black smartphone

本文重點

  • VPN 保護的是「你連去哪裡的內容」，不是「你有沒有連線這件事本身」
  • 2024 年通保法修法後，就算沒有通訊內容，光是連線的中繼資料也可能被拼湊出行為模式
  • 好油案真正的破口是操作習慣不一致，這是高風險族群最容易犯、也最容易補起來的漏洞
  • VPN 的保護力，取決於註冊地、日誌政策、付款方式這些具體條件，不是裝了就有效
  • 就算你現在只做得到一件事——讓匿名身分從頭到尾維持同一套防護——也已經大幅降低風險

好油案的真正教訓——不是 VPN 沒用，是「習慣」出賣了你

2023 年的好油案，很多轉傳文章下標成「VPN 還是被抓到」，讓人以為 VPN 這個工具本身失靈了。案件本身的政治爭議這裡不多談，但技術脈絡值得拆開來看，因為它跟高風險族群最常遇到的破口幾乎一模一樣。

嫌犯後來確實用了 VPN 跳板，也確實躲過了一部分追查。真正讓身分曝光的，是這個帳號第一次註冊、登入時，還沒開 VPN，用真實網路環境留下了原始 IP。之後才開始用 VPN 操作，但帳號從一開始就已經跟真實身分綁在一起了。加上社群平台配合提供了這個帳號過去多次的登入紀錄，兩件事合在一起，才把人找出來。

最容易犯、也最危險的破口
同一個裝置、同一個帳號，在「有防護」和「沒防護」的狀態之間切換使用。不是 VPN 被攻破，是身分沒有維持一致。這件事套用在任何情境都成立：一個社運帳號如果曾經有一次用真實網路登入過，之後再怎麼認真開 VPN，那個最初的痕跡通常已經留下了。

這裡想先說清楚一件事：如果你回想起自己也曾經有過類似的疏漏，那不代表你做錯了什麼、也不代表你已經沒有防護可言。多數人的操作習慣本來就是慢慢建立起來的，重要的是現在知道了，接下來怎麼調整。

就算沒有 VPN 問題，你平常上網也在留下什麼？

2024 年 7 月，台灣通過通訊保障及監察法（通保法）修正案，新增了「網路流量紀錄」這個定義，並要求電信業者保存。白話說，這指的是連線本身的中繼資料（有時稱作 metadata）：你什麼時候上網、連到哪個網域、連了多久、用了什麼協定——但不包含你實際傳送的內容。

小技巧：為什麼「不含內容」的紀錄也值得在意？
中繼資料單看一筆沒有意義，但累積起來會出現模式。舉個中性的例子：如果一個帳號固定在每週三晚上七點連上某個特定網域十五分鐘，就算沒有人知道傳了什麼內容，也大致能推測出這是某種固定聚會或例行活動。對一般人來說這可能無傷大雅，但如果你的固定活動本身涉及需要保密的身分或處境，這種「模式」就是需要在意的地方。

制度上，誰可以調你的紀錄、門檻有多低？

這裡誠實地講清楚規則，不是要嚇你，而是讓你自己判斷該把警覺放在哪裡。新法之後，檢察官或司法警察官偵辦特定犯罪、認定通信紀錄或網路流量紀錄跟案件有關聯性與必要性時，可以聲請調取。多數情況下不需要法官事前審核，檢察官許可即可執行；台灣人權促進會等民間團體對此提出過疑慮，指出法律本身沒有明訂保存期限與監督機制，實務上過去通聯紀錄調取九成以上不經法官同意。

在你的威脅情境下，VPN 該怎麼選、怎麼用

「威脅情境」聽起來很抽象，簡單說就是：你在防誰？防的是好奇的路人、還是有資源、有動機針對你的對象？答案不同，該投入的防護程度也不同。以下步驟從基本到進階排列，不用一次全部做到。

  1. 查 VPN 公司註冊在哪個國家。該國有沒有強制資料保留法規，會直接影響「就算被要求，這家公司手上有沒有東西可以交出去」。
  2. 找有第三方稽核紀錄的「無日誌政策」。不要只看行銷用語上寫「無日誌」，查一下這家公司是否曾經公開接受過獨立稽核。
  3. 付款方式盡量不要跟真實身分綁在一起。信用卡、綁定真實姓名的帳戶，都可能成為串連身分的線索。
  4. 【最重要】身分從第一天就要區隔清楚。匿名帳號從第一次註冊、第一次登入開始，就用同一套防護，不要有時候用真實網路、有時候切換。這是好油案裡真正的破口，也是最值得優先處理的一項。
  5. 定期做 DNS 洩漏測試。確認你的網域查詢真的有經過 VPN，而不是繞過了保護直接暴露給 ISP。
  6. 高敏感情境可以考慮 VPN 疊加 Tor。如果你的處境需要更高的匿名程度，可以參考站上另一篇〈VPN、Tor、Proxy：工具差異與使用時機〉，裡面有更完整的情境對照。

資訊量太大？先做這一件事就好

如果上面六點看完覺得負擔很大，這是很正常的反應——資安從來不是一次到位的事。如果你現在只能選一件事先做，做這件：讓你的匿名身分從此刻起，維持同一套防護，不要再跟真實身分共用同一個上網習慣。好油案裡真正曝光身分的關鍵就是這件事沒做到，而這也是六點裡面成本最低、最容易立刻執行的一項。

之後有餘力，再一步步往前面的項目補強。不需要一次做到完美。

出發前，先確認這幾件事

  • 我知道 VPN 商註冊在哪個國家、有沒有資料保留的法律要求
  • 我用的 VPN 有第三方稽核過的無日誌政策，不是只看行銷文字
  • 我的匿名帳號沒有任何一次是用真實 IP 登入過
  • 我大致知道台灣現在調取上網紀錄的門檻和程序
  • 我知道如果需要進一步協助，可以找誰

總結

VPN 不會因為一個案例就變得沒有用，但它也從來不是萬能的隱形斗篷。真正決定你安不安全的，往往是最平凡的操作習慣有沒有維持一致，而不是你用了多貴、多知名的工具。如果你剛好想起自己過去有類似的疏漏，那不是太遲，現在調整都還來得及。

資料來源