闪连VPN安全加固：零日志审计通过复核

2026 年 10 月 3 日，闪连VPN公布年度安全审计结果：第三方合规审计机构对零日志声明完成复核，47 项控制点全部通过，其中 6 项被评为改进项。同期上线的还有密钥轮换周期缩短至 15 分钟、客户端本地日志一键清除两项加固措施。

“零日志”三个字在行业里被用得太多，也太容易被误解。闪连VPN的做法是把它拆成可验证的动作：服务器不落盘访问目标、不保存 DNS 查询内容、不记录会话内容，只保留与账号身份分离的流量总量与连接时长用于计费。审计机构要做的，是确认这些“不”在实际运行中确实成立。

审计是怎么做的

复核分为三个阶段。第一阶段是配置审查，审计方逐台核对 92 个节点的日志组件配置，确认访问日志、错误日志与调试日志均未开启正文记录，系统级审计默认关闭且无外部写入通道。第二阶段是流量比对，在受控环境下发起 240 次访问，随后检索全部存储介质，确认没有留下与访问目标相关的字符串。

第三阶段是流程验证，包括权限矩阵、密钥分发链路、第三方依赖清单与应急响应预案。最终 47 项控制点中 41 项完全符合，6 项被列为改进项，主要涉及容器镜像的构建溯源与内部账号的定期复核周期。闪连VPN安全负责人江照白表示：“改进项不是问题，是下一代架构要提前补的功课。我们把构建溯源写成流水线里的一道强制门禁，十月底已经落地。”

审计摘要已在官网安全页面公开，包含控制点数量、通过结论与改进项清单，不包含可能被用于攻击的拓扑细节。这是闪连VPN首次对外披露完整结论，此前的版本只公布“通过”二字。

加密与密钥管理

数据面继续使用 AES-256-GCM 与 ChaCha20-Poly1305 双栈加密。桌面端默认走 AES-NI 硬件加速，单核吞吐可达 1.8 Gbps，加密带来的额外延迟在 0.2ms 以内；移动端默认 ChaCha20，在同等安全强度下功耗更低，实测连续加密 1 小时的电量消耗比 AES 软件实现低 27%。

密钥管理是本次加固的重点。会话密钥轮换周期从 60 分钟缩短到 15 分钟，采用前向保密设计，每次轮换都会生成新的临时密钥对，历史密钥在轮换完成后立即销毁，即便单次会话密钥泄露也无法解密此前的流量。节点之间的密钥分发走独立管理通道，与用户流量物理隔离。

“安全不是一个开关，而是一条持续的曲线。审计能证明某个时间点的状态，剩下的 364 天要靠监控和演练撑住。”

用户可以做的三件事

第一，开启断线自动保护。网络切换或信号中断时，客户端会冻结本地流量并阻止明文回退，避免真实地址在切换瞬间暴露。该功能在 5.2 版本中默认开启，老版本需在设置里手动勾选，路径是“设置 - 网络 - 断线保护”。

第二，定期清理本地日志。客户端本地日志默认关闭，若曾为排查故障开启，可在“设置 - 隐私 - 本地日志”中一键清除，清除动作会同时删除缓存中的测速记录与节点历史。移动端还支持关闭崩溃日志上报，关闭后仍可手动提交诊断包。

第三，为账号开启二次验证。5.2 客户端已支持邮箱验证码与一次性口令两种二次验证方式，开启后异地登录需要额外验证，账号被盗后也无法直接接管设备。团队版管理员可以强制所有成员开启，成员加入时即生效。

下一步，闪连VPN计划在 2027 年第二季度上线独立的中立节点，提供可自行验证的服务器指纹与开源客户端版本，并邀请外部研究者参与季度渗透测试。江照白透露，首批中立节点将部署在两个法律辖区，配置与商业节点完全一致，区别只在于运维主体。