你真的了解虚拟专用网络吗？还是先顾着自己的隐私再说吧

中国的互联网并不是真正开放的互联网，有时候很多人耐不住自己想要窥探外面世界的好奇心，选择用翻墙这种方式打开世界的大门，而虚拟专用网络（虚拟专用网络）就是看似用来帮助你混淆自己踪迹的帮助者。可是，你真的了解虚拟专用网络吗？它真的老老实实的只为你工作吗？

三年前斯诺登泄密事件揭露的东西，从安全的角度看对互联网服务提供商来讲并没有太多的帮助，甚至可以说做的有些过火。同时也模糊了反恐政策的概念。而当新闻爆出像NSA的Vulcan数据库或者它的Diffie-Hellman策略时，任何一个网络隐私主义者看过了都会心中发颤。突然间似乎每个人都需要重新评估下某些网上用于保持隐私的工具——虚拟专用网络。

传统虚拟专用网络简介

虚拟专用网络（虚拟专用网络），这款工具通常用于混淆用户的IP地址，或在用户进行WEB浏览时增加一层安全保护。它会把你的流量转到加密且安全的虚拟专用网络服务器上。不同的人使用虚拟专用网络的目的也不同，有些人可能是用它来改变自身的IP地址，这样就可以获取一些其他地域的媒体内容，或者能匿名下载一些东西。还有的人希望以此规避广告商的网络追踪，或者防止盗用WIFI后的负面影响，甚至只是为了在他们访问特定网站时隐藏真实的IP地址。

然而虚拟专用网络的质量也是参差不齐的。事实上某些存在问题的虚拟专用网络会让用户的安全更加脆弱。某些虚拟专用网络是禁用了torrent下载的，还有些会记录下信息，跟踪上网行为，或者按照当地的法律对数据进行保留。

去年我开始尝试整理一份好的虚拟专用网络列表，虽然网上已有不少类似的虚拟专用网络清单，但是通常都充斥着附加内容链接，很难确认其准确性。这份虚拟专用网络比较图表，里面概述了虚拟专用网络业务流程、日志记录、服务配置和其他特性。但它存在矛盾策略，并误导读者，声明各类的服务是100%有效的。但其实大部分内容是从真实的虚拟专用网络网站导入的，这就意味着可能会混入一些错误信息。

几个月的研究后，笔者的尝试都失败了。所以现在笔者仍然不能推荐一组安全的虚拟专用网络列表给大家。相反的是，研究结果刷新了笔者对目前虚拟专用网络的三观。当涉及到日志记录的时候，评估可行性和验证准确性也不是件容易的事，所以，我觉得与其给大家一个简单的列表，还是提供一些指导方针更加靠谱，让大家自己了解在本年度哪些虚拟专用网络是有效可用的。

虚拟专用网络不是用来匿名的

关于虚拟专用网络的一个常见的误读是：它们会给大家提供匿名功能，即使是针对民族主义者。但是，安全研究员Kenneth White表示：

“如果政府对目标进行专门的监测追踪，虚拟专用网络是不足以做到这一点的。”

事实上，虚拟专用网络声称的会给提供用户匿名性，是“不可行的，不负责的，或者两者兼备的”。DNSleaktest.com的站长Jeremy Campbell在邮件里告诉记者：

“为了实现匿名去使用公共虚拟专用网络是非常愚蠢而危险的，无论服务配置的有多么安全，匿名技术本身并没有在这里实现。虚拟专用网络服务要求你信任他们，但匿名系统本身是没有这个属性的。”

White没有坚持完全放弃虚拟专用网络，但是他警告说它应该作为一个辅助工具，而不是一个隐私的解决方案，他表示：

“相反，像专门的隐私工具如Tor浏览器之类的（里面可能包含了信用良好的虚拟专用网络），那就是可以使用的。它们不仅实现了匿名化属性，而且浏览器已经进行了大量定制，以实现网络隐私的最大化（比如弱化了cookie、Flash、Java插件等特征）。”

Tor分布式网络，会尝试在多个中继传输流量来实现匿名。但其实它也很难进行核实，没有人知道Tor这样是否能够获得百分百成功。Tor浏览器最近受到了美国国防部的瞩目，这只会强化这种担心。某些批评者认为，Tor会让人们更容易依赖过时版本的Firefox，但这些东西都不能保证是万无一失的。

Johns Hopkins大学的密码学教授Matthew Green表示：

“某些在俄罗斯出口节点的恶意Tor，实际上会偷偷修改二进制文件。所以，如果你不幸在Tor下载文件时碰巧遇到了这些节点，它们可能会将它转换成恶意软件。”

尽管Green并没有听说过虚拟专用网络发生过这样的事，但他指出这样的攻击是存在可能的。与多数虚拟专用网络不同，Tor和Tor浏览器通常用于高风险的情况，工程师需要迅速修复安全漏洞，这样的方式可能不适用于所有的虚拟专用网络。

用虚拟专用网络来BT下载安全吗？

某些虚拟专用网络提供商会禁用p2p，如果有必要还会把用户的名字给版权所有者。代表版权所有者的利益的，可能会取消惯犯的账户。希望使用虚拟专用网络进行torrent下载和流媒体观看的亲们，可以寻找那些特殊的服务提供商（或者不保留日志），但是问题又来了，Campbell表示：

“然而，我们并没有办法验证虚拟专用网络提供商所说的话。大家必须依靠新闻报道和网上论坛的讨论等等，来判断服务提供商的声誉。”

看来，必须时刻保持警惕才行。

虚拟专用网络可以“防御”广告追踪？

尽管虚拟专用网络能掩饰你的IP地址，但它不一定能保证你免受间谍广告和追踪的困扰。

Campbell表示：

“虚拟专用网络提供的防广告追踪的技术可以忽略不计，因为IP掩盖是一个弱标志。网络广告更倾向于cookies、supercookies和浏览器指纹技术，这些东西虚拟专用网络是无法进行保护的。”

为了防止无处不在的广告跟踪，广告阻断器uBlock、uBlock origin，以及追踪阻断器PrivacyBadger或Disconnect会提供一定程度的保护。禁用JS代码，或者使用Firefox下的NoScript可以消除一些指纹。更高级的用户可以使用虚拟机或者沙箱浏览器。当然，Tor浏览器也能防止产生特定浏览器指纹。

虚拟专用网络让你更危险？

用户使用虚拟专用网络的是为了保护自身网络安全，特别是在处于公共WIFI之下的时候。GoGo被爆出使用了Youtube的伪造证书，这可能会泄露用户的流量，包括用户的Youtube密码。

因为虚拟专用网络建立了用户和虚拟专用网络商服务器之间的通道，所以用户对于虚拟专用网络提供商的信任非常重要。毕竟提供商能看到和记录你所有的流量，甚至可以更改你的流量内容。一个虚拟专用网络的配置不当，黑客就可能直接访问你的本地局域网，这比别人在咖啡店网络下，嗅探你的流量更加可怕。

“如果虚拟专用网络服务供应商不老实的话，你只能自己做祈祷了。你得时刻担心是否会在本地局域网被人黑掉，若是使用了一个粗制滥造的虚拟专用网络服务，很可能就会把自己推入虎口。”

预共享密钥

White提供了一个虚拟专用网络的列表，在网上已有共享密钥发布：

GoldenFrog、GFw虚拟专用网络、虚拟专用网络Reactor、Unblock虚拟专用网络、IB虚拟专用网络、Astril、Pure虚拟专用网络、PrivateInternetAccess、TorGuard、IPVanish、Nordic虚拟专用网络、Earth虚拟专用网络。

“如果我知道了你正在使用的虚拟专用网络预共享密钥，并且我控制了你所在WIFI的热点，那么就可以进行中间人攻击并且解密你的上网行为。也就是说，当黑客拥有这预共享密钥时，您的网络安全系数就降低了。”

PPTP的代替品

一些虚拟专用网络还使用了老掉牙的的PPTP 虚拟专用网络协议，这在根本上就是不安全的。更好的选择包括IPSec（有人积极维护）、L2TP/IPSec、IKEv2以及Open虚拟专用网络等等。

在上述的几个选项中，IPSec可以设置为不需要安装额外的软件，但有人认为这是故意破坏和削弱NSA（美国国家安全局）的力量。Open虚拟专用网络比它还要安全，但是搭建手法更加复杂，需要第三方软件的帮助，以及用户进行正确且复杂的配置。

根据High-Tech Bridge最近的研究发现，SSL 虚拟专用网络中，有90%会使用不安全的或者过时的加密。而有77%使用了不安全的SSLv3（甚至SSLv2）协议，76%用了不可信的SSL证书（黑客可以更轻易的进行中间人攻击，拦截虚拟专用网络连接中的流量），更有一大部分用的不安全的RSA密钥长度的签名，以及不安全的SHA-1签名。不管你信不信，其中还有10%存在心脏出血漏洞。

数据保留和日志记录

一些虚拟专用网络会根据本国或当地的法律，进行日志信息保存。而且许多虚拟专用网络服务提供商会记录大量信息，比如在特定的用户来连接时，是从哪里、从什么时候连上的，甚至还有他们做了哪些连接。

甚至有些虚拟专用网络服务提供商，日志量少时会记录下重要日志，比如连接的IP地址和用户名，以及内部路由使用的内部负载均衡和服务器维护。某些虚拟专用网络服务提供商的日志记录可能会很快销毁，而其他的由于本地的相关法律，处理方式会有所不同。不管怎样日志里保存的信息都是足以破除用户匿名性的。

仔细阅读服务条款会帮助你确定服务商日志维护保留的情况，并可以了解他们会如何使用收集到的信息。但是其中的真伪也很难验证。有人认为进行犯罪活动时虚拟专用网络也会保护用户的身份，但人家美国政府已经与世界上数十个国家签署了司法互助条约了。

泄露用户隐私

即使用户已经连上了虚拟专用网络服务器，但某些发出的包可能没有经过虚拟专用网络通道进行通信，这就泄露了用户的隐私。

Campbell表示：

“从技术角度来讲，我认为最被低估的漏洞就是虚拟专用网络软件客户端的网络信息泄露。严重的时候，它可能会危及用户的生命，许多网络安全和隐私社区已经对此漏洞进行了重点关注。”

一些虚拟专用网络服务提供商设置了规则，在用户出篓子之前，能阻止不安全的连接。比如你首次登入某个WIFI热点，或者从一个热点转入另一个的时候。其他服务商还会允许用户自己设置防火墙规则。

2015年6月，罗马Sapienza大学和伦敦玛丽女王大学的研究人员测试了14款热门的商业虚拟专用网络服务，他们发现了其中10个会泄露IP的数据，且都会遭受IPV6 DNS劫持攻击。虽然后期研究人员并没有全面复查他们是否修复了，但是也做了一些特别的测试，并发现情况有所改善。但是可能修复了问题后，还存在其他漏洞。

伦敦玛丽女王大学的研究员GarethTyson博士表示：

“我给大家的建议是，如果你担心被政府监控，你应该全方面使用Tor。”

同样，这可能也是一个不完美的解决方案。虽然Tor浏览器提供匿名、规避审查和反监控追踪，但是它并不像虚拟专用网络一样迅速。更糟糕的是，某些互联网服务提供商会拒绝Tor。

营销宣传

许多声称安全的虚拟专用网络服务提供商，其实缺乏可信度。某些虚拟专用网络服务提供商声明不会记录日志，接受比特币，浮夸地表示他们是军用、政府、NSA级别的加密。

而且，虚拟专用网络不仅仅会存在安全漏洞的问题，还可能是民族主义者的蜜罐，相反，那些事先声明他们的威胁模型，讲清楚能保护的和不能提供保护虚拟专用网络服务提供商，可能更值得信任。

阅读服务条款有时能给用户一个清晰的认识。比如2015年，免费的以色列虚拟专用网络 Hola被发现将用户带宽出售给Luminati 虚拟专用网络。那些想要隐藏IP地址的用户不知不觉就变成了虚拟专用网络的出口节点和终点（暴露了自己的IP地址，混入了别人的流量）。直到8chan留言板运营商 Fredrick Brennan说，直到Hola用户在不知不觉中被利用来攻击他的网站后，才更新了自己的FAQ。

如何寻找可信的虚拟专用网络

看到上面所有的预防措施和虚拟专用网络说明了吧，靠它们去找可信的虚拟专用网络靠谱么？虚拟专用网络服务提供商表示购者自慎。

某家虚拟专用网络服务提供商是否使用了最新的协议，该公司的背景和声誉如何，服务条款是否容易理解，这些虚拟专用网络 到底能防护什么和未能照顾到什么，它对于信息披露的细节表达了足够诚实吗？

抛开这些因素，Campbell建议大家看看公司的行为，他说这可能会显示出一个服务商是否关心客户的隐私。这三年来，他自己也在寻找一个清晰明确的隐私政策，而不是只有样板政策的公司。

Campbell警告道：

“在斯诺登泄密事件后，过去几年已有了很多廉价的虚拟专用网络服务提供商。这些新入行的虚拟专用网络服务提供商在安全方面做的不是很好。许多情况，他们想把部分服务器的主机业务转为带宽业务，但是他们完全没有安全方面的经验。”

作为最后一个预防措施，Campbell也在寻找不通过第三方系统捕获用户敏感数据的虚拟专用网络，他表示：

“任何尊重客户隐私的虚拟专用网络服务提供商，都不会去触碰与客户交互的系统，比如第三方聊天脚本、支持票务系统、博客评论等等。用户通常会在请求包里提交非常敏感的数据，但是他们并不一定清楚他们的虚拟专用网络服务提供商是否单独监控了流量系统。”

自己动手，丰衣足食

根据你的隐私需求，一个满意的预解决方案可能并不存在。如果是这样的话，懂技术的用户可以自己搭建虚拟专用网络。如果你的方案里更在意速度，你可以在DigitalOcean、Amazon主机、Vultur,、OVH或者其他可靠的主机商的VPS运行Streisand。Streisand是在土耳其推特全面被封杀后推出的，它的目的是为了帮助用户绕过互联网封锁。

Streisand的Github页面称：

“Streisand可以在服务器上搭建L2TP/IPsec、OpenConnect、OpenSSH、Open虚拟专用网络、Shadowsocks、sslh、Stunnel，以及Tor桥，它还会为这些服务生成自定义配置指令。”

其缔造者Joshua Lund告诉记者，Streisand的目标之一就是使得安装过程尽可能简单。他设想这个开源服务能够成长为一个“集中式知识存储库”，成为一个自动化升级最佳实践的社区。

Lund 在邮件中告诉记者：

“Streisand将几个最困难的步骤实现了自动化，大大提升了安全性。比如Streisand配置Open虚拟专用网络时会启用TLS认证（又名HMAC防火墙）”，生成了一个自定义组的Diffie-Hellman参数，启用了一个更强大的多密钥校验机制（AES-256/SHA-256替代了原来默认的Blowfish/SHA1）。许多用户在手动配置时，其实会跳过这些选择性的耗时步奏。事实上，大多数商业虚拟专用网络服务商并不启用这些Open虚拟专用网络配置。

Streisand还有个好处在于，当自动安全更新和安装过程后，约十分钟就能让用户得到一个全新的服务。相比商业虚拟专用网络服务商，Streisand也不太可能成为审查、DDoS或者流媒体封锁的目标。

像大多数虚拟专用网络一样，Streisand会不同。在2016年考察这些产品后，我们只得到一条准则：寻找虚拟专用网络决定于你使用它的第一目的。寻求对自身网络安全进行保护的用户，与那些想隐藏自己真实地址的用户目的是不同的。意识到虚拟专用网络的局限性和具体的弱点缺陷，至少可以帮助你做出一个更明智的复杂决定。