无痕模式不隐私、Tor太慢——这款浏览器的让步和坚持刚好够你日常用

我猜你也经历过这个时刻。

打开Chrome的无痕窗口，你觉得至少暂时安全了——网站不会知道我是谁，广告网络没法追踪我去哪里。然后你看到某篇技术文章用五分钟科普了”浏览器指纹”这个概念，你用网上的测试工具跑了一下，结果发现自己被识别得比身份证还清楚。

于是你想：好吧，我用Tor浏览器。结果打开第一个网页等了十五秒才加载出来，遇到一个无限循环的验证码墙，银行网站直接拒绝服务。你意识到：Tor的保护是最强的，但代价高到无法日常使用。

在这两个极端之间，有一个精心设计的中立地带。Mullvad浏览器——由Mullvad VPN和Tor项目联合开发——用一套巧妙的机制在”啥都不挡”和”什么都挡”之间找到了一个可以真正日常使用的平衡点。

两个极端：为什么你需要中间地带

无痕模式：名字好听，实际上什么都没藏

在深入Mullvad之前，先用一分钟来确认你已经知道的事实：Chrome的”无痕模式”只做了一件事——不在你自己的电脑上留下痕迹。

它不保存浏览历史。它不保留Cookie（在关闭标签页后）。它不写入搜索记录。但每一个你访问的网站、你的网络管理员、你的ISP、以及页面上的每个广告脚本，都照样能看到你是谁。

一个简单的Cover Your Tracks测试就能说明问题。开启无痕模式后，15秒内就能看到：

• Canvas指纹：完全唯一（和无痕模式无关）
• WebGL GPU报告：你的显卡型号、驱动版本、屏幕分辨率，一个不落
• 字体列表：你安装过的所有软件留下的”历史痕迹”
• 时区和语言设置：精确到你的城市

无痕模式保护的是”别人用你电脑时看不到你看了什么”，而不是”互联网上的人看不到你是谁”。这两者的区别，是隐私安全的第一个分水岭。

Tor浏览器：最强的盾，但挥舞着可能比不拿盾更累

Tor浏览器是隐私保护的最强选项。但Tor网络的速度和功能性代价是绝大多数人无法接受的：

• 速度：流量经过至少三个节点（入口、中继、出口），每个节点都会增加延迟。加载一个正常的新闻网站，体感速度约是直连的3-5倍
• 功能限制：大量网站会对Tor出口节点实施封锁或验证码墙。银行、支付平台、社交媒体是重灾区
• 隐私代价本身也暴露：使用Tor这件事本身就是一个很强的信号——在某些场景下，”你在用Tor”这个事实就足够引起关注

Tor适合的场景是：需要进行高度敏感的调查、访问被审查的内容、需要最大程度的网络匿名性。但它不适合的场景占据了一个普通人日常浏览需求的99%。

Mullvad浏览器的解决方案

“共享指纹”——不是隐藏你是哪片叶子，而是让所有叶子看起来一模一样

这是Mullvad最核心的设计哲学，也是它与所有其他隐私浏览器的本质区别。

传统的反指纹策略有两种：

1. 随机化：每次浏览返回不同的指纹——但这创造了另一种唯一性（”一个每五分钟变一次的指纹”的模式本身就很独特）
2. 阻止：直接阻止网站读取指纹信息——但很多网站会因此拒绝服务

Mullvad走的是第三条路：标准化。它使用一种叫做Letterboxing的技术，确保每一台安装了Mullvad浏览器的设备都报告完全相同的Canvas渲染结果、字体列表、WebGL参数和屏幕尺寸。

结果是：你不是变得”不可追踪”，而是变得和成千上万个其他Mullvad用户完全无法区分。在追踪算法眼里，你只是”又一个Mullvad浏览器用户”——而不是”35岁男性、用Intel集显、装了213种字体、住在上海浦东的那个特定用户”。

形象地说：不是把你涂成绿色让人找不到，而是让你混进一个全穿灰色制服的人群里——追踪者知道有人经过，但分不出谁是谁。

借用Tor的抗指纹框架，不走Tor网络

Mullvad的开发团队做过的也许是最近两年最聪明的隐私工程决策之一：把Tor浏览器的抗指纹框架剥离出来，配上标准网络连接。

Mullvad的核心指纹防御策略直接来自Tor浏览器的硬化框架——同样的Canvas防护、同样的WebGL防护、同样的字体统一化策略。但数据流量不走Tor网络，而是通过正常的互联网连接（或可选的VPN）：

为什么刻意不捆绑VPN

Mullvad浏览器没有内置Mullvad VPN——这是一种故意的设计选择。逻辑很简单：

1. 反指纹和IP隐藏是两个独立的问题。VPN解决的是”从哪个IP访问”，浏览器解决的是”用什么样的设备特征访问”。两个问题需要两款工具分别解决
2. 不强绑定让用户有选择自由。你可以用Mullvad浏览器配合任何无日志VPN服务，或者在某些场景下不使用VPN而仅依赖浏览器的反指纹保护
3. 模块化设计降低攻击面。如果VPN和浏览器绑在一起被攻破，攻击者同时拿到了IP信息和指纹信息——而分开部署意味着攻击者需要分别攻破两个独立系统

删掉的功能和加上的一样重要

Mullvad的隐私哲学不仅体现在”加了什么”，更体现在”拿了什么”。

删除的部分（隐私做减法）

• 遥测数据：不向开发者发送任何使用数据（Firefox默认有遥测）
• 历史同步：关闭浏览器后清除所有浏览数据，不保留跨会话的历史
• 扩展自由度：预装了uBlock Origin和NoScript，但不鼓励用户安装额外扩展——每多一个扩展都让你的指纹更独特

增强的部分（安全做加法）

• 一键身份重置：Tor浏览器的”新身份”功能——一键清除所有浏览数据，无需退出浏览器就能从一个干净的画板重新开始
• 三个安全等级：Standard（标准）、Safer（更安全）、Safest（最安全），逐级关闭更多可能有风险的Web功能
• 强制HTTPS：所有连接自动升级为HTTPS
• DNS over HTTPS：DNS查询也走加密通道，防止DNS级别的泄露
• Cookie隔离：每个源（origin）的Cookie完全隔离，一个网站的追踪脚本不能读取另一个网站保存的Cookie

真正的摩擦：哪些场景下Mullvad会让你不舒服

诚实地评估任何工具都绕不开它的短板。

扩展数量的限制

Mullvad允许安装的扩展数量有限。如果你日常用大量生产力扩展（笔记、翻译、截图、密码填充等），这个限制确实会造成不便。Mullvad团队的态度很明确：我们不是来做全能浏览器的——引入太多变量会破坏”共享指纹”策略。

没有跨设备同步

因为所有浏览数据在关闭浏览器后都会被清除，所以没有跨设备同步的概念——书签、历史、密码都不会跟随你从桌面版到手机版。这对于多设备用户来说是个实实在在的摩擦点。

登录即失去匿名性

这一点Mullvad也改变不了：一旦你在任何网站输入了用户名和密码，你就已经不是匿名用户了。即使浏览器指纹被完美统一化，你的账号本身就是一个最强的标识符。Mullvad能保护你的设备指纹不被跨站追踪，但保护不了你用一个账号到处登录的行为模式。

使用建议：Mullvad适合谁，不适合谁

适合Mullvad的用户

• 注重隐私但不需要极端匿名性的日常用户：不愿意被广告网络建立跨站行为画像，但不需要对抗国家级对手
• 研究人员和记者：需要干净的网络指纹来进行背景调查，配合VPN使用效果更佳
• 有多浏览器使用习惯的人：用Mullvad处理需要隐私保护的操作，用普通浏览器处理需要账号登录的操作，两者物理隔离

不适合Mullvad的用户

• 需要大量浏览器扩展的生产力用户：扩展限制会严重影响工作流程
• 对跨设备同步有刚需的用户：没有云端同步意味着每次换设备都要从头配置
• 需要Tor级别保护的极端场景：Mullvad不是Tor的替代品，只是提供了一个更日常的选择

AISOC视角：企业浏览器安全基线的新参照

在企业安全运营的实践中，浏览器是最容易被忽视的攻击面之一。SOC团队关注终端安全时，通常把精力放在EDR、AV和补丁管理上，而浏览器的隐私配置往往不在基线检查的范围内。

Mullvad的”共享指纹”对抗策略，在企业场景下有两个直接的应用价值：

浏览器指纹的统一化管理

企业如果部署了统一配置的浏览器（如组织级别的Chrome配置或Edge策略），会自然产生一种”企业内部用户指纹接近”的效果。但这种统一是被动的——没有经过主动的指纹标准化设计，仍然有很多变量（如字体、扩展、屏幕分辨率）因人而异。

借鉴Mullvad的思路，企业安全策略可以主动标准化以下浏览器配置：

• 统一的扩展白名单（不要每人各装一套）
• 统一的字体包和渲染配置
• 统一的代理和安全DNS设置

安全事件中的受控浏览

当SOC进行威胁情报调研或恶意软件逆向时，分析师需要访问潜在恶意网站——但在一个可能暴露企业IP和浏览器指纹的环境中做这件事是有风险的。一台运行Mullvad的受控机器配合VPN，为这种场景提供了一个标准的操作方案。

总结

隐私保护不是在一个”全或无”的二元选项中做选择——不是在无痕模式和Tor之间二选一。Mullvad浏览器证明了，借助共享指纹的策略，你可以拥有Tor级别的反指纹保护而不需要Tor网络带来的速度代价。

核心优势：

• 共享指纹策略让所有Mullvad用户统一样，在人群中隐藏这片叶子
• 借用了Tor浏览器的硬化框架但不走Tor网络，实现速度和保护的平衡
• 故意不捆绑VPN，保持模块化——两个独立问题用两个独立工具

核心局限：

• 扩展数量受限，不适合重度扩展用户
• 没有跨设备同步
• 登录即失去匿名性（和所有浏览器一样）

适用判断：
如果你日常已经习惯用多个浏览器——一个处理工作（登录各种服务），一个处理研究（隐私优先）——Mullvad坐在后者这个位置上再合适不过。如果你指望一个浏览器做完所有事情，那Mullvad的让步会让你觉得膈应。