破除隐私幻觉：VPN广告里承诺的事，大多根本做不到

原文来自 Javier Mateos

编译｜Odaily星球日报 Golem（ @web3_golem ）

互联网的中立性并不能通过替换一个监督者来保障。

最近，越来越多的 VPN 商家使用“他们在监视你”、“你的 IP 不安全”、“享受真正的隐私性浏览”等广告来刺激用户订阅。 VPN（虚拟专用网络）往往被宣传为可以“逃避审查”、“保护隐私”或“自由浏览互联网”的终极工具。然而，这种看法过于简单——而且在很多情况下，甚至是非常危险的。在不存在网络中立性或国家控制互联网接入基础设施的环境下，VPN 并不能保证免受审查或保护隐私。事实上，服务提供商可能会被屏蔽、施压，甚至直接被迫将用户数据移交给监管机构（我们稍后会回顾这方面的先例）。 但即使没有国家干预，我们也早已将数据交给了所谓的“可信”第三方，我们把自己的安全委托给他人，却并不真正了解自己究竟信任谁。

在本文中，我们将尝试探讨 VPN 为何并非万能的解决方案，为何仅仅“易手”网络控制权不足以解决问题，以及这种“隐私幻觉”是如何适得其反的。同时本文将分析 VPN 在技术和法律上的局限性，列举它们在现实世界中失败的案例，以及为什么当我们真正谈论数字自由时，或许应该超越 VPN 的范畴。

问题不在于谁控制访问权限，而在于任何人都不应该控制它。

网络中立性已荡然无存

当我们的对话通过即时通讯应用进行，当我们的生活被选择性地展示在社交媒体上，当我们越来越多地通过屏幕购买产品和服务时，都证明我们早已生活在一个原始的元宇宙中，那些希望从这种新环境中获利的人（企业或政府）都深谙此道。最终，我们的一切都变得可交易，谷歌、苹果、亚马逊、思科……这样的例子比比皆是。

除了掌握我们生活的一切外， 这些大公司也都已涉足 VPN 业务，开始掌握我们的互联网接入权。全球许多国家如今也都在积极进行互联网接入的设计，尤其是在网络中立性方面。在某些情况下，他们甚至直接破坏网络中立性，破坏数据流量平等处理的原则，以便强加优先级、控制或限制等功能。

网络中立性，有时也称为网络中立原则，是指互联网服务提供商 (ISP) 必须平等对待所有互联网通信，无论内容、网站、平台、应用程序、设备类型、源地址、目标地址或通信方式如何，都应为用户和在线内容提供商提供一致的传输速率（即不进行价格歧视）。—— 来源：维基百科

但最令人担忧的是，社会中的大多数人甚至不知道网络中立性的存在。即使它出现在公共讨论中，通常也隐藏在模糊的标题背后，或被框定为一场关于互联网是否应被视为一项基本公共服务的辩论。但其真正的含义却很少得到解释：涉及哪些利益？谁从中受益？谁被排除在外？这里没有真正的公共讨论——只有那些拥有最大权力和最多基础设施的人推动的议程。

VPN 的双重角色： 它能让你躲避一些人，但也可能让你暴露给另一些人

数字隐私不再是网络安全软件的专属领域，哪里有利益，哪里就有交易，而哪里有交易，哪里就有试图攫取价值的行为者。曾经由早期密码朋克捍卫的道德哲学高地，如今已被互联网主要参与者占领。

菲尔·齐默曼的伟大贡献——在 1991 年互联网大规模普及之初创建了 PGP（Pretty Good Privacy，良好好的隐私）， 现在似乎正在瓦解成一个新的反乌托邦：甚至连关于隐私的讨论都被那些进行监控的实体所利用。

这并不是要妖魔化国家或大公司；重点是将焦点放在去中心化上。密码朋克并没有发明 VPN，但他们确实奠定了文化和密码学基础，使其能够作为更广泛的数字主权生态系统的一部分，他们的遗产与 Tor、去中心化网络、端到端加密和匿名性联系更紧密，而 VPN 最初起源于企业界。

VPN 的工作原理

VPN 在用户设备和远程服务器之间创建加密隧道，从而保护这两个节点之间的流量。 它使用隧道和加密安全协议（例如 OpenVPN、WireGuard 或 IPSec），防止中间人（例如本地互联网服务提供商 (ISP) 或监控机构）读取或修改传输中的数据。虽然此功能至关重要，但保护连接的源头（即用户）也同样重要，甚至更为重要。事实上，正如前文所述， 许多 VPN 服务的营销重点更多地在于后者而非前者，VPN 将用户的真实 IP 地址替换为远程服务器的 IP 地址，从而帮助隐藏用户位置、绕过地理限制或规避本地审查机制。 VPN 的主要技术功能包括：

• 加密流量以保护隐私

• 隐藏用户的真实 IP 地址和位置

• 通过模拟来自其他位置的连接来绕过基于区域的封锁

• 允许安全的远程访问，如企业环境中员工或用户连接到内部网络

这些功能解释了为什么 VPN 与数字自由和匿名性息息相关，但 VPN 也存在一些根本性的局限，使其保证网络中立性或不受限制的访问能力减弱。

VPN 无法抗审查

在专制政权或网络中立性得不到保障的地区，国家通常控制着互联网接入的主要节点，并有法律依据要求互联网服务提供商 (ISP) 协助进行监控、审查或选择性的进行内容屏蔽，但这也可能延伸到 VPN 提供商。

虽然在大多数国家/地区 VPN 不被归类为 ISP，因为它们不提供直接的互联网接入，而是加密和重定向用户流量。但在对电信由严格国家控制的司法管辖区，VPN 服务在功能上被视为互联网服务提供商。因此可能出现以下这些情况：

• 国家可以检测并阻止未经授权的 VPN 的使用

• VPN 提供商可能被迫交出用户数据

• 未经国家授权使用 VPN 可能是违法的，并会受到惩罚

• 网络中立性缺失，这意味着任何类型的流量都可能受到歧视

简而言之，VPN 只是一种技术工具。在法律框架和基础设施主动阻止的情况下，它们无法强制执行自由或中立。

从理论到现实：现实世界中的 VPN

如前所述，VPN 并非源于利他主义运动，亦非捍卫数字自由的哲学回应。它们是由企业创建和开发的，主要是为了确保地理分散的商业网络内的安全连接。2001 年之后，VPN 才作为个人隐私的“解决方案”而流行起来。

但是，那些提供免费 VPN 服务的平台或公司，通常捆绑其他服务（例如网络浏览器、安全套件等），这是为什么呢？答案很简单，“如果你不为产品付费，那么你可能就是产品本身。”

免费 VPN 服务背后可能会有以下猫腻：

• 数据收集（连接时间、IP 地址、使用模式）：这些数据随后会出售给第三方，或用于构建高度可盈利的数字档案；

• 市场测试：利用用户群试验新服务，并验证其可用性模型；

• 品牌忠诚度和声誉：免费 VPN 可以被用作营销工具、定位工具，或作为企业社会责任 (CSR) 战略的一部分，尤其是在与付费产品捆绑销售时；

• 免费增值模式：限速版本、服务器数量限制或数据流量上限，所有这些都旨在将免费用户转化为付费用户。

这一切中的悖论在于，人们安装 VPN 的目的恰恰与最终发生的结果相反：我们把隐私权委托出去，还以为自己在保护它。 现在，除了 VPN 服务提供商可能提供的服务之外，这些工具还必须在特定的法律和司法框架内运行。下面 让我们来看看不同国家对待 VPN 的态度有何不同。

俄罗斯和伊朗：严格监管和国家控制

俄罗斯要求 VPN 提供商注册用户并与国家安全部门合作。因此，一些提供商因不遵守规定而被罚款甚至关闭。为了加强这一政策，俄罗斯通过了法律，对未经授权的 VPN 推广行为进行处罚。

2024 年，应俄罗斯联邦通信、信息技术和大众传媒监督局（Roskomnadzor）的要求，苹果公司从其在俄罗斯的 App Store 下架了 25 款 VPN 应用。

自 2024 年起，伊朗强制要求 VPN 获得国家许可，其中包括系统性地将用户数据移交给情报部门。伊朗最高网络空间委员会的一项决议对互联网访问施加了严格的限制，进一步加强了国家对规避审查工具的控制。

被动或主动交出用户数据的 VPN

事实上，在一个高度互联但法律碎片化的世界里，VPN 并非孤岛，它们反而是全球链条中的薄弱环节。

2019 年，在芬兰和德国之间的一起案件中，芬兰警方强迫一家 VPN 提供商交出用户日志以供德国调查，尽管该提供商曾称奉行“无日志”政策；2020 年， 一些免费 VPN 服务被发现将用户数据出售给第三方，在一次事件中，就有来自七个不同 VPN 服务商的超过 1.2 TB 的数据被泄露； “五眼联盟”（美国、英国、加拿大、澳大利亚和新西兰之间的监控合作网络）下的司法管辖区要求 VPN 服务提供商配合国家监控工作。

关键问题还在于，即使在 VPN 被禁止或严格限制的地方，许多公民仍然依赖它们来绕过审查。然而，当这些 VPN 来自未知来源 或不可信来源时，监控、隐私泄露，甚至身份盗窃可能不再来自国家，而是来自那些没有名字、没有面孔、没有明确管辖权的不透明运营商。流量仍然受到监控——只不过是换了一个监控者。

美国的网络中立并不自由

令人惊讶的是（或许也不是很惊讶），在像美国这样科技影响力如此强大的国家，网络中立也并非一项固定不变、不容置疑的原则。

一个知名案例发生在 2014 年，当时互联网提供商康卡斯特被发现限制 Netflix 的流量，其网络管理措施直接影响了内容的质量和速度。此案引发了公众和政界的强烈反弹，揭露了互联网服务提供商如何干扰某些服务的访问。 作为回应， 2015 年，在奥巴马政府执政期间，联邦通信委员会（FCC）将互联网接入重新归类为电信服务，并实施了禁止屏蔽、限流和付费优先优先的规则。

然而，在 2017 年，在特朗普总统任期内，FCC 主席 Ajit Pai 的领导下，这些规则被通过行政命令废除，FCC 声称这些规则过度监管，扼杀了创新和私人投资。 随着 2021 年总统更迭，拜登和 FCC 重新点燃了推动网络中立的热情。2024 年，他们推出了“保护令”，恢复了许多最初的保护措施，并赋予消费者和小型企业救济机制。

随着政治领导层的再次转变，在特朗普重返白宫后局势发生了逆转。2025 年 1 月 2 日，第六巡回上诉法院（涵盖俄亥俄州、肯塔基州、密歇根州和田纳西州等州）在俄亥俄州电信协会诉 FCC 案中裁定，FCC 缺乏颁布该令的法定权力。该裁决在保护令在这些州生效之前，通过司法判决将其推翻。

那么，目前的情况如何呢？我们可以这样总结：在联邦层面，法院判决后，目前尚未出台完全有效的网络中立规则。只有少数州级法律（例如加利福尼亚州、纽约州和华盛顿州的法律）保留了自身的保护措施。第六巡回法院的裁决将立即生效——除非最高法院上诉并推翻该裁决。在此之前，或国会颁布新的立法之前，不会有统一的联邦框架。

这种碎片化的格局使消费者处于一种境地，即互联网流量的平等对待完全取决于州法律——以及最高法院的未来裁决或国会立法行动。

欧洲、拉丁美洲和非洲的 VPN 监管现状

欧洲：在网络中立性面临的新挑战下，平衡隐私和安全

在欧盟，虽然 VPN 的使用并未被禁止，但人们对即将出台的 ProtectEU 和 Chat Control 等举措的担忧日益加剧，这些举措可能会要求安装后门或记录元数据，从而严重影响用户隐私。 这些措施是由调查和打击网络儿童性虐待材料 (CSAM) 的合法和紧迫需求驱动的，它们是保护未成年人并确保数字安全的重要一步。

然而，这场辩论的焦点也必须包括对加密完整性和网络中立性的更广泛影响。削弱这些支柱可能会危及所有用户的隐私，并为更大的滥用和漏洞敞开大门。

与此同时，欧洲一直是网络中立性的坚定捍卫者。《开放互联网条例》确保互联网服务提供商平等对待所有数据流量——不歧视、不限制、不干扰——无论发送者、接收者、内容、应用程序或服务如何。其目的是保障最终用户自由访问和共享信息，以及使用和提供其选择的服务和应用程序的能力。

然而，正如 ProtectEU 和 Chat Control 可能带来的结果，日益增长的监控和数据访问压力可能会与这些原则产生冲突。如果互联网服务提供商被要求检查或过滤流量，即使只是出于狭义的目的，也可能开创先例，破坏网络中立原则。焦点应该集中在安全需求是否能够与隐私的基本权利和开放互联网相平衡。

拉丁美洲：监管框架内的自由，网络中立原则作为支柱

在大多数拉丁美洲国家，使用 VPN 仍然是合法的，其与网络中立性原创和数据保护框架的共存至关重要。该地区普遍倾向于保护在线自由，而网络中立性在这一关注点中发挥着重要作用。以下是一些相关例子：

• 巴西：《巴西互联网民权框架》（Marco Civil da Internet）是一项具有里程碑意义的立法，明确保护了网络中立原则。它确保互联网服务提供商（ISP）在处理数据包时不得歧视，从而为在线服务和应用程序（包括通过 VPN 访问的服务和应用程序）提供公平的竞争环境。诚然，ISP 需要出于司法目的保留流量日志长达 12 个月（这体现了自由与监督之间的平衡），但对网络中立的承诺依然坚定。一个明显的例子是：ISP 不能提供加快某个流媒体平台访问速度的数据套餐，同时限制其他平台的访问速度——这将违反核心原则。

• 阿根廷和乌拉圭：这两个国家都已根据欧盟《通用数据保护条例》（GDPR）获得充分性裁定。这有利于跨境 VPN 运营，而无需承担额外义务，这对于数据和服务的自由流动而言是积极的一步。至于网络中立，虽然这两个国家的法律不如巴西那样明确，但两国的监管框架普遍支持流量方面的非歧视性。在阿根廷，《视听通信服务法》（第 26.522 号法律）在某些解读中被视为间接支持网络中立。在乌拉圭，尽管没有具体的网络中立法律，但其监管和政策倾向于非歧视性地访问互联网。

• 智利： 2024 年《数据保护法》改革成立了数据保护机构，并强化了用户的数字权利。虽然该法案并未直接限制或约束 VPN 的使用，但个人数据保护方面的这一进步对更广泛的数字生态系统至关重要。智利是拉丁美洲第一个通过网络中立法律的国家——第 20.453 号法律（2010 年），该法律禁止互联网服务提供商（ISP）阻止、干扰、歧视或以其他方式限制任何用户通过互联网使用、发送、接收或提供任何合法内容、应用程序或服务的权利。

非洲：直接限制和内容控制对网络中立性构成挑战

在一些非洲国家，直接限制 VPN 被冠以控制“非法内容”的名义，而“非法内容”的定义往往比较模糊。这通常与较弱或不存在的网络中立框架相重叠。虽然埃及、摩洛哥、南非和尼日利亚等国家对 VPN 的使用采取了更灵活或更结构化的方式（并附带具体限制），但其他国家则保持着更为严格的政策。

• 坦桑尼亚（2020 年法规，自 2023 年起生效）：该国禁止未经监管机构事先批准而使用 VPN。如果服务未注册，违规者可能面临罚款甚至监禁。这是全球限制最严格的 VPN 法规之一。坦桑尼亚缺乏强有力的网络中立立法，这使得互联网服务提供商拥有更大的流量管理自由，包括限制或屏蔽服务，尤其是那些被政府视为有问题的服务。这创造了一个 VPN 使用和内容访问都受到限制的环境。

但值得一提的是，埃及、摩洛哥、南非和尼日利亚凭借其更发达的数字市场和更明确的监管框架，成为非洲大陆的关键参与者 ，这也是它们被特别提及的原因。然而，它们之间存在着一些重要差异：及对使用 VPN 规避网络封锁的行为处以严厉处罚，并辅以深度包检测技术；摩洛哥对加密技术的进口进行监管，并对关键内容实施一定程度的控制；南非通常允许广泛使用 VPN，但在绕过版权保护方面会有所限制；尼日利亚虽然监管力度不够，但致力于推动数字经济的蓬勃发展，重点是扩大网络接入和改善基础设施。尽管存在这些差异，但与其他非洲国家相比，这四个国家都提供了相对更加开放的环境，并且对网络中立和数字权利的进展抱有更高的期望。

解决方案：去中心化的网络基础设施

当我们连接到互联网时，我们通过一系列协议栈来实现，这些协议栈从物理层到逻辑层，从传输数据到赋予传输意义。从技术角度来看，我们讨论的层级包括：

• 网络接口（物理层）

• 互联网（IP 层）

• 传输层（TCP/UDP）

• 应用层（我们使用的内容：社交网络、流媒体、服务等）

真正的争议主要发生在传输层和应用层之间。 虽然传输层应该是中立的，即允许所有数据不受歧视地流动，但应用层已成为权力的中心，少数公司将数字体验的设计、货币化和控制权集中在应用层。 应用层和传输层之间的冲突不仅仅是技术层面的冲突：这是一场争夺“增值”层控制权的斗争，而这些层级不一定真正在乎用户，用户仍然被困在相互竞争的层级之间，没有一个层级能够真正保障主权、隐私或真正的自由。

而能真正确保中立、隐私和抗审查的真正长期解决方案，是一个由集体管理和维护的去中心化的互联网基础设施。 最有前景的方法包括：

• 网状网络和社区网络：每个节点都是积极的参与者，既提供也接收访问权限。像 Althea 或 LibreMesh 这样的项目展示了社区如何自组织地构建本地连接网状网络，而无需依赖大型运营商。

• 基于区块链的连接激励协议：像 Helium 或 SpaceCoin 这样的平台使用代币来协调和奖励提供覆盖范围和带宽的节点。此外，比特币和其他加密资产的成功证明了分布式激励机制在挑战和重塑现有权力结构方面的有效性，证实了基于区块链的模型可以成为电信生态系统变革的真正引擎。

• P2P-区块链混合系统：将直接点对点数据交换与分布式账本注册相结合的平台，允许数据包传输和追踪谁提供了哪些资源。

这些解决方案消除了单点故障和控制，提高了审查成本，并使互联网访问更加民主化。通过将传输层和应用层分配给多个参与者（用户、验证者等），它们促进了事实上的网络中立， 能够抵御经济和政治压力。

结论

当我们谈论中立、隐私和抵制审查时，仅仅设计去中心化的协议是不够的——我们需要拥有技术意识和政治活跃度的公民。

当区块链世界出现时，我经常会想起关于比特币（以及它与网络中立性的紧密联系）的课程，其中提到如果互联网访问受到某个国家或提供商的限制，使用“神奇的”VPN 就足以绕过封锁。但正如我们所见，现实情况截然不同： 一切都取决于国家、具体应用、提供商的政策以及我们对每项服务的信任程度。并非所有 VPN 都是安全的，并非所有应用程序都允许规避地理位置，使用来源不明的软件也会带来风险。

这种看似轻松的数字舒适既创造了自由的假象，同时也强化了顺从：我们为了换取一切“正常运行”而将主权委托给不透明的参与者。 正因如此，真正的战斗不仅仅发生在传输层或应用层，也不仅仅发生在网状网络或智能合约的代码中——而是在人们的头脑中展开。

具有公民意识的数字教育，更能产生真正保障中立和隐私。没有这个基础，任何去中心化的网络都有可能沦为一个“软”监控系统，既难以察觉，又不可逆转。

如果通往去中心化的路径被控制，那么去中心化系统还有什么意义呢？ 维护网络自由的唯一途径是放弃被动的舒适，拥抱技术公民意识。