如何識別有風險的 VPN 軟體

VPN 是系統級的：它拿到的是裝置上所有程式的流量，包括你不知道在背景跑的那些。普通 App 洩漏的是它自己收集的資料，VPN 洩漏的是你在這台裝置上做的一切。所以選 VPN 軟體的標準要比選普通 App 嚴得多。

「用了沒事」不是安全的證據。紀錄、上報、注入都發生在伺服器端或背景，使用者端感覺不到；真出事往往在幾個月後，而且追溯不到是哪一款軟體。

• 來源不明：安裝包從群聊、網盤、QR code 傳來，沒有官網或應用商店頁面。正規用戶端要麼來自應用商店，要麼來自開發者官網，要麼來自能核對簽章的發布頁。
• 要求裝根憑證：安裝時讓你「信任憑證」「安裝描述檔」並要求信任 CA。裝了根憑證，它就能解開你所有的 HTTPS 流量，包括網銀和信箱。正常的 VPN 不需要這一步。
• 權限過多：一個 VPN 要通訊錄、簡訊、通話紀錄、精確定位、讀取相簿。VPN 只需要建立隧道的權限，其他都用不著。
• 要求實名：註冊要身分證、人臉、大陸手機號綁定。所謂合規 VPN 就是這樣把你的身分和你的流量紀錄綁在一起的；正規服務只需要一個信箱。
• 私有協定 + 閉源用戶端：只能用它自己的 App，不支援任何標準協定（AnyConnect、OpenVPN、WireGuard、sing-box），你無法用第三方開源用戶端驗證它到底傳了什麼。
• 免費且看不出收入來源：沒有付費檔、沒有廣告、沒有企業客戶，卻常年營運。大陸出口頻寬是按量收費的，不收錢的服務總在別處收回來。
• 沒有公司、沒有客服、沒有歷史：查不到營運主體，沒有可聯繫的人，網域註冊不到一年，頻繁改名換殼。
• 背景流量異常：不用的時候裝置也在持續上傳，電量和流量用得快。可能在把你的裝置當別人的出口，或者在同步你的資料。
• 宣傳裡強調「官方」「備案」「合法合規」並暗示別的都不合法：這是「紅色 VPN」最典型的話術，它的合規就是紀錄並上報。
• 應用商店評價一邊倒、評論內容雷同、下載量與評論數不成比例：刷出來的。

1. 看協定：官網有沒有寫明用什麼協定、能不能用第三方用戶端。能用 OpenVPN、AnyConnect、sing-box、Tailscale 這類開源或標準用戶端連的服務，傳了什麼你可以自己抓包看。
2. 看權限：安裝後到系統設定裡看它申請了哪些權限，把 VPN 之外的全部關掉，關掉後還能不能用。不能用就卸。
3. 看憑證：iOS 設定 → 一般 → VPN 與裝置管理，安卓設定 → 安全性 → 加密與憑證 → 受信任的憑證 → 使用者，Windows 的憑證管理員裡「受信任的根憑證授權單位」。有它裝的憑證就刪掉並解除安裝它。
4. 查洩漏：連上後打開 DNS 洩漏檢測和 IPv6 檢測頁，看解析和位址是不是都走了它的伺服器；再打開一個 HTTPS 網站看憑證發行者是不是原本的 CA。
5. 查主體：官網有沒有公司或團隊介紹、營運多少年、客服在哪；退款規則寫沒寫；隱私政策有沒有寫清楚紀錄什麼。

1. 解除安裝軟體，然後到上面說的位置檢查並刪除它裝的憑證和描述檔。
2. 改密碼：網銀、信箱、常用帳號，尤其是在用它期間登入過的。
3. 開啟兩步驟驗證的帳號檢查登入紀錄，有陌生裝置就踢掉。
4. 路由器上裝過的，恢復出廠設定後重新刷官方或可信韌體。

藍盾 不做自己的 App：用戶端只來自 Cisco、OpenVPN、sing-box/Hiddify、Tailscale 的官方上游，原樣鏡像不修改，你隨時可以用官方或開源用戶端替換本站下載的那份。協定全是標準協定，能抓包驗證。

註冊只需要信箱，不要手機號、不要身分證。紀錄什麼、不紀錄什麼寫在關於頁：信箱、方案、到期時間、每次連線的時長與流量用於計費；不紀錄存取內容，不注入廣告，不出售資料。

不裝憑證、不要通訊錄和定位。哪天我們的用戶端要你裝根憑證，那一定不是我們。