使用 VPN 时，你把信任交给了谁

很多人把 VPN 说成“不用再信任网络”的工具，这并不准确。VPN 确实让你不必再信任某些角色，比如咖啡馆路由器的主人，但同时也让你多出一批需要信任的对象，比如运营 VPN 服务的公司。信任的总量并没有降到零，只是被转移了。想做出好的决定，就要弄清它被转移到了哪里。

本文一步步梳理 VPN 的信任模型：涉及哪些角色，各自能看到什么，哪些说法可以自己核实、哪些只能选择相信，以及怎样减少需要依赖的部分。文中不做排名，也不点名任何服务。如果你想了解更偏技术的问题，即服务商的服务器能读到什么，请看 VPN 服务商能看到你的什么信息。这里关注的是技术背后的人和公司。

信任不会消失，只会转移

先看一幅简单的图。不用 VPN 时，手机和本地网络通信，本地网络把流量交给宽带运营商，再送到网站。咖啡馆老板和宽带运营商都能看出你在访问哪些网站，即使内容受 HTTPS 保护也是如此。

用上 VPN 后，手机会和 VPN 服务器建立一条加密隧道。咖啡馆老板和宽带运营商只能看到一条通向某个地址的加密连接，看不出真正的目的地。而 VPN 服务器则接过了前两者原本能看到的东西：你访问了哪些网站、什么时候访问，虽然看不到 HTTPS 页面里的内容。

所以真正的问题是：相比你担心的那些网络，你是否有更充分的理由信任 VPN 运营方？在某些场景下答案是肯定的。机场里挤满陌生人的网络，你完全无法评估；而一家有公开条款、有营业地址、有付款记录的公司，至少是可以评估的。但“更值得信任”不等于“完全可信”，本文后面讲的，就是这两者之间的差距。

下面的内容贯穿三个想法。

• 信任是具体的。 你是就某类数据、某个目的去信任某一方，而不是笼统地信任。
• 信任要与风险相称。 数据越敏感，就越该要求有力的证据。
• 少需要信任，胜过多给出信任。 最好的保护，是把事情安排成某一方根本不必被信任。

你依赖的那条链上有哪些角色

VPN 不是单一实体。你和网页之间是一条链，每一环都是有自己利益考量的一方。下表列出线上购买的消费级 VPN 常见的几环。

角色	你信任它做什么	通常能看到什么	怎样降低依赖
设备厂商与操作系统	管理整台设备，包括 VPN 应用能做什么	设备上的一切	及时更新，只从官方商店安装应用
应用商店	分发未被篡改的应用	你安装了哪些应用	使用官方商店页面，核对开发者名称
VPN 应用开发者	处理你全部流量和登录信息的代码	应用有能力收集的任何内容	阅读数据声明，查看应用申请的权限
VPN 运营方（运营服务器）	把你的流量送往互联网	目的地址、时间、流量大小，以及你连接时使用的来源地址	评估条款和过往记录，处处使用 HTTPS
机房或托管公司	实体机器和网络线路	网络边缘的元数据	无法去除，视为运营方风险的一部分
销售方与支付处理方	收款并与账号关联	付款信息、邮箱、购买时间	使用单独的邮箱，不把登录信息留在邮件里
隧道所用的 DNS 解析器	把域名解析成地址	你查询的域名	确认 VPN 用哪个解析器，并测试泄漏
你访问的网站	处理它们自己收到的数据	你发给它们的内容，包括 VPN 服务器的地址	退出登录，限制 Cookie，使用不重复的密码

请留意两点。第一，有些环节不管你用不用 VPN 都存在：设备、应用商店和目标网站始终在链上。VPN 新增的是应用开发者、运营方和托管层。第二，新增的这几环正是这次决策的关键。其中任何一环疏忽或不诚实，你的处境就比不用 VPN 时更糟，而不是更好。

预付费通行证的链条里，可能有两家容易混淆的企业：一家卖通行证并收款，另一家真正运营 VPN 服务。比如 XPASS 出售通行证，通过 Stripe 收款，之后你用 My Pass 页面上显示的用户名和密码登录免费的 VPNclient 应用。评估任何一次 VPN 购买时，都要问清哪家公司负责哪项工作，因为每一家都有自己的条款和责任。

能自己验证的信任，与只能选择相信的信任

有些说法你坐在家里就能验证，有些说法没有特殊权限，外人谁也无法验证。把信任按这两类分开，是本文最有用的一步。

可以自己检查的

• 隧道是否真的在工作。 对比关闭和开启 VPN 时，你看到的 IP 地址和 DNS 解析器。指南 如何检查 VPN 是否正常工作 会带你一步步操作。
• 隧道断开时流量是否泄漏。 关闭再打开 Wi-Fi，看应用如何重连，断线保护（kill switch）是否拦住了流量。
• 应用对数据是怎么声明的。 在 iPhone 上，App Store 页面带有开发者自己填写的隐私详情。虽然是自我申报，但至少白纸黑字，可以和服务商的政策对照。
• 应用申请了哪些权限。 VPN 需要创建网络配置，但不需要你的通讯录或麦克风。
• 条款写了什么。 与你签约的是哪家公司，注册在哪里，退款或停止运营时你的数据怎么处理，怎样联系客服。
• 是否容易退出。 到期自动结束且不会自动续费的预付费通行证，不存在被意外扣款的风险；订阅制则需要你记得去取消。

只能选择相信的

• 运营方的服务器是否真如文档所说那样配置。
• 员工在日常工作中是否真的遵守书面的隐私规定。
• 托管公司有没有在网络层复制流量。
• 公司会不会一直经营下去，会不会在你付款后改变做法。

独立评测可以缩小第二类的范围，但永远无法完全消除。评测只看某个时间点、某个范围。像“我们不保留数据”这样的话，说的是行为，而行为会变。请把强烈的承诺当作提问的起点，而不是证据。如果想进一步了解法律所在地如何影响这些问题，可以读 VPN 司法管辖区详解。

信任账本：一个二十分钟的练习

可以用一份简短的练习表把这件事落到实处。大约二十分钟，建议在选定服务商之前做一次，需求变化时再做一次。

1. 列出你平常一周在网上做的事。 银行应用、工作邮件、聊天、购物、看视频、搜索健康或法律信息，以及任何不想被人看到的事。最多十行。
2. 给每项标上高、中、低敏感度。 高敏感指泄漏会造成真实损失的，如资金账户、医疗信息、私人消息、客户文件。
3. 写下关闭 VPN 时谁能看到每一项。 通常是网络所有者、宽带运营商和目标网站。
4. 写下开启 VPN 后谁能看到。 把网络所有者和宽带运营商换成 VPN 运营方及其托管层。
5. 对每个高敏感项，问一句：HTTPS 或应用自身的加密是否已经隐藏了内容。 如果是，VPN 运营方只会看到目的地，看不到信息本身；如果不是，运营方就可能看到内容，该项需要更谨慎。
6. 逐项决定：开 VPN、关 VPN，还是换网络。 有些事适合用手机流量并关闭 VPN，有些事放在 VPN 后面没问题。并没有规定所有事都必须走同一条路。
7. 写一句话：出现什么情况你就不再用这家服务商。 比如条款变更、数据事故处理不当、客服不再回复。把退出条件提前写下来，可以避免你随波逐流。

结果不是一个分数，而是一份简短的决定清单，你能向自己解释清楚每一条。

三个人，三本账

旅行者。 小梅出门十天。她的敏感项是机票和酒店订单、工作邮件，以及一个银行应用。在酒店和机场 Wi-Fi 上，让人担心的是不明网络，VPN 把这个未知变成了一个运营方。她买了一张短期预付费通行证，到期自动结束，这段关系也随之结束。银行应用她用手机流量并关闭 VPN，因为银行自身的加密已经保护了内容，她也不想让运营方多看到一个目的地。她的账本表明，VPN 对邮件和浏览划算，对银行则没必要。

远程工作者。 阿鲁在咖啡馆处理客户文件。文件是高敏感项，而他用的多数工具本来就有 HTTPS 保护。雇主可能有自己的访问系统，工作资源他信任这套系统。所以他只在会议间隙的日常浏览时用个人 VPN，工作工具交给公司的方案。账本告诉他，在工作路径上再加一个运营方，只是增加了信任，并没有增加保护。他给所有工作账号开启了两步验证，这样单靠泄漏的密码什么也打不开。个人工具和公司方案的区别，可以看 企业 VPN 与个人 VPN。

合租的几个人。 小玉和两位室友共用房东管理的一台路由器，没人知道网络上还有谁，也不知道怎么配置的。笔记本和手机上的 VPN，把他们对房东路由器的信任，转移到了自己选择的一个运营方身上。账本也显示了 VPN 解决不了的问题：他们仍然在多个网站复用购物密码，仍然会点短信里的链接。于是他们决定第一周先把密码各自改成不重复，再去琢磨 VPN 的细节。

三个例子里，VPN 都只是账本上的一项交换，而不是一块万能挡板。

怎样读懂信任信号而不被忽悠

服务商知道信任能卖钱，所以信号里混着大量营销。几个问题能帮你看清。

• 承诺能衡量吗？ “我们重视你的隐私”什么也没说。而清楚写明收集什么、保留多久、谁能查看，至少可以和别家比较。
• 背后有真实的公司吗？ 看有没有具名的法律主体、地址、联系客服的方式，以及写明你和谁签约的条款。
• 故事说得通吗？ 一个免费、找不到盈利模式、还宣称完美保护的服务，是警示信号。请看 免费 VPN 安全吗。
• 说法是不是绝对化？ “完全匿名”“无法追踪”“军用级”之类是营销词，不是工程语言。网上没有完全无法追踪的事，理由写在 VPN 能让你匿名吗 里。
• 对独立评测的描述是否诚实？ 如果服务商引用评测，要看是谁做的、范围多大、什么时候做的。几年前对某个组件的评测，不等于对今天整个服务的认证。
• 付费方式给你留出口了吗？ 清楚的退款条款、明确的结束日期、没有隐蔽续费，都能降低商业关系本身需要的信任。
• 服务商肯说自己做不到什么吗？ 诚实的服务商会解释 VPN 的局限，什么都承诺的则是在卖感觉。

如果想要一份更详细的评分表，用来并排比较几家服务，可以看 如何比较 VPN 服务商。

减少你需要的信任

既然无法验证一切，合理的做法是安排好自己的数字生活，使任何一方出错或背叛，造成的伤害都很小。

1. 首先依赖 HTTPS。 使用 HTTPS 时，VPN 运营方看到网站地址和流量大小，但看不到页面、密码或消息。这是降低运营方所能获知信息量的最大一招。
2. 为重要账号开启两步验证。 即使密码被偷，单凭密码也打不开账号。
3. 用密码管理器，让每个账号的密码都不重复。 一个网站泄漏，不会变成十个网站泄漏。
4. 敏感事务不要放在你无法评估的网络上，也不要走不必要的路径。 手机流量加关闭 VPN，对银行登录来说是很好的路径。
5. 购买和注册使用单独的邮箱。 限制销售方或服务商能把你与生活其他部分关联起来的程度。
6. 不要把登录信息留在邮件或截图里。 VPN 账号的登录信息应放在密码管理器或服务商自己的账户页面，而不是邮箱里。
7. 偏好短期承诺。 与所需天数相符的预付费通行证，意味着暴露于运营方行为变化的时间更短。
8. 有目的地使用 VPN。 在账本显示有用的网络和事务上开启。如果在你本来就信任的网络上登录账号时也开着，只是多加了一方。
9. 更新后做测试。 应用更新会改变处理你流量的代码。大版本更新后做一次快速的泄漏检查，是确认没出问题的廉价办法。

这套思路与零信任的想法一致：不因为某一方所处的位置就默认信任它。NIST 的零信任架构文档面向组织描述了这个概念，同样的习惯也可以缩小到一个家庭使用。

常见误区

• 以为 VPN“消除”了中间人，其实只是把一个中间人换成另一个。
• 把营销页面上关于日志的承诺当作证据，而不是需要追问的说法。
• 用真实姓名和一个反复使用的邮箱付款，却指望仅凭隧道就能实现匿名。
• 因为搜索排名靠前，就从非官方渠道安装了仿冒应用。
• 本来用手机流量更安全，却在登录银行时一直开着 VPN。
• VPN 账户页和邮箱用同一个密码。
• 从不看通行证到期或申请退款时会发生什么。
• 以为更贵或更有名就一定更可信。

局限与注意事项

信任模型是一种思考工具，不是保证。它无法告诉你某个具体的运营方是否诚实，本文也没有对任何具体服务作出评价。它同样无法覆盖个人被资源充足、意志坚决的对手盯上的情形，处于这种境地的人需要专门的建议，EFF 的 Surveillance Self-Defense 指南是不错的起点。

实际使用中请留意这些局限。

• VPN 无法保护你免受设备本身的威胁。手机上的恶意软件，在隧道之前就已看到一切。
• VPN 不会让你登录的网站不知道你是谁。
• 条款和所有权会变化。服务商发邮件通知更新时，请重新阅读条款。
• 无法验证的说法，是限制你经由该服务商传送内容的理由，而不是恐慌的理由。
• 本文不构成法律建议，各国对数据处理的规定各不相同。

小结

使用 VPN 并不会抹去信任，而是把它从你所在的网络，转移到制作并运营这项服务的一串公司身上。有用的习惯是：点名这些角色，把能自己验证的和只能相信的分开，再借助 HTTPS、两步验证、不重复的密码和短期承诺，减少需要的信任。然后针对账本上的每一项，分别选择合适的 VPN、网络和做法，而不是对所有事套用同一条规则。

如果一张到期自动结束的短期预付费通行证适合你权衡这笔交换，可以在方便的时候看看 价格页面。