VPN连接在全球范围内，尤其是在威权国家中非常流行，但一项最新研究得出了令人震惊的结果：许多VPN服务提供商言行不一，其应用程序存在严重的安全漏洞，可能将用户的隐私置于被监控的巨大风险之中。
在一个威权统治的国家，想要客观地了解本国现状是件困难的事。反对派媒体被禁止，外国网站常被屏蔽。
人们通常会通过VPN连接，即虚拟专用网络，来绕开这些限制。VPN有两大优势：它可以隐藏IP地址并加密内容。这使得用户可以访问被屏蔽的网站，践行信息和新闻自由这一人权。全球有数亿人正在使用这类网络。
使用VPN：一种信任预支自由
正因如此，VPN在中国、俄罗斯、白俄罗斯、伊朗和朝鲜等国家属于非法或受到严格限制。在这些国家使用VPN的人会非常谨慎，并希望服务提供商也能谨慎处理其产生的数据。然而，事实真是如此吗？
一项由“开放技术基金”（Open Technology Fund）发起的全面研究揭示了部分VPN提供商存在惊人的缺陷。该基金是一个致力于促进全球互联网自由的独立非营利组织。该研究指出，在最坏的情况下，这些缺陷可能导致毫不知情的用户身陷囹圄。
高风险应用与不透明的所有权
VPN服务提供商所有权不透明是该研究给出的缺陷清单上重要的内容之一：“许多VPN服务通过复杂的公司结构来掩盖其真实所有者。”这意味着，谁对这些公司有实际影响力往往不明确。
例如，Innovative Connecting PTE、Autumn Breeze PTE PTE和Lemon Clove PTE这些公司声称在新加坡注册，但研究作者写道，它们实际上由身在中国的公民从中国控制，因此受中国相关法律的管辖。另一份报告也得出了类似的结论，称“许多VPN在数据储存法律宽松的国家设立了空壳公司”。
该研究还指出，众多VPN服务都由同一家公司开发。报告称，一小部分公司通过白标解决方案控制着VPN市场不成比例的巨大份额。白标解决方案指的是一种由第三方开发，然后由其他公司以自有品牌销售的产品。
该研究还将8家供应商的16款VPN应用评为“高度有问题”，它们在Google Play应用商店的下载量已经超过7亿次。研究明确指出：“这些供应商分发的应用还存在隐私和安全问题，使用户面临被监控的风险。”
其中被评为“极度令人担忧”的应用包括Turbo VPN、VPN Proxy Master、XY VPN和3X VPN – Smooth Browsing，每款应用的下载量均超过1亿次。
这些供应商使用“Shadowsocks隧道协议”来建立VPN连接，并声称用户的连接是安全的，但实际上，该协议并非为保密性而设计。
硬编码密码与安全风险
根据题为“谁拥有、运营和开发你的VPN至关重要”（Who owns, operates, and develops your VPN matters）的研究，这两类供应商群体都使用带有硬编码密码的Shadowsocks协议，密码被存储在应用程序中，这是一个严重的安全漏洞。攻击者可以读取这些密码，从而解密并监控用户的全部通信内容。
此外，许多供应商租用数据中心的服务器，却没有对硬件的完全控制权。研究还发现，一些VPN应用在隐私政策中声称不收集用户位置数据，但实际上却在偷偷收集。
研究的作者之一米克森-巴卡（Benjamin Mixon-Baca）用了严厉的措辞对研究结果评价称：“这对这些用户的隐私和安全来说是灾难性的。这些漏洞表明VPN根本没有提供任何隐私或安全保障，这与供应商在其网站上的声明完全矛盾。用户拥有虚假的安全感，因为一个国家行为者可以看到使用这些产品的所有用户的行为。”考虑到这些供应商为了隐藏真实身份所做的努力，以及他们在违背承诺的情况下收集地理位置信息，这构成了“对用户信任的严重背弃”。
呼吁应用商店加强审查
研究的结论是：“用户应优先选择在所有权、基础设施和司法管辖权方面提供完全透明度的VPN供应商。”开源解决方案和独立审计被认为是关键的质量指标。
研究作者强烈建议应用商店运营商在选择应用时，更多地关注安全相关缺陷。他们认为，在Google Play商店中可用的VPN符号给用户带来了虚假的安全感，这种感觉没有事实依据。
对于米克森-巴卡来说，VPN解决方案存在一个根本矛盾：“隐私和安全，也就是人们期望或认为能从这些产品中获得的东西，与广告和赚钱直接矛盾。我们和其他人都发现，当隐私与通过广告赚钱混在一起时，结果会很糟糕。”
他认为，一个类似通讯应用程序Signal、由公共资金支持的VPN解决方案会很棒，但这并不能解决隐私和安全保护上的基本局限性。他建议如果隐私是用户的主要顾虑，Tor浏览器是首选。
