「威脅模型」這種文件怎麼讀？用 Tor 官方那份當範本走一遍 — 問問貓 VPN 該選哪一家

一、什麼是威脅模型，為什麼你該在意

一般 VPN 的行銷頁長這樣：「軍事級加密」「保護你的隱私」「隱藏你的 IP」。

這些句子的共同問題是沒有對象。保護你不被誰看到？在什麼條件下成立？沒說。

威脅模型（threat model） 就是把這件事寫清楚的文件：它假設對手是誰、能力到哪裡、在什麼條件成立時你會得到什麼保護、哪些情況下什麼都沒有。

會公開這種文件的服務不多，Tor Project 替 Tor VPN Beta 寫的那一份是公開可讀的範本。以下用它示範怎麼讀，重點不是要你去用哪個產品，而是學會這套讀法之後，你看任何一家 VPN 的官網都會多一雙眼睛。

好的威脅模型通常開門見山就潑冷水。Tor 那份的摘要段落就寫了：

「Tor VPN 不會神奇地讓所有 App 變成匿名或化名。如果使用者用了真名，或是在沒有透過 Tor 的情況下建立帳號，那他就沒有任何化名性可言。」

這句話翻成白話就是：**技術擋得住網路層的窺探，擋不住你自己交出去的身分。**你用真實姓名、手機號碼註冊的帳號，不會因為多了一層 VPN 就變成匿名。

這是所有 VPN 都適用的道理，只是很少有業者願意寫在自家官網上。

檢查表第一條：去看你考慮的那家 VPN，官網上有沒有任何一句在說明「我們保護不到什麼」。找不到，就自己補上這個認知。

這份文件最有價值的結構，是它不給單一答案，而是列出不同條件下你得到的保護等級不同。官方的說法大致分成幾層：

裝到了但完全沒啟用：官方明列這種情況下沒有任何額外保護。聽起來理所當然，但這正是很多人的實際狀態——裝了 App，沒開。
只把部分 App 走 Tor（per-app 模式）：官方寫明，沒有被選取的 App 得不到保護。
用一般 Android、一般 Google 帳號：能得到的保護有限，官方說明可以協助「單一化名」的使用，但不同 App 裡的不同名字仍可能被 App 行為串起來。
用隱私強化過的系統、配置正確的隱私友善 App：這時才談得上「不同 App 用不同化名且無法被連結」。

檢查表第二條：任何一家 VPN 的宣傳，你都要自己補上「在什麼條件下」。例如「防止 DNS 洩漏」——是預設開啟還是要手動開？是所有平台都有還是只有桌面版？

這份文件有一段列出目前已知、而且官方沒有辦法替使用者解決的弱點。舉兩個例子：

推播通知：官方寫明，把推播權限關掉並不足以阻止 App 向 Google 的推播服務註冊並取得一個把 App 連到 Google 帳號的權杖。有些通訊 App 提供設定可以關掉或改用非 Google 的推播，有些則完全沒有這種設定。官方直接說：在這種情況下使用者沒有真正的緩解手段。
裝置識別碼：官方指出，一旦某個 App 在裝置上被「認出身分」，之後在同一個 App 裡重新註冊新帳號也不會消除這個關聯；甚至刪掉 App 再重裝，在同一個使用者設定檔下仍然可能被連結。

這兩段的共同訊息是：很多追蹤發生在 VPN 管不到的那一層。VPN 處理的是網路路徑，而推播權杖、廣告識別碼、帳號本身，走的是另一條路。

檢查表第三條：當一家 VPN 宣稱「阻擋追蹤」時，問清楚是哪一種追蹤。擋廣告網域？擋 DNS 層？還是只是換了個 IP？這三件事的效果差距非常大。

讀完這類文件，你可以拿這四個問題去問任何一家 VPN 的官網或客服：

威脅模型這種文件，讀起來會讓人覺得「那 VPN 是不是沒什麼用？」

不是。正確的理解是：VPN 解決的是一個明確、有限、但真實存在的問題——讓你和你連線的網路之間那一段，不被中間的人看見內容與目的地。它從來就不是一個「開了就全面安全」的按鈕。

會誤導你的不是 VPN，是那些讓你以為它能解決一切的宣傳。願意公開寫下自己邊界的服務，反而是比較誠實的那一種。

實查：2026-09-11

資料來源：

Tor Project 官方支援文件〈Tor VPN Threat Model〉：https://support.torproject.org/tor-vpn/security/threat-model/
Tor Project 官方部落格〈Tor VPN Beta: What we’ve learned building our own VPN for Android from scratch〉2026-09-09：https://blog.torproject.org/tor-vpn-beta/

本文只整理公開技術文件與其對消費者選購的意義，不提供任何規避地區限制或封鎖的操作教學。使用網路服務請遵守當地法令與各服務條款。