Dùng VPN có an toàn không? Ai nhìn thấy được gì

• Mạng nội bộ và nhà mạng của bạn (mạng cáp quang ở nhà, Wi‑Fi công ty hay trường học, Wi‑Fi quán cà phê): thấy thiết bị của bạn đang kết nối tới một máy chủ, vào lúc nào, dùng bao nhiêu dữ liệu. Không thấy tên miền bạn vào, cũng không thấy nội dung.
• Bên vận hành VPN: thấy IP gốc của bạn, tên miền hoặc địa chỉ bạn truy cập, thời điểm và dung lượng. Nội dung bên trong trang HTTPS như trang web, mật khẩu, tin nhắn, thông tin thanh toán thì họ không thấy.
• Trang web bạn vào: thấy IP cổng ra của VPN thay vì IP nhà bạn. Nhưng một khi bạn đăng nhập, trang đó biết bạn là ai, và cookie trong trình duyệt vẫn nhận diện được bạn.
• Phần mềm trên thiết bị: ứng dụng, bàn phím, tiện ích trình duyệt thấy được gì thì không liên quan đến VPN, bật hay tắt VPN cũng như nhau.

Ngày nay gần như mọi trang web và ứng dụng đều dùng HTTPS: một lớp mã hóa thứ hai giữa thiết bị của bạn và trang web, khóa chỉ nằm ở hai đầu. Máy chủ VPN chỉ chuyển tiếp dữ liệu đã mã hóa này, không mở ra được. Mật khẩu ngân hàng, nội dung email, tin nhắn của bạn, với bên vận hành VPN cũng giống như với nhà mạng: chỉ là một mớ dữ liệu mã hóa.

Thứ vẫn lộ ra là “chữ ghi ngoài phong bì”: tên miền nào, giờ nào, bao nhiêu dữ liệu. Không có VPN thì mạng nội bộ và nhà mạng thấy những thứ đó; có VPN thì bên vận hành VPN thấy. VPN chuyển tầm nhìn này từ bên này sang bên kia, nên chọn ai vận hành mới là điều quan trọng nhất.

Nội dung chỉ bị lộ trong hai trường hợp. Một là trang web vẫn dùng HTTP không mã hóa, thanh địa chỉ sẽ ghi “Không bảo mật”. Hai là trên máy bạn có chứng chỉ gốc (root certificate) do người khác cài, cho phép họ giải mã HTTPS. Trường hợp thứ hai mới là thứ cần đề phòng; phần tự kiểm tra bên dưới chỉ bạn chỗ cần xem.

Ba câu hỏi này quyết định gần như tất cả. Cách kiểm chứng từng điều, và phải làm gì nếu đã lỡ cài một ứng dụng đáng ngờ, xem bài Cách nhận biết ứng dụng VPN rủi ro, trong đó có mười dấu hiệu bạn tự kiểm tra được.

• Ai vận hành: có tìm được đơn vị vận hành không, đã hoạt động bao lâu, có liên hệ được bộ phận hỗ trợ không, chính sách quyền riêng tư có nói rõ giữ lại những gì không? Bên vận hành giờ nắm tầm nhìn về những nơi bạn truy cập, nên độ tin cậy của họ đứng đầu.
• Bạn cài ứng dụng nào: ứng dụng chuẩn tải từ kho ứng dụng hoặc trang của nhà phát triển (Cisco, OpenVPN, Hiddify, Tailscale…) thì kiểm chứng được. File cài truyền tay trong nhóm chat, ổ chia sẻ, hoặc dịch vụ chỉ chạy được bằng ứng dụng riêng của họ thì không kiểm chứng được.
• Nó xin những quyền gì: VPN chỉ cần một quyền là tạo đường hầm. Danh bạ, tin nhắn SMS, ảnh, vị trí, hay yêu cầu cài và tin cậy một chứng chỉ đều vượt quá những gì VPN cần.

Ứng dụng VPN trên iPhone chạy trong sandbox của hệ thống. Thứ duy nhất nó nhận được là quyền tạo đường hầm VPN; thông báo “Muốn thêm cấu hình VPN” ở lần kết nối đầu là bước bình thường. Nó không đọc được dữ liệu của ứng dụng khác, ảnh hay tin nhắn của bạn, trừ khi bạn cấp riêng.

Trên iPhone có ba thứ cần để ý: bất cứ thứ gì bảo bạn cài hồ sơ (profile) rồi tin cậy chứng chỉ; ứng dụng cài ngoài App Store qua chứng chỉ doanh nghiệp hoặc quản lý thiết bị; và điện thoại do công ty hay trường học cấp và quản lý, nơi quản trị viên thấy được nhiều hơn bất kỳ VPN nào. Hãy mở Cài đặt → Cài đặt chung → VPN & Quản lý thiết bị và chắc chắn rằng mọi mục trong đó đều là thứ bạn biết.

Về chuyện bị theo dõi: nhà mạng thấy bạn đang dùng một kết nối mã hóa và nó đi tới máy chủ nào, không thấy trang web hay nội dung bên trong. Bên vận hành VPN thấy tên miền và thời điểm. Không bên nào thấy nội dung HTTPS.

Trên iPhone, LeoTun dùng ứng dụng chính thức trên App Store: cách Cisco dùng ứng dụng của chính Cisco, cách Hiddify dùng Hiddify, và không bao giờ yêu cầu bạn cài chứng chỉ. Nếu kho ứng dụng không hiện các ứng dụng này, xem bài iOS không cài được ứng dụng thì làm sao.

“Miễn phí” có hai loại. Phần mềm miễn phí, như các ứng dụng mã nguồn mở OpenVPN, Hiddify, Tailscale, không tốn tiền và kiểm chứng được. Dịch vụ miễn phí thì khác: máy chủ và băng thông đều tốn tiền, dịch vụ không thu tiền bạn sẽ thu lại ở chỗ khác, thường là qua quảng cáo, thu thập và bán dữ liệu sử dụng, hoặc biến thiết bị của bạn thành cổng ra cho người khác.

Vì vậy hãy xét một VPN miễn phí theo việc nó sống bằng gì, rồi áp ba câu hỏi ở trên. Việc gì liên quan đến đăng nhập, thanh toán hay công việc thì nên dùng dịch vụ có bên vận hành rõ ràng. So sánh đầy đủ hơn xem bài VPN dùng ở Trung Quốc: miễn phí hay trả phí?

1. Nguồn gốc: ứng dụng tải từ kho ứng dụng hay trang của nhà phát triển? Nếu file cài đến từ nhóm chat, ổ chia sẻ hay mã QR, hãy cài lại chính ứng dụng đó từ kênh chính thức.
2. Quyền: mở cài đặt hệ thống, xem ứng dụng đã được cấp quyền gì, tắt hết mọi thứ trừ quyền VPN. Nó vẫn phải chạy bình thường.
3. Chứng chỉ và hồ sơ: trên iOS vào Cài đặt → Cài đặt chung → VPN & Quản lý thiết bị; trên Android vào Cài đặt → Bảo mật → Mã hóa và thông tin xác thực → Thông tin xác thực đáng tin cậy → Người dùng. Xóa mục nào bạn không nhận ra và gỡ phần mềm đã cài nó.
4. Cổng ra: kết nối xong, mở một trang hiển thị IP và xác nhận đúng khu vực bạn đã chọn. Sau đó kiểm tra DNS như hướng dẫn trong bài Rò rỉ DNS và đầu độc DNS.
5. HTTPS: mở trang ngân hàng hoặc hộp thư, bấm vào biểu tượng ổ khóa. Bên cấp chứng chỉ phải là một tổ chức cấp chứng chỉ thông thường. Nếu trình duyệt cảnh báo chứng chỉ thì dừng lại ngay.
6. Chạy ngầm: nếu ứng dụng tải lên rất nhiều khi bạn không dùng và pin tụt nhanh thấy rõ, hãy ngừng dùng và chọn ứng dụng khác.

VPN bảo vệ đường đi: người dùng chung Wi‑Fi, mạng nội bộ và nhà mạng không thấy bạn vào đâu. An toàn bên trong thiết bị và bên trong tài khoản đến từ việc cập nhật hệ thống, dùng phần mềm từ nguồn chính thống và thói quen cẩn thận. Những mục dưới đây có VPN hay không thì vẫn nằm trong tay bạn.

• Lừa đảo (phishing): trang đăng nhập giả, nhân viên hỗ trợ giả, link trúng thưởng giả. Nếu chính bạn gõ mật khẩu vào, đường hầm mã hóa sẽ chuyển nó đi rất trung thành. Đọc kỹ tên miền trước khi gõ.
• Phần mềm độc hại: trojan trên máy, phần mềm crack có cửa hậu, hay tiện ích trình duyệt không rõ nguồn gốc lấy được dữ liệu của bạn trước khi nó kịp đi vào VPN.
• Tài khoản đang đăng nhập: đăng nhập WeChat, Google hay Taobao thì nền tảng biết đó là bạn, dù IP cổng ra là gì. VPN đổi địa chỉ của bạn, không đổi danh tính.
• Mật khẩu yếu và dùng lại: một trang bị lộ là các trang khác cũng mở được bằng cùng một chìa khóa. Hãy đặt mật khẩu riêng cho tài khoản quan trọng và bật xác minh hai bước.
• Thông tin bạn tự đưa ra: bài bạn đăng, biểu mẫu bạn điền, quyền vị trí và danh bạ bạn cấp cho ứng dụng.

• Ứng dụng là bản chính thức và mã nguồn mở của Cisco, OpenVPN, Hiddify và Tailscale, được sao lưu nguyên vẹn không chỉnh sửa. Bạn có thể thay bản tải ở đây bằng bản từ kênh chính thức bất cứ lúc nào.
• Mọi giao thức đều là giao thức chuẩn, bạn có thể tự bắt gói và kiểm tra lưu lượng.
• Đăng ký chỉ cần email: không cần số điện thoại, không xác minh danh tính.
• Chúng tôi chỉ giữ thông tin cần cho việc thanh toán. Không ghi lại trang bạn vào, không soi lưu lượng, không chèn quảng cáo, không bán dữ liệu.
• Không phải cài chứng chỉ, không xin quyền danh bạ hay vị trí.