VPN提供商

可以說這是一個相當全面的開始清單. Torrentfreak的工作人員似乎很敬業和知識淵博，他們的早期調查吸引了許多省略提供者的關注. 但是有兩個關鍵局限性. 首先，更晦澀和低調的隱私友好的VPN服務不會出現在TorrentFreak列表中（E.G. 加密術）. 一些提供商不適合Bittorrent用戶，也沒有動力出現在此列表中. 其次，在大多數情況下，TorrentFreak只是總結VPN提供商的回應，並且尚未核實其任何主張. 順便說一句，這兩個評論中的評論也值得閱讀，但不能總是認真對待.

詢問您的VPN服務提供商的18個問題

選擇VPN服務可能是神經損害的折磨. 您可能已經閱讀了有關Snowden洩漏和NSA相關的啟示. 您可能不相信您的ISP來保護您的隱私（正如FTC最近得出的那樣，您真的不應該）. 也許您不信任您的政府. 您甚至可能不信任所有政府和公司.

確實，您可能不信任本指南，並認為這只是一個廣告. 雖然這是一個可以理解的問題，但我邀請您繼續閱讀，並自己判斷. 我還邀請您在我關於VPN，TOR等的其他著作中閱讀此書，主要是在Wilders安全論壇和TOR上.Stackexchange.

如果您特別關注隱私，則可能想掩蓋有關VPN提供商的研究. 儘管許多人使用VPN服務，但廣泛的研究可能會將您作為一個重要的隱藏的人。. 您可以在此步驟（例如Calyx VPN）和免費的WebMail（例如VFEmail）使用免費的VPN服務來減輕這種風險. 為了獲得更好的隱私，您可以將TOR瀏覽器捆綁包添加到Calyxvpn的隧道中，並使用VFEmail的隱藏服務.

關於VPN服務的相對較少的可靠和值得信賴的信息可在線獲得. 通常最好忽略“最佳VPN”和“ VPN評論”網站. 大多數功能付費評論，有些是保護球拍，帶有VPN服務的不良評論，拒絕購買有利的評論. 即使是誠實的人，通常只是受歡迎程度的比賽，由無知的洪流用戶和想成為“黑客”主導. 如果您需要從專門的VPN審核源獲取信息，以查找那些不使用會員參數的信息（甚至更好，甚至更好，請刪除參考信息）.

Torrentfreak的調查

TorrentFreak的VPN調查是規範的顯著例外. 在2011年底，很明顯，LuzlSec成員的“遞歸”已根據VPN Service Hidemyass提供給FBI的連接日誌進行了識別和逮捕。. Torrentfreak的回應是出版“ VPN服務提供商真正認真對待匿名?’（現在以“ VPN提供商真正認真對待隱私”的形式改頭換面?”）. 自原始版本以來，該問答每年都會更新，現在為12個與隱私有關的問題提供未經編輯的答案.

這些是以下（截至2021年）：

您是否保留（或與第三方共享）任何可以使您匹配IP地址的數據，並與您的服務的當前或以前用戶匹配時間戳? 如果是這樣，您持有/共享哪些信息以及多長時間?
您的公司合併的名稱是什麼（如果適用+母公司）以及您的公司在哪個管轄權下運營的名稱?
使用哪些工具來監視和減輕對您服務的濫用，包括執行並發連接的限制?
您是否使用任何外部電子郵件提供商（e）.G. Google Apps），分析或支持工具（E.g Live支持，Zendesk）保留用戶提供的信息?
如果您收到DMCA撤銷通知或非US等效的情況，則如何處理這些?
如果法院命令您的公司確定您的服務的活躍或前用戶，將採取哪些步驟? 您的公司將如何回應法院命令，該命令需要您為未來的用戶記錄活動? 過去有這些場景?
所有服務器上都允許Bittorrent和其他文件共享流量? 如果沒有，為什麼? 您提供端口轉發服務嗎? 是否被阻止?
您使用哪些支付系統/提供商? 您是否採取任何措施來確保付款細節不能鏈接到帳戶使用或IP分配?
您建議向用戶推薦的最安全的VPN連接和加密算法是什麼?
如果連接下降和DNS/IPv6洩漏保護，您是否提供工具，例如“殺死開關”? 您支持雙堆棧IPv4/ipv6功能?
您的VPN服務器是否由第三方託管? 如果是這樣，您要採取的措施來防止這些夥伴在任何入站和/或出站流量上偷窺? 您使用自己的DNS服務器嗎?
在哪個國家 /地區是您的服務器? 您提供虛擬位置嗎?

他們介紹了他們的結果，他們指出：

選擇合適的VPN可能是一項棘手的努力. 那裡有數百種VPN服務，所有人都承諾要保持私密，但有些比其他服務更私密. 為了幫助您為您的需求選擇最佳選擇，我們要求數十個VPN詳細介紹他們的記錄實踐，如何處理洪流用戶以及他們採取的措施，以使您盡可能匿名.

可以說這是一個相當全面的開始清單. Torrentfreak的工作人員似乎很敬業和知識淵博，他們的早期調查吸引了許多省略提供者的關注. 但是有兩個關鍵局限性. 首先，更晦澀和低調的隱私友好的VPN服務不會出現在TorrentFreak列表中（E.G. 加密術）. 一些提供商不適合Bittorrent用戶，也沒有動力出現在此列表中. 其次，在大多數情況下，TorrentFreak只是總結VPN提供商的回應，並且尚未核實其任何主張. 順便說一句，這兩個評論中的評論也值得閱讀，但不能總是認真對待.

即便如此，有關三個提供商的啟示 – EarthVPN.com，代理.SH和PureVPN – 證明依靠提供商的隱私聲明的風險. 據報導，2013年初，EARTVPN客戶根據其在荷蘭的託管提供商保留的日誌中被捕. EARTVPN否認責任，堅持認為他們“不保留日誌”，並說他們不再使用該提供商. 儘管EarthVPN與其客戶（此處和此處）之間的實際對話不再公開訪問，但在AIRVPN論壇中有報價和討論. 另外，請記住，ISP可以像託管提供商一樣容易記錄.

在Torrentfreak的2011年和2013年調查中，代理.SH回答：‘在我們的設施中沒有記錄或保留任何信息. 我們的服務由RAM運行，我們所有的系統服務都帶有最先進的配置，該配置可確保使用後不剩下任何.’但是，在2013年9月下旬，他們將Wireshark安裝在美國服務器之一，並保留了幾個小時的數據包. 據報導，這是對他們的一位客戶的投訴和騷擾的投訴的自願回應. 有關更多細節，請參閱這些Torrentfreak文章（此處和此處）. 在Torrentfreak的2014年調查中，代理.SH回答如下：第一個問題：

我們不保留任何日誌，也沒有記錄任何IP地址，標題或任何內容. 就時間戳記而言，我們僅記錄與支持門票創建和更新相關的那些（發票和續訂僅按日期記錄）. 我們記錄的唯一個人信息是電子郵件地址和一種付款類型，與“貨幣”或“比特幣”一詞相對應. 這在我們的隱私政策中明確了. 我們的系統還將持有服務憑據，即帳戶密碼和網絡登錄/密碼對. 所有這些數據可以隨時應客戶的要求永久刪除. 我們的運營中涉及的所有其他數據和信息（連接，流量等）.）既不監視也不記錄.

VPN提供商的最新示例在2017年被發現撒謊，沒有保留日誌. 正如BleepingComputer中報導的聯邦調查局（FBI. PureVPN聲稱（並且仍然聲稱）他們沒有關於客戶活動的日誌.

相反，這些事件還表明，新聞在互聯網上很快傳播. 考慮到所有這些，我建議從符合以下標準的VPN服務開始：

它出現在Torrentfreak的調查中（將其他人添加到您認為不當省略的候選名單中）.
在Torrentfreak的調查中沒有列為登錄.
它已經開展了至少三年.
一個小時左右的網絡搜索沒有發現侵犯隱私行為的證據.

您可以尋找的進一步的積極信號：

開源VPN應用程序.
獨立的第三方審計師的公開審計結果調查了無logs聲稱. 但是，審核受其範圍的限制，僅提供臨時視圖，它們不是關於索賠的持續證明.

Torrentfreak最近的調查中的所有VPN服務否認保留持久日誌. 根據數據保留要求評估此類主張的合理性是一罐蠕蟲. 聲稱鑑於愛德華·斯諾登（Edward Snowden）發布的NSA文件，美國似乎沒有數據保留要求. 由於GDPR與1995年數據保護指令與國家立法之間的緊張關係，歐洲的情況很複雜. NSA間諜和歐盟與美國運營的確切程度尚不清楚，並增加了更多的不確定性. 有關此問題的更多信息，請參見EFF的摘要頁面.

預設問題

在集中搜索時，選擇支持您特定隱私目標的VPN提供商很重要. 我建議仔細瀏覽提供商的網站，並仔細閱讀他們的服務條款和隱私政策. 尋找清晰且明確的語言，並懷疑法律樣板.

例如，如果您打算通過Bittorrent共享受版權保護的媒體，那麼最好避免明確勸阻這種使用的提供商. 如果眾多出口IP地址的可用性很重要，請相應選擇，但請考慮品種和安全性之間的張力. 可以說，有眾多出口的提供商使用虛擬私人服務器更有可能.

在與提供商的情況下，請先從TorrentFreak列表中的＃1，＃3，＃5和＃7開始，例如. 通常最好問您有可靠和獨立答案的問題. 但是，至少在最初，最好不要詢問而不透露您已經學到了什麼.

潛在的VPN提供商如何回答您的問題與他們給出的答案一樣豐富. 您想要及時，完整，清晰和準確的答案. 對技術問題的含糊或不正確的答案意味著不誠實和/或無能. 延遲答案對未來的客戶支持不是很好.

這是您可能會問的其他一些問題，然後是預期答案和解釋. 有關技術問題，OpenVPN手冊和操作方法以及Wireguard的官方頁面是有用的資源.

是否有每月帶寬限制的限制?
您的油門連接是否使用過多帶寬?
每個帳戶允許使用多少個並發連接?
VPN連接中有多少啤酒花?
您使用哪種類型的VPN加密? 為什麼?
您支持完美的前鋒保密嗎? 如果是這樣，如何?
您是否為用戶提供Diffie Hellman密鑰文件?
您如何驗證客戶端 – 證書/鍵或用戶名/密碼?
您是否採用基於HMAC的TLS身份驗證? 如果是這樣，為什麼?
您是否曾經將用戶名和密碼發送給客戶?
每個客戶都有唯一的客戶證書和密鑰嗎?
您的VPN網關服務器是託管，共同置換的還是內部的?
您的VPN網關服務器是否在VPS或云服務器上運行?
您的VPN網關服務器如何受到保護?
用戶帳戶信息存儲在哪裡?
服務器之間的通信如何確保?
您允許用戶轉發端口嗎?
默認情況下所有客戶端端口是否曾經轉發? 如果是這樣，在哪個服務器上?

答案

是否有每月帶寬限制的限制? 近年來，這種限制變得不那麼普遍. 一些提供商將它們用於免費層，以便潛在客戶可以在進行付費計劃之前對其進行採樣. VPN經銷商的付費訂閱使用限制更為常見，因此最好避免強加給他們的提供商.
您的油門連接是否使用過多帶寬? 最好的答案取決於您的目標. 想要最快的連接是很自然的. 但是，如果您的ISP鏈接非常快，您可能會比其他任何人共享VPN出口的流量要多得多. 這減少了您的匿名性.
每個帳戶允許使用多少個並發連接? 對於具有多個出口的VPN服務，有時同時用作多個假名，每種服務都使用自己的出口很方便. 另外，您可能需要同時從多個設備連接. 但是，這也促進了帳戶共享濫用，這可能會超載VPN服務器並減緩您的連接.
VPN連接中有多少啤酒花? 大多數VPN服務僅提供一跳連接. 也就是說，您連接到VPN網關服務器，您的流量從同一服務器或從同一本地網絡上的另一台服務器中退出Internet. 通過單跳連接，對手很容易記錄輸入並離開VPN服務器.
您使用哪種類型的VPN加密? 為什麼? OpenVPN可以以兩種不同的模式運行. 一個使用共享靜態鍵進行身份驗證和加密. 雖然設置非常簡單，但密鑰妥協允許對手解密所有先前的流量. 沒有信譽良好的提供商使用此. 但是，如果您只收到一個提供商的一個密鑰文件，請在文本編輯器中打開，然後查看最後一行. 如果包括“證書”，您還可以. 但是，如果其中包括“鑰匙”，請要求退款.另一個OpenVPN模式使用SSL/TLS作為控制通道，並使用定期更改靜態鍵進行加密數據通道. 如果對手設法妥協了其中一個數據通道鍵，則只能解密該流量，而不是任何過去或將來的流量. 換句話說，有“完美的前鋒保密”. 默認情況下，OpenVPN使用1024位RSA來驗證SSL/TLS Control-Control-Channel握手的證書，而BF-CBC（128-b）作為數據通道密碼. 在大多數情況下，這可能足夠好，給予完美的前鋒保密. 但是，可以說的是，使用2048位RSA和AES-256-CBC（256位）的提供商通常更加安全意識. BF-CBC和AES-256-CBC都以密碼塊鏈（CBC）模式運行. 如果您的提供商使用其他東西（CFB，OFB等），它們是無能的，或者有一些很好的理由. 問他們.
New-Kid-the-Block VPN協議Vireguard最近在VPN提供商中迅速採用. 該協議不是針對商業VPN服務及其隱私考慮的設計. 有能力的提供者需要證明他們對以下問題有解決方案：1. 同行的公共IP地址存儲在內存中（E.G. 添加刪除/恢復配置的密鑰管理）2. 隧道IP地址分配/旋轉（E.G. 使用後端呼叫生成分配給所有服務器的新的IP Adresses）3. 沒有完美的前鋒保密（e.G. 在常規時間間隔內使用自動密鑰對再生）.
您支持完美的前鋒保密嗎? 如果是這樣，如何? 在SSL/TLS模式下使用OpenVPN使用OpenVPN的任何提供商都提供了完美的遠期保密. 額外的手揮手超越了，這應該使你懷疑. 如前所述，Vireguard實施需要採取特定措施來支持遠期保密.
您是否為用戶提供Diffie Hellman密鑰文件? 這是一個訣竅. 的確，OpenVPN使用靜態Diffie Hellman密鑰文件提供完美的前鋒保密. 但是那個靜態的差異hellman密鑰文件（‘DH1024.PEM’或’DH2048.PEM’）僅在服務器上需要. 任何向用戶提供提供給他們的提供商都是無能的.
您如何驗證客戶端 – 證書/鍵或用戶名/密碼? 在SSL/TLS模式下，OpenVPN客戶端通過檢查服務器是否具有證書授權證書籤名的證書（‘a a.提供者給了他們的CRT’）. OpenVPN支持服務器身份驗證客戶端的兩種方法. 一個人依靠證書和鑰匙（例如‘客戶.CRT”和“客戶.鑰匙’）. 其他依賴於用戶名和密碼（通過auth-user-pass）. 服務器可以兩者都使用，但是在過度殺傷方面接壤. 對於點對點連接，完全網絡訪問可能受到威脅，對於服務器，使用證書和鍵對客戶端進行身份驗證非常重要. 對於VPN服務，這不是問題，因為客戶只是可以看到互聯網. 另外，對於VPN服務，給每個客戶一個唯一的證書是隱私風險.
您是否採用基於HMAC的TLS身份驗證? 如果是這樣，為什麼? 通過啟用TLS身份驗證（通過TLS-AUTH），服務器忽略了缺乏正確HMAC簽名的客戶的SSL/TLS握手數據包. 此功能可保護VPN服務器免受DOS攻擊，端口掃描和其他漏洞. 如果實施，提供商可能會提供密鑰（通常是’ta.鍵’）或可以即時談判. 這部分是一個訣竅. 任何聲稱這對於完美前鋒保密至關重要的提供者是不誠實的還是無能的.
您是否曾經將用戶名和密碼發送給客戶? 這是一種危險的做法，但主要針對提供者. 損害運輸中用戶名和密碼的對手可以通過更改密碼來獲取免費訪問，甚至可以鎖定付費用戶. 對手可能會使用戶參與犯罪活動的風險.即使這樣，如果您在收到後立即成功更改密碼，那麼您是安全的. 如果您無法登錄以更改密碼，請抱怨並要求一個新帳戶. 對於原本有吸引力的提供者，我認為這不是致命的錯誤.
每個客戶都有唯一的客戶證書和密鑰嗎? 這是另一個技巧問題. 隱私友好的答案是為所有客戶使用相同的客戶端證書，或者根本不提供一個客戶證書，並依靠用戶名和密碼進行身份驗證.每個用戶擁有自己的證書和鑰匙似乎是一個好主意. 在企業環境中是如此. 但是對於VPN服務，這是非常危險的，因為它有可能將用戶帳戶鏈接到已記錄的流量. 一些提供者解釋說，他們發行了獨特的客戶證書，以促進核心邪惡的客戶. 但是，使用用戶名也很容易做到這一點，並且用戶名與證書相比，如果這是您的關鍵問題，則可以說更容易被否決，可以通過購買兩個短期訂閱，通過Tor付款，並使用使用比特幣來測試，並使用。來自Anonbox等的臨時電子郵件地址.
您的VPN網關服務器是託管，合作或內部的? 這部分是一個訣竅. 我對任何VPN提供商聲稱其服務器的內部管理都非常懷疑. 您可以詢問它們如何支付多個國家 /地區高速上行鏈路維護設施的成本. 最好的合理答案是他們構建自己的服務器，並將其運送到共同設施. 為服務器硬化給出額外的積分. 典型的物理硬化措施包括將RAM嵌入矽橡膠或熱粘合劑中，並禁用USB端口.最有可能接受的答案是他們使用託管的專用服務器. 給服務器硬化提供額外的積分，例如使用全盤加密，並將短期日誌保留在RAM中（TEMPFS）.
您的VPN網關服務器是否在VPS或云服務器上運行? 提供商絕不應在虛擬私人服務器（VPS）或云服務器上部署VPN網關服務器. 作為虛擬機，它們由主機操作系統完全控制，所有活動和數據均可通過主機獲得. 提供商應始終使用已適當確保未經授權訪問的專用服務器.
您的VPN網關服務器如何受到保護? VPN服務通常需要扮演三個角色的服務器. 有網關服務器與客戶端建立VPN連接，還將客戶端流量路由到Internet. 對於單跳連接，一台服務器可以處理所有這些. 有託管服務網站的服務器. 還有一些服務器來管理用戶帳戶信息，並為網關服務器和Web服務器提供身份驗證服務. 所有客戶端流量均通過網關服務器路由. 除非這些服務器得到充分保護，否. VPN網關服務器應根據行業標準（例如CIS基准或NSA基線指南）進行硬化.最重要的是，VPN網關服務器不應運行其他網絡服務，例如網站託管或用戶會計和身份驗證. 這樣做大大增加了VPN網關服務器的攻擊服務. 您可以使用諸如NMAP之類的端口掃描儀在VPN網關上訪問哪些端口和服務. 但是，請記住，許多提供商在非標準端口（例如80（HTTP）和443（HTTPS））上公開VPN服務器以逃避防火牆阻塞.
用戶帳戶信息存儲在哪裡? 理想情況下，提供商應將此信息存儲在適當加密，硬化和保護對手的內部或內部服務器上. 此外，他們應該從會計數據中隔離身份驗證數據，該數據必須可用於網關服務器，其中可能包括用戶的私人信息，例如使用日誌，電子郵件地址和付款記錄.
服務器之間的通信如何確保? 精心設計的VPN服務包括具有獨特角色的專業服務器網絡，可彼此安全通信. 例如，網關服務器必須聯繫身份驗證服務器，以驗證用戶有權連接的用戶. 也有使用使用網站的銷售數據來創建和更新用戶帳戶的後端供應系統，然後更新身份驗證服務器. 鑑於這些數據的敏感性及其對對手的價值，必須將所有服務器之間的所有通信予以安全加密. 最常見的是，這取決於服務器之間持續的OpenVPN或IPSEC隧道.
您允許用戶轉發端口嗎? 當您連接到VPN服務時，VPN網關服務器以與LAN路由器或防火牆相同的方式保護您的設備免受潛在敵對接入的連接。. 但是，允許在特定端口上傳入連接對於操作服務器至關重要，或者參與P2P網絡必須看到您的節點必須可見其他節點. 該過程稱為端口轉發. 啟用端口轉發後，您的設備將直接暴露於已轉發的端口上的Internet，而VPN服務沒有保護. 對手可能會成功利用在轉發端口聆聽的服務中的漏洞，並損害您的設備. 除了諸如殭屍網絡成員資格和數據盜竊等典型後果外，當您不使用VPN服務時，對手可能會損害您的隱私和匿名性。.
默認情況下所有客戶端端口是否曾經轉發? 如果是這樣，在哪個服務器上? 默認情況下，一些VPN服務轉發所有客戶端端口. 有些僅在指定服務器上這樣做. 對於某些服務，看來端口轉發在沒有模式或文檔的服務器之間有所不同. 儘管可以使用端口掃描來檢查此此事，但使用相同的Exit IP地址的許多不同客戶可能會轉發相同的端口，這是複雜的.