记者与研究者如何评估 VPN 的威胁模型

记者、高校研究者、人权监测人员和事实核查者有一个共同的难题：他们的工作涉及别人可能想看到的信息，而他们手里的工具却是为普通用户设计的。VPN 常常是他们被告知要安装的第一样东西。它是合理而有用的工具，但在这类工作中真正重要的风险里，它只覆盖很窄的一部分。

本文讨论的是记者和研究者可以自己建立的 VPN 威胁模型。它不是教人规避谁的指南，也不承诺在危险情境中的安全。它提供的是一种方法：说明你要保护什么、防谁，看看 VPN 到底触及其中哪些威胁，再判断在哪里需要更强的措施或专业帮助。内容属于一般性教育，不是针对你具体情况的法律或安全建议。

用大白话说，什么是威胁模型

威胁模型是对你自身处境的一段简短而诚实的描述。安全专家通常会问五个问题。

1. 我在保护什么？ 资产可以是数据（消息来源姓名、草稿、原始访谈、数据集）、身份、设备、账号，甚至是“你正在做某个报道”这个事实本身。
2. 我要防谁？ 对手范围很广：从咖啡馆网络里的机会主义窃贼，到资源雄厚的组织、怀有敌意的雇主、诉讼对方或国家。
3. 可能性有多大？ 机场 Wi-Fi 上的普通窃贼很常见；针对性攻击较少，但往往更严重。
4. 如果失败，后果有多严重？ 草稿泄露是一次挫折；消息来源泄露则可能危及某个人。
5. 为了预防，我能忍受多少麻烦？ 如果某项措施太难用，你累的时候就会跳过它，它也就什么都保护不了。

针对一个项目把答案写下来，大约要二十分钟。如果想要通用的步骤，文章 先建立一个简单的隐私威胁模型再选 VPN 为普通用户讲解了方法，本文则把它调整到适合新闻与研究工作的场景。EFF 的 Surveillance Self-Defense 指南也用清晰的语言讲授威胁建模，值得一读。

梳理资产、对手和路径

先从一张表开始。填入你自己的细节，而不是别人的例子。

资产	所在或经过的地方	可能的对手	VPN 涉及的部分
消息来源的身份	笔记、消息、手机通讯录	能接触你设备或账号的人	几乎没有
未发表的草稿	笔记本电脑、云存储、邮件	盗号者、网络窥探者	仅限网络层面的暴露
原始数据和录音	磁盘、备份、共享盘	窃贼、内部人员	共用网络上的传输
研究检索和访问的网站	浏览器、DNS、网络日志	本地网络运营者、服务商	对本地网络隐藏，但对 VPN 服务商不隐藏
登录会话	浏览器 Cookie、应用	钓鱼、恶意软件	没有影响
出行时你的位置	手机、Wi-Fi、SIM 卡	网络运营者、应用	改变网络地址，不改变设备信号
你作为作者的身份	账号、文风、元数据	能关联账号的人	没有影响

右边一列说明了一切。VPN 只在少数几行里触及网络路径，其余部分它都管不到。这并不是 VPN 的缺陷，只是提醒你：这件工具是若干控制措施中的一项。

对手，以及各自能看到什么

不同的对手位于路径的不同位置，所以同一件工具能抵御一些对手，却抵御不了另一些。

本地网络运营者（咖啡馆、酒店、会议、大学、新闻编辑部的访客网络）。通常能看到你的设备联系了哪些网站，对未加密的流量还能看到内容。VPN 把这些缩减成一条加密隧道。这是 VPN 最有效的地方，我们的指南 如何更安全地使用公共 Wi-Fi 描述了实际做法。

你的网络服务商。 能看到你流量的目的地和时间。VPN 对它隐藏目的地，但服务商仍能看出你在使用 VPN 以及使用的时间。

VPN 服务商。 它处在原来网络服务商所在的位置。能看到你的真实网络地址、你何时连接，并且视其配置，可能还能看到目的地。它对记录的说法是公司的陈述，而不是保证。在对任何服务商的承诺寄予重望之前，请阅读 VPN 服务商能看到你的什么信息 和 VPN 司法管辖区解释。

你所使用的网站或服务。 无论你来自哪个网络，它都知道你的账号、Cookie 和设备细节。VPN 不会让你对所登录的服务隐身。

针对你账号的攻击者。 使用钓鱼、重复密码或换 SIM 卡。VPN 与之无关，强认证才重要。请参阅 CISA 关于多因素认证和识别钓鱼的指引。

能接触你设备的攻击者。 在任何隧道存在之前就能读取文件和键盘输入。VPN 与之无关。

能同时观察连接两端的对手。 有时可以通过比对入口和出口的时间与流量，把活动关联起来。单个 VPN 抵御不了这一点。存在专为更强网络层隐私设计的工具，但它们也有自己的取舍，你应该阅读它们的文档。文章 VPN 与 Tor 的区别 从宏观层面讲解了差异。

在这类工作中 VPN 能带来什么

在自身的局限之内，VPN 对专业工作确实有用。

• 在共用网络上做报道。 新闻发布室、会议、火车、酒店和外勤地点，往往依赖你无法审查的网络。VPN 保护你与 VPN 服务器之间的流量不被本地网络看到。
• 减少对研究兴趣的一般性暴露。 在共用的大学或办公网络上，VPN 对周围的网络隐藏你访问了哪些网站和服务，但不对 VPN 服务商隐藏。
• 出行时保持一致。 同样的保护从机场到酒店再到咖啡馆都跟着你。
• 在网络层面分隔个人与工作浏览。 配合独立的浏览器配置文件和账号，有一点帮助。
• 远程访问的基础一层。 当你的机构或雇主为内部资源提供了自己的 VPN，请使用它。它的用途和个人 VPN 不同，参见 企业 VPN 与个人 VPN。

如实说明局限，与列出好处同样重要。在许多采访报道任务中，风险根本不在网络上。

VPN 无法为记者和研究者做到的事

这份清单比好处更长，每一项都值得理解。

• 它不保护消息内容。 敏感对话请使用端到端加密的通讯工具，并和联系人商定设置，例如阅后即焚。双方都必须设置好。
• 它不保护你的设备。 保持设备更新，使用全盘加密、强密码和锁屏，并想一想设备丢失、被检查或被扣押会怎样。
• 它不保护你的账号。 使用唯一的密码、密码管理器和两步验证，优先选择安全密钥或验证器应用，而不是短信。
• 它不会清除元数据。 文档、照片和录音带有作者姓名、位置和时间戳等数据。分享文件前请检查。
• 它不对你登录的服务隐藏身份。 如果你用真实账号查看敏感话题，账号持有人对该服务就是可见的。
• 它不阻止钓鱼，而钓鱼正是入侵记者的主要途径。 看似来自编辑、消息来源或会议组织者的消息可能带有恶意链接。参见 如何识别钓鱼网站。
• 它不会让你匿名。 请阅读 VPN 能让你匿名吗。
• 它击败不了能强制或攻破 VPN 服务商的对手。
• 它不会让违法行为变合法，也不保证网站或应用一定能用。 法律和单位规定仍然适用。

按情境给出的合理做法

这些建议刻意保持朴素，聚焦日常暴露，不是规避任何人的指南。

在咖啡馆或新闻发布室采写本地新闻。 先连接 VPN，再打开邮件或文档工具。为工作使用独立的浏览器配置文件，保持两步验证开启，不要让设备无人看管。

为采访任务出差。 出发前更新设备。把重要文件以加密形式备份到你信任的地方。只带必要的东西，并注意各国对边境处设备和数据的规定差别很大。请查阅你所走路线的官方指引以及所在机构的差旅政策。

涉及敏感受访者的学术研究。 先遵循你所在机构的伦理和数据保护规定。把可识别身份的数据与分析文件分开存放，限制访问人员，并使用机构的安全存储。个人 VPN 不能取代这些规定，有些机构还要求使用其自有工具。

核实可疑的消息或文件。 不要在你的主设备上打开。通过另一条渠道向发送者确认。如果你需要处理大量可疑文件，请向所在机构的安全联系人询问安全的审查流程。

与处境危险的消息来源合作。 这正是单靠 VPN 不够的情形。请向所在机构寻求支持，或联系公认的面向记者的数字安全援助热线。他们可以评估你的实际情况，这是任何通用文章都做不到的。

评估用于专业场景的 VPN 服务商

如果你认定 VPN 是一层合理的保护，就用评估任何消息来源时的同样审慎来评估它。可以问这些问题：

1. 谁在运营？ 公司是否可识别，有没有联系地址和公开的隐私政策？
2. 它声称记录什么、保留多久？ 阅读真实条文，而不是营销页面。对绝对化的承诺保持警惕。
3. 它设在哪里，那里可能适用什么义务？ 司法管辖区决定哪些法律命令可能触及该公司。
4. 如何处理付款和账号？ 不自动续费的预付模式意味着重复产生的记录更少，不过付款信息仍然保存在支付处理方那里。
5. 是否公布技术细节或独立审查？ 透明度报告和审计是有用的信号，但绝不保证未来的行为。
6. 应用是否持续维护？ 查看更新历史以及客服是否有回应。
7. 有没有夸大其词？ 像“无法追踪”“不可攻破”“军用级”这样的措辞，是该看看别家的理由。可阅读 如何比较 VPN 服务商 获取一份评分表。

当你的工作很敏感时，免费应用需要格外谨慎，参见 免费 VPN 安全吗。如果选择 XPASS，请记住你是通过免费的 VPNclient 应用，使用 My Pass 页面上的用户名和密码来连接的，下载页面 列出了官方应用。我们不对任何 VPN 如何处理记录或匿名性作出声明，在依赖任何服务之前请先阅读条款。

今天就能写出的一页纸计划

把下面的提纲复制到笔记里，为你当前的项目填写。

1. 项目： 一句话。
2. 资产： 失去后最痛的三样东西。
3. 对手： 谁可能想要它们，他们的能力如何。
4. 可能的路径： 共用 Wi-Fi、钓鱼、设备丢失、账号被接管、内部人员、被转发的消息。
5. 我已经在用的控制措施： 更新、唯一密码、两步验证、加密存储。
6. 我将新增的控制措施： 最多一两项，并写上日期。
7. VPN 的位置： 我会在哪些网络上使用它，以及它不覆盖哪些风险。
8. 我会向谁求助： 一位指定的同事、所在机构的安全联系人，或数字安全援助热线。
9. 复查日期： 三个月后，或项目发生变化时。

每当情况发生变化，就回头看一遍这份计划。一个起初很平常的选题，也可能变得敏感。

总结

对记者和研究者来说，VPN 是共用和陌生网络上合理的一层保护，但它只覆盖网络路径。它不保护消息内容、设备、账号、元数据，也不保护你在所用服务中的身份，并且会把一部分信任转移给服务商。请建立一个简短的威胁模型，列出你的资产和对手，让 VPN 去应对它真正能应对的风险。面对严重风险，请依靠更全面的做法和专业支持，而不是任何单一工具。

如果简单的预付方案适合你工作中使用的网络，可以随时看看 价格页面。