著作权声明：本文首次发表于2020年10月10日，原标题为《“翻墙”浏览器冷思考——可疑的经营资质、未知的合规风险以及被架空的隐私政策》。现删除部分激进表述，对翻墙浏览器技术原理以及合规风险部分的分析予以保留并重新发表，聊作纪念。
距离第一次发表该文已经过去4个月了。还记得写这篇文章的时候，各种名称的“翻墙”浏览器app和PC端应用层出不穷，当时调研、收集和测试的软件就包括以下11款：
1、福建紫讯公司运营的：①灵狐浏览器；②quickfox加速器；③紫鸟超级浏览器；④酷鸟浏览器；
2、江苏萃起公司运营的：①金盾跨境浏览器；②雷兔跨境浏览器；③腾浪跨境浏览器；
3、上海丰炫信息技术公司运营的：①绿光浏览器；②tuber浏览器 ；
4、河北启天电子技术公司运营的：视界通浏览器 ；
5、上海昆奥网络科技公司运营的：轻搜跨境浏览器。
前述“浏览器”市场激烈竞争的局面，曾一度让许多人燃起了希望，认为今后访问外网将受到更少束缚，并将这种政策性调整理解为逐步开放的第一步。顺应这种期望，笔者也于《一种基于ssproxy、具有突破“GFW系统”功能并将审查本地化的“合法”跨境浏览器分析》一文中十分克制地表达了对其积极意义的赞赏。然而，一旦揭开前述软件的技术面纱和涉及的法律困境，笔者便不得不对它们的发展前景秉持否定态度，并以“冷思考”为标题撰写了这篇质疑文章。
事实证明，在当年10月本文首次发表后两个月内，全网几乎所有“翻墙”浏览器都已经被主流搜索引擎作出关键词限制，亦遭到各大应用市场的广泛下架而丧失了分发渠道。在各个app内部，vpn服务早已处于不可用状态、付费入口也已经关闭；而部分app开发者却仍试图苟延残喘：他们找了一个十分老掉牙的借口——服务器维护，但机智聪明的网友对着“服务器维护”这行字左看右看，每个字眼都好像在替他们敲响丧钟。而更重要的是，这些浏览器曾经提供了付费服务，在服务关停后他们是否退还了用户支付的服务费，尚属未知数。
还记得许多网友认可这些浏览器产品的进步意义，亦有听众私信我称这些产品的推广得到了某些部门的秘密授权和许可。现在，我可以毫无顾忌地把曾经憋在心里的话说出口了：这些浏览器只不过是在借着严厉的审查政策恰烂钱，他们提供服务所收取的费用与不受限制的vpn服务价格无异，甚至比后者价格更贵，但以这种对价换取而来的服务却受到层层限制，用户隐私安全问题亦十分堪忧。
总之，十分荣幸，笔者和众多读者们一道见证了这些“翻墙”浏览器的昙花一现和最终的悲惨命运。现在我可以骄傲地说，下文、包括此前文章对前述“翻墙”浏览器运营商电信经营许可资质的质疑、以及对浏览器适用技术的分析和合规问题的总结是经得起“历史”检验的。但我又何尝不希望自己被打脸呢？
以下为原文（标黄部分为本次发表新添加内容），供各位参考。
2、翻墙服务不符合VPN所要求的“闭合用户群”网络特征
3、“国内互联网资质”是否涵盖跨境性质的访问服务？
三、GFW授权基础的延伸：翻墙浏览器面临的尴尬处境（新添加内容）
该文以一种中立视角，讨论了目前流行的、一类具有突破GFW“安全保护措施”的“合法”翻墙浏览器的功能实现原理、使用体验、敏感信息屏蔽效果等问题。在文末，笔者花费少许笔墨，非常克制地评价了这种产品的积极意义。然而前文对于这些浏览器背后的运营方资质问题（主要是电信业务经营许可资质的定性）没有进行分析；尚未涉关于上述产品使用过程中的用户隐私问题；也忽视了“本地化屏蔽”模块必然篡改境外社交平台网页内容、搜索结果等，此类行为很可能涉嫌违反第三方平台服务协议。
因此，借着近日“Tuber浏览器”的“火爆”，本文对上述几项遗留问题作简要讨论——进而从反面对这类产品作一定批判性分析。
一、“翻墙”浏览器可疑的可疑的电信经营许可资质——国内互联网虚拟专用网？
根据天眼查显示的信息，此类翻墙浏览器运营方申请到的系工信部《电信业务分类目录（2015年版）》中的B-13 国内互联网虚拟专用网业务资质。
国内互联网虚拟专用网业务与“翻墙服务”存在三个层面的显著区别。
其导致的直接问题是：将拥有VPN资质等同于“合法经营翻墙服务”——此种解释是比较牵强的。
目录中，该业务的官方定义为：国内互联网虚拟专用网业务（IP-VPN）是指经营者利用自有或租用的互联网网络资源，采用TCP/IP协议，为国内用户定制互联网闭合用户群网络的服务。互联网虚拟专用网主要采用IP隧道等基于TCP/IP的技术组建，并提供一定的安全性和保密性，专网内可实现加密的透明分组传送。
中华人民共和国通信行业标准《基于网络的虚拟IP专用网（IP-VPN）框架》（YD/T 1190-2002）将虚拟专用网（Virtual Private Network）定义为：在共享网络中，通过多种技术（如隧道、加密等）实现原有专用网络的能力，并在保证网络的安全性、可靠性、可管理性的同时提供更强的扩展性和灵活性。
①VLL组网-虚拟专用线：系VPN最简单的一种形式，通过运营商边缘节点向用户提供两个CPE设备间的点到点连接业务。
②VPRN组网-虚拟专用路由网：通过公网IP忘了进行多站点广域路由网络业务的一种仿真。
③VPDN组网-虚拟专用拨号网：远端用户通过PSTN/ISDN等方式拨入公网IP网，并由网络边缘设备将数据包隧穿公网以传送至目的网络。
④VPLS组网-虚拟专用LAN网段
tuber浏览器等产品的功能原理系基于境外虚拟专用服务器(Virtual Private Server)的代理服务，具体来说即使用了shadowsocks协议。比照下图所示的proxy server的业务特性，可见，基于socks协议的翻墙代理服务与前述虚拟专用网业务的任意一种模式皆无法吻合。
2、翻墙服务不符合VPN所要求的“闭合用户群”网络特征
另外，电信业务分类目录中，关于“虚拟专用网”的构成要件还包括：闭合用户群(CLOSED USER GROUP)。根据前述标准3.1.10条作如下定义：指很多特定的用户站点形成的一个闭合的用户群，通过基于网络的IP-VPN业务来保证其间的通讯，并防止未经授权的其他站点方总这些站点；某个CUG内部使用私有的IP地址，多个CUG之间的地址空间可以重用。本业务特性防止了未经授权的包扩散到网络内部，包欺骗、在传输中修改数据包等攻击方工，并可以对不同类型包进行处理、统计和计费。
百度对“闭合用户群”的定义系：由若干个用户组成的封闭通信群体。群体内的用户之间可以相互呼叫，阻止群内用户呼出以及群外用户呼入，为某些要求通信保密的用户提供了方便。
用大白话来说，它即是VPN的早期使用场景——用于企业内网的远程访问等，在该场景下，禁止内网用户随意访问外网、禁止未授权的外部服务器与VPN网关建立连接或向其发送数据。
正如上文所述，VPN代理最初解决的核心问题系内网数据在公网领域的安全交换。在传统的企业场景中，VPN是不可能用于“翻墙”服务的，其原因在于，企业内网服务器为了保证安全，应当遵循最小特权(Least Privilege)原则，限制内网的Internet服务，以减少IP地址暴露于公网进而遭受攻击的可能性。这一点，从Windows Server内IE浏览器中默认的增强安全配置（ESC）中亦可见一斑——当你使用Windows服务器系统使用浏览器，会发现访问任何网站都需要手动授权，否则将断开连接，这一功能便起到了保护服务器的作用。
显然，翻墙服务的运营特征完全违背了“闭合用户群”的要求。虽然VPN和proxy server通常皆为“用户端-服务端”架构，然而后者建立的系一项完全开放的网络，而非像VPN那样的局域网。从技术层面看，更明显的区别在于：
“VPN方式是将客户端和服务器配置在一个LAN域，所有在配置VPN服务器时要求给服务器指定LAN于内的IP，且声明可以用于分配给客户端的IP范围，每个客户端连接VPN后，会分配到一个特定的IP地址，可以通过ipconfig/ifconfig查看到。
代理方式，服务器只接受客户端的请求数据包，然后转发，客户端不会分配得到特定的IP地址。”（载于《浅谈VPN和代理》via blackwolfsec.cc）
然而作为“翻墙”服务的VPN代理，却使得供应商必须完全开放内网对Internet的访问权限，此种运营模式本身与传统企业私人网络的应用场景产生了分立，完全与VPN代理的初衷渐行渐远。更直白地说，此类衍生的VPN服务，天生就是为了规避GFW这样的审查系统而存在的。因此，维基百科“VPN”词条首段的定义，就毫不掩饰VPN技术衍生出了规避网络审查的功能。
这是一个老生常谈的问题，即，将翻墙工具等同于VPN，系一项非常大的误解。若这种概念的混淆始终得不到解决，那么在此基础上的一切讨论都将是儿戏。
因此必须再次强调的是，“虚拟专用网业务”和翻墙服务完全是两种性质截然不同的东西。严格意义上，翻墙服务所对应的业务特征，并不能和2015版工信部出台的电信业务分类目录中的任何一项完全吻合。
笔者下此结论或许有些武断，但实际上这是非常符合逻辑的结论——在一个“司法实践中通常将翻墙工具认定为侵入计算机信息系统的工具”的时代，翻墙业务本身不可能成为一项须经审批、正式的、明文规定的互联网业务，否则其将与刑法相关条文的适用产生严重冲突。
当然，这并不意味着翻墙服务经营必然无需任何资质——最基本的icp经营许可是不可或缺的。然而，若将翻墙业务的目的、功能全盘托出，审批机关毫无理由冒风险向其颁发相关资质。
因此，这类浏览器以获得“国内互联网虚拟专用网”资质为由，自证其翻墙服务不存在法律风险，以下两种可能性必居其一：
②自欺欺人、在违法边缘试探。√（2021.2.2勾选）
但可以肯定的是，不宜将单纯拥有“国内虚拟专用网经营许可“视为一张万能的、毫无风险地通往“自由经营翻墙工具”的资格证。
3、“国内互联网资质”是否涵盖跨境性质的访问服务？
亦有读者认为，上述产品运营方享有的皆系境内VPN资质，并不包含跨境数据传输。笔者认为其有一定道理。《电信业务分类目录》于文件末尾标注：基于互联网的国际闭合用户群数据业务属互联网国际数据传送业务，利用国际专线的国际闭合用户群数据服务属国际数据通信业务。因此，即使退一步，认定翻墙服务依旧符合“闭合用户群”业务特性，但因其使用了国际专线，或由于其“跨境互联网访问”的业务特性，或许将其归为“国际数据传送业务”更符合“翻墙业务”的本质。
实际上，在上述目录中，可能产生争议的门类尚有：
①第一类基础电信业务中的“A14-4 国际数据通信业务”；
②第二类基础电信业务中“A24-1 固定网国内数据传送业务”中的“虚拟IP专线数据传送业务”；
③第二类基础电信业务中“A24-1 固定网国内数据传送业务”中的“虚拟专用网（不含IP-VPN）业务”。
二、合规性风险：违反境外社交平台服务协议+没有关于刑法第285条第三款“提供侵入计算机信息系统的工具”的出罪理由
这是一项非常容易联想到的合规性问题。任何国家的任何互联网产品，都不会容许第三方随意篡改其服务内容——用Bilibili Evolved篡改B站的界面和内容、用AC-baidu影响搜索引擎的SEO结果、屏蔽广告，且不论行政、刑事责任问题，首先在民事上显然系一种违反用户协议的行为。
随便拿youtube举例即可：
Permissions and Restrictions
（载于www.youtube.com/t/terms（访问日期 2020.10.10））
You may access and use the Service as made available to you, as long as you comply with this Agreement and applicable law. You may view or listen to Content for your personal, non-commercial use. You may also show YouTube videos through the embeddable YouTube player.
The following restrictions apply to your use of the Service. You are not allowed to:
②circumvent, disable, fraudulently engage with, or otherwise interfere with any part of the Service (or attempt to do any of these things), including security-related features or features that
(a) prevent or restrict the copying or other use of Content or
(b) limit the use of the Service or Content;
只要您遵守本协议和适用法律，便可以访问和使用向您提供的服务。您可以查看或收听内容，以用于个人非商业用途。您也可以通过嵌入式YouTube播放器显示YouTube视频。
②规避，禁用，欺诈性地使用或以其他方式干扰服务的任何部分（或尝试做任何这些事情），包括与安全相关的功能或
（a）阻止或限制对内容或内容的复制或其他使用的功能
尽管翻墙浏览器对第三方平台搜索结果的屏蔽，系为了境内服务的合规性要求，但这并不代表境内服务商可以由于一国政策之原因篡改境外服务平台的服务内容，尤其在“这类平台并不实际运营于境内”的情形下，这些企业无须符合国内关于互联网业务的法律法规和政策要求。
因此，翻墙浏览器的境内合规性是建立在对第三方平台服务协议的违反基础之上的。
司法实践中的关于刑法285Ⅲ的法教义学论证方式无一例外以下述形式展开：
★【大前提：刑法285Ⅲ/法释〔2011〕19号】
专门用于侵入计算机信息系统的程序、工具的内涵系：具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的；或其他专门设计用于侵入、非法控制计算机信息系统、非法获取计算机信息系统数据的程序、工具（兜底条款）。
★【小前提：翻墙软件的原理】
在前端计算机和境外VPN代理服务器之间建立虚拟专用通道，将前端计算机访问某个受限网站的请求通过通道发送给境外 VPN 代理服务器，由 VPN 代理服务器接收目标网站的响应后，将获取到的信息原样转发给前端计算机。这样，前端计算机就绕开监管，建立了一个 VPN 通道访问境外的受限网站。
（注：此种解释方式表面上是在描述VPN，实质上却是对proxy工作原理的精确描述）
★【结论】
这种绕过计算机信息系统或者相关设备防护措施的行为，符合提供用于侵入、非法控制计算机信息系统的程序、工具罪的客观特征。
虽然tuber浏览器自行屏蔽了敏感网站，似乎具备了合规性。
然而，实施基于socks协议的proxy境外网站访问代理，本身落入了刑法285Ⅲ的框架中。简言之，这种翻墙浏览器归根结底是骗过了GFW，使得GFW本身屏蔽境外网站的目的完全无法实现。
根据既往、多年的司法实践惯例，使用混淆流量方式欺骗GFW系统，系一种侵入计算机信息系统的功能。提供这样的翻墙浏览器产品，必须被认定为提供侵入计算机信息系统的工具，否则将与此前的类案出现不同判的问题，导致刑法法律适用的不稳定。
这是一个很尴尬的问题。在诸多网民们对此类翻墙浏览器的出现大为惊喜之余，必须考虑，这种产品以合法的面目出现，本身是“对此前相关产品予以刑法打击”的一次打脸。
三、GFW授权基础的延伸：翻墙浏览器面临的尴尬处境
在与本文同时发表的《GFW的授权基础》一文中，我们找到了许多法律法规授权电信运营商、国家网信部门就违法信息进行阻断，依法或依法律法规授权，行使清洁网络空间的行政职权。
但是当翻墙浏览器都开始跃跃欲试，想要突破前述行政主体以及授权主体原本建立好的审查机制，并利用技术措施自建一套审查措施时，此时前述法律法规授权主体便深切地感到自己似乎被一大群私企"干翻了"、架空了。
问题真的在于所谓的vpn资质吗？毫不避讳地说，翻墙浏览器的真实目的是架空、破坏国家审查制度，并利用这种破坏带来的“好处”作为吸引用户的策略，诱使他们付费购买并不划算的vpn服务。而这时，翻墙浏览器们得了便宜还卖乖，天天自夸自己符合网络安全法的规定，炫耀自己手握电信经营资质，并对着自建的本地审查手段沾沾自喜。然而，政府部门却毫不领情，他们终究为自己的冒险付出了代价。
至于这种大型企业空壳公司业务被市场封杀的代价可否与普通个人提供付费vpn服务所付出的刑事处罚之代价相比较，就是另一个问题了。
本篇文章来源于本人微信公众号: 不能使用该名称
