Turbo VPN安全升级：无日志审计机制上线
2026 年 9 月 16 日，Turbo VPN 上线 9.7.4 版本，本次更新的核心是「Turbo VPN无日志」机制的工程化落地：节点侧运行日志由写入磁盘改为内存环形缓冲，最长保留 72 小时即自动覆盖，磁盘写入量为 0；客户端 Kill Switch 响应时间从 1.1 秒缩短到 0.3 秒；年度第三方审计摘要首次在隐私政策页公开。
无日志常被当作一句口号，但工程上能否兑现，取决于日志究竟落在哪里。此前节点侧为排查故障会把连接元数据写入本地磁盘，虽然不含访问内容，但磁盘文件一旦存在就具备被调取的可能。这一轮改动把日志载体从磁盘搬到内存，从物理层面消除了长期留存。
一、内存环形缓冲替代磁盘日志
新的日志模块在节点启动时申请 512MB 共享内存，按环形队列写入连接起止时间、节点编号、流量总量与错误码，写满后覆盖最早记录。按当前节点平均负载测算，512MB 可覆盖约 68 小时的记录，因此把保留上限设定为 72 小时，超时记录由定时任务主动清除，不依赖覆盖顺序。
关闭磁盘日志后，故障排查方式同步调整：异常连接会触发内存快照，快照仅包含协议状态机与握手耗时，不含目标地址，运维人员在授权后台查看快照后 10 分钟内自动销毁。审计方可现场校验磁盘写入计数为 0，这一计数器独立于业务进程，由内核层模块维护。
罗雪（安全负责人）：「不做日志不是把代码删掉，而是要想清楚故障时靠什么定位。我们花了三个月把排查手段从日志改成状态快照和指标，才敢真正关掉磁盘写入。」
二、第三方审计范围与结论
本轮审计由独立机构在 2026 年 7 月至 8 月完成，覆盖 68 个地区中的 12 个抽样节点、计费系统与账号后台。审计内容包括：磁盘与对象存储中是否存在连接内容、DNS 查询与访问地址；日志进程的实际写入路径；删除流程是否可验证；员工访问生产数据的权限与审批记录。
审计结论摘要显示：抽样节点的磁盘与对象存储中未发现连接内容与访问记录；日志模块的内存上限与清除定时任务配置符合声明；计费系统仅保存账号、订阅状态与流量总量，未关联具体访问目标；账号后台的生产数据访问需要双人审批，抽样 47 条审批记录均完整。审计同时提出 3 项改进建议，其中 2 项已在 9.7.4 中修复，剩余 1 项涉及旧节点镜像清理，计划在 10 月底完成。
外部审计顾问韩振宇在评审会上提到：「无日志声明的可信度取决于可验证性。把写入计数器与快照销毁流程做成可现场检查的机制，比在页面上写一句承诺有意义得多。」这也是我们公开摘要而非全文的原因——摘要足以支撑核验，又不暴露具体的运维路径。
三、Kill Switch 与权限最小化
Kill Switch 的响应时间从 1.1 秒缩短到 0.3 秒，实现方式是提前注册网络变更回调，隧道心跳连续 2 次未响应即立刻下发阻断规则，而不是等待系统网络状态判定。测试中模拟 200 次隧道中断，全部在 0.35 秒内完成阻断，恢复后自动重连平均耗时 1.3 秒。
权限方面，客户端去掉了读取通讯录、短信与相册的申请，安卓端仅保留网络状态、前台服务与通知三项权限，iOS 端仅保留 VPN 配置与通知。桌面端安装包体积因此减少 6.2MB，安装时也不再请求创建开机启动项之外的系统级权限，该选项默认关闭，由用户在设置中自行开启。
周启航（合规顾问）：「无日志不是一句口号，关键是把可验证的范围、抽样方法和时间窗口写清楚，让外部审计能按同一套标准复核，结论才有意义。」
隐私是长期工程，不是一次发版就能完成的里程碑。我们会在隐私政策页持续更新审计范围与改进项，并在每季度末公布一次节点侧日志配置的核查结果。想要核验具体机制的用户，可以在客户端「关于」页面导出配置摘要，其中包含当前协议、日志等级与 Kill Switch 状态。
用户评论（5）
看完审计摘要才决定续费的，之前一直担心日志问题，现在至少能自己核验配置了。
断网保护快了很多，地铁里换基站那一下以前会露真实地址，现在基本感觉不到切换。
安卓少要了一堆权限，这点进步很明显，装的时候清爽了不少。
希望审计摘要能再细一点，比如列出抽样的节点编号，现在只有数量，可信度还能再提高。
作为运维，内存日志这个做法挺克制，既保留了排障能力又不落盘，思路值得借鉴。