【小心！上网踪迹全被骇客一览无遗，使用者也要重视网络层安全】网络连线危机四伏，VPN加密成自保之道

行动办公可说是极为普遍，很多人带着笔电，再连接到饭店或是咖啡厅提供的Wi-Fi网络，就能进行作业。但这些随手可得的无线网络，同时也潜藏了许多危机，骇客从无线网络环境中侧录流量，甚至是窜改内容，引导受害者到恶意网站上。

过往探讨上网安全的角度，大部分还是从控管端点电脑的角度做起，包含避免使用者浏览含有攻击程式码的网域，或是检查下载到电脑的档案是否带有病毒等。但是，若是骇客发动中间人攻击（MITM），从使用者上网的过程中，截录其中网络层的流量加以滥用，不只是受害者难以发现异常，防毒软件也无法因应这种针对网络层下手的攻击。因此，采用加密网络流量的虚拟私人网络（VPN），便成为防范这种型态威胁的另类自保方法。

我们一般常提及的VPN，本来多半指的是由企业自行建置，并向电信公司租用专线，让员工在内部环境之外，能够透过这种机制建立的加密连线通道，安全存取公司的机敏资料。

由于企业自行建置的VPN服务，相当仰赖企业网络所提供的带宽，若网络带宽不足，往往会影响透过VPN的网络流量，而一旦VPN网络壅塞，也会导致员工面临难以使用的情况；在用户端的VPN设定上，在大部分的情况下，也必须经由操作系统的网络设定进行配置，因此，论及VPN加密连线，很多人的第一印象是上网速度可能会变慢，而且设定过程相当复杂。

另一方面，个人端VPN服务的运用，过往大多是当作跳板，取得专属于日本、中国等存在地区限制的网络资源。

然而时至今日，这种个人端的VPN服务，许多防毒厂商都相继投入这块市场，并且强调它们能够防范网络流量遭到骇客窃取。从较知名的防毒品牌赛门铁克、McAfee，以及卡巴斯基等，还有因推出免费版防毒软件而在台湾有所名气的Avast、AVG、Avira，以及Comodo等业者，或者是有代理商引进的F-Secure与BitDefender，他们都提供了这种型态的服务。显然借由VPN服务，保护防毒软件难以涵盖的网络传输，已经成为大势所趋。

手动设置VPN连线步骤繁琐

若是想要从操作系统内建的功能，设定VPN连线，可说是相当麻烦，特别是Windows 7的使用者，往往要在建立完新的VPN连线之后，再到左图指定VPN的协定类型（如IKEv2）；而Android手机也需要透过右图的画面，输入有关设定。

无线网络的资安威胁越演越烈，使用者必须自保

基本上，无论有线还是无线网络，都有可能遭受侧录的风险。然而，无线网络所隐含的危险，又更加严重。最主要的原因，就是运用这种网络的装置相当普及，包含了手机、平板电脑，以及笔记型电脑等。

如今再加上无论是饭店、机场、餐厅，以及便利商店等场所，几乎都提供了免费的Wi-Fi网络，而台湾的公部门和交通运输工具，也有iTaiwan、Taipei Free等热点。这种现象，也成为骇客锁定的目标，例如，在热点附近架设另一个Wi-Fi网络，并采用相似或完全一样的SSID名称，误导不明就理的受害者，连上攻击者建置的网络后，骇客再从中截取上网流量。

骇客想要发动相关攻击的门槛，其实不高。今年4月，美国有2名年仅14岁的高中生，竟因为同学不想上课与考试，便瘫痪整个学校的无线网络一周，突显想要针对这种网络发动攻击，骇客不需要高深的技术就能办到。

去年9月，有名腾讯工程师因好奇骇入新加坡饭店的无线网络，而遭到当地警方逮捕。但探究该名工程师被捕的原因，是他高调在部落格公开无线网络的管理员密码，而非饭店发现无线网络受到入侵。

过往我们想要防范骇客的攻击，都是从防堵的角度着手，以个人电脑来说，主要的把关措施就是利用防毒软件和防火墙，阻绝来自外部的攻击，这样的做法，就好像我们会为住家安装大门和门锁，不允许任意人士随便闯入。

然而，随着使用者越来越依赖各式的网络服务，攻击者也未必要直接渗透到电脑上，而是窥探使用者的上网足迹，进一步取得个人资料及隐私，就像从远处察看我们住家屋内的一举一动，非但不易发现，还相当难以防范，因此，保护上网流量不受偷窥，就成为一种必须正视的问题。

从上网的保护措施来看，以往防毒软件和浏览器业者都做了不少努力，像是不少防毒软件中，纳入了防止使用者在浏览器输入的内容遭到侧录的功能，或者是提供所谓的沙箱检测机制；而两大浏览器阵营Google和Mozilla，也大力鼓吹使用HTTPS加密连线，同时，也在浏览器纳入所谓的无痕模式，诉求使用者在上网的过程里，不会在电脑上留下任何足迹。

但上述这些做法，几乎都算是基于从端点进行防护的措施，甚至有些是只能运用在特定的上网环境中，因此效果可说是相当有限，例如，HTTPS加密连线只局限于透过浏览器上网的流量，其他型态的网络连线，就难以借着浏览器前述内建的机制，而一并获得加密保护。

在这样的状态之下，使用者仍须保护已传送的网络流量，而在所有的网络安全解决方案，VPN服务正好具备这样的特性，而重新受到瞩目。也由于VPN的加密连线，能让网络层的侧录失效，便补足了上述端点电脑各式防护所难以涵括的层面。

网络环境型态难以界定安全需求

随着网络攻击无孔不入，使用者若是只依照图中视窗点选所处的网络环境，选择套用Windows 7预设的防火墙安全性设定，仍然没有办法防范骇客想要窃听网络流量的情况。

个人端的零信任意识抬头，首先必须视网络环境为不安全

透过VPN服务保护上网流量在传输的过程里，不会直接受到侧录和窥视，这样的做法，和企业近年来逐渐接受的零信任（Zero Trust）概念，可说是不谋而合。只不过，在企业里的做法，是在不同的应用设施里，以身份验证的方式层层把关，保护公司的机密；而一般使用者因为将所有的网络环境视为不安全，利用VPN服务保护网络流量，避免输送过程被截录之后，窃取用户的隐私。

由于这几年来资安事件频传的情况，已经到达了无孔不入的境界，像是去年大肆发动多次攻击的VPNFilter恶意软件，锁定的装置里，大部分是知名品牌的家用路由器，因此，就算是使用自己或是亲友家里架设的无线网络，也很有可能曝露在这种危险之中。而2018年10月，美国消费者协会也对于12个品牌的家用级无线路由器进行测试，指出每款受测的路由器平均存在约170个漏洞。但可惜的是，就算厂商推出了修补固件，许多用户未必会及时更新。

更何况，骇客若要偷窥上网用户的流量，好比前述例子提到在住家远处监视的情况，不像小偷闯空门容易被察觉。因此，能否具有自我保护的意识，显得格外重要。

透过TRACERT指令追踪，检测使用VPN加密连线的情况

想要得知电脑流量是否透过VPN通道传输，我们可用TRACERT指令确认。刚开始，我们先在未使用VPN的状态下执行TRACERT，此时，会看到电脑先连上路由器，再经由多个中华电信的节点连到目的地；而启用F-Secure Freedome，再执行指令后，便只能追踪到VPN服务的节点。

防毒业者推出的VPN服务乘势而起

但在此同时，好的防护措施，通常也须具备简单易用的执行步骤，才不致因为使用者觉得太过麻烦，而弃之不用。

相较于一般VPN服务，我们这次测试的这几款防毒业者推出的VPN服务，建置的方式可说是相当容易，只要从防毒业者提供的管理平台下载客户端软件，安装在电脑或是手机上，就能马上使用，比起在操作系统设定手动输入VPN参数的作法，难度已大幅降低。

而在执行这些用户端软件的方法上，无论是电脑版还是手机版本，界面上都是以一键开关为中心，因此就只有VPN加密连线的启用与否。再者，我们可以更进一步，设定为随着电脑开机时，就同时启动VPN连线，或是连接到安全性不高的网络环境时自动开启服务，也可以采取提醒使用者的方式，让用户决定是否要启用相关功能。而这些机制，能大幅减少使用者需自行启用的困扰，避免忘记要使用这种方式保护上网隐私。

虽然就账面上的规格来看，由防毒业者推出的VPN服务，所属的服务器数量未必如专门经营VPN的厂商，但我们实际试用时，并未感觉到网络变慢。而采用Ookla Speedtest网站实际测试，上传与下载的速度，平均为未启用前的7成，算是相当出乎我们的意料。

实测过程中，我们也发现，Android版的用户端App，普遍功能都比电脑版要来得丰富。例如，部分App提供了个别应用程序控管的弹性。所以，这也意味着行动装置对VPN的应用，S更为细致。

推出VPN服务2种业者出发点不同，从App功能可见端倪

左图是专营VPN服务的知名业者NordVPN，他们的App能连线的服务器种类较为多元，包含支援P2P、具进阶混淆用户来源等功能可选；而防毒业者较重视与网络安全有关的机制，如右图卡巴斯基推出的Secure Connection为例，能提醒使用者连线到不安全的无线网络，应该要启动VPN。

实测采用VPN连线对网络连线带来的影响

为了透过VPN服务上网对使用者操作带来影响程度为何，我们于7月11日下午5点，找了一间星巴克咖啡店，分别透过手机和笔记型电脑，连线到店家提供的免费无线网络，比较使用VPN服务有无之间的差异，并采用了Ookla Speedtest网站，测试连线速度。

为了减少配置上的不同，我们在使用3款VPN服务时，都一律选择连线到位于日本的服务器。

从测试的数据来看，无论是使用手机还是笔记型电脑，所得到的结果算是接近。在上传与下载的速度而言，启用VPN加密连线之后，虽然普遍降低，但影响有限，不致于造成使用上的困扰，有些时候，甚至还能测得较直接连线略快的速度。

至于网络延迟（Latency）的情况就较为明显，直接与店内的无线网络连接，测得的PING值都在20毫秒左右，但透过VPN之后，PING值常会测得100毫秒以上，甚至出现最高接近200毫秒的情况，因此，对于部分需要频繁传送封包的网络应用，启用VPN连线之后，对于网络的使用上，可能会感受到较为显著的差异。

测试连线环境说明：星巴克免费无线网络（南京林森门市），测试端点设备：笔电为LG Gram 15Z980，智能手机为三星Galaxy S9+。