Proton VPN 专项优化：无日志架构完成年度审计

2026 年 10 月 9 日，Proton VPN 公布了新一轮无日志架构审计结果。独立第三方机构在 8 个数据中心随机抽查 240 台服务器，执行 1,024 项配置与运行时检查，未发现任何访问日志、DNS 查询记录或会话时间戳留存，配置合规率 100%。本轮审计周期由此前的 18 个月缩短至 12 个月，报告全文已同步公开。

无日志不是一句承诺，而是一组可以被验证的工程约束。过去两年，Proton VPN 把服务器从“安装操作系统后长期运行”改为“内存盘启动、断电即清空”，并移除所有可能产生持久化写入的组件。审计要做的，是确认这些约束在真实环境中确实生效，而不是只写在文档里。

“我们不期待审计给出夸奖，只期待它找出漏洞。”Proton VPN 隐私合规负责人顾清和在报告发布会上说，“这轮我们主动把抽样比例从 1.2% 提到 1.9%，就是要提高发现问题的概率。”

审计范围与方法：从配置基线到运行时取证

审计方在 9 月 14 日至 9 月 26 日期间进入机房，采取不预先通知的方式抽取样本，覆盖苏黎世、法兰克福、新加坡、东京、洛杉矶、圣保罗、约翰内斯堡与悉尼 8 个站点，共 240 台服务器，占 12,800 个节点的 1.9%。每台设备执行 4 类检查，合计 1,024 项。

• 配置基线：启动参数、内核模块、时间同步与远程访问策略。
• 持久化检查：磁盘挂载状态、写入缓存、临时目录与转储配置。
• 运行时取证：内存快照中的连接表、进程列表与打开的文件句柄。
• 访问控制：双人授权记录、运维跳板日志与密钥轮换周期。

审计方还模拟了两类异常场景：强制断电后重启，检查运行数据是否残留；在单台设备上临时启用详细日志，验证监控系统能否在 60 秒内告警并自动回滚配置。两项测试均通过，回滚平均耗时 43 秒。

抽查结果：零日志留存与三项观察项

在 240 台样本中，磁盘均处于加密且未承载用户数据的状态，内存快照未发现包含访问目标、解析记录或时间戳的持久结构。连接表仅保留当前活跃会话的路由信息，会话结束后 90 秒内清除，符合设计预期。

审计方同时提出三项非高危观察项：其一，2 台设备的调试接口在维护窗口内开放时间超出策略 6 分钟；其二，1 个机房的时间同步源单一，存在漂移风险；其三，密钥轮换记录在跨区域同步时存在最长 4 小时的延迟。三项均已在 10 月 6 日前完成整改。

合规率统计口径为“通过项 ÷ 总检查项”：1,024 项检查中 1,021 项首次通过，3 项整改后通过，最终合规率 100%，无高危或中危发现。相比上一轮审计的 4 项观察项，本次减少 1 项，但抽样量增加 58%。

隐私工程细节与后续计划

支撑审计结论的是三项长期机制。第一，服务器镜像每次启动都从只读模板加载，运行期写入落在内存盘，重启即失效。第二，运维访问必须两人同时授权，且只能通过跳板机操作，操作录像保留 180 天但不含用户流量。第三，所有涉及数据采集的代码变更都需通过隐私评审，评审记录与提交一一对应。

“最难的从来不是删掉日志，而是确保下一个人不会把它加回来。”Proton VPN 协议工程组技术负责人沈澜说，“所以我们在 CI 里加了静态检查，任何写入用户标识的代码都会让构建失败，评审不再是唯一防线。”

下一步计划包括：把审计周期固定为 12 个月并逐步覆盖更多站点；在 2027 年第二季度前完成全部节点的可复现构建，让外部研究者能核验二进制与源码一致；以及引入第三方对密钥管理流程的专项评估。相关进度将按季度在透明度页面更新。

对普通用户而言，这些工作不会改变使用方式：免费版依旧不限流量，连接步骤仍是三步。变化在于，当你选择相信一个无日志承诺时，至少有 1,024 项检查结果可以拿来对照。