Cách nhận biết ứng dụng VPN rủi ro

VPN hoạt động ở cấp hệ thống: nó nhận lưu lượng của mọi chương trình trên thiết bị, kể cả những thứ đang chạy nền mà bạn không hay biết. App thường có thể làm lộ những gì chính nó thu thập; VPN có thể làm lộ mọi việc bạn làm trên thiết bị đó. Tiêu chuẩn để chọn nó vì vậy phải cao hơn nhiều.

“Chưa thấy chuyện gì xảy ra” không phải bằng chứng an toàn. Ghi log, báo cáo và chèn nội dung diễn ra trên máy chủ hoặc ở chế độ nền, người dùng không hề cảm thấy; hậu quả thường tới sau nhiều tháng và không lần ra được là do app nào.

• Nguồn gốc không rõ: file cài được gửi qua nhóm chat, link chia sẻ file hoặc mã QR, không có trang chính thức hay trang trên kho ứng dụng. Ứng dụng đàng hoàng đến từ kho ứng dụng, trang của nhà phát triển, hoặc trang phát hành có chữ ký kiểm tra được.
• Đòi cài chứng chỉ gốc: “tin cậy chứng chỉ này”, “cài hồ sơ cấu hình này”, tin cậy một CA. Có chứng chỉ gốc rồi, nó giải mã được toàn bộ lưu lượng HTTPS của bạn, cả ngân hàng lẫn email. VPN bình thường không bao giờ cần việc này.
• Đòi quyền quá mức: một VPN mà muốn danh bạ, tin nhắn, nhật ký cuộc gọi, vị trí chính xác hay thư viện ảnh. VPN chỉ cần quyền dựng đường hầm.
• Xác minh danh tính: đăng ký đòi CMND/CCCD, quét khuôn mặt hoặc số điện thoại Trung Quốc. Đó chính là cách một VPN “tuân thủ” gắn danh tính của bạn với nhật ký lưu lượng; dịch vụ đàng hoàng chỉ cần một địa chỉ email.
• Giao thức riêng, ứng dụng đóng: chỉ dùng được qua app của chính nó, không hỗ trợ giao thức chuẩn nào (AnyConnect, OpenVPN, WireGuard, Hiddify), nên bạn không thể dùng ứng dụng mã nguồn mở để kiểm chứng nó thực sự gửi đi những gì.
• Miễn phí mà không thấy nguồn thu: không có gói trả phí, không quảng cáo, không khách hàng doanh nghiệp, vậy mà chạy suốt nhiều năm. Băng thông cổng ra ở đại lục tính tiền theo lưu lượng; dịch vụ không thu tiền thì thu ở chỗ khác.
• Không công ty, không hỗ trợ, không lịch sử: không tìm thấy pháp nhân vận hành, không có ai để liên hệ, tên miền đăng ký chưa tới một năm, đổi tên liên tục.
• Lưu lượng nền bất thường: thiết bị để yên mà vẫn liên tục tải lên, pin và dung lượng hao nhanh. Có thể nó đang dùng thiết bị của bạn làm cổng ra cho người khác, hoặc đang đồng bộ dữ liệu của bạn.
• Quảng cáo nhấn mạnh “chính thức”, “đã đăng ký”, “hợp pháp, tuân thủ” và ngầm ý mọi thứ khác đều phạm pháp: lời chào hàng kinh điển của các app có cơ quan quản lý đứng sau, mà cái gọi là tuân thủ của chúng chính là ghi log và báo cáo.
• Đánh giá trên kho ứng dụng toàn khen nức nở, các bình luận na ná nhau, lượt tải không tương xứng với số đánh giá: đánh giá mua.

1. Xem giao thức: trang web có ghi dùng giao thức gì và có dùng được ứng dụng của bên thứ ba không? Dịch vụ kết nối được bằng OpenVPN, AnyConnect, Hiddify hay Tailscale cho phép bạn bắt gói và xem nó gửi gì.
2. Xem quyền: cài xong, mở cài đặt hệ thống, thu hồi mọi quyền trừ quyền VPN rồi xem nó có còn chạy không. Không chạy thì gỡ đi.
3. Xem chứng chỉ: iOS vào Cài đặt → Cài đặt chung → Quản lý VPN & thiết bị; Android vào Cài đặt → Bảo mật → Mã hóa và thông tin xác thực → Thông tin xác thực tin cậy → Người dùng; Windows mở trình quản lý chứng chỉ → Trusted Root Certification Authorities (Tổ chức chứng nhận gốc tin cậy). Thấy thứ gì do nó cài: xóa đi và gỡ app.
4. Kiểm tra rò rỉ: khi đang kết nối, mở một trang kiểm tra rò rỉ DNS và một trang kiểm tra IPv6 để xác nhận phân giải tên miền và địa chỉ đều đi qua máy chủ của nó; sau đó mở một trang HTTPS và xác nhận đơn vị cấp chứng chỉ đúng là CA thật của trang đó.
5. Xem người vận hành: trang web có ghi tên công ty hay nhóm, đã hoạt động bao lâu, hỗ trợ ở đâu không; có chính sách hoàn tiền không; chính sách quyền riêng tư có ghi cụ thể những gì bị lưu không?

1. Gỡ nó đi, rồi kiểm tra các vị trí ở trên và xóa mọi chứng chỉ hay hồ sơ cấu hình nó đã cài.
2. Đổi mật khẩu ngân hàng, email và các tài khoản hằng ngày, nhất là những tài khoản bạn đã đăng nhập trong lúc dùng nó.
3. Với tài khoản có xác thực hai lớp, xem lại lịch sử đăng nhập và xóa thiết bị lạ.
4. Nếu nó được cài lên router, khôi phục cài đặt gốc rồi cài lại firmware chính hãng hoặc firmware kiểm chứng được.

Mọi ứng dụng của LeoTun đều đến từ hãng chính thức và tổ chức mã nguồn mở có tiếng (Cisco, OpenVPN, Hiddify, Tailscale), được để nguyên không chỉnh sửa, và bạn có thể thay bản tải từ chỗ chúng tôi bằng bản chính hãng hoặc bản mã nguồn mở bất cứ lúc nào. Giao thức nào cũng là giao thức chuẩn, bắt gói là kiểm tra được.

Đăng ký chỉ cần một địa chỉ email, không số điện thoại, không giấy tờ tùy thân. Những gì chúng tôi lưu được ghi trên trang Giới thiệu: email, gói, ngày hết hạn, thời lượng và dung lượng của mỗi lần kết nối, để tính tiền; không lưu nội dung, không chèn quảng cáo, không bán dữ liệu.

Không chứng chỉ, không danh bạ, không vị trí. Nếu có ứng dụng nào tự xưng là của chúng tôi mà đòi bạn cài chứng chỉ gốc, thì đó không phải của chúng tôi.