护网银、工作邮箱和客户文件。主要风险是不可信的网络和设备被盗。在公共 Wi-Fi 上使用 VPN，加上锁屏、设备加密和及时更新的软件，就能覆盖大部分风险。他还做了备份，所以笔记本电脑被偷只是麻烦，而不是危机。

远程办公者。 她在咖啡馆处理客户文件。她的风险是公共网络、钓鱼和共用账号。VPN 对公共网络有帮助，但雇主的访问规定优先，同时她给每个工作账号都用了强而唯一的密码和两步验证。

记者或其他面临严重风险的人。 在这种情况下，风险的程度和对手的能力可能高得多。面向个人用户的 VPN 只是很小的一层，它不会让人匿名，也不会让人安全。处于这种位置的人应当制定更全面的计划：分开使用账户、加固设备、谨慎处理消息来源和文件，并寻求受过训练的数字安全机构的支持。EFF 的指南中有专门为这类读者写的章节，是合适的起点。本文不提供规避合法调查的建议，也不应把 VPN 当作对它的保护。

VPN 在你的计划中处于什么位置

有了清单，就可以把措施与威胁对应起来。VPN 擅长解决一类范围较窄的问题。

威胁	有用的措施
在共享或公共网络上被偷看	VPN、HTTPS，避免在陌生网络上进行重要登录
账户被盗	唯一的密码、密码管理器、两步验证
钓鱼	核对链接和发件人，绝不通过消息中的链接输入凭据
设备丢失或被盗	锁屏、设备加密、远程擦除、备份
网站追踪	浏览器隐私设置、拦截追踪器、减少登录
软件过时	及时更新系统、浏览器和应用

VPN 还能帮助你的网络运营者看不到你访问的每一个网站名称，但它无法阻止你已登录的账户认出你。关于隐藏地址和匿名之间的区别，请看 VPN 能让你匿名吗。

把模型变成选择 VPN 的依据

有了模型，选择就变成了适配问题。

1. VPN 与你相关吗？ 如果主要风险在不可信的网络上，或者在于网络运营商看到你的浏览，那么是相关的；如果是钓鱼或设备被盗，VPN 则是次要的。
2. 你对服务商有多信任？ 阅读服务商公开说明的做法，而不是相信口号，并对绝对化的承诺保持怀疑。
3. 你用它来做什么？ 出行日才用的 VPN，与想要全天开着的 VPN 不同。
4. 它能用在你的设备上吗？ 确认应用和连接方式覆盖你使用的手机和电脑。
5. 想停用时容易吗？ 有些人更喜欢需要时才购买的固定期限通行证，而不是自动续费的服务。可以在 如何选择你的第一个 VPN 中比较各种选择。

常见错误

• 从产品开始。 先选好应用，再事后编造理由。
• 把 VPN 当作护盾。 它保护的是一条路径，而不是你在网上的全部生活。
• 忽视基础。 重复使用的密码和没有两步验证，带来的风险比公共 Wi-Fi 更大。
• 照搬别人的模型。 朋友面临的风险，可能与你很不一样。
• 从不更新模型。 新工作、新旅行和新设备都会改变你的风险。
• 想隐藏违法行为。 威胁模型是为了隐私和安全，法律依然适用于你做的一切。

总结

威胁模型是对五个问题的简短回答：保护什么、防范谁、可能性多大、后果多严重、愿意投入多少精力。有了它，VPN 就成为一个职责清晰的工具，通常用来保护你无法控制的网络上的流量，并限制网络运营者所能看到的内容。钓鱼、弱密码、设备丢失以及通过账户进行的追踪，它都管不到。对于面临严重或有针对性风险的人，面向个人用户的 VPN 并不够，EFF 指南这类更全面的帮助才是合适的下一步。每当你的情况发生变化，就复查一次你的模型。

如果 VPN 符合你的模型，可以了解预付通行证是如何运作的。