Могут ли vpn сервисы перехватывать пароли по https?
Почитайте про https. Тут смысл в том, что браузер будет смотреть точно ли сертификат сервера принадлежит этому серверу, если нет то соединение не будет "закрытым". Сертификат сервера есть только у сервера или WAF провайдера(конечно если он не скомпрометирован).Есть атаки MITM на понижение алгоритма шифрования с помощью прокси-сервера, но я думаю вы не та персона, чтобы к вам применяли эту атаку. И запомните - если захотеть то способов вас атаковать много, можно только усложнить работу атакующему. Свой VPS с openvpn(или другим впн) значительно усложнит дело для атакующего. Но учитывайте юрисдикцию VPS - если будет скомпрометирован сервер - то это коту под хвост. Прячетесь от России - хостите в Канаде и США и наоборот. А еще лучше цепочка VPS на чужие личности вместе с TOR и с отдельного компа(ноута). Все зависит от возможностей и степени паранои)
настройте свой: VPS 2.5 доллара/месяц стоит, и вообще можно почасово
если учесть что к сайту где вводят пароль - тоже идет https  - можно спать спокойно, ну а без https  - как и сейчас  - провайдер может все