瑞典警方突袭 Mullvad 办公室，一无所获的背后：一场“无日志”架构的胜利

当警方突袭 Mullvad，却空手而归

2023年4月18日，周二，至少六名瑞典国家行动部（NOA）警员持搜查令闯入 Mullvad VPN 位于哥德堡的办公室。两天后，公司发布了一篇简短的博客文章，确认了这起事件。而文章的关键信息并非突袭本身，而是警员离开时的状态：未带走任何设备、任何日志、任何账户记录，也没有任何手段追踪他们原本要找的客户。对整个行业而言，"无日志"的营销话术早已泛滥成灾，但这是欧盟范围内首次，一家最积极宣扬这一承诺的服务商，不得不在合法搜查令面前实际证明其所言非虚。

这次回顾之所以重要，是因为胜利并非来自修辞，而是来自结构。

4月18日至20日之间究竟发生了什么

根据 Mullvad 的声明，以及 The Register 和 Bleeping Computer 的后续报道，事件时间线很短。NOA 警员于18日上午抵达哥德堡总部。据 Mullvad 称，搜查令授权扣押与特定嫌疑人相关的"存有客户数据的计算机"。维基百科后来援引瑞典媒体，将背后的调查与一起勒索案联系起来，该案源自德国执法部门的请求；但 Mullvad 拒绝确认原始司法管辖区或涉嫌罪行的具体性质。

按照 Mullvad 4月20日的说法，接下来发生的是协商而非扣押。"我们辩称，他们没有理由期望找到所寻找的东西，因此任何扣押根据瑞典法律都将属于非法，"该公司援引1942年的一项程序规则写道；该规则禁止瑞典当局在合理查找证据的期望已被驳斥的情况下带走财物。随后，在场员工向警员逐步讲解了服务的架构。"在演示我们的服务确实如此运作，并与检察官协商后，他们没有带走任何东西，也没有获取任何客户信息就离开了，"文章继续写道。博客中还有一句值得反复咀嚼的话："即使他们带走了什么，也无法获得任何客户信息。"Mullvad 似乎在表达：扣押问题在开始之前就已经失去了意义。

到4月20日，文章已在 mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised 上线，并在48小时内被 Bleeping Computer、The Register、TorrentFreak 及大部分隐私媒体转载报道。

为何无物可取

Mullvad 自2009年由 Daniel Berntsson 和 Fredrik Strömberg 创立以来逐步形成的架构决策，正是搜查令一接触就瓦解的原因。四项具体选择在那一天发挥了关键作用：

• 账户创建仅需一个随机生成的十六位数字账号。没有用户名，没有邮箱地址，没有安全问题，没有电话号码，没有恢复渠道。客户丢失账号即丢失账户，这就是无可传唤的代价。
• 付款可使用 Monero、Bitcoin、平信邮寄现金，或通过传统渠道，但这些支付工具在充值完成后，均无法以可查询方式关联回账号。追查银行卡记录的调查人员因此无法定位到具体个人。
• 自2019年起，VPN 端点全部采用 RAM-only 架构。服务器从干净镜像启动，磁盘上不保留持久状态，断电即丢失一切数据。即使数据中心的服务器机箱被当场扣押镜像，也无法获得历史会话数据。
• 公司委托独立机构对其客户端和后端进行审查，始于2018年9月的 Cure53 渗透测试，并延续至2020年 Assured AB 的工作及后续轮次，因此关于架构的声明已由无商业利益关系的第三方检验。

这些不是附加在隐私政策上的营销口号，而是约束产品的实际决策。忘记账号的客户就是流失客户。邮寄现金的付款对账操作繁琐。RAM-only 机群的运营成本高于磁盘-backed 方案。这种架构代价高昂，而正是这份代价让无日志声明成为承重结构，而非空中楼阁。

值得在同一回顾框架中提及的是，突袭发生一个月后，Mullvad 宣布彻底取消端口转发功能，变更于2023年7月1日生效。公司将此决定与少数用户滥用该功能、以及上游主机商由此产生的压力联系起来，但时间上的关联使人们无法忽视其与4月事件的联系。

与 ProtonVPN 2021年事件的对比

隐私倡导者迅速将哥德堡的结果与2021年涉及 ProtonMail 及其姊妹 VPN 服务的事件进行对比，后者总部位于瑞士。在那起案件中，应法国当局调查一名与 Youth for Climate 运动有关的气候活动人士的要求，瑞士法院命令 Proton 记录目标账户使用的 IP 地址。Proton 服从了，因为瑞士法律恰好允许法院命令下达后的此类强制，也因为其架构为公司留下了服从命令的空间。

具有启示意义的差异并非一家公司有德、另一家无德。按大多数标准衡量，Proton 都是一家严肃的运营方。差异在于，Proton 的隐私姿态依赖于在其司法管辖区下可被推翻的法律承诺，而 Mullvad 的姿态依赖于即使公司真心希望配合也无法产出数据的系统。一种模式是政策层面的无日志。另一种是设计层面的无日志。2023年4月的突袭是欧洲首次公开检验这一区别的压力测试。

这对"无日志"作为类别意味着什么

数百家 VPN 宣传零日志记录。极少数曾被迫证明这一点。Private Internet Access 于2016年跻身此列，当时 FBI 在 Preff Cummings 恶作剧调查中的传票未获得可用信息。ExpressVPN 于2017年加入，当时土耳其调查人员为调查俄罗斯大使在安卡拉遇刺案扣押了一台服务器，未发现相关日志。Mullvad 2023年4月的结果使其进入这一极短名单，而且是在搜查令被当面执行、而非纸上送达的情况下。

这一区别至关重要。送达美国公司律师的传票是一种测试。六名国家警力警员持法定授权抵达哥德堡办公室、可携带硬件离开，是另一种测试。架构在第二种情况下经受住了考验，而检察官可以实时电话联系，这是最强有力的证据，证明这一声明并非表演。

这对 Directory 意味着什么

这里的结论是明确的。迄今为止，我们将近期独立审计视为 VPN 无日志声明的最高标准。哥德堡事件后，我们引入了一个更高层级：在拥有正常运作法院的司法管辖区，真实执法扣押企图的 documented 存活记录，且结果可通过运营商自身披露和同期媒体报道双重验证。Mullvad 现已位居该层级。市场上绝大多数服务商不在此列。

对 Directory 主机侧的启示是平行的。架构依赖于未收集数据的缺失、而非依赖于不共享已收集数据的承诺的运营商，在我们的排名中应获得更高权重。我们现有列表中位于雷克雅未克的 [1984 Hosting](/service/1984-hosting)，运营原则大致相同，在此视角下变得更有价值而非更无价值。我们宁愿推荐无法背叛用户的服务，而非仅书面承诺不会背叛的服务。

来源

• Mullvad VPN, Mullvad VPN was subject to a search warrant (April 20, 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

编辑日志

• 2023-04-22 : 阅读 Mullvad 博客文章两遍并交叉核对搜查令日期与 The Register 报道后，提交初稿。待 Bleeping Computer 报道于周五晚间发布后，方予发表。
• 2023-04-26 : 与一位在斯德哥尔摩运营小型主机业务的朋友长时间通话后，添加架构列表，他向我详细解释了 RAM-only 机群与磁盘-backed 方案的实际运营成本差异。删除两段关于 underlying 勒索案的推测，因瑞典媒体尚未确认司法管辖区。
• 2023-05-02 : 读者邮件询问为何未提及 ProtonVPN 2021年事件后，插入该对比。重读 Proton 2021年9月透明度报告及路透社电讯，确认气候活动人士细节准确。删除此前过度指责 Proton 的表述。
• 2023-05-09 : 本文初稿时 Mullvad 取消端口转发的公告（5月29日发布）尚未公布，因此添加前瞻性语句说明时间关联。待7月1日切换生效后将再次审视。
• 2023-05-15 : 结论部分最终润色。重写结尾段落，将新的"documented warrant survival"层级明确化而非隐含化，并与 Directory 编辑确认 [1984 Hosting](/service/1984-hosting) 列表仍有效后，添加交叉链接。