绿茶VPN安全加固：无日志审计通过年度复核

2026 年 9 月 20 日，绿茶VPN 公布年度第三方无日志审计复核结果：审计方确认服务端不记录访问目标网址、DNS 查询内容与连接时间戳，仅保留账号邮箱、套餐状态与月度流量汇总用于计费，密钥轮换周期由 30 分钟缩短至 12 分钟，审计报告摘要同步在隐私政策页公开。报告摘要保留原始审计编号，任何人可凭编号向审计机构核验。摘要与报告正文口径一致，不存在只公开有利结论的情况。

无日志承诺最容易停留在口号。安全合规负责人温婷说，这次审计的关键不是再写一遍承诺，而是让审计方能够验证承诺，「我们把运维流程、密钥管理系统和磁盘镜像都交出去检查，包括我们自己的内部工单记录。」审计过程中，团队没有获得任何豁免，所有抽样要求均在 24 小时内响应。审计方的访谈对象包括运维、研发与客服三个团队，避免只听管理层说法。访谈记录同样留档备查，可追溯到具体问题与答复人。

年度审计范围：不记录访问目标与 DNS 查询

审计覆盖 4 类系统：接入网关、DNS 解析器、计费系统与运维跳板机。结论是接入网关仅保留会话元数据（加密套件、出口节点、字节数），保留期 24 小时用于故障定位，到期自动覆写；DNS 解析器关闭查询日志，仅统计总请求量，不记录域名与解析结果。网关的抓包开关默认关闭，开启需双人授权，且开启记录会在 24 小时内被复核。抓包文件不落盘，仅在内存中留存，会话结束即释放。

审计由独立第三方机构执行，流程分为文档审阅、配置核验与现场抽样三步：先核对隐私政策条款与系统设计文档是否一致，再登录网关与解析器检查配置项，最后对边缘服务器磁盘做抽样扫描，确认没有明文网址与查询记录。本次共计抽样 12 台服务器、4 个网关集群。抽样服务器从四个区域随机抽取，其中两台为刚上线不久的新节点。抽样结果逐台登记，包含服务器编号与扫描时间。

计费系统保留的三类数据被明确列出：注册邮箱、套餐有效期、每月流量总量，保留期为账单周期加 90 天。审计方同时抽样检查了 12 台边缘服务器的磁盘，未发现访问目标记录残留。数据到期由定时任务覆写，覆写记录进入审计日志，运维人员无法单独关闭该任务。计费数据与身份数据分库存储，分析人员只能看到脱敏后的汇总表。汇总表按周生成并自动脱敏，手机号与邮箱均为掩码显示。

密钥轮换 12 分钟，磁盘全量加密

会话密钥由硬件安全模块生成，轮换周期从 30 分钟缩短到 12 分钟，单次轮换影响 0.3% 的活跃会话，客户端在下一包自动完成重协商。所有边缘节点磁盘启用 AES-256 全量加密，密钥与数据分离存放，物理拆盘无法直接读取，退役磁盘统一做消磁与物理销毁。密钥管理系统独立于业务网络，管理口不对外暴露，访问需经堡垒机跳转。堡垒机会话全程录像保存 180 天，调阅需再次授权。

数据保护工程师潘立补充了运维侧的改动：配置文件与日志目录分离，日志写入后 15 分钟内转存加密卷，运维人员通过跳板机只能查看聚合指标，无法读取单用户会话内容。他还提到，内部工单系统已禁止粘贴用户网址，「连截图都要打码，这是我们给自己定的规矩。」日志转存采用流式加密，密钥每小时更新，旧密钥在转存完成后立即销毁。转存过程不经过公网，链路两端均做证书校验。

双人授权运维：把权限关进笼子

涉及用户数据的管理操作需要两名工程师同时授权，一人在控制台发起，另一人通过独立的硬件密钥确认，操作全程录屏并写入不可篡改的审计日志。2026 年前三季度共触发 37 次双人授权，其中 4 次被第二人驳回。硬件密钥由两名负责人分别持有，任何一方离职即触发更换。应急流程的每次使用都会触发事后复核，2026 年前三季度共使用 2 次，均通过复核。两次使用均为磁盘故障排查，事后复核未发现越权访问。

普通用户也可以做基础核查：第一，在账户中心查看登录设备与最近 30 天会话记录，异常设备可一键下线；第二，在客户端诊断页导出本地日志，确认没有明文网址被写入；第三，在隐私政策页面查看最新修订日期与变更条目。这三项操作都不需要提交工单，随时可以自行完成。若发现设备列表中有不认识的登录记录，建议立即改密并联系客服冻结会话。以上三项均可在客户端内完成，不需要提供任何身份材料。

温婷表示，下一次审计将在 2027 年 3 月启动，范围会扩展到自建 DNS 加密解析链路与客户端更新签名机制。绿茶VPN 同时承诺，若未来因合规要求需要调整日志策略，会提前 30 天在站内公告并在客户端弹窗说明，不会静默变更。想核实本次审计范围与结论，可在隐私政策页面对照条款阅读。隐私政策页同时提供历次修订对比，改动条目以高亮标出。