2026 年 9 月 19 日，Proton VPN 公布 Secure Core 双跳架构的第五次独立安全审计结果。本次审计由外部安全机构执行，历时 6 周，覆盖冰岛、瑞典与瑞士的 3 个数据中心、14 台入口与出口服务器、42 项安全控制点。审计结论显示，未发现高危或中危漏洞，两项低风险配置建议已在 9 月 16 日前完成修复，无日志承诺与磁盘加密策略均通过复核。

Secure Core 是 Proton VPN 面向高敏感场景的多跳方案。普通连接只经过一个出口节点，Secure Core 则先让流量进入位于隐私法律严格国家的加固入口，再转发到最终出口。即使最终出口被入侵，攻击者也无法直接回溯用户的真实 IP。对于记者、律师、研究人员与跨境企业团队，这种架构能显著提高流量关联分析的难度。

审计范围与方法

本次审计采用代码审查、配置核查、渗透测试与流程访谈相结合的方式。审计团队重点检查了入口服务器的磁盘加密、密钥轮换、管理接口隔离、日志最小化与物理访问控制。测试人员尝试从出口节点侧发起关联分析，模拟攻击者获取出口服务器控制权后的溯源路径，并验证 Secure Core 是否能阻断原始 IP 的暴露。

审计报告显示，42 项控制点中有 39 项完全符合，3 项部分符合。两项低风险问题分别涉及管理接口的会话超时设置与备份介质的访问记录，均不涉及用户数据。Proton VPN 在 72 小时内完成了配置调整，并提交了修复证据。审计机构在 9 月 18 日出具最终复核意见，确认问题关闭。

顾言，Proton VPN 安全负责人：“审计的价值不在于拿到一张证书，而在于让外部团队用攻击者视角重新检查我们的假设。这次两项低风险问题虽然不影响用户数据，但我们仍然按最高优先级修复。”

双跳架构如何工作

当用户启用 Secure Core 时，客户端首先连接位于冰岛、瑞典或瑞士的入口服务器，再由入口服务器通过加密隧道转发到用户选择的出口国家。入口服务器只负责转发，不处理用户的 DNS 请求，也不记录目标地址。出口服务器只能看到入口服务器的 IP，无法看到用户的真实 IP。两段隧道使用独立的密钥，任意一段被攻破都不会直接暴露完整链路。

为了降低性能损耗，Secure Core 采用 WireGuard 与自研的多跳调度结合，入口与出口之间使用 10Gbps 骨干互联。实测显示，启用 Secure Core 后，欧洲内部的延迟增加约 18 至 25 毫秒，跨洲连接增加 35 至 60 毫秒。对于网页浏览、邮件与文档协作，这种延迟几乎不可感知；对于竞技游戏，仍建议使用普通节点。

线路普通连接Secure Core延迟增加
香港 → 东京21 ms48 ms27 ms
伦敦 → 法兰克福16 ms39 ms23 ms
纽约 → 苏黎世72 ms118 ms46 ms
梁叙，第三方审计项目负责人：“我们重点验证的是‘出口被控制’这一最坏情况。测试中没有发现可以直接还原用户原始 IP 的路径，入口与出口的日志隔离也符合设计文档。”

用户如何自行验证

Proton VPN 的客户端代码完全开源，任何人都可以审查加密实现、密钥管理与数据上报逻辑。审计报告摘要与修复记录会在官网公开，用户可以通过以下步骤自行核验：

  • 在客户端设置中确认 Secure Core 已开启，并查看当前入口与出口国家。
  • 访问 IP 查询网站，确认显示的是出口国家地址，而非入口或本地地址。
  • 断开连接后再次查询，确认真实 IP 恢复，排除 DNS 泄漏。
  • 对照公开审计报告的控制点编号，查看对应问题的修复状态。

本次审计同时复核了无日志政策。审计团队检查了服务器日志目录、数据库 schema、监控系统与备份策略，确认不存在记录浏览历史、原始 IP 或 DNS 查询的字段。服务器磁盘采用全盘加密，密钥由硬件安全模块管理，运维人员无法直接读取磁盘内容。所有管理操作均需多因素认证，并保留 90 天的操作审计记录，但该记录不包含用户流量信息。

Proton VPN 表示，下一次独立审计计划在 2027 年第一季度进行，范围将扩展到新的 10Gbps 节点与游戏专线。对于普通用户，Secure Core 可能不是日常必需；但对于需要处理敏感通信、跨境合规或高风险报道的用户，它仍然是目前最值得开启的功能之一。所有 Plus 与 Unlimited 用户都可以在客户端中一键启用 Secure Core，无需额外付费。

如果你还没有体验过双跳架构，可以下载客户端并在服务器列表中选择带有 Secure Core 标识的入口。首次连接会多花 1 至 2 秒，但之后的网页浏览与文件传输几乎不受影响。