关于 vpn 安全隐私问题

[skyreal]

买了vpnso.com的VPN，用的还算蛮high.但有个问题，我通过它上网比如登录gmail、v2ex、163、twitter、FB等，它能知道我的账号和密码吗？能知道我的浏览痕迹吗？万一如果买的vpn提供方是5ma^_^o或倒钩怎么办？有这方面风险吗？

[dangge]

能 能 有

[skyreal]

卧槽！！！

[maweihao999]

@skyreal 点回复点成了感谢。。。。。。这种情况下你就只能信任对方咯，所以一般要不自己建，要不用自己信任的服务提供商

[Mrun]

如果你都是走https的话，应该没问题吧，他截包应该也是加密了的

[kmvan]

@Mrun 这个真确定吗？

[skyreal]

@maweihao999 自建没这技术啊，哎...

[skyreal]

@Mrun 网页都走https，但iphone上的app我怎么知道它走不走https啊，如acompli、twitter、FB等...

[Mrun]

@kmvan 是的，http://www.infoq.com/cn/articles/HTTPS-Connection-Jeff-Moser，cline和server会分别生成2个和1个随机值，3个随机值一起保证了密钥无限接近真随机值，cline和server之间的密钥的传递靠RSA，就算VPN是蜜罐，应该也无法破解

[Mrun]

@skyreal 这几个好像都是SSL加密的，不过确定APP是否通信加密最好的办法就是抓包

[Quaintjade]

gmail, fb, twitter默认都是https，中间人无法截获有意义信息（除非你无视浏览器的证书错误警告）。

163不是全站https，只有登录时加密，中间人可以把你跳到伪造页面获取你的用户名密码。邮箱里面的界面也不是https，中间人可以截取你所有的邮件内容。

VPS也同样不安全，openvz的话你所有的文件对开vps的人都是全透明的。kvm和xen也可以看，只不过稍微复杂点。如果隔离做得不好，同机器上的其他vps能截取你的网络传输。

钻牛角尖的话，机房、isp之类也是中间人，理论上也可以截取非加密的传输，只不过你没那个价值被窃取资料。

[ogrish]

搭车出 astrill 半年账号 明盘50

[lshero]

浏览 twitter、fb 又不是违法犯罪，别人要你的账号密码也没有意义，但是如果你在里面宣扬表达了一些违法犯罪的观点的话又是另外一回事了。

别人五毛折腾那么久就为了给你推销一个VPN多麻烦的
还不如联系ISP把你所有的VPN请求全都映射到蜜罐里，蜜罐允许任何账号密码链接

真有啥违法犯罪的行为的话，都是直接上门抄水表查收电脑的

所以如果觉得自己的需要很隐私的环境还是要注意用全程SSL，SSL登陆之后跳转http 给的 cookie 又不是 httponly的网站请你远离