VPN 审计能证明什么，不能证明什么

简短回答

审计表明，某个具名方在特定时间检查了定义明确的一组系统，并报告了其发现。这很有用，但其范围远比首页上“经过独立审计”这句话所暗示的窄得多。

在审计改变你对服务商的看法之前，你需要知道审计属于哪种类型、覆盖了什么、何时进行，以及你是否能阅读报告。

不同审计回答不同问题

一项声明可能属实，但回答的仍是与你的问题不同的问题。对应用进行干净的审查，并不能说明公司是否能将一次会话关联到某个人。

应提出的五个问题

1. 是谁做的？ 一个有声誉需要维护的具名机构，比未具名的“第三方”更有分量。
2. 采用了什么标准？ 明确说明的标准和方法可以拿来比较。笼统的认可声明则不能。
3. 范围包括什么？ 覆盖整个服务器群与只覆盖样本是不同的声明，而产品或服务器类型有时会被排除在外。
4. 你能阅读报告吗？ 完整的公开报告、登录后才能查看的报告和新闻稿，代表证据的三个不同层级。
5. 是什么时候？ 系统和所有者会发生变化。一份旧审计描述的是更早时期的公司，而一系列审计比单次审计能说明更多。

每项审计的边界

审计报告针对的是一段已经结束的时期。审计人员离开后的第二天，配置就可能发生变化，而报告中的任何内容都不会显示这一点。

审计还依赖公司展示的内容。审计人员可以检查系统并询问员工，但他们很难发现专门建造来躲过检查的东西。服务商通常也会为这项工作付费，并同意审计边界。这些都不意味着审计毫无价值，但确实意味着审计只是多种证据中的一种。

其他证据可能来自服务商未安排的事件，例如服务器被扣押，或一份最终什么也没有查出的法院命令。这些情况很少见，而且同样只描述某个时刻。

名录如何解读审计

名录将审计视为具有若干属性的证据：由谁完成、采用什么标准、审计内容公开了多少，以及距今有多久。这些问题和方法论说明了这些属性各自占多大比重，以及这种权重会如何随时间减弱。

记录会引用每项数值背后的审计并给出日期，因此你可以自行打开来源。对于许多没有任何出处可引的服务商，记录也会如实说明，得分会体现这一点。