1. 引言
全球范围内，人们使用 VPN 服务来突破互联网审查的限制。理论上，一个部署在法律宽松国家的 VPN 可以让我们访问任何网站和应用。许多 VPN 提供商暗示我们可以使用他们的服务进行非法网络活动，还声称他们不会记录用户行为，也不会与第三方共享数据。这些说法无法由用户验证，可能造成一种虚假的安全感。
在本文中，我们将分析使用 VPN 是否真的能让我们匿名且不可追踪。
2. 在线服务始终在追踪我们
我们每天都在无意中向网络上传大量私密、机密和敏感信息。远程教育、居家办公、社交生活常常迫使我们使用那些会收集我们私人数据的“零隐私”在线服务。我们对专有软件和硬件的控制非常有限甚至没有。此外，智能手机的定位功能几乎始终可以运行，不管我们是否授权。
我们不能单靠技术手段解决这个问题，比如学习如何设置隐私选项。虽然技术能力是有帮助的，但当我们接受大公司的服务条款（如 Facebook 或 WhatsApp 的首次使用协议）时，这些技术就变得无关紧要了。我们永久授权这些公司随意使用我们的所有私人信息和发布的内容。
此外，VPN 无法防止在线服务的数据泄露。它不能抵御网络攻击和身份盗窃，也无法阻止我们的医疗信息或家庭照片落入他人之手。它也无法强迫我们明智地选择密码或使用双因素认证。
3. VPN 无法阻止监视行为
另一个问题是，父母、雇主、伴侣或熟人可以轻松地监控我们的智能手机。很多文章都详细介绍了如何监视 WhatsApp 或更广泛地监视手机活动。如果手机是公司设备或被非机主控制的设备，这种监视就更容易实现。有很多免费和付费软件可以执行此类监控。
更严重的是，越来越多的智能手机、台式机和笔记本电脑在购买前就被感染了恶意软件，例如通过篡改一个广受欢迎的合法应用（如 Facebook）。这种篡改可以让控制者读取和发送短信、安装应用、查看和修改手机数据、读取联系人、追踪用户位置、录音通话、进行欺诈性购买或银行交易等。
有时，监视者甚至无需物理接触目标手机，例如 NSO 集团的 Pegasus 间谍软件，它是全球最先进的黑客工具之一，多次登上新闻。此外，许多政府强制公民使用特定应用来追踪他们的行动和消费记录。没有哪种 VPN 能应对这种激进的追踪方式。简而言之，使用智能手机几乎无法实现匿名和隐私保护。
4. 隐私保护的基本原则
全球监控披露 显示，所有收集到的信息都被保留下来，用于精准描绘用户画像。这种大规模信息归档不仅是社交网络的问题，还涉及所有中介通信方式，包括电话、短信和电子邮件。
要应对网络隐私保护问题，我们需要明确几个基本概念：
4.1 网络安全并不存在
错误是任何计算机系统中不可避免的一部分。从智能手机到最新车型，从个人电脑到新型电视，很多常用设备都非常复杂。系统越复杂，就越容易出现设计者和用户都无法控制的情况。
这种失控可能是由于编码或设计错误、设备运行中的意外情况，或者一些未知原因造成的。因此，从绝对意义上讲，不存在真正的“安全”。
4.2 所有通信都可能被截取
隐藏摄像头、间谍软件或一个靠近我们的人可以发现我们的行为和密码。我们也可能因为一个小小的分心或成为社会工程攻击的目标而泄露这些信息。我们的设备也可能被盗、被黑或被监视。
有时，密码根本无用，因为专家可以通过各种方式绕过密码访问设备上的机密数据，如 许多教程所示。即使我们的手机或电脑是安全的，我们的聊天记录和密码也可能经过或存储在已被入侵的服务器上。简而言之，任何信息都有可能被未经授权的人访问。
4.3 没人能永远阻止数据被复制
任何防止数字数据复制的技术迟早都会失效：只是时间问题。安全依赖于隐蔽性 是不安全的，因为秘密算法可能被发现或逆向工程。相反，公开安全机制 也只是暂时的，因为目前计算机无法破解的公开算法，未来可能被超级计算机或新技术破解。
4.4 没有一种通用方法可以保护隐私
提供“一键解决”隐私和安全问题的服务可能对我们有吸引力。承诺一个服务（如 VPN）可以解决所有信息安全和隐私问题听起来很诱人，但并不存在。而且，如果我们使用商业 VPN，我们的网络流量会经过 VPN 提供商的网络。控制服务器的人可以看到并记录我们在网上做的一切。
越来越多的设备正在以前所未有的速度生成关于我们的数据。保护隐私通常是一场注定失败的游戏。解决办法可能是只使用我们可以控制的技术，这将意味着不使用最受欢迎的通信服务和技术。这涉及权衡。
4.5 自由软件是隐私保护的前提
隐私是使用 自由软件 的最重要原因之一。自由软件和非自由软件之间的区别在于我们是否对程序拥有控制权。实际上，非自由软件往往是恶意软件，因为开发者知道用户无法修复其中的恶意功能，因此很容易被滥用。
一个仅运行自由软件的智能手机不需要或强迫用户提供数据给不可信的公司。软件的行为是可知、可学习、可调整的。如果软件不尊重用户，社区可以开发替代方案。换句话说，隐私问题即使不能完全避免，至少可以被遏制和控制。
4.6 社会工程攻击
社会工程攻击依靠的是人为错误，而不是软件或操作系统的漏洞。它通过心理操控诱使人们犯安全错误或泄露敏感信息。攻击者会使用威胁或冒充权威人物来赢得受害者的信任或服从。
攻击类型太多，无法一一列举。这取决于攻击者的创造力和受害者的安全意识。有些攻击类型已经广为人知，如 钓鱼攻击（phishing）。还有一些虽然不太知名但同样巧妙，如 诱饵攻击（baiting）：
5. 与 VPN 相关的隐私问题
使用 VPN 实际上是将我们对网络服务提供商的信任转移到了 VPN 提供商身上。这种选择可能被不良行为者利用。更糟糕的是，许多面向消费者的 VPN 网站使用夸张和不切实际的宣传语。
5.1 VPN 可能收集并泄露我们的数据
这个问题有大量证据支持。许多 VPN 承诺“不记录日志”，这让隐私爱好者和犯罪分子都误以为自己的数据是私密的。但法院文件显示，如 IPVanish 曾 交出本应不存在的日志，这打破了这种幻想。
此外，一份关于网络跟踪和其他网络犯罪的刑事投诉文件（美国马萨诸塞州地方法院）非常具有启发性，表明许多 VPN 服务确实记录了用户的活动日志。它还表明 FBI 可以追踪那些自以为掌握所有匿名技巧的人。
一份 Consumer Reports 数字实验室的详细报告 分析了商业 VPN 的安全实践、数据泄露和隐私政策。这份报告整体令人失望。它指出一些 VPN 会在用户设备上留下包含详细敏感信息的日志，有些甚至以明文形式存储和传输用户密码。
另一项 Top10VPN 的深度调查 表明，许多 VPN 因 DNS 和其他泄露问题而无法保护用户隐私，几乎所有 VPN 都具有过度的权限或功能，存在隐私滥用风险。
更令人担忧的是，大多数出现在 VPN 搜索结果前列的应用都是来自不知名且高度隐秘公司的免费产品。其中大多数具有中国背景或由位于中国大陆的公司运营。根据 Free VPN Ownership Investigation 报告，这些公司故意让普通用户难以了解其背景。
我们几乎无法调查这些 VPN 公司的托管提供商或其他第三方合作伙伴。也无法判断这些 VPN 是否包含不安全的功能或库，以及它们的服务器端发生了什么：
5.2 DNS 泄露
DNS 劫持（也称 DNS 污染或 DNS 重定向）和 DNS 欺骗会破坏 DNS 查询的解析。除了这些用户难以修复的问题，还有 DNS 泄露。
使用 VPN 时，如果 DNS 请求到达未受保护的 DNS 服务器（通常是 ISP 的 DNS 服务器），就会发生 DNS 泄露。这种泄露的 DNS 数据包对安全和隐私构成严重威胁，特别是在审查严格、可能产生人身后果的国家。此外，一些 ISP 使用“透明 DNS 代理”来拦截所有 DNS 查询请求并代理结果，也就是说，它们在我们不知情的情况下强制我们使用它们的 DNS 服务。
我们可以通过 DNS 泄露检测工具 来检查我们的 VPN 是否存在这个问题。
5.3 WebRTC 泄露
WebRTC 是用于高带宽应用（如视频聊天）的浏览器间通信技术，它需要我们的公网 IP 地址。它还可能绕过 VPN 隧道，第三方可以利用 WebRTC 获取我们的真实 IP 地址。不过这个问题不像 DNS 泄露那么常见。
我们可以使用 browserleaks.com/webrtc 或类似工具测试这个问题。
5.4 IP 泄露
一些 VPN 客户端提供了在断开连接时阻止网络流量的选项，但正如之前调查所揭示的那样，这个功能并不总是有效。
5.5 过度权限请求
许多 VPN 客户端要求不必要的、侵入性的权限，如 GPS 定位、访问个人信息、摄像头、麦克风、联系人、短信等。除了可能的恶意目的，这些权限也可能是广告行为或开发实践不佳的结果。
5.6 病毒与恶意软件
使用专有 VPN 客户端意味着我们依赖开发和发布者。即使源代码可用，也不能保证它与我们下载的构建版本一致。它可能包含病毒、间谍软件或恶意软件。
正如我们前面提到的，唯一的替代方案是使用自由软件。这意味着可以使用 GNU/Linux 发行版及其默认提供的 Network Manager。Network Manager 支持任何提供 .ovpn 配置文件的商业或自建 VPN（如 OpenVPN）。
5.7 浏览器相关的隐私问题
网站可以使用多种方法追踪用户，这些方法是任何 VPN 都无法阻止的，例如 设备指纹、浏览器指纹、网页 Cookie、追踪像素 等。网站还可能请求数据来确定用户的地理位置，如 WiFi 网络、基于 GPS 的设备位置、蜂窝塔识别码（CDMA 或 GSM cell ID）等。各种公司会收集远超 IP 地址的数据，并将这些信息出售给数据经纪人。
coveryourtracks.eff.org 是电子前沿基金会（EFF）发起的一个项目，用于测试浏览器抵御追踪和指纹识别的能力。我们可以轻松找到许多类似的测试工具。
6. 结论
在本文中，我们看到 VPN 在日常生活中几乎无法提供绝对的匿名性和不可追踪性。我们必须警惕第三方服务（包括 VPN）可能带来的虚假安全感。
VPN 可以加密我们的流量，并隐藏我们的真实 IP 地址。它在机场、酒店、咖啡馆和图书馆等公共场所的 Wi-Fi 中很有用，可以防止 中间人攻击 和其他常见攻击。它有助于绕过网站和内容的审查或地理封锁，也可以防止 ISP 记录我们的上网行为。但通常，它并不能让我们完全匿名或不可追踪。