خلاصه
VPN رایگان می‌تواند اطلاعات اتصال را در اختیار گرداننده‌اش بگذارد و خود برنامه هم ممکن است جداگانه داده‌های دستگاه را جمع کند. [1][6] اما رمزهای محافظت‌شده با اتصال معتبر HTTPS خودکار افشا نمی‌شوند. [2] قیمت به‌تنهایی امنیت را ثابت نمی‌کند: پیش از اعتماد، مجوزها، شرایط حریم خصوصی و شواهد ادعاهای امنیتی را بررسی کنید. [4][5]
نکته‌های کلیدی
- آنچه از شبکه دیده می‌شود با داده‌هایی که برنامهٔ نصب‌شده جمع میکند متفاوت است.
- محافظت HTTPS همچنان مهم است؛ سایت را بررسی کنید و هشدارهای امنیتی را جدی بگیرید.
- تغییر آدرس IP، هویت حساب، اثرانگشت دیجیتال یا مجوزهای موقعیت را حذف نمی‌کند.
- محصول فعلی و شواهدش را بسنجید؛ رایگان را خودکار مخرب و پولی را خودکار امن ندانید.
در این صفحه ۱۳ بخش
- VPN رایگان چه چیزی را ممکن است افشا کند؟
- گردانندهٔ VPN چه می‌بیند و چه چیزی رمزنگاری‌شده می‌ماند؟
- نشت DNS و نشت ترافیک چیست؟
- آیا برنامهٔ VPN می‌تواند داده‌های بی‌ربط به تونل را جمع کند؟
- آیا IP متفاوت، هویت یا موقعیتم را پنهان میکند؟
- آیا VPNهای رایگان همیشه از پولی‌ها بدترند؟
- پیش از نصب یا نگه‌داشتن VPN چه چیزهایی را بررسی کنیم؟
- اگر برنامه یا درخواست پرداخت مشکوک بود چه کنیم؟
- از حریم خصوصی انتظار واقع‌بینانه داشته باشید
- اشتباه‌های رایج
- پرسش‌های پرتکرار
- واژه‌نامه
- منابع
VPN رایگان چه چیزی را ممکن است افشا کند؟
VPN رایگان ممکن است اطلاعات اتصال شما را در اختیار گرداننده‌اش بگذارد و برنامهٔ آن هم داده‌های بیشتری از دستگاه جمع کند. این خودکار به گرداننده اجازه نمی‌دهد رمزی را بخواند که با اتصال HTTPS درست ایمن‌شده فرستاده شده است. دیدن اطلاعات شبکه و دسترسی به محتوای گوشی دو موضوع جدا هستند. [1][2][6]
قیمت این موضوع‌ها را روشن نمی‌کند. بپرسید چه کسی سرویس را ارائه می‌دهد، هزینه‌هایش چگونه تأمین می‌شود و شرایط حریم خصوصی چه چیزی را مجاز می‌داند. طرح رایگان، سرویس متکی به کمک مالی و کسب‌وکار تبلیغاتی ممکن است انگیزه‌های متفاوت داشته باشند. پرداخت هزینه هم جای ارزیابی ارائه‌دهنده را نمی‌گیرد. [1]
تا ۴ نوامبر ۲۰۲۶، انتخاب مفید برای فردی در ایران صرفاً «رایگان یا پولی» نیست. مشخص کنید چه چیزی را باید محافظت کنید، به چه کسی اعتماد می‌کنید و نرم‌افزار واقعاً چه وعده‌ای می‌دهد. این اطلاعات عمومی امنیت است. اگر نگرانی اصلی تهدید هدفمند علیه شخصی مشخص است، مقایسهٔ عمومی VPN نمی‌تواند تمام شرایط او را ارزیابی کند.
گردانندهٔ VPN چه می‌بیند و چه چیزی رمزنگاری‌شده می‌ماند؟
برای ترافیکی که از VPN می‌گذرد، ارائه‌دهندهٔ اینترنت محلی معمولاً اتصال به VPN را می‌بیند، نه همان ترافیک مستقیم به مقصدها را. گردانندهٔ VPN می‌تواند اطلاعات اتصال مثل IP ورودی، زمان‌بندی ترافیک و اطلاعات مقصدِ در دسترس خود را مشاهده کند. این کار اعتماد را جابه‌جا میکند، نه اینکه نیاز به اعتماد را از بین ببرد. [1]
محتوا به محافظت خودش نیاز دارد. وقتی اتصال امن معتبر باشد، HTTPS اطلاعات بین مرورگر و وب‌سایت را محافظت میکند. اما وب‌سایت را صادق نمی‌کند. مقصد را تأیید کنید و هشدار گواهی را جدی بگیرید، به‌ویژه پیش از واردکردن اطلاعات ورود یا پرداخت. [2]
بازدید از وب‌سایت ایمیل را با دو سؤال بسنجید: چه کسی اتصال شبکه را می‌بیند و چه کسی اطلاعات تایپ‌شده در سایت را دریافت میکند؟ VPN بخشی از مسیر است. وب‌سایت گیرندهٔ موردنظر است. تصمیم دربارهٔ مسیر جای بررسی اینکه گیرنده همان طرف موردنظر شماست را نمی‌گیرد.
از هر دو ادعای افراطی فاصله بگیرید: «VPN همه‌چیز را می‌خواند» و «VPN همه‌چیز را نامرئی میکند». بپرسید بحث دربارهٔ کدام داده، کدام مشاهده‌گر و کدام محافظت است. توضیح مفید حریم خصوصی باید اجازه دهد این سؤال‌ها جدا پاسخ داده شوند، نه اینکه همهٔ اطلاعات را یک دستهٔ نامتمایز بداند.
نشت DNS و نشت ترافیک چیست؟
DNS سامانه‌ای است که نام وب‌سایت را به آدرس شبکه تبدیل میکند. درخواست جست‌وجو اطلاعات لازم برای پیدا‌کردن سرویس را می‌خواهد؛ این با دانلود همهٔ صفحه‌ها یا خواندن همهٔ پیام‌های آن سرویس یکسان نیست. حفظ این تفاوت کمک میکند ادعای مربوط به «داده‌های مرور وب» را بهتر بفهمید. [10]
نشت DNS یعنی درخواست‌های مرتبطِ جست‌وجوی نام از مسیری خارج شوند که قرار بوده از آن‌ها محافظت کند. ترافیک به روش‌های دیگر هم می‌تواند از تونل VPN بیرون برود. ارائهٔ ۲۰۲۶ رویا انصافی در USENIX پژوهشی را شرح می‌دهد که خروج درخواست‌های DNS، افشای آدرس IP هنگام خرابی تونل و برخورد ناامن با داده‌ها در برنامه‌های VPN را یافته است. این یافته‌ها روش‌های واقعیِ شکست را نشان می‌دهند، نه حکم دربارهٔ همهٔ محصولات فعلی. [3]
بپرسید وقتی برنامه وعدهٔ جلوگیری از نشت می‌دهد منظورش چیست. آیا توضیحش قطع اتصال، عوض‌کردن شبکه و سیستم‌عامل پشتیبانی‌شده را در بر می‌گیرد؟ نسخهٔ نرم‌افزار بررسی‌شده را مشخص میکند؟ برچسبی مثل «محافظت‌شده» از توضیح مشخص دربارهٔ شرایط تحت پوشش کم‌فایده‌تر است.
برای استفادهٔ معمول، با حساب خصوصی آزمایش پرخطر نکنید تا ببینید چه می‌شود. اگر ارزیابی‌های منتشرشده را مقایسه می‌کنید، شرایط و تاریخ را پیدا کنید. برای مراجعهٔ خود تصویری از ادعا و محدوده‌اش نگه دارید، بدون اطلاعات محرمانهٔ حساب یا محتوای ترافیک حساس.
آیا برنامهٔ VPN می‌تواند داده‌های بی‌ربط به تونل را جمع کند؟
بله. برنامهٔ نصب‌شده رفتار و مجوزهای خودش را دارد. Android اجازه می‌دهد دسترسی به اطلاعاتی مثل مخاطبان، عکس‌ها و موقعیت را جدا بررسی کنید. ببینید مجوز چه چیزی را ممکن میکند و آیا قابلیت استفاده‌کننده از آن را لازم دارید. اجازهٔ هدایت اتصال را توجیه بی‌حد برای دسترسی نامرتبط ندانید. [6]
بخش Data safety در Google Play اطلاعاتی را ثبت میکند که توسعه‌دهندگان دربارهٔ جمع‌آوری، اشتراک‌گذاری و شیوه‌های امنیتی داده‌اند. Google توضیح می‌دهد بعضی دسته‌ها استثنا دارند و درج بررسی امنیتی مستقل، کامل‌بودن یا دقت اظهارنامهٔ Data safety توسعه‌دهنده را تأیید نمی‌کند. جزئیات را بخوانید و نشان را تضمین بی‌قیدوشرط ندانید. [5]
ارائهٔ ۲۰۲۶ USENIX همچنین برنامه‌های VPN را شرح می‌دهد که شناسه‌های تبلیغاتی را برای ردیابی بین برنامه‌ها می‌فرستادند. این مسئله با خواندن درخواست وبِ رمزنگاری‌نشده توسط گرداننده فرق دارد. هنگام بررسی برنامه، جمع‌آوری داده توسط خود نرم‌افزار را هم ببینید، نه فقط وعدهٔ رمزنگاری ترافیک را. [3]
بررسی محدودی انجام دهید: مجوزها را ببینید، توضیح داده‌ها را بخوانید و هویت توسعه‌دهنده را ثبت کنید. اگر این سه با هم جور نیستند، تصمیم را متوقف کنید. برای جمع‌کردن شواهد بیشتر دربارهٔ پیشنهادی که هویتش را نمی‌شناسید لازم نیست چند برنامهٔ ناآشنا نصب کنید.
آیا IP متفاوت، هویت یا موقعیتم را پنهان میکند؟
به‌تنهایی نه. اثرانگشت‌گیری مرورگر و دستگاه می‌تواند جزئیات دستگاه یا مرورگر را به الگویی قابل‌شناسایی تبدیل کند. EFF توضیح می‌دهد ردیاب‌ها می‌توانند از چنین الگوهایی در وب‌سایت‌ها و برنامه‌های مختلف استفاده کنند. تغییر آدرس شبکه به‌تنهایی همهٔ آن ویژگی‌های دیگر را حذف نمی‌کند. [8]
موقعیت مسیر جداگانهٔ دیگری است. Android به برنامه‌های دارای مجوز مناسب اجازه می‌دهد از موقعیت دستگاه استفاده کنند. راهنمای Google مجوزها و خدمات موقعیت را از انتخاب‌های دیگر حساب و دستگاه جدا میکند. بنابراین آدرس اتصالی که خارجی به نظر می‌رسد، مدرک قطع دریافت اطلاعات موقعیت توسط همهٔ برنامه‌ها نیست. [7]
Security in a Box هدف‌های مختلف را جدا میکند: محافظت از اطلاعات در شبکهٔ محلی، کاهش ردیابی تجاری و جلوگیری از ارتباط‌دادن فعالیت به هویت. این هدف‌ها تصمیم‌های متفاوت می‌خواهند. راهنمای ناشناس‌ماندن آن همچنین دربارهٔ وصل‌کردن فعالیت به حساب هویت‌دار هشدار می‌دهد. [9]
مثلاً ورود به حساب شخصی آشنا، انتخاب استفاده از همان حساب است، حتی اگر مسیر شبکه عوض شود. انتظار نداشته باشید برچسب VPN اطلاعاتی را که خودتان می‌دهید بی‌اثر کند. پیش از بازکردن برنامه، مشخص کنید اتصال خصوصی می‌خواهید، موقعیت متفاوت برای دسترسی یا جدایی از هویت. این هدف‌ها جایگزین هم نیستند.
آیا VPNهای رایگان همیشه از پولی‌ها بدترند؟
هزینه‌گرفتن، قابلیت اطمینان فنی را ثابت نمی‌کند. مقالهٔ USENIX در سال ۲۰۲۳ دربارهٔ حملات معروف به TunnelCrack، ضعف‌های مسیریابی مؤثر بر چند دسته کلاینت، از جمله رایگان، پولی، سازمانی و VPNهای داخلی سیستم‌عامل را بررسی کرد. یافته‌ها دربارهٔ محصولات و شرایط آزموده‌شده در همان زمان‌اند؛ نباید آن‌ها را نرخ فعلی نقص در کل بازار معرفی کرد. [4]
هنگام خواندن ممیزی یا گزارش پژوهشی، تاریخ، نسخهٔ برنامه و موضوع بررسی را ببینید. پژوهش دربارهٔ مسیریابی ترافیک خودکار سیاست نگهداری دادهٔ شرکت را تأیید نمی‌کند. گفته‌ای دربارهٔ ثبت سوابق سرور خودکار کد تبلیغاتی برنامهٔ موبایل را پوشش نمی‌دهد. بپرسید آیا شواهد واقعاً ادعای مهم برای شما را بررسی کرده است یا نه.
برای پیشنهاد رایگان، بپرسید هزینهٔ سرویس چطور تأمین می‌شود و پس از پایان سهمیه چه اتفاقی می‌افتد. برای پیشنهاد پولی، معنی لغو و تمدید را بپرسید. این‌ها سؤال‌های عملی از تأمین‌کننده‌اند، نه دلیل برای امن یا ناصادق دانستن یکی از دو مدل قیمت.
پاسخ‌ها را مکتوب مقایسه کنید. جایی را که ارائه‌دهنده پاسخ نداده خالی بگذارید. آن جای خالی را با امتیاز ستاره‌ای، تعداد زیاد دانلود یا توضیح جذاب پر نکنید. تصمیم باید بر شواهد همان سرویس و نسخه تکیه کند، نه قاعده‌ای که هر محصول رایگان را مخرب می‌داند.
پیش از نصب یا نگه‌داشتن VPN چه چیزهایی را بررسی کنیم؟
از کمترین بررسی مفید شروع کنید. نام برنامه، توسعه‌دهنده و مسیر توزیع رسمی را ثبت کنید. توضیح نحوهٔ برخورد با داده‌ها و دلیل هر مجوز حساس را بخوانید. Google Play شیوه‌های اعلام‌شدهٔ توسعه‌دهنده، از جمله جمع‌آوری، اشتراک‌گذاری و حذف داده را در صفحهٔ برنامه ارائه می‌دهد. این گفته‌ها را سؤال‌هایی برای تحقیق بدانید، نه ممیزی مستقلِ تمام‌شده. [5]
بعد شواهد ادعاهای امنیتی را ببینید. پژوهش TunnelCrack نشان می‌دهد چرا سیستم‌عامل و رفتار مسیریابی مهم است. اگر ارائه‌دهنده به ارزیابی‌ای اشاره میکند، بررسی کنید آیا همان پلتفرم شما را پوشش می‌دهد و نرم‌افزار مرتبط از زمان ارزیابی تغییر کرده است یا نه. [4]
برگهٔ مقایسهٔ کوتاهی با پنج سؤال درست کنید: چه کسی اداره‌اش میکند؟ برنامه چه چیزی جمع میکند؟ سرور چه چیزی نگه می‌دارد؟ چه ارزیابی مستقلی وجود دارد؟ اگر اتصال قطع شود چه می‌شود؟ پاسخ «نامعلوم» مفید است، چون جای کمبود اطمینان را نشان می‌دهد.
برای گوشی مشترک خانواده، مشخص کنید چه کسی اجازهٔ نصب نرم‌افزار و تغییر مجوزها دارد. خویشاوندتان را مسئول فهم همهٔ اصطلاحات فنی نکنید. از او بخواهید اگر برنامهٔ تازه تغییری بی‌توضیح خواست مکث کند و راه آشنایی برای کمک‌گرفتن بدون دادن رمزها فراهم کنید.
اگر برنامه یا درخواست پرداخت مشکوک بود چه کنیم؟
تا وقتی مشکل را شناسایی می‌کنید، اطلاعات حساس تازه وارد نکنید. بنویسید چه رخ داد: درخواست مجوز غیرمنتظره، صفحهٔ ورود تازه، هزینهٔ بی‌توضیح یا قطع اتصال. نام برنامه و عبارت درخواست را نگه دارید. این مشاهدات از فرض علت یکسان برای همهٔ نشانه‌ها مفیدترند.
اگر پیام از شما می‌خواهد به صفحهٔ ورود بروید، به‌جای لینک پیام از مسیر شناخته‌شدهٔ حساب استفاده کنید. راهنمای فیشینگ Google توصیه میکند مقصد را بررسی کنید و اطلاعات شخصی را از طریق درخواست‌های مشکوک ندهید. پیام پرداخت یا تمدید VPN هم همان بررسی دیگر پیام‌های مربوط به حساب را می‌خواهد. [11]
اگر نگران افشای موقعیت هستید، تنظیمات موقعیت و مجوز برنامه‌ها را بررسی کنید و فرض نکنید تغییر سرور VPN مسئله را حل میکند. Google نحوهٔ دسترسی به موقعیت در سطح دستگاه و برنامه را توضیح می‌دهد. مشخص کنید کدام برنامه‌ها برای کارهایی که واقعاً انجام می‌دهید به این اطلاعات نیاز دارند. [7]
اگر پرداخت ناشناس یا تصاحب حساب قبلاً اتفاق افتاده، آن را رخدادی جدا بدانید. به‌جای ادامهٔ آزمایش برنامهٔ مشکوک، مدارک را نگه دارید و روند بازیابی مرتبط را دنبال کنید. راهنماهای امنیت آنلاین دانشنامه پویام به پرسش‌های دستگاه، حساب و کلاهبرداری می‌پردازد.
از حریم خصوصی انتظار واقع‌بینانه داشته باشید
ابزار را برای کار مشخص انتخاب کنید. کاهش آنچه شبکهٔ محلی می‌بیند، محدودکردن ردیابی تجاری و جدا نگه‌داشتن فعالیت از هویت هدف‌های متفاوت‌اند. راهنمای Security in a Box این تفاوت‌ها را صریح بیان میکند. پیش از پذیرفتن وعدهٔ کلی ناشناس‌ماندن، مشخص کنید کدام هدف برای شما مهم است. [9]
اگر مشکل ردیابی است، به یاد داشته باشید ویژگی‌های مرورگر و دستگاه می‌توانند به شناسایی کمک کنند. پیش از خرید سرویس اتصال دیگر، توضیح روش ردیابی را بخوانید. VPN ممکن است مسئلهٔ شبکه را حل کند و مسئلهٔ مرورگر را دست‌نخورده بگذارد. [8]
برنامه را آن‌قدر ساده نگه دارید که بتوانید ادامه‌اش دهید. ابزار مورداستفاده، دلیل استفاده و محدودیت‌هایی را که می‌فهمید مشخص کنید. وقتی گرداننده، مجوزهای برنامه یا شرایط سرویس تغییر کرد، تصمیم را بازبینی کنید. صرفاً چون هر محصول وعدهٔ یک لایهٔ محافظت دیگر می‌دهد، محصولات ناآشنا را روی هم انباشته نکنید.
برای مدل پایهٔ اتصال، توضیح آنچه VPN پنهان میکند و محدودیت‌هایش را در دانشنامه پویام بخوانید. نتیجهٔ مفید، تصمیمی مشخص و قابل‌فهم دربارهٔ اعتماد است، نه ادعایی که یک برنامهٔ رایگان یا پولی همهٔ فعالیت‌های آنلاین را امن میکند.
| اطلاعات یا خطر | تفاوت مرتبط | چیزی که باید بررسی کرد |
|---|---|---|
| اطلاعات اتصال شبکه | VPN حمل‌کننده و مشاهده‌گر مسیر را عوض میکند | هویت گرداننده و ادعاهای نگهداری داده |
| رمز فرستاده‌شده به وب‌سایت | اتصال معتبر HTTPS محتوا را هنگام انتقال محافظت میکند | مقصد درست و هشدارهای مرورگر |
| موقعیت دستگاه | مجوز برنامه از مسیر VPN جداست | تنظیمات موقعیت و برنامه‌های مجاز |
| ردیابی با ویژگی‌های دستگاه | IP متفاوت اثرانگشت‌گیری را حذف نمی‌کند | انتخاب‌های حریم خصوصی مرورگر و برنامه |
| خروج ترافیک از تونل | پیاده‌سازی و رفتار مسیریابی اهمیت دارد | شواهد تاریخ‌دار برای پلتفرم و نسخهٔ واقعی مورداستفاده |
اشتباه‌های رایج
فرض اینکه VPN می‌تواند همهٔ رمزهای رمزنگاری‌شده را بخواند.
راه درست: فرادادهٔ اتصال را از محتوای محافظت‌شده با HTTPS جدا کنید.
دانستن نشان فروشگاه به‌عنوان ممیزی مستقل و کامل حریم خصوصی.
راه درست: بخوانید چه چیزی ارزیابی شده و چه اطلاعاتی را توسعه‌دهنده داده است.
امن دانستن برنامهٔ پولی فقط به دلیل هزینه‌گرفتن.
راه درست: دنبال شواهد دربارهٔ برنامه، گرداننده و پلتفرم پشتیبانی‌شده باشید.
پرسش‌های پرتکرار
آیا VPN رایگان خودکار عکس‌هایم را می‌بیند؟
هدایت اتصال با مجوز دسترسی به عکس یکسان نیست. مجوزها و رفتار برنامهٔ نصب‌شده را جدا بررسی کنید. [6]
آیا نشت ثابت میکند گرداننده پیامهایم را دزدیده است؟
نه. نشت دربارهٔ خروج داده از مسیر محافظتشدهٔ موردنظر است. پیش از نتیجهگیری، مشخص کنید چه چیزی و در چه شرایطی خارج شده است. [3]
آیا VPN جلوی سرقت رمز توسط صفحهٔ پرداخت جعلی را می‌گیرد؟
برای این کار به آن تکیه نکنید. مقصد را بررسی کنید و از واردکردن اطلاعات حساب از طریق لینک مشکوک خودداری کنید. [11]
آیا روشن‌کردن VPN دسترسی به موقعیت را خاموش میکند؟
نه. دسترسی به موقعیت در Android تنظیمات و مجوزهای جدا دارد و باید جدا بررسی شود. [7]
واژه‌نامه
- فراداده
- اطلاعات مربوط به اتصال، مثل زمان‌بندی یا آدرس‌ها، نه محتوای پیام.
- DNS
- سامانهٔ پیدا‌کردن آدرس شبکه برای نام سرویس‌های اینترنتی.
- نشت ترافیک
- خروج ترافیک از مسیری که برای محافظت از آن در نظر گرفته شده؛ پیامد به اطلاعات خارج‌شده بستگی دارد.
- اثرانگشت‌گیری دیجیتال
- شناسایی یا ردیابی بر اساس ترکیبی از ویژگی‌های مرورگر یا دستگاه.
منابع
- Choosing the VPN That's Right for You Electronic Frontier Foundation
- Check if a site's connection is secure Google
- Broken Promises: Who's Accountable When VPNs Fail? USENIX / Roya Ensafi
- Bypassing Tunnels: Leaking VPN Client Traffic by Abusing Routing Tables USENIX
- Understand app privacy & security practices with Google Play's Data safety section Google
- Change app permissions on your Android phone Google
- Manage your Android device’s location settings Google
- What Is Fingerprinting? Electronic Frontier Foundation
- Anonymize your connections and communications Security in a Box
- What is DNS? Cloudflare
- Avoid & report phishing emails Google
نظرات
نظرهای برتر