有香港 VPN 公司被揭發，雖然聲稱不留任何記錄，卻保留了大量用戶資料，包括密碼（沒有密碼）、IP 地址，甚至連家居地址也有！
https://www.vpnmentor.com/blog/report-free-vpns-leak/
（注：我只是想列明消息來源，但對於這個網站的其他建議，例如甚麼「年度最佳 VPN」，我就不太確定了。）
所以，慎選 VPN 公司。
《零基資安訓練營》的第零篇，教的就是選用 VPN 公司。
當中任何一間 VPN 公司，均與我無任何利益關係，文章裡亦無提供戊土何 referral code。
⏺ Patreon | 零基資安訓練營系列文章： www.patreon.com/pazu
* * *
零基資安訓練營（零）：用哪間 VPN 公司較好？（新增內容，手機上使用 VPN 的情況）
文：薯伯伯
在暴風雨的前夕，忽然很多朋友問我用哪間 VPN，那麼我先回答。我用的是 ProtonVPN。
我用 Plus 計劃，一次過訂兩年，每月平均費用為 US$ 6.63， 折合港幣 52 元，可以同時連接五部機器。有 50 多個的伺服器可以選擇，看 Netflix 沒問題，YouTube 也平穩，但連入中國的網站，例如微博、知乎等，就往往要先斷線才能連上（似乎不少 VPN 也有類似問題）。他們也有提供免費版本，但速度較慢，建議試用過免費版之後，沒問題就轉用 Plus 計劃，體驗會好很多。
我用 ProtonVPN 的原因，因其總部設於瑞士，創辦人是來自台灣台南的嚴育銓博士，還有其他在 CERN 工作的科學家。由於 VPN 背後的運作都很複雜，例如採用哪個 VPN 制式（諸如 OpenVPN、IKEv2/IPSec，或甚至 WireGuard 等）都不是用戶容易理解，所以找一個可靠的團隊是極為重要。
看過不少嚴育銓及 ProtonVPN 的訪問及介紹，以及網上的風評，目前我認為這間公司可靠，所以推介使用。（如果以後有變，再跟大家交代。）
〈新增內容，手機上使用 VPN 的情況〉
（事先說明，我本身跟 ProtonVPN 沒有任何關係，不過義務介紹了他們的服務，我就好像成了技術支援組員一樣……）
鑑於很多朋友跟我反映，在手機上使用 VPN 遇到的問題，在這裡一次過答。手機連 VPN 有個問題，是經常會斷線，最常見的原因，是手機網絡斷線了（例如入電梯，躲到暗角），VPN 也同時斷了，但當手機重回網絡，VPN 卻不懂跟著一起去連。
這種情況間中出現，很難完全避免。所以我使用 VPN 的場景，主要有以下三個場境：
一，使用公共 wi-fi，一定會使用安全措施，即 VPN。這是很必須。
二，到訪的網站本身沒有使用 HTTPS 協議，香港人其中一個最常用而至今沒有使用 HTTPS 的網站，是 Aastocks。
三，當我想隱藏自己的 IP 時，這個按自己情況決定。
以下是其他 VPN 的點評：
NordVPN
以前用過 NordVPN，但該公司在 2019 年被 4chan 的用戶揭發，原來在 2018 年有個比較嚴重的保安漏洞，其在芬蘭的伺服器被入侵，但該公司沒有主動披露，是後來被揭發後才主動交代。事件揭發後我有發信問過他們情況，他們的客戶經理回覆說：「我們的服務尚未被黑客入侵，該台被入侵的伺務器上並沒有可用於模擬或解密其他服務器的訊息。」並強調這是個別事件，用戶資料沒有受到威脅。
不過我覺得他們沒有主動招認，而是被揭發後才披露細節，對這間公司的印象不好，所以取消了戶口。如果你本身已經有 NordVPN 的付費戶口，建議繼續用，使用期過了以後，再找別的公司。
PIA VPN
PIA（Private Internet Access）本來是一間極為出色的公司，其他 VPN 公司雖然聲稱尊重你的私隱，但 PIA 是曾經被傳召上法庭並被要求交出客戶上網資料。PIA 直接向法官說，他們交不出任何資料，因為他們從來不保留相關記錄。FBI 做了相關調查，也查不出甚麼痕跡。
我用了 PIA 一段時間，介面不算好，頗易當機（也可能是我的電腦問題？），但令我放棄他們的關鍵原因，是因為他們在 2019 與一間叫 Kape Technologies 的公司合拼了。
Kape 這家公司的名聲極差，出賣客戶資料，甚至在客戶電腦上安裝惡意軟件。其實 PIA 及 Kape 是兩個完全不同方向的公司，不太明白為何會走在一起。去年合併之時，在資訊安全界別的圈子裡引起頗大回響，PIA 後來發表聲明，說是獨立運作，但身為香港人，又怎能相信一間公司真的會有兩個制度，所以我停用了。
如果你仍然有這間公司的戶口，那就繼續用吧，但到期之後，建議改用別的服務。
CyberGhost VPN
CyberGhost 介面不好用，而且由 Kape Technologies 營行，Kape 這家公司在網上的聲名不佳，可免則免。但因為宣傳攻勢厲害，廣告甚多，很多人不慎選用了。如果你最近用了，建議立即申請退款。
至於其他公司，例如某某 VPN 有沒有中資背景？這個不好說，各位自行在 Google 搜尋。但謹記一點，身為用戶，是很難判斷 VPN 的運作方式及採用的制式是否可靠，所以找一家可靠的公司是關鍵。
如果真的要我定一個排行，我會選擇 ProtonVPN > NordVPN > PIA
另外要留意一點，VPN 公司有兩種典型的宣傳手法，一是付費叫人寫評論，甚至是開設一些假裝中立的博客來增加自己的曝光率。二是提供 referral code 給介紹人，申請成功的話介紹人便有額外的免費月份或現金回佣。對於後面這種方式，我不覺得反感，因為有很多人在介紹的時候，可能是確實相信該服務好才介紹，說明有利益便合理。
不過我在上面的連結，完全沒有提供附加介紹碼（referral code），所以讀者申請了哪個服務，我是不會有任何回佣，大家自行選擇用哪個服務。
還有一個小技巧，有時去 Slickdeals 搜尋一下，可能會有些優惠券（但目前 ProtonVPN 的優惠已經過了期）。
如果申請 VPN，去相關公司的網站申請戶口，通常會較為便宜。如果直接在手機 app 上申請，價錢可能會貴一些。
簡單科普一下：
VPN 不是新鮮科技，九十年代已有。雖然我聽過很多人用 condom 來解釋 VPN，但其實 VPN 的保護機制與 condom 的保護機制完全不同。簡單來說，VPN 就是在兩個電腦之間打開一條加密的通道，資料包在傳送時加密數據，資料在汪洋大海飄浮的時候，就不會被人截取或監控。
雖然 VPN 的運作形式跟 condom 不同，但在使用的場景又有點相似。有些情況下確實沒有必要使用 VPN，沒有 VPN 上網更覺順暢，但如果你上網瀏覽不同網站，尤其訪問一些沒有 HTTPS 的網站，而這些網站又涉及個人資料，別人是完全可以偷窺你的瀏覽資料，清晰得有如坐在你身後一樣。如果你外出時使用公用的 wi-fi，風險就更大。
所以，即使沒有惡法，使用 VPN 也是重要的資訊安全措施之一。不過要留意一點，用了 VPN，最多只是把自己的資料加密，但不代表可以完全隱身匿名。例如監控者雖然不能看到加密了的內容，但他可以看到資料傳送的地點及時間。
要做到真正隱身匿名，不單要有強大的資訊安全學識，還要非常有耐性及堅持，例如我關注的一個匿名博客，其博主因應疫情而改變了發文的時間規律，改為兩、三星期才發一篇文章，因為他擔心自己萬一需要被隔離，若然長時間不發文，有關當局就可能可以從隔離人士中找尋蛛絲馬跡。對大多數人來說，要做到隱身匿名是極艱難。
所以，資訊加密是一回事，但隱身匿名則是另一回事，兩者不能混淆。
這篇文章有點長，簡單提三點：
一，選用 VPN，要留意其公司背景，我目前推介的是總部設於瑞士的 ProtonVPN。
二，使用了 VPN，能把資料加密，防止偷窺，但不等同完全匿名。如果你要完全做到隱藏自己的身份，技術甚高，請參考另一篇文章〈如果要完全隱藏網上身份〉。
三，使用 VPN，由於速度及連線上都會有輕微差別，若然發覺某些網站忽然上不到，很大機會是因為 VPN 斷了線，斷線後再連線便可，但也許要些時間適應。
最後想說要一點，請不要在留言區裡再問「我無違法，我行得正企得正，怕乜嘢呢？」，我對這個問題，實在已沒太多耐性。
⏺ Patreon | 零基資安訓練營系列文章： www.patreon.com/pazu
