您的 VPN 安全嗎？

關於四分之一的互聯網用戶使用虛擬專用網絡，這是一種軟件設置，可以在自己的計算機與互聯網上其他地方的另一台計算機之間創建安全、加密的數據連接。很多人用它們來保護他們的隱私使用 Wi-Fi 熱點時，或在旅行時安全連接到工作場所網絡時。其他用戶擔心政府和互聯網提供商的監視。

許多VPN公司承諾使用強加密來保護數據，並表示他們不會存儲人們訪問服務的位置或連接時所做的事情的記錄，從而保護用戶的隱私。如果一切都按照預期的方式進行，那麼窺探該人計算機的人就不會看到他們的所有信息– 只是與那台計算機的難以理解的連接。任何監視整體互聯網流量的公司、政府或黑客仍然可以發現計算機正在傳輸數據或者在辦公室瀏覽 Facebook，但會認為該活動發生在與該人實際使用的計算機不同的計算機上。

然而，大多數人（包括 VPN 客戶）沒有能力仔細檢查他們是否得到了所支付的費用。一群研究人員我曾是確實具備這些技能，我們對 200 家 VPN 公司提供的服務進行了檢查發現：其中許多在關鍵方面誤導了客戶他們的用戶保護。

消費者蒙在鼓裡

我們的研究發現，VPN 客戶很難獲得公正的信息。許多 VPN 提供商付費第三方評論網站和博客到推廣他們的服務經過撰寫正面評論和對他們排名很高在行業調查中。這些相當於向考慮購買 VPN 服務的人做廣告，而不是獨立且公正的評論。我們研究了 26 個評論網站；其中24個我們因積極評價而獲得某種形式的回扣。

一個典型的例子是一個列出了數百家 VPN 公司的網站，其中 90% 以上的公司評分為 4 分（滿分 5 分）或更高。這並不違法，但它扭曲了可能獨立的評估。這也使得新成立的、規模較小的 VPN 提供商的競爭變得更加困難，這些提供商可能提供更好的服務，但用於良好宣傳的預算卻較低。

當 VPN 無法正常工作時，用戶的數據就會洩露。圖片來源：穆罕默德·塔哈·汗，CC BY-ND

數據隱私模糊

我們還了解到，VPN 公司並不總是採取很多措施來保護用戶的數據，儘管他們做了廣告。在我們調查的 200 家公司中，有 50 家沒有完全發佈在網上——儘管有法律要求他們這樣做.

發布隱私政策的公司在如何處理用戶數據的描述上存在很大差異。有些政策短至75個字，與實際情況相去甚遠。多頁法律文件銀行和社交媒體網站的標準。其他人沒有正式確認他們的廣告所暗示的內容，即使在承諾不這樣做之後，也為監視用戶留下了空間。

洩漏或監控流量

VPN 的安全性在很大程度上取決於確保所有用戶的互聯網流量都通過用戶計算機和 VPN 服務器之間的加密連接。但軟件是人寫的，人也會犯錯誤。當我們測試 61 個 VPN 系統時，我們發現其中 13 個存在編程和配置錯誤，導致互聯網流量在加密連接之外傳輸，這違背了使用 VPN 的目的，並使用戶的在線活動暴露給外部間諜和觀察者。

此外，由於 VPN 公司可以（如果他們選擇）監控其用戶參與的所有在線活動，因此我們檢查了是否有這樣做的公司。我們發現，在我們研究的 200 個 VPN 服務中，有 6 個實際上確實會自行監控用戶的流量。這與意外洩露不同，因為它涉及主動查看用戶的活動，並可能保留有關用戶正在做什麼的數據。

在註重隱私的廣告的鼓勵下，用戶相信這些公司不會這樣做，也不會與數據經紀人、廣告公司、警察或其他政府機構分享他們所發現的信息。然而，這六家 VPN 公司並沒有在法律上承諾保護用戶，無論他們做出怎樣的承諾。

關於地點撒謊

許多 VPN 的一個巨大賣點是，它們聲稱允許客戶連接到互聯網，就像他們身處其他國家/地區一樣。一些用戶這樣做是為了避免非法或準合法的版權限制，例如在歐洲度假時觀看美國 Netflix 節目。其他人這樣做是為了避免審查或其他管理互聯網活動的國家規則。

但我們發現，這些國際存在的說法並不總是正確的。當我們看到聲稱可以讓人們使用互聯網的 VPN 時，我們首先產生了懷疑就像他們在伊朗一樣、朝鮮以及巴巴多斯、百慕大和佛得角等較小的島嶼領土——它所在的地方很難上網，如果不對於外國公司來說不可能.

當我們調查時，我們發現一些聲稱擁有大量不同互聯網連接的VPN實際上只有少數服務器聚集在幾個國家。我們的研究發現他們操縱互聯網路由記錄，因此他們似乎在其他地點提供服務。我們發現至少有六種 VPN 服務聲稱其流量經過一個國家/地區，但實際上是通過另一個國家/地區進行傳輸。根據用戶的活動和國家/地區的法律，這可能是非法的，甚至危及生命 - 但至少它具有誤導性。