三年前斯诺登泄密事件揭露的东西，从安全的角度看对互联网服务提供商来讲并没有太多的帮助，甚至可以说做的有些过火。同时也模糊了反恐政策的概念。而当新闻爆出像NSA的Vulcan数据库或者它的Diffie-Hellman策略时，任何一个网络隐私主义者看过了都会心中发颤。突然间似乎每个人都需要重新评估下某些网上用于保持隐私的工具——VPN。
传统VPN简介
VPN（虚拟专用网络），这款工具通常用于混淆用户的IP地址，或在用户进行WEB浏览时增加一层安全保护。它会把你的流量转到加密且安全的VPN服务器上。不同的人使用VPN的目的也不同，有些人可能是用它来改变自身的IP地址，这样就可以获取一些其他地域的媒体内容，或者能匿名下载一些东西。还有的人希望以此规避广告商的网络追踪，或者防止盗用WIFI后的负面影响，甚至只是为了在他们访问特定网站时隐藏真实的IP地址。
然而VPN的质量也是参差不齐的。事实上某些存在问题的VPN会让用户的安全更加脆弱。某些VPN是禁用了torrent下载的，还有些会记录下信息，跟踪上网行为，或者按照当地的法律对数据进行保留。
去年我开始尝试整理一份好的VPN列表，虽然网上已有不少类似的VPN清单，但是通常都充斥着附加内容链接，很难确认其准确性。这份VPN比较图表，里面概述了VPN业务流程、日志记录、服务配置和其他特性。但它存在矛盾策略，并误导读者，声明各类的服务是100%有效的。但其实大部分内容是从真实的VPN网站导入的，这就意味着可能会混入一些错误信息。
几个月的研究后，笔者的尝试都失败了。所以现在笔者仍然不能推荐一组安全的VPN列表给大家。相反的是，研究结果刷新了笔者对目前VPN的三观。当涉及到日志记录的时候，评估可行性和验证准确性也不是件容易的事，所以，我觉得与其给大家一个简单的列表，还是提供一些指导方针更加靠谱，让大家自己了解在本年度哪些VPN是有效可用的。
VPN不是用来匿名的
关于VPN的一个常见的误读是：它们会给大家提供匿名功能，即使是针对民族主义者。但是，安全研究员Kenneth White表示：
“如果政府对目标进行专门的监测追踪，VPN是不足以做到这一点的。”
事实上，VPN声称的会给提供用户匿名性，是“不可行的，不负责的，或者两者兼备的”。DNSleaktest.com的站长Jeremy Campbell在邮件里告诉记者：
“为了实现匿名去使用公共VPN是非常愚蠢而危险的，无论服务配置的有多么安全，匿名技术本身并没有在这里实现。VPN服务要求你信任他们，但匿名系统本身是没有这个属性的。”
White没有坚持完全放弃VPN，但是他警告说它应该作为一个辅助工具，而不是一个隐私的解决方案，他表示：
“相反，像专门的隐私工具如Tor浏览器之类的（里面可能包含了信用良好的VPN），那就是可以使用的。它们不仅实现了匿名化属性，而且浏览器已经进行了大量定制，以实现网络隐私的最大化（比如弱化了cookie、Flash、Java插件等特征）。”
Tor分布式网络，会尝试在多个中继传输流量来实现匿名。但其实它也很难进行核实，没有人知道Tor这样是否能够获得百分百成功。Tor浏览器最近受到了美国国防部的瞩目，这只会强化这种担心。某些批评者认为，Tor会让人们更容易依赖过时版本的Firefox，但这些东西都不能保证是万无一失的。
Johns Hopkins大学的密码学教授Matthew Green表示：
“某些在俄罗斯出口节点的恶意Tor，实际上会偷偷修改二进制文件。所以，如果你不幸在Tor下载文件时碰巧遇到了这些节点，它们可能会将它转换成恶意软件。”
尽管Green并没有听说过VPN发生过这样的事，但他指出这样的攻击是存在可能的。与多数VPN不同，Tor和Tor浏览器通常用于高风险的情况，工程师需要迅速修复安全漏洞，这样的方式可能不适用于所有的VPN。
用VPN来BT下载安全吗？
某些VPN提供商会禁用p2p，如果有必要还会把用户的名字给版权所有者。代表版权所有者的利益的，可能会取消惯犯的账户。希望使用VPN进行torrent下载和流媒体观看的亲们，可以寻找那些特殊的服务提供商（或者不保留日志），但是问题又来了，Campbell表示：
“然而，我们并没有办法验证VPN提供商所说的话。大家必须依靠新闻报道和网上论坛的讨论等等，来判断服务提供商的声誉。”
看来，必须时刻保持警惕才行。
VPN可以“防御”广告追踪？
尽管VPN能掩饰你的IP地址，但它不一定能保证你免受间谍广告和追踪的困扰。
Campbell表示：
“VPN提供的防广告追踪的技术可以忽略不计，因为IP掩盖是一个弱标志。网络广告更倾向于cookies、supercookies和浏览器指纹技术，这些东西VPN是无法进行保护的。”
为了防止无处不在的广告跟踪，广告阻断器uBlock、uBlock origin，以及追踪阻断器PrivacyBadger或Disconnect会提供一定程度的保护。禁用JS代码，或者使用Firefox下的NoScript可以消除一些指纹。更高级的用户可以使用虚拟机或者沙箱浏览器。当然，Tor浏览器也能防止产生特定浏览器指纹。
VPN让你更危险？
用户使用VPN的是为了保护自身网络安全，特别是在处于公共WIFI之下的时候。GoGo被爆出使用了Youtube的伪造证书，这可能会泄露用户的流量，包括用户的Youtube密码。
因为VPN建立了用户和VPN商服务器之间的通道，所以用户对于VPN提供商的信任非常重要。毕竟提供商能看到和记录你所有的流量，甚至可以更改你的流量内容。一个VPN的配置不当，黑客就可能直接访问你的本地局域网，这比别人在咖啡店网络下，嗅探你的流量更加可怕。
“如果VPN服务供应商不老实的话，你只能自己做祈祷了。你得时刻担心是否会在本地局域网被人黑掉，若是使用了一个粗制滥造的VPN服务，很可能就会把自己推入虎口。”
预共享密钥
White提供了一个VPN的列表，在网上已有共享密钥发布：
GoldenFrog、GFwVPN、VPNReactor、UnblockVPN、IBVPN、Astril、PureVPN、PrivateInternetAccess、TorGuard、IPVanish、NordicVPN、EarthVPN。
“如果我知道了你正在使用的VPN预共享密钥，并且我控制了你所在WIFI的热点，那么就可以进行中间人攻击并且解密你的上网行为。也就是说，当黑客拥有这预共享密钥时，您的网络安全系数就降低了。”
PPTP的代替品
一些VPN还使用了老掉牙的的PPTP VPN协议，这在根本上就是不安全的。更好的选择包括IPSec（有人积极维护）、L2TP/IPSec、IKEv2以及OpenVPN等等。
在上述的几个选项中，IPSec可以设置为不需要安装额外的软件，但有人认为这是故意破坏和削弱NSA（美国国家安全局）的力量。OpenVPN比它还要安全，但是搭建手法更加复杂，需要第三方软件的帮助，以及用户进行正确且复杂的配置。
根据High-Tech Bridge最近的研究发现，SSL VPN中，有90%会使用不安全的或者过时的加密。而有77%使用了不安全的SSLv3（甚至SSLv2）协议，76%用了不可信的SSL证书（黑客可以更轻易的进行中间人攻击，拦截VPN连接中的流量），更有一大部分用的不安全的RSA密钥长度的签名，以及不安全的SHA-1签名。不管你信不信，其中还有10%存在心脏出血漏洞。
数据保留和日志记录
一些VPN会根据本国或当地的法律，进行日志信息保存。而且许多VPN服务提供商会记录大量信息，比如在特定的用户来连接时，是从哪里、从什么时候连上的，甚至还有他们做了哪些连接。
甚至有些VPN服务提供商，日志量少时会记录下重要日志，比如连接的IP地址和用户名，以及内部路由使用的内部负载均衡和服务器维护。某些VPN服务提供商的日志记录可能会很快销毁，而其他的由于本地的相关法律，处理方式会有所不同。不管怎样日志里保存的信息都是足以破除用户匿名性的。
仔细阅读服务条款会帮助你确定服务商日志维护保留的情况，并可以了解他们会如何使用收集到的信息。但是其中的真伪也很难验证。有人认为进行犯罪活动时VPN也会保护用户的身份，但人家美国政府已经与世界上数十个国家签署了司法互助条约了。
泄露用户隐私
即使用户已经连上了VPN服务器，但某些发出的包可能没有经过VPN通道进行通信，这就泄露了用户的隐私。
Campbell表示：
“从技术角度来讲，我认为最被低估的漏洞就是VPN软件客户端的网络信息泄露。严重的时候，它可能会危及用户的生命，许多网络安全和隐私社区已经对此漏洞进行了重点关注。”
一些VPN服务提供商设置了规则，在用户出篓子之前，能阻止不安全的连接。比如你首次登入某个WIFI热点，或者从一个热点转入另一个的时候。其他服务商还会允许用户自己设置防火墙规则。
2015年6月，罗马Sapienza大学和伦敦玛丽女王大学的研究人员测试了14款热门的商业VPN服务，他们发现了其中10个会泄露IP的数据，且都会遭受IPV6 DNS劫持攻击。虽然后期研究人员并没有全面复查他们是否修复了，但是也做了一些特别的测试，并发现情况有所改善。但是可能修复了问题后，还存在其他漏洞。
伦敦玛丽女王大学的研究员GarethTyson博士表示：
“我给大家的建议是，如果你担心被政府监控，你应该全方面使用Tor。”
同样，这可能也是一个不完美的解决方案。虽然Tor浏览器提供匿名、规避审查和反监控追踪，但是它并不像VPN一样迅速。更糟糕的是，某些互联网服务提供商会拒绝Tor。
营销宣传
许多声称安全的VPN服务提供商，其实缺乏可信度。某些VPN服务提供商声明不会记录日志，接受比特币，浮夸地表示他们是军用、政府、NSA级别的加密。
而且，VPN不仅仅会存在安全漏洞的问题，还可能是民族主义者的蜜罐，相反，那些事先声明他们的威胁模型，讲清楚能保护的和不能提供保护VPN服务提供商，可能更值得信任。
阅读服务条款有时能给用户一个清晰的认识。比如2015年，免费的以色列VPN Hola被发现将用户带宽出售给Luminati VPN。那些想要隐藏IP地址的用户不知不觉就变成了VPN的出口节点和终点（暴露了自己的IP地址，混入了别人的流量）。直到8chan留言板运营商 Fredrick Brennan说，直到Hola用户在不知不觉中被利用来攻击他的网站后，才更新了自己的FAQ。
如何寻找可信的VPN
看到上面所有的预防措施和VPN说明了吧，靠它们去找可信的VPN靠谱么？VPN服务提供商表示购者自慎。
某家VPN服务提供商是否使用了最新的协议，该公司的背景和声誉如何，服务条款是否容易理解，这些VPN 到底能防护什么和未能照顾到什么，它对于信息披露的细节表达了足够诚实吗？
抛开这些因素，Campbell建议大家看看公司的行为，他说这可能会显示出一个服务商是否关心客户的隐私。这三年来，他自己也在寻找一个清晰明确的隐私政策，而不是只有样板政策的公司。
Campbell警告道：
“在斯诺登泄密事件后，过去几年已有了很多廉价的VPN服务提供商。这些新入行的VPN服务提供商在安全方面做的不是很好。许多情况，他们想把部分服务器的主机业务转为带宽业务，但是他们完全没有安全方面的经验。”
作为最后一个预防措施，Campbell也在寻找不通过第三方系统捕获用户敏感数据的VPN，他表示：
“任何尊重客户隐私的VPN服务提供商，都不会去触碰与客户交互的系统，比如第三方聊天脚本、支持票务系统、博客评论等等。用户通常会在请求包里提交非常敏感的数据，但是他们并不一定清楚他们的VPN服务提供商是否单独监控了流量系统。”
自己动手，丰衣足食
根据你的隐私需求，一个满意的预解决方案可能并不存在。如果是这样的话，懂技术的用户可以自己搭建VPN。如果你的方案里更在意速度，你可以在DigitalOcean、Amazon主机、Vultur,、OVH或者其他可靠的主机商的VPS运行Streisand。Streisand是在土耳其推特全面被封杀后推出的，它的目的是为了帮助用户绕过互联网封锁。
Streisand的Github页面称：
“Streisand可以在服务器上搭建L2TP/IPsec、OpenConnect、OpenSSH、OpenVPN、Shadowsocks、sslh、Stunnel，以及Tor桥，它还会为这些服务生成自定义配置指令。”
其缔造者Joshua Lund告诉记者，Streisand的目标之一就是使得安装过程尽可能简单。他设想这个开源服务能够成长为一个“集中式知识存储库”，成为一个自动化升级最佳实践的社区。
Lund 在邮件中告诉记者：
“Streisand将几个最困难的步骤实现了自动化，大大提升了安全性。比如Streisand配置OpenVPN时会启用TLS认证（又名HMAC防火墙）”，生成了一个自定义组的Diffie-Hellman参数，启用了一个更强大的多密钥校验机制（AES-256/SHA-256替代了原来默认的Blowfish/SHA1）。许多用户在手动配置时，其实会跳过这些选择性的耗时步奏。事实上，大多数商业VPN服务商并不启用这些OpenVPN配置。
Streisand还有个好处在于，当自动安全更新和安装过程后，约十分钟就能让用户得到一个全新的服务。相比商业VPN服务商，Streisand也不太可能成为审查、DDoS或者流媒体封锁的目标。
像大多数VPN一样，Streisand会不同。在2016年考察这些产品后，我们只得到一条准则：寻找VPN决定于你使用它的第一目的。寻求对自身网络安全进行保护的用户，与那些想隐藏自己真实地址的用户目的是不同的。意识到VPN的局限性和具体的弱点缺陷，至少可以帮助你做出一个更明智的复杂决定。
via 细节的力量 http://ift.tt/1U4LwIF
No comments:
Post a Comment