实际数据 — 2026年9月14日至21日
这并非假设
四件事是既定事实，每一件都由不得不证明它的人调查并发表。
- 巴勒斯坦人权工作者手机上装有军事间谍软件。2021年，Front Line Defenders在六名巴勒斯坦人权捍卫者的设备上发现了NSO集团的Pegasus，这些人记录的正是本档案所记录的那类事情。Citizen Lab和大赦国际安全实验室独立证实了这些发现。Pegasus会获取一切：消息、麦克风、摄像头、位置，通常无需点击。 Front Line Defenders，原始报告
- 同一款间谍软件被出售给数十个政府，并被用于针对全世界的记者。 Pegasus 项目审查了一份泄露的名单，其中包含 50,000 个被选为攻击目标的电话号码：记者、律师、反对派政治人物，以及一名被谋杀记者的家人。十六家新闻机构花了数月时间核实这份名单。 Forbidden Stories — The Pegasus Project
- 对普通人数据的大规模收集是真实存在的，而且在被证实之前一直遭到否认。2013年的斯诺登文件显示，属于未被怀疑任何事情的普通人的通信遭到大规模拦截。一份文件显示，NSA将未经筛选的原始拦截数据，包括美国人的数据，交给了以色列情报机构。 《卫报》，NSA/ISNU备忘录
- 对这一主题的审查已被量化，而不仅仅是指控。Meta于2021年5月委托对其处理巴勒斯坦内容的方式进行独立人权评估。报告结论认为，Meta的行为对巴勒斯坦用户言论自由和政治参与的权利产生了不利影响——这些发现由Meta自己发布。BSR，Human Rights Due Diligence of Meta's Impacts in Israel and Palestine，2022年——由Meta委托并发布
就这一主题而言，假设你正被针对，并以此为基础行动。上述工具是商业出售的，使用它们的门槛不断降低，而遭受它们打击的人几乎从未预见到。
这不是焦虑的理由。这只是行动的立足点：把你的账户、手机和影像资料当作有人对它们感兴趣来对待。朝这个方向判断错误的代价，是一个下午的设置时间。朝另一个方向判断错误的代价，则痛苦得多。按顺序往下阅读本页，越往下越好，每一步都独立成立。
一个安全密钥，你能做的最有效的一件事
从这里开始。不是因为它最简单，而是因为它能阻断我们最常见到的攻击：一个以假乱真的钓鱼登录页面。即使攻击者能够获取你的密码，他们也无法访问你的账户。
如果你以前没见过它
安全密钥是一个小巧的物理物件，大约一把家门钥匙或一个短USB优盘那么大。你把它插进电脑，或在手机上碰一下，再用手指触碰它以确认你在场。整个交互就这些。价格大约在€25到€60之间，能用好几年，不需要电池也不需要充电，并且适用于Google、Microsoft、Apple、Proton、GitHub以及大多数重要的服务。
在防钓鱼方面，它比验证器代码更强，更远胜于发送到你手机上的验证码。一个号码只需给你的运营商打一通电话就能被转移到别人的SIM卡上，而一条短信可以被伪装成来自你的银行。那些方式都是给你一个号码让你输入，而号码可能被输到错误的地方——这正是钓鱼登录页面被设计出来要让你做的事。物理密钥不会给你任何可输入的东西。它会静默地自行核对网站的真实地址，并直接拒绝回应假冒的网站。
购买两个硬件安全密钥
先做这件事每个约€25–60钓鱼页面会拿走你的密码和你的六位数验证码，并立即在真实网站上使用两者。验证码是有效的，只是你把它输到了错误的地方。验证器应用无法察觉这一点。安全密钥可以，因为它会自行核对域名。
你的手机也可以充当密钥。Android 和 iPhone 都能作为通行密钥在另一台设备上批准登录，其中涉及的蓝牙距离检查可以阻止他人从另一个国家转发验证提示给你。所以这是真正的钓鱼防护，而且不花一分钱。区别在于密钥存放的位置：硬件密钥上的密钥永远不会离开密钥本身，而手机通行密钥由 Apple 或 Google 同步，因此其安全性仅等同于该账户的安全性。如果目前购买硬件密钥不现实，或者密钥还在邮寄途中需要临时替代，这值得一用。
为什么验证码会被盗而密钥不会
注册密钥时，它会存储一个与网站真实域名绑定的密钥。登录时，网站发送一个质询，密钥对其进行签名，但前提是确认发起请求的域名与注册时的域名一致。
在仿冒域名上，密钥会直接拒绝。不是因为它察觉到了可疑之处，而是因为数学上无法为错误的域名生成有效签名。攻击者没有任何东西可以窃取和重放。
这种防护是结构性的。它不依赖于你在疲惫时还能发现拼错的网址。这正是它位列本页第一位的原因。
买两个，这是人们后悔犯下的错误
在每个账户上注册两把密钥，并把第二把存放在别处——家里的抽屉、可信的人手中、保险箱。只靠一把密钥且没有备份的账户，是一个你可能永久失去的账户。
随时将每项服务的恢复代码保存到你的密码管理器中，然后关闭短信作为备用方式——否则你就在坚固的门旁边留了一扇薄弱的门。
如果某个网站不支持密钥，请使用 Aegis（Android，开源，加密备份），而不是短信。
保护你的电子邮件，这比其他任何事情都优先
你的邮箱是万能钥匙。几乎所有其他账户都通过它来重置密码，因此控制了你的收件箱的攻击者就控制了下游的一切。
锁定收件箱
最高优先级30 分钟- 先在这里注册两个安全密钥，然后再处理其他任何账户。
- 然后检查每一条恢复途径。在服务允许的情况下关闭短信验证，因为 SIM 卡交换可以绕过密钥。只在需要作为备用手段的地方保留验证器代码，将其种子和恢复代码保存在你的密码管理器中，并在移除任何东西之前确认两个物理密钥都能正常工作。
- 检查你未曾创建的转发规则和过滤器。安静的入侵者正是靠这种方式在你更改密码后继续读取邮件，而几乎没有人会检查这一点。
- 检查已连接的应用和第三方访问权限；撤销任何你不认识或不再使用的内容。
- 检查活跃会话和设备，并退出所有不熟悉的登录。
- 设置一个唯一密码，从你的密码管理器中生成，绝不要在其他任何地方重复使用。
转发规则伎俩，以及它为何重要
钓鱼成功后的常见套路：攻击者不会改动任何你会注意到的东西。他们添加一个过滤器，悄悄将每封邮件的副本转发到他们的某个地址，或者只转发匹配“password”“invoice”“verify”的邮件，然后离开。
你更改了密码。你开启了双重验证。那条规则仍然存在，仍在运行。在怀疑任何账号遭到入侵后，先检查规则，再处理其他事情。
考虑更换服务提供商
Proton Mail 和 Tuta 会加密你的邮箱，使服务提供商无法读取，且两者都有免费套餐。它们并非魔法——往返于普通地址的邮件在另一端仍可被读取，但这消除了你的服务提供商作为单一节点、所有内容都可能被索取或泄露的风险。
SimpleLogin 为每项服务提供不同的别名，因此一次泄露无法与其他服务关联，你也能看到是哪家公司泄露了信息。
将你的手机切换至 GrapheneOS
你的手机是你拥有的最能暴露信息的物品：它知道你在哪里睡觉、你靠近谁、你读什么。它也是定向间谍软件瞄准的设备。
一名记者的手机被扣押。他们无法打开它。
Richard Medhurst于2024年8月15日在希思罗机场根据英国《2000年反恐法》第12条被捕，其设备被扣押。他报告称，多次索要其密码的请求均被拒绝，而他的GrapheneOS手机通过自动重启功能保护了其内容。
设备在设定时间内未输入正确密码便会自行重启，回到首次解锁之前的状态，此时加密密钥不保存在内存中。伦敦大学学院的Steven Murdoch教授在Computer Weekly对该案的报道中指出，即使是领先的商业取证工具，有时也无法在没有密码的情况下从GrapheneOS设备中提取数据，尤其是在手机最近刚重启过的情况下。
GrapheneOS，你的手机，没有内置追踪
免费仅限 Pixel你的手机是你拥有的最能暴露你的物品：它知道你在哪里睡觉、你身边有谁、你读了什么。普通 Android 会把这些信息中的很大一部分报告给 Google，以及每一个拥有位置权限的应用。GrapheneOS 移除了特权级的 Google 集成，并增加了大量漏洞利用加固。这提高了攻击手机的成本；但这并不能让设备对 Pegasus 级间谍软件或新发现的漏洞免疫。
grapheneos.org · 安装指南 · 常见问题
你能得到什么，以及你要付出什么代价
你能得到什么：
- 除非你自行添加，否则没有 Google 服务；而当你添加后，它们会像普通应用一样在沙盒中运行，没有特殊权限。
- Android 不提供的权限控制：完全拒绝某个应用的网络访问，屏蔽传感器。
- 强化的内存分配器，以及其他直接针对出售给政府的漏洞利用工具的防御措施。
- 在设定的闲置时间后自动重启，使被扣押的手机恢复到加密密钥不在内存中的状态。
- 一个胁迫PIN码，可擦除设备。
代价是什么：它只能安装在Google Pixel手机上，这种讽刺值得点明，原因在于Pixel出厂就搭载了硬件安全功能，并允许安装经过验证的自定义操作系统。较旧的Pixel不再获得硬件更新，所以要买仍在支持期内的型号。一些银行和政府应用会拒绝运行。
安装通过电脑用USB完成，大约需要半小时。网页安装程序对新手很友好。
“但我听说过关于其背后的人的一些事情”
值得回应你可能会遇到这种说法，所以最好在这里就听到。GrapheneOS与安全社区的部分人士有过公开摩擦——围绕首席开发者对批评者的行为的争议、早前与其上一个项目背后公司的决裂，以及2023年他因遭受骚扰而决定辞去首席开发者和基金会董事职务。这些都不是秘密，也都不光彩。
但就这个决定而言，它也几乎无关紧要，原因正是开源的全部理由。
- 你信任的不是人，而是代码。所有代码都是公开的。任何人都可以阅读它做了什么，而那些极其不喜欢这个项目的安全研究人员，最有动力去从中找出问题。
- 它是可复现的。构建结果可以与已发布的源代码进行核对，因此你手机上运行的内容可以被证明与你所能阅读的内容一致。
- 闭源操作系统给不了你这些，却要求你仅凭一个品牌给予同样的信任。
- 而且它已经在最关键的地方经受过考验，不是在实验室里，而是面对一个试图入侵的国家。见下文。
被查获，但他们打不开它
记者Richard Medhurst于2024年8月15日在希思罗机场根据英国《2000年反恐法》第12条被捕，其设备被扣押。他报告称，多次索要其密码的请求均被拒绝，而他的GrapheneOS手机因自动重启功能保护了其内容：设备在设定时间内未输入正确密码便会自行重启，回到首次解锁之前的状态，此时加密密钥不在内存中。
伦敦大学学院的 Steven Murdoch 教授在 Computer Weekly 上报道此案时指出，即使是领先的商业取证工具，有时也无法在没有密码的情况下从 GrapheneOS 设备中提取数据，尤其是在手机最近刚重启过的情况下。
这就是这里所说的“经过实战检验”的含义。这不是营销说辞，而是一个有据可查的案例：一名记者的手机落在一个想要获取其中内容的国家手中，而该国未能得逞。
根据你实际面临的威胁来评判
在网上争论这个项目的人，大多是在争论个人恩怨。摆在你面前的问题更具体：这款软件是否让你现在携带的手机比原来更难被入侵。
根据已公布的证据，以及至少一个真实尝试过的案例，答案是肯定的。
如果你不想要 GrapheneOS
Linux 手机合理的反对意见：GrapheneOS 只能在 Pixel 硬件上运行，因此意味着要买一部 Google 手机；它底层仍然是 Android；而且你无法从物理上验证摄像头和麦克风是否已关闭。Linux 手机 能解决这三点，但要求你付出相当大的代价。
- FuriPhone FLX1，目前实际上最适合日常使用的一款。按这一品类的标准属于现代硬件，预装 Plasma Mobile，也可以运行 Ubuntu Touch 或 postmarketOS。furilabs.com
- 搭载 Ubuntu Touch 的 Volla Phone，另一款真正可用的日常主力机，也是这些手机中对不想折腾项目的人最友好的一款。ubuntu-touch.io
- PinePhone Pro — 已于 2025 年停产，但镜像仍在积极维护，且拥有庞大的社区。只值得买二手的，而且只有当你把折腾本身当作乐趣时才值得。pine64.org
- Librem 5，硬件切断开关才是真正的卖点：物理开关可以断开调制解调器、WiFi、麦克风和摄像头。官方支持已终止，所以把它当作单一用途的隐私设备，而不是你唯一的手机。puri.sm
- postmarketOS，可以让一些较旧的 Android 手机重获新生，运行真正的 Linux。不同型号的支持程度差异极大；购买任何设备前先确认你的型号。postmarketos.org
弄清楚你买的到底是什么
大多数人以为 Linux 就意味着更安全。在手机上这并不成立，花钱之前值得了解这一点。
GrapheneOS 更擅长抵御攻击。验证启动、强大的逐应用沙箱、加固的内存分配器，以及直指那些卖给政府的漏洞利用工具的防御措施。典型的 Linux 手机这些一概没有：没有验证启动，桌面风格的软件带来大得多的攻击面，应用隔离相比之下也很薄弱。
Linux 手机更擅长掌控。完全没有 Google，一个你真正能检查和修改的系统，某些型号还有物理开关——这是唯一能确定麦克风已关闭的方式，比任何软件承诺都更可靠。
威胁模型不同。如果你担心的是定向间谍软件，选 GrapheneOS。如果你担心的是设备日常在做什么，并且希望能证明摄像头已断开，Linux 手机更能满足这一点。
代价是什么，直说
应用。银行、打车和大多数日常应用在 GrapheneOS 上都能正常运行。在应用需要时安装沙箱化的 Google Play，然后只授予它真正需要的权限和设置，比如位置或通知。少数银行、政府或依赖 DRM 的应用仍会拒绝设备完整性检查，所以在依赖某个具体应用之前先测试它。
摄像头明显比任何现代手机都差，如果你要拍视频，这一点非常重要。
电池和打磨程度。软件每月都在改进，但基本功能仍可能不可靠。Pine64 自己对其硬件的说法是，功能“可能时好时坏”。
而调制解调器仍然是专有的。 Linux 手机并不能移除你无法检查的基带，它是每一部手机上都有的独立处理器。带物理开关的机型通过切断其供电来处理它，这是诚实的解决方案。
现实中的折中方案
如果你真正想要的是没有 Google 的 Android，而不是特指 Linux，那么 CalyxOS 和 /e/OS 处于两者之间：去 Google 化，比 Linux 手机容易用得多，但在最关键的加固方面弱于 GrapheneOS。
对于大多数出于原则而非威胁模型而反对 GrapheneOS 的人来说，这就是务实的答案。
KeePassXC，一个密码代替两百个
人们重复使用密码的原因是，记住独一无二的密码是不可能的。密码管理器让你只需记住一个主密码，无需再记其他任何东西，并能生成任何人类都想不出来的密码。KeePassXC 免费、开源，将所有内容存储在你保管的单个加密文件中，不放在任何人的云端，没有账户，没有什么可被传唤调取或泄露。
正确设置它
免费尽早做这件事keepassxc.org/download · 文档 · Windows、macOS、Linux
- 创建一个数据库（一个
.kdbx文件），把它放在你会备份的地方。 - 选择一个主口令短语，而不是密码 — 见下文。这是你唯一需要记住的。
- 添加一个密钥文件作为第二因素，存放在数据库以外的地方。这样打开它就需要两者兼备。
- 更好的做法是，添加你的 YubiKey。 KeePassXC 支持硬件密钥质询–响应，因此没有物理密钥就无法打开数据库。
- 安装浏览器扩展，让它为你填充密码，这也能防钓鱼，因为它不会在错误的域名上填充。KeePassXC-Browser
- 备份该文件。 丢失且没有副本，里面的一切就都没了，没有重置链接，也没有公司可以求助。
生成密码，大多数人做错的部分
对每个网站都使用内置生成器（骰子图标），绝不要自己编一个。人类即使努力避免，也会生成可预测的密码。
- 对于网站： 20 个以上字符，包含字母、数字和符号。你永远不会手动输入它，所以长度对你没有任何成本。如果某个网站拒绝它，就缩短到它允许的长度，仍然保持随机。
- 对于你的主口令短语： 将生成器切换到口令短语模式，并取六个或更多单词。像
correct-battery-staple-ocean-tiger-mint这样的内容既容易记住，又比带符号替换的短密码难破解得多。 - 绝不要在其他任何地方重复使用主口令短语。 它保护着一切。
如果你更愿意用物理骰子而不是信任任何软件来生成主口令短语，EFF 为此专门发布了一份单词表：EFF dice-generated passphrases。
它还能做什么，这就是为什么值得学习
- 两步验证码。 它可以存储 TOTP 密钥并生成验证码，替代验证器应用。方便，但要明白其中的取舍：密码和第二因素此时存放在同一个文件中。对于你最关键的账户，请将第二因素放在单独的设备或硬件密钥上。
- 附件。 将恢复码、备份密钥文件和许可证密钥存放在加密数据库中，而不是散落在磁盘上。
- 密码健康度。 它会标记弱密码、重复使用和过期的条目，并可根据已知泄露数据进行检查。
- 自动输入。 将凭据填入桌面应用程序，而不仅仅是浏览器。
- 自定义字段。 安全问题、账号，任何不应放在笔记应用中的内容。
在设备之间同步，无需云公司
数据库是一个文件，因此任何能移动文件的东西都可以同步它。该文件已经加密，所以即使云服务商持有它也无法读取内容，但你完全可以避免将其交出：
- Syncthing — 直接在你自己的设备之间同步，中间没有服务器。
- Cryptomator，如果你确实使用云文件夹，请先再次加密。
不要将其同步到两台设备并同时离线编辑，你会创建冲突副本，合并起来很麻烦。让一台设备作为你添加条目的地方。
如果这一切听起来超出你想管理的范围，Bitwarden 会为你处理同步，是一个非常好的选择。你实际使用的管理器胜过你放弃的更好的管理器。
让你的工作脱离 Google
不仅是出于隐私考虑，更因为你可能在毫无预警、毫无救济途径的情况下失去一切。我们知道，因为这发生在我们身上。
这个档案库遭遇了什么
我们把素材存放在 Google Drive 上，几乎所有人都这么做。其中超过一半被删除，我们存储在那里的内容有 50% 以上消失了，而且没有任何有意义的办法能找回。事前没有警告，事后没有解释，申诉流程无论你怎么措辞，得到的都是同样的自动回复。
我们并不是在声称 Google 有人盯上了我们。我们无从得知是否曾有真人介入，也不会编造一个无法证明的动机。这一点根本不需要动机：暴行的记录会触发所有自动过滤器——血腥暴力、武器、伤害、死亡——而在这种规模下，系统是自动的，阈值不公开，也没有任何申诉能到达一个真正理解他所看到内容的人那里。
教训是结构性的，而非政治性的。存放在一个可以删除它的平台上的证据不叫归档，那叫借用。
问题不只是删除
为什么这很重要丢失文件是最尖锐的一种情况，但这并不是把这项工作留在一家公司账户里的唯一代价。
- 它并不私密。Drive 中的文件没有端到端加密，服务商可以读取、扫描它们，并在被强制要求时交出。这不是谣言，这就是该产品的运作方式。
- 一个账户就是一个单点故障。Drive、Gmail、Photos、YouTube、你的手机备份和你的登录凭证都是同一个账户。失去它，你就同时失去这一切，包括其他所有东西的恢复途径。
- 实际上，删除是永久性的。没有撤销，没有申诉升级，也没有任何人有义务做出解释。
- 只存在于一个地方的东西不算被归档。无论你之后使用什么，规则不变：两份副本，放在你控制的两个地方，其中一份离线。
为什么特别关注这个话题
自动化审核无法区分战争罪行和对此的庆祝。最重要的影像——一次袭击、一具尸体、一处伤口、一件武器——恰恰是最容易被归类为血腥暴力并删除的影像。
这一点已在其他地方得到验证。Meta委托并发布的一项独立人权评估发现，其自身对巴勒斯坦内容的处理对用户的言论自由权产生了不利影响。同样的逻辑也适用于存储和视频平台；只是在那里不那么明显，因为被删除的文件不会成为热门话题。
应该放在哪里
存储两个我们可以直接推荐的，以及各自擅长什么。决定性的特性是端到端加密：如果服务商无法读取文件，文件就无法被分类，也就无法因为其中的内容而被删除。
- Proton Drive——瑞士，端到端加密，也是我们能凭自身经验担保的一个：我们存储在那里的东西没有被删除，包括在种族灭绝最严重的时期，当同样的材料在其他地方被删除时。付费方案；免费额度很小。proton.me/drive
- MEGA——新西兰，端到端加密，空间慷慨，这在存储视频时很重要。适合大批量。mega.io
- 你自己的硬盘——不起眼，但仍然是唯一没人能撤销的存储。两块外置硬盘，一块放在别处。
- 种子，用于任何公开内容，一旦材料被其他人做种，任何人都无法撤回，包括我们。这就是为什么这个档案发布了一个种子。
这里的加密能带来什么，不能带来什么
端到端加密存储意味着服务商持有的字节自己无法读取。它无法扫描这些数据，因此无法标记它们，所以上述删除问题基本消失。这正是迁移的全部理由。
它并不能让你免于法律程序。Proton 是一家瑞士公司，受瑞士法院管辖：2021 年，在一起法国案件中，它遵守了一项记录用户 IP 地址的命令。它无法交出消息内容，因为它没有这些内容，但这一区别很重要，你应该事先知道，而不是事后才发现。
而且，如果你忘记了端到端加密账户的密码，数据就没了。没有人能为你重置。把它放进你的密码管理器。
账户的其余部分
随时间逐步更换这些存储是最紧迫的。其余可以逐步完成，而做这件事的意义就在于：不要让一家公司成为那个一旦失去就会带走一切的唯一存在。
- 电子邮件 → Proton Mail 或 Tuta。加密，且与你的存储和手机不是同一个账户。proton.me/mail · tuta.com
- 浏览器 → Mullvad Browser 或 Firefox。Mullvad Browser 是 Tor Browser 的反指纹识别工作，但不使用 Tor 网络——下面两节会详细说明。mullvad.net/browser
- 搜索 → Yandex 或 DuckDuckGo。 一键切换，无需任何成本。yandex.com · duckduckgo.com
- 地图 → Organic Maps 或 OsmAnd，两者都基于 OpenStreetMap 构建，都能离线工作，在网络退化的地方，这比隐私更有价值。organicmaps.app
- 手机 → GrapheneOS，这是最大的一步，上面有专门一节。
- VPN → Mullvad，如果你需要的话，无需账户、无需邮箱，一个随机号码即可。其局限性将在本页后面说明。mullvad.net
按此顺序操作
1. 先把不可替代的材料转移出来。 影像、文件，任何无法重新创建的东西。在其他任何东西变动之前，先存到加密存储和你自己拥有的磁盘上。
2. 然后迁移你的邮箱，因为它是所有其他账户的恢复途径，也是你最不希望失去访问权限的东西。
3. 然后是小事 — 搜索、浏览器、地图，这些不花什么成本，随时都可以做。
4. 不要删除 Google 账户。 留着它，清空，作为一个转发地址和恢复选项。一次性删除它，正是人们失去其他服务仍然指向的那个账户的方式。
打开文件而不危及你的电脑
文档、PDF 或图片都可能携带攻击，而一个看似可信的附件是钓鱼尝试的另一半。在某个一次性环境中打开任何你未曾预料到的东西。
Dangerzone，处理文档的简单答案
免费从这里开始放入可疑的 PDF 或 Office 文件，取回一个干净的 PDF。它在一个密封容器内完成危险的部分，并从图像重建文件，因此任何隐藏在内部的东西都会被丢弃而不是被执行。由 Freedom of the Press Foundation 制作。
一次性虚拟机
免费一些设置对于文档之外的任何东西——未知程序、高风险网站、必须实际处理的文件——都在虚拟机中运行。如果它被证明是恶意的，删除虚拟机即可；你的真实系统从未被触及。
VirtualBox — 免费，支持所有平台，安全的默认选择 · VMware Workstation / Fusion — 更快更流畅，而且自 Broadcom 取消收费以来个人使用免费 · GNOME Boxes，在 Linux 上，是内核 KVM 虚拟化最简单的前端；隔离效果仍取决于客户机设置以及保持宿主机打补丁 · UTM — macOS，包括 Apple Silicon · Windows Sandbox — 内置于 Windows Pro，每次都会重置
两个重要的设置
不共享文件夹。让虚拟机能看到你真实文档的便利功能，正是恶意软件利用的桥梁。要有意地逐个移入文件。
默认关闭网络。你要防范的大多数威胁都想回连或获取第二阶段载荷。
设置完成后，为干净的虚拟机创建一个快照，之后回滚到它，而不是相信你已经清理干净。虚拟机是一道强大的边界，但不是完美的——逃逸确实存在，但罕见且代价高昂。对于普通风险来说，它绰绰有余。
浏览器、指纹识别与 VPN
清除 cookie 已不再有多大帮助。网站通过你浏览器本身的特征来识别你，这些特征的组合通常是独一无二的，而且能经受住隐私模式、新 IP 地址和 VPN 的考验。
浏览器指纹识别，以及为什么融入人群胜过隐藏自己
免费读这一篇清除 cookie 已不再有多大帮助。网站通过你浏览器本身的特征来识别你，这些特征的组合通常是独一无二的，而且能经受住隐私模式、新 IP 地址和 VPN 的考验。
工作原理
当你加载一个页面时，你的浏览器会在未被询问的情况下回答许多小问题：屏幕尺寸和色深、时区、语言、操作系统、CPU 核心数、已安装字体、显卡。
有两种技术更进一步。Canvas 指纹识别会让你的浏览器绘制一幅不可见的图像；你的图形硬件和驱动程序中的微小差异会让结果可测量地成为你独有的特征。音频指纹识别则用一段从未播放的声音做同样的事。
单独来看，没有哪一项能识别你。但合在一起就可以：“Linux 上的 Firefox 141，2560×1440，Europe/Athens，这 94 种字体，这款 GPU”可能描述的是几百万人中的某一个人。不需要 cookie，所以清除它们不会改变任何事。
反直觉的部分：让你的浏览器变得不寻常反而会让情况更糟。一个罕见的扩展、一种自定义字体、一个调整过大小的窗口，都会让你更容易被区分。防御之道不是隐藏，而是看起来与一大群人完全相同。
该用哪个浏览器
Mullvad Browser，对大多数人来说是最好的默认选择。由 Tor Project 与 Mullvad 共同打造：去掉了 Tor 网络的 Tor Browser，因此每个用户都呈现相同的指纹。免费，且不需要 Mullvad 订阅。
Tor Browser，当你需要的是匿名性，而不仅仅是隐私时使用。速度较慢；有些网站会屏蔽它。
Firefox 搭配 arkenfox，一款经过加固的优秀日常浏览器。工作量更大。
Brave —— 将信号随机化，而不是标准化。一个合理但不同的选择。
为 Firefox 或 Brave 添加 uBlock Origin。不要为 Mullvad 或 Tor Browser 添加扩展——那样你会脱离保护你的群体。
Chrome 是需要远离的对象：它由世界上最大的广告公司开发，也是这些技术最容易生效的浏览器。
Mullvad VPN —— 向你的网络提供商隐藏你的流量
€5/月没有 VPN 时，提供你互联网服务的人能看到你访问的每一个网站，并可以记录、出售或交出这些数据。VPN 将这一视野转移到 VPN 公司，因此唯一重要的问题是：你是否更信任他们，以及他们是否持有任何可以交出的东西。
mullvad.net · 固定 €5/月 · 无需邮箱 · 接受信封现金
为什么选它，以及 VPN 做不到什么
为什么选 Mullvad：你的账户是一个随机的 16 位数字。没有邮箱、没有姓名、没有密码。你可以用现金支付。他们的记录中没有任何东西能将账户与个人关联起来，这比承诺不保留日志更有保障。
它做不到什么：VPN 不是匿名。它无法阻止网站对你的浏览器进行指纹识别，无法阻止你登录自己账户时的追踪，也无法对你要登录的服务隐藏你。网上几乎每一款 VPN 广告都在贩卖这种虚假印象。
如果你需要的是匿名，而不是对 ISP 的隐私保护，你需要的是 Tor，而不是 VPN。
你的电脑，以及我们为什么建议使用 Linux
我们在所有重要的设备上都运行 Linux，我们认为对于敏感工作值得考虑。这是我们自己的判断，并非定论，所以下面说明它的依据，以及证据止于何处。
为什么我们更倾向于一个可以被审查的系统
我们的立场我们没有证据表明 Windows 或 macOS 中存在蓄意的操作系统后门，也不应把怀疑当作事实来呈现。 更狭义、更站得住脚的一点是：它们的大部分代码无法被独立审查。Linux 可以由厂商之外的人审计、修改和构建，当工作成为主动攻击目标时，这一点更为重要。
对大多数人来说，这种取舍是合理的。对于成为主动攻击目标的工作，我们认为并不合理。以下是这一判断的依据。
有据可查的内容
- 两家公司都被列为 PRISM 参与者，见 2013 年斯诺登文件 — 微软最早，2007 年；苹果在 2012 年。《卫报》，2013 年 6 月
- 微软曾与 NSA 合作，为其访问自家服务提供便利，包括帮助绕过 Outlook.com 上的自家加密。《卫报》，2013 年 7 月
- 安全行业其他地方也曾存在秘密访问安排。 中央情报局和德国 BND 曾秘密拥有 Crypto AG，该公司的加密机被出售给各国政府，而所有者却能读取通信内容。这段历史解释了为何要谨慎；它并不能证明现代桌面操作系统存在任何问题。国家安全档案馆
从这些证据可以得出什么结论
斯诺登文件证实了政府可以访问公司服务和数据。它们并未证实在 Windows 或 macOS 中存在隐藏的访问机制。闭源同样不能证明这种机制存在；它只是意味着外部人员无论从哪方面都更少有办法核实这一说法。
这种不确定性正是我们更倾向于使用源代码可被审查的软件的原因之一。这是一种风险管理选择，而不是每个读者都必须得出的结论。
开源并不自动意味着安全；大量开源代码未经审计，严重的缺陷也曾多年未被发现。但它可以被审查，由你或任何人来审查，而可复现构建让你能够验证你收到的程序确实是由你读过的源代码构建的。Windows 或 macOS 完全不存在这种可能性，而这一点，比任何单一的披露都更能说明我们为何迁移。
如果你从未用过 Linux，该选哪个发行版
免费你不需要懂技术。现代桌面 Linux 二十分钟就能装好，会自动更新，运行浏览器、办公套件和视频通话与其他系统无异。先用 U 盘试用一下，它运行时不会触碰你现有的系统。
从 Ubuntu 开始。不是因为它最注重隐私或最优雅，而是因为它的社区最大、文档最多，而且优势明显，这决定了转用的人能否坚持用下去。搜索一条错误信息，得到的答案就是为 Ubuntu 写的。
如果你有理由进一步了解：Linux Mint — 底层是 Ubuntu，但没有 Canonical 的附加内容，布局更接近 Windows。 · Fedora — 更快获得更新的安全功能。 · Debian — 保守、独立，且极其稳定。
对迁移要现实一点
有些东西确实用不了：Adobe 套件、某些游戏、一些企业会议工具，以及只有 Windows 驱动的硬件。在决定之前，先确认你实际依赖什么。
Linux 并不自动更安全。配置糟糕的 Linux 机器比配置良好的 Windows 机器更糟。它给你的是验证和控制的能力，下一节讲的就是如何使用这种能力。
一个合理的折中方案：保留现有机器，把 Linux 装在一台备用笔记本上，先把敏感工作迁移到那里。
你的电脑默认设置
免费30 分钟每个桌面系统出厂时都是为了便利和遥测而配置的，而不是为了你。只需更改少量设置就能改变这一点，而且都不会影响正常使用。
Windows
- 开启 BitLocker；将恢复密钥离线保存
- 使用本地账户，而非 Microsoft 账户
- 隐私设置：全部关闭——诊断数据、广告 ID、活动历史记录
- 如果提供 Recall，请将其关闭
- Defender 很好——保持开启；无需付费杀毒软件
macOS
- 开启 FileVault
- 开启防火墙（默认是关闭的）
- 隐私与安全性 → 关闭：分析、个性化广告
- 检查位置、麦克风和摄像头权限
- 锁定模式在需要时可用，它会故意破坏一些功能
Linux
- 安装时全盘加密——事后补做非常痛苦
- 防火墙：
ufw或firewalld，默认拒绝入站 - 开启自动安全更新
- 保持 AppArmor/SELinux 启用，而不是为了修复某个问题而禁用它
- 不要以 root 身份浏览；不要把你并不信任的网站上的 curl 管道进 bash
过去这很难。改变的就是这一部分。
现在切换的真正理由对 Linux 的抵触从来不是意识形态问题。深夜十一点出了故障，错误信息对你毫无意义，网上最好的答案是一个 2014 年关于另一个版本的论坛帖子。人们避开 Linux，是因为在这件事上他们孤立无援。
现在更容易获得帮助了。助手可以翻译错误信息、说出你需要的工具，并结合你的版本解释一条建议的命令。这缩短了知识差距；但这并不会让生成的命令变得安全，也不会让助手成为管理员。
- 有些东西装不上，或者更新后就坏了。把确切的报错信息给它，让它一次只给一个诊断步骤。
- 你不知道那个工具叫什么。描述你想做什么。学 Linux 有一半就是在学词汇。
- 有人给了你一条命令。运行之前先问它是干什么的。每一次都要问——见对面的说明。
随之而来的规则
永远不要粘贴一条你无法用自己的话解释清楚的命令，也永远不要运行一个一次做二十件事的脚本。助手会自信满满地生成一个东西，把你本想移动的文件删掉，而 sudo 会把一切都交出去。
先问这条命令是干什么的。它会乐意告诉你，而这个习惯比它给你的任何一次修复都更有价值。
玩家们：你不必二选一
Steam 通过其兼容层在 Linux 上运行了 Windows 游戏库中的很大一部分，大多数单机游戏直接安装就能玩。真正的例外是带内核级反作弊的竞技性多人游戏，它们大多拒绝运行，而且不太可能改变。
所以双系统启动。把 Windows 留在机器上纯粹为了那些游戏，其他一切——你的账号、邮件、文件、工作——都在 Linux 这边做。安装程序在设置时会提供这个选项，而且不费额外功夫。
这不是最纯粹的答案，因为 Windows 还在磁盘上。但这是能让人真正切换过去的答案，而一个在 Linux 上做正经工作的人，远比一个读了这篇文章却什么都没改变的人有价值得多。
加密磁盘，并锁定启动
你的登录密码什么都保护不了。任何拿到这台机器的人都可以用自己的 USB 启动盘引导它，或者把硬盘拆出来，读取上面的每一个文件，而根本不会看到你的登录界面。全盘加密是电脑离开你手中后仍然有效的唯一措施，而在大多数系统上，它只是一个你还没勾选的复选框。
开始之前你需要明白的一件事
磁盘加密保护的是已关机的机器。一旦它启动并且你输入了密码短语，磁盘就解锁了，并且一直保持解锁状态 — 在下一次关机之前，加密对你毫无作用。
所以这个习惯和这项设置同样重要：只要机器要去可能被人拿走的地方 — 边境、检查站、搜查、留在车里的包 — 就关机，不要睡眠。一台睡眠中的笔记本电脑就是一台合着盖子的已解锁笔记本电脑。
Windows — BitLocker
今天就检查这个20 分钟许多 Windows 机器已经加密了，而机主并不知道，而且在那些机器上，Windows 已经悄悄把恢复密钥上传到了 Microsoft 账户。这很方便，但也意味着密钥存在于别人的服务器上，可以被交出去。在改动任何东西之前，先检查你目前的状况。
- 看看你处于什么状态。以管理员身份打开命令提示符，运行
manage-bde -status。它会告诉你哪些驱动器受到保护以及如何保护。 - 开启它，从设置 → 隐私和安全性 → 设备加密，或在专业版上使用 BitLocker 控制面板。
- 自己保存恢复密钥，放在你能控制的地方。把它打印出来，或者存进你的密码管理器。不要只接受 Microsoft 账户这一个选项。
- 添加启动 PIN。默认情况下，BitLocker 会通过 TPM 静默解锁，因此机器会直接启动到登录界面，加密提供的保护远比你想象的少。PIN 才能把它变成真正的保护。
- 然后删除云端副本——在你确定自己已持有恢复密钥后，从你的 Microsoft 账户中删除它。
为什么仅依赖 TPM 的设置比听起来更弱
在默认配置下，只有当测量的启动状态与 BitLocker 的预期一致时，TPM 才会释放密钥。这可以阻止在另一台机器上读取磁盘，通常也能阻止被篡改的启动链。但它确实会在 Windows 登录之前加载密钥，这让有备而来、能长时间物理接触设备的攻击者拥有比同时要求 PIN 的配置更多的可乘之机。
添加启动前 PIN可以堵住这一点。在专业版上，这是一个组策略设置——启动时需要额外身份验证，之后 manage-bde 就能把 PIN 添加到驱动器。对 Windows 用户来说，这是本节中最有价值的一项改动。
家庭版
完整的 BitLocker 是专业版和企业版功能。Windows 家庭版在支持的硬件上提供的是设备加密，底层技术相同，但控制选项更少，而且它会自动把恢复密钥托管到你的 Microsoft 账户，没有仅本地保存的选项。
如果这对你所做的事情来说不可接受，那么诚实的答案是升级版本，或者把工作转移到 Linux，在那里密钥永远只属于你。
Linux——LUKS
免费在安装时三者中最强也最简单，但有一个前提：在安装期间设置要容易得多。所有主流安装程序都会在磁盘步骤提供一个“加密新安装”复选框。勾选它。给正在运行的系统事后加装加密是可行的，但确实非常麻烦。
- 在安装程序中勾选加密选项，并使用由四个或更多随机单词组成的口令短语，而不是密码。
- 在你记住口令短语之前，先把它写下来。没有恢复、没有重置，也没有公司可以求助。这就是设计使然。
- 之后用
lsblk -f检查一下，你的主分区应显示为crypto_LUKS。 - 添加第二个口令短语作为备份密钥槽（如果你需要）：
sudo cryptsetup luksAddKey /dev/sdaX。 - 备份 LUKS 头。它很小，保存着密钥槽，而头一旦损坏，即使口令短语正确，数据也会丢失。
哪些内容未加密，这重要吗
标准安装会加密除小型启动分区和 EFI 分区之外的所有内容，这两个分区必须保持可读，机器才能启动。那里没有文档，但有内核和初始启动文件，这正是下面篡改攻击得以可能的原因。
对大多数人来说，这是可以接受的取舍。如果不是，某些发行版也可以加密 /boot，而 Secure Boot 加上固件密码能在没有这种复杂性的情况下大幅提高门槛。
使用 YubiKey 解锁
LUKS 可以配置为使用硬件密钥解锁，而不是（或除了）手动输入口令短语，也就是 Level 1 中的同一设备。
这样做时，务必在第二个密钥槽中保留一个口令短语。密钥丢失或损坏且没有后备方案，意味着磁盘无法恢复，而这种故障是永久性的。
macOS — FileVault
10 分钟在现代 Mac 上，硬盘始终由硬件加密，但如果没有开启 FileVault，密钥对机器本身是可用的，因此这种加密几乎保护不了你什么。FileVault 的作用是将密钥与你的密码绑定，让关机状态下的 Mac 真正处于封闭状态。
- 开启它：系统设置 → 隐私与安全性 → FileVault。
- 选择本地恢复密钥，而不是 iCloud。macOS 会提议让 Apple 保管你的恢复密钥。这与 BitLocker 存在同样的托管问题：方便，但会把一份副本放在可能被强制交出的地方。
- 将该密钥存入你的密码管理器，或写在纸上放在安全的地方。
- 关闭自动登录，并将 Mac 设置为在睡眠或屏幕保护程序后立即要求输入密码。
- 在关键时刻选择关机而不是合上盖子，原因见上方提示框。
Apple Silicon 与 Intel 在此有所不同
在 Apple Silicon 上，安全性内置于芯片中，没有单独的固件密码需要设置，启动过程在设计上就是锁定的，启动安全性通过恢复模式管理。
在较旧的 Intel Mac 上，固件密码是一个单独的、值得采取的步骤：它阻止从外部介质启动，并防止攻击者进入恢复模式来绕过你。
启动密码，几乎没人会做的一步
15 分钟加密可以阻止他人读取你的磁盘。固件密码则阻止他们改变机器的启动方式——从 USB 设备启动、更改启动顺序，或悄悄替换向你索要密码短语的软件。两者保护的是不同的东西，而两者你都需要。
- 在机器启动时进入固件设置，通常是 F2、F10、Del 或 Esc，具体取决于制造商。
- 设置管理员或超级用户密码，而不仅仅是用户密码。用户密码只能阻止机器启动；管理员密码才能阻止设置被更改。
- 在设置界面中禁用从 USB 和网络启动，或将它们的启动顺序移到内置硬盘之后。
- 保持安全启动处于启用状态。这意味着未签名的代码无法在启动过程中加载，而这正是此处所针对的攻击方式。
- 将密码记录在你的密码管理器中。忘记固件密码的后果，轻则送修服务中心，重则更换主板。
“邪恶女佣”攻击，以及启动密码究竟能带来什么
这里防御的攻击很简单：有人短暂接触你的设备——酒店房间、办公室过夜、过境时行李离开视线——用他们自己的介质启动你的机器，并修改未加密的启动文件，这样下次你输入密码短语时就会被捕获。
你的磁盘全程都是加密的。但这没有用，因为之后是你自己解锁了它。
不过要清楚其局限：固件密码是减速带，不是锁。在许多机器上，打开机箱即可清除，有些厂商还有主控覆盖密码。它能挫败机会主义的篡改并争取时间；但无法挫败一个决心坚定、装备齐全、把你的笔记本电脑带进密室的对手。
这不能保护你免受什么
读这一篇- 一台正在运行的机器。一旦启动并解锁，一切都可以被读取。这是磁盘加密最终被证明毫无意义的最常见方式。
- 睡眠。在大多数系统上，挂起时密钥会留在内存中。请改用休眠或关机。
- 任何同步到云端的内容。你云盘、电子邮件和备份中的副本完全不受此保护。
- 你已经在运行的恶意软件，它以你的身份、在未锁定的磁盘上运行。
- 被强制解锁。在若干司法管辖区，拒绝交出密码本身就是违法行为，而在更多地方，实际压力相当大。加密是一种技术控制手段，不是法律盾牌 — 在依赖它之前，先了解你所在地方的法律。
你的 wifi 路由器
你家里的一切都经过它，而几乎没有人打开过它的设置。它通常是你拥有的最老旧、最少更新的计算机，而且它是面向外界的那一台。
从 WPA2 迁移到 WPA3
免费10 分钟使用 WPA2-Personal 时，范围内的某人可以捕获连接握手并离线测试密码猜测。长而随机的密码仍能抵御这种攻击；危险在于短小或重复使用的 wifi 密码，可以被廉价地猜出。
WPA3-Personal 用 SAE 取代了该交换过程，它能抵御被动的离线密码猜测，并增加了前向保密。这是一次有意义的升级。它无法挽救弱密码，而过渡性的 WPA2/WPA3 模式会让较旧设备保留一些降级暴露风险。
如果你的部分设备太旧，不支持 WPA3
大多数路由器提供 WPA2/WPA3 过渡模式，让新设备使用 WPA3，而旧设备回退。它比仅用 WPA3 弱，攻击者可以尝试强制回退，但远好于仅用 WPA2。
先检查哪些设备需要它。通常是一台旧打印机或一个智能插座，而这些设备本来就该放在访客网络上。
路由器检查清单的其余部分
免费- 更改管理员密码。不是 wifi 密码，而是路由器自身设置页面的密码。很多路由器仍然使用贴纸上的默认密码，而这是你网络上的任何东西首先会尝试的。
- 关闭 WPS。就是那个带 PIN 码的便捷按钮。PIN 码短到可以直接猜出来，而这会击破即使很强的 wifi 密码。CISA 指南
- 关闭 UPnP。它会让你的网络上的任何设备在未经你同意的情况下悄悄打开一个通往互联网的端口。
- 关闭远程管理，这样设置页面就无法从你家外面访问。
- 更新固件，并检查是否还有更新。许多路由器在仍在销售的情况下，几年内就被厂商放弃。
- 重命名网络，让它不要暴露路由器型号，否则附近任何人都能知道该尝试哪些已知漏洞。
- 把智能设备放到访客网络上。这样它们就无法接触你的笔记本电脑和手机。
- 在路由器上设置你自己的 DNS：Quad9 或 NextDNS，它能一次性覆盖所有设备。
你的运营商给你的路由器
ISP 提供的路由器往往是最差的一类：为服务商启用了远程管理、存在未公开的账户，固件更新也只在服务商方便时进行，而不是在发现漏洞时。
你通常可以自己买一台，把他们那台设为仅调制解调器模式或桥接模式。如果你想更进一步，OpenWrt 是开源路由器固件，支持周期长，而且能运行在大量普通硬件上。
如果需要一份详尽且持续维护的检查清单，没有比 routersecurity.org 更好的了。
为此而生的操作系统
大多数人永远不需要这些。但值得知道它们的存在。
Tails，一台会遗忘的电脑
免费引导式设置过去对大多数人来说太繁琐，现在好多了
Tails 曾以难用著称：验证下载、正确写入 USB 启动盘、让机器从它启动，然后在不丢失任何东西的情况下搞明白持久存储。很多人在中途就放弃了。
对于非技术人员来说，这曾使 Tails 不切实际。如今这一门槛已大大降低。AI 助手可以在你自己的机器上带你完成整个过程——检查签名以确保镜像未被篡改、写入 U 盘、为你的特定笔记本电脑找到启动键，并解释持久存储会保留什么、不会保留什么。它把一个繁琐但有详细文档的流程，变成了一系列你可以按部就班完成的步骤，而无需事先了解相关术语。
什么时候它是正确的工具
当你想让一次会话不留任何痕迹时使用它：在共用或借用的电脑上，或者当风险是有人事后检查这台机器时。几乎可以在任何笔记本电脑上运行，成本只是一根 U 盘的价格。
如果你在其中登录自己的账户，它并不能保护你，因为无论是否使用 Tor，那都会暴露你的身份。而且失忆是双向的：任何你想保留的东西都必须刻意放入可选的加密持久存储中。
Qubes OS — 将隔离作为整体设计
免费引导式设置Qubes 不是让一台电脑运行所有东西，而是运行许多小型虚拟机并将它们彼此隔离：银行在一个里，电子邮件在另一个里，任何有风险的东西都放在关闭即消失的一次性虚拟机里。一个被攻破时会被限制住，而不是全盘沦陷。
qubes-os.org · 相关：Whonix、Kicksecure
诚实的评估
Qubes 是现有最强的实用桌面安全方案，但它的要求也很高：特定硬件、足够的内存，以及改变你的工作方式，你需要决定每项任务属于哪个隔离区。在一次性虚拟机中打开文件只需点击一下，这让第 6 级在这里几乎成为自动行为。
这曾使大多数非技术人员无法企及。现在，AI 助手可以帮助你检查硬件是否合适、按照安装程序操作、创建最初的隔离域，并在你做出选择时解释各项选项。它不会消除 Qubes 的硬件要求或学习曲线，但会让设置过程比过去容易得多。
它面向有特定且严肃理由的人。如果你读到这里只是为了减少日常跟踪，第 1 级和第 2 级对你的帮助会大得多。
检查你是否已经身处数据泄露中
在保护任何东西之前，先查明已经泄露了什么。大多数人的凭据出现在多起公开数据泄露中，却从未被告知。
Have I Been Pwned
免费从这里开始2 分钟输入一个电子邮件地址，它就会告诉你该地址出现在哪些数据泄露事件中，以及每次泄露了什么：密码、地址、安全问题、私人消息。由一位知名安全研究员运营，无需账户，也不会存储你搜索的内容。
干净的结果意味着什么，又不意味着什么
这意味着你的地址不在已经公开且已知的泄露事件中。这比听起来要局限得多。大量泄露从未被披露，多年来在私下交易，或者被披露但数据从未公开。
所以，把干净的结果当作关于某个特定名单的好消息，而不是关于你账户的结论。本页其他地方的各项措施才是真正保护它们的手段。
你的密码管理器已经一次性为所有账户做到了这一点
免费那个可规模化的方案逐个检查地址只能告诉你哪些网站泄露了。你的密码管理器可以一次性告诉你，在你持有的所有账户中，哪些你的密码已被泄露、被重复使用或过于薄弱。如果你遵循了第 4 级，这功能已经就在软件里，而大多数人从未打开过它。
如果你的密码保存在浏览器中
Chrome 和 Safari 都会将保存的密码与已知泄露进行比对，值得运行一次：Google 密码检查，或在 Apple 设备上前往密码 → 安全建议。
但请注意你被告知了什么。浏览器密码存储是信息窃取程序首先下手的目标，因此那里的泄露报告是将密码迁移到真正的密码管理器的理由，而不是让你感到安心的理由。
安全地检查密码本身
免费没人知道的那部分与电子邮件搜索分开，Have I Been Pwned 允许你将单个密码与超过十亿个已出现在泄露事件中的密码进行比对。命中并不意味着你的账户被入侵；它意味着该密码在攻击者使用的列表中，因此不应在任何地方使用。
- 切勿将密码输入任何其他“我的密码是否泄露”网站。无法区分真正的检查器和收集器，而构建后者的动机显而易见。
- 这个网站是安全的，原因具体且可验证，对面有解释。这不是信任他们的问题。
为什么这一个可以信任，而其他的不行
你的浏览器在本地对密码进行哈希处理，只发送该哈希值的前五个字符。服务器返回所有以这五个字符开头的已泄露哈希值，通常有几百个，然后由你自己的浏览器来核对列表。
密码永远不会离开你的设备，服务器也无法分辨它返回的众多结果中哪一个才是你要查询的。这一特性称为k-匿名性，也正是它不同于那些只要求你粘贴密码的网站的原因。
可以忽略的内容
省钱- 付费的“暗网监控”。其中大部分只是把你能免费搜索到的同一批公开泄露数据转售给你，再套上一个制造恐慌的仪表盘。有些是银行或杀毒软件订阅附赠的；那没问题，只是不要单独购买。
- 要求你提供全名、地址和出生日期来“替你扫描”的服务。你交出去的身份信息会比大多数泄露事件所包含的还要完整。
- 不要被一长串结果吓到。十个早已关闭的论坛的旧泄露，而且你当时用的密码早已弃用，这不算紧急情况。一次近期的泄露，而你还在重复使用当前密码，那才是。
即时通讯，三个选项，如实比较
这三个都能正确加密你的消息。它们的区别在于：它们对你的了解有多少、谁可能被强制要求交出这些信息，以及你能接受多少使用上的不便。在选择之前请先读第一个框，因为通常的推荐附带一个我们不会略过的注意事项。
关于对Signal的担忧
Signal 是全世界最受推荐的通讯应用，其加密性毋庸置疑：协议是公开的、经过审计的，而且足够优秀，连 WhatsApp 和 Google 都采用了它。你也会听到有人说它为美国政府留了后门。对此没有任何证据，我们也不会这样声称。
有据可查、也是这种怀疑所依据的事实是：Signal 是一家建立在美国基础设施上的美国组织，因此受美国法律程序管辖；其早期开发部分由开放技术基金（Open Technology Fund）资助，而该机构由美国政府出资；并且直到最近，它都要求绑定手机号，而手机号就是一种身份标识。
与之相对的是：当他们收到法律要求时，能够交出的内容不过是账号创建日期和最后一次连接时间。这是一个真实的、经过检验的结果，也是对他们最有力的辩护。你现在掌握的事实和我们一样多。如果这点残余风险对你的用途来说不可接受，下面另外两个方案给出了不同的答案。
Signal
免费最简单需要手机号对大多数人、大多数时候来说，这是正确的答案，因为你需要联系的人已经在用了，而一个你认识的人都不用的安全通讯应用保护不了任何东西。最好的加密、最好的易用性，而且对谁和谁在通话所掌握的信息少得异乎寻常。
- 开启注册锁。没有它，任何接管你手机号的人都能在他们手机上注册你的账号。这是应用里最重要的一个设置。
- 设置一个用户名，这样别人不用知道你的手机号就能联系你，并关闭谁可以通过手机号找到我。
- 默认开启阅后即焚消息。不在手机上的东西，之后也无法从手机里读出来。
- 在 Signal 内部单独设置屏幕锁，与手机的锁分开，并关闭消息预览。
适合用于
与不会安装任何特殊软件的人进行日常对话。语音和视频通话。任何替代方案是对方退回到短信或 WhatsApp 的场景，那才是真正的失败模式。
最弱于：隐藏你正在使用它这一事实，以及向该组织本身隐藏你的电话号码。
Session
免费无需电话号码阅读注意事项最初是 Signal 的一个分支，去掉了人们反对的两件事：它不需要电话号码，也不需要电子邮件，你会获得一个随机的 Session ID，这就是你的全部身份，消息通过三跳洋葱路由传输，因此没有任何单一服务器同时知道消息来自哪里和要去哪里。其背后的基金会在2024 年从澳大利亚迁至瑞士，理由是澳大利亚监控法律日益收紧。
- 无需任何注册信息。没有号码，没有地址，没有姓名。丢失恢复短语就会丢失账户，所以请将其保存在你的密码管理器中。
- 去中心化。没有公司服务器保存消息，这正是重点。
- 你的 Session ID 才是需要分享的东西，它与你的一切信息都没有关联。
适合用于
与不想交换电话号码的人进行首次联系。消息来源。任何无法或不愿注册身份的人。你拥有账户这一事实本身不应与你产生关联的场景。
最薄弱之处：敏感对话的长期存档，直到 V2 发布。开启阅后即焚消息后，这个问题基本就不存在了。
Element (Matrix)
免费你可以自行托管设置最复杂Element 是 Matrix 的主要应用，Matrix 是一个开放协议，而非一款产品。关键区别在于：它是联邦式的，就像电子邮件一样——任何人都可以运行服务器，不同服务器上的用户可以互相通信。这意味着你可以运行自己的服务器，这样就没有任何公司掌握你群组的对话。正因如此，多个欧洲政府都采用这种方式。
- 无需手机号。在你选择的任意服务器上注册一个用户名即可。
- 私密房间默认开启加密，但要自行确认——Matrix 是通用协议，并非所有房间都加密。在谈论重要内容之前，先确认房间已加密。
- 为群组而生：房间、话题串、权限、管理功能。它的行为更像团队聊天工具，而不是手机即时通讯软件。
- 你可以自行托管服务器，这是本页面上最强的隐私方案，但同时也意味着你需要负责持续为其打补丁。
注意事项
消息内容是加密的；但大量元数据并未加密。由于房间会在所有成员所在的服务器上复制，这些服务器的运营者可以看到谁在房间里、以及他们何时活跃。在公共服务器上，这是实实在在的暴露风险，也正是自行托管服务器的理由。
在多台设备之间管理加密密钥也比另外两个方案更麻烦，而丢失密钥就意味着无法再访问旧消息。
适合用于
一个团队、一间新闻编辑室，或一个长期协作并希望拥有自己基础设施的群体。通往其他网络的桥接。任何你本来会使用 Slack 或 Discord、但不该使用它们的场景。
最弱之处：与不懂技术的人进行一对一对话，在这种情况下，Signal 在唯一真正重要的衡量标准上胜出——对方是否会使用它。
各用一句话说明该选哪个
如果你想要简短答案- Signal，适合所有你已经认识的人，也适合任何可用性决定它是否会被真正使用的场景。
- Session，当你绝不能交出电话号码，或者你拥有账号这一事实不应能与你关联起来时。
- Element，适合一起协作的群体，尤其是如果你们能自己托管服务器。
- 这三个都是好选择，但并非唯一站得住脚的选择。Briar 和 SimpleX 能很好地应对其他威胁模型。对于敏感对话，任何端到端加密的选择都比短信、普通电子邮件、Telegram 群组和云端聊天，或普通社交平台的私信更强。
家庭 安全摄像头
一个对准你家的摄像头，如果可以从互联网访问，一旦弄错就是严重问题，而这个行业的记录很糟糕。在你另行配置之前，把每一个都当作敌对的。
为什么它们通常很脆弱
先读这个- 默认密码或共享密码，有时是硬编码且无法更改的。
- 默认使用云。视频会离开你的住所，存储在一家公司的服务器上，其员工以及任何入侵这些服务器的人都能访问。
- “P2P”远程查看会通过 UPnP 从你的路由器打洞，因此即使你从未转发端口，摄像头也能从外部访问。
- 很少更新的固件，而硬件以十几个不同品牌名称销售了多年。
这不是理论上的。2021 年，攻击者入侵了一台用于管理 Verkada 运营的摄像头的支持服务器。Verkada’s 自己的事件报告称，属于 95 个客户组织的视频或图像被访问。受影响的站点包括摄像头画面特别敏感的环境。Verkada 事件报告
如何安全地运行它们
免费- 优先本地录制而非云。录制到你家中的盒子的摄像头无法被公司交出，也不会在其数据泄露中暴露。
- 尽可能完全阻止摄像头访问互联网，使用一个没有出站访问权限的独立网络或 VLAN。如果你需要从外部查看它们，请通过该独立网络使用制造商自己的应用，而不是在你的路由器上开放端口。
- 关闭 UPnP 和 P2P，在摄像头和路由器上都关闭。
- 更改每一个默认密码，并从你的密码管理器为每个摄像头设置各自的密码。
- 开启双重验证，如果你必须使用云账户，并在提供时使用安全密钥。
- 更新固件，并将已停止接收更新的摄像头视为生命周期结束。
- 想想它们指向哪里。覆盖生活空间的室内摄像头一旦被入侵，就会造成真正的伤害。许多人根本不需要它们。
将视频留在家中的开源选项
Frigate — 在你自己的机器上本地录制并进行物体检测，无需云账户。可与支持 RTSP 的普通摄像头配合使用。
Home Assistant — 在本地运行你的摄像头和智能设备，并可以让它们完全不上互联网。
购买时，寻找支持 RTSP 或 ONVIF 的摄像头。这意味着它可以向本地录像机提供视频流，而不依赖制造商云服务的持续存在。
值得拥有的软件，全部免费
这里没有任何赞助，也没有任何付费推广。如果某个工具属于上面的某个级别，我会注明级别名称，这样你可以回去查看理由，而不是仅凭一句话就安装它。
消息通讯
Signal，适合你已经认识的人。开启注册锁并设置用户名，这样就不必提供你的电话号码。
Session，当你无法提供电话号码时使用。
Element，适合一起协作的群组，并且可以运行在你控制的服务器上。
Molly，一款强化版 Android Signal 客户端，会对其本地数据库进行静态加密。
Briar — 完全不需要互联网，通过蓝牙或本地 wifi 工作。专为抗议和断网而设计。
三方选择在 Level 13 中进行了辩论。
电子邮件与别名
Proton Mail · Tuta，加密邮件，提供免费套餐。
SimpleLogin，为每个网站使用不同的别名，这样即使发生泄露，也无法追溯到你的身份或在多个服务之间进行关联。
Thunderbird，一款由你掌控的正规邮件客户端。
密码和验证码
KeePassXC，一款离线密码管理器，不向任何人妥协。完整指南见第 4 级。
Aegis，在 Android 上提供带加密备份的双重验证码，这样丢了手机也不等于丢了账号。
如果某个网站支持硬件密钥，那比这两者都更可靠。第 1 级。
打开文件和浏览网页
Dangerzone — 将你不信任的文档转换为无法执行任何操作的 PDF。第 6 级。
Mullvad Browser，具备 Tor Browser 的指纹防护能力，但无需 Tor 网络。
Tor Browser，当网络本身就是监视者时使用。第 7 级。
文件、备份，以及远离云端
VeraCrypt，加密容器和驱动器。
Cryptomator — 在文件夹同步到任何人的云端之前先加密。
Syncthing — 在你自己的设备之间同步，中间没有云。
LibreOffice，无需账户、无遥测、也没有能将其关闭的公司，照样处理文档。
全盘加密已经内置于你的操作系统中。第 9 级。
手机
F-Droid，一个只收录自由软件的应用商店。
Exodus Privacy — 在你安装 Android 应用之前，显示其中包含哪些追踪器。真的让人大开眼界。
底层的操作系统比其上的任何应用都更重要。第 3 级。
网络
Quad9，一家瑞士非营利解析服务，不保留与你关联的记录，并拒绝为已知恶意域名提供解析。
NextDNS，控制力更强、过滤效果好得多，但它是一家公司，其日志是一项由你开启的功能。请保持关闭，或有意识地设置保留期限和司法管辖区。
OnionShare — 直接通过 Tor 发送文件，无需账户，中间没有服务商。
OpenSnitch（Linux）· LuLu（macOS）— 未经你许可，任何东西都无法访问网络。第一周会很吵，之后就安静了，而这一周正是关键：你会弄清什么东西一直在通信。
值得你花时间的指南
糟糕的安全类文章比比皆是。以下这些出自真正在真实威胁下支持真实用户的人之手，并且会持续更新。它们按深度排序：第一组不预设任何基础，后面的则假定你想了解工程细节和证据。
从这里开始
EFF — 监控自卫
现存最好的免费课程。从威胁建模模块开始。
数据排毒工具包
Tactical Tech 出品。每天一小步，没有术语，是这里最友好的入门选择。
Privacy Guides
最新的工具推荐，并展示其推理依据。由社区审核。
为身处威胁之下的人而写
Security in a Box
Front Line Defenders 与 Tactical Tech 出品。为行动者而写，有多种语言版本。
Freedom of the Press Foundation
来自构建 SecureDrop 并培训新闻编辑室的人的一线从业者级指导。这里是目前最接近实用参考手册的东西，会随着情况变化而更新。
Totem
为记者和活动人士提供的免费结构化课程，有多种语言版本。
Me and My Shadow
展示你的数字痕迹实际上是什么样子。适合用来理解，而不仅仅是操作。
理解指纹识别
Cover Your Tracks
EFF。测试你的浏览器，并用通俗语言解释每一个信号。从这里开始。
BrowserLeaks
分别展示每一个向量 — canvas、WebGL、音频、字体、WebRTC。这是看清网站读取了什么的最清晰方式。
Am I Unique?
对照研究数据集，展示你的确切组合有多么罕见。
arkenfox wiki
详尽、及时，而且异常诚实地说明哪些加固真正有用、哪些只是做样子。
The Design and Implementation of the Tor Browser
为什么让所有人变得一模一样胜过试图隐藏，由构建它的人撰写。这是归档的草稿，仍然是这一论点最清晰的表述；仍在维护的版本保存在 Tor Project 的 GitLab 上。
技术深水区
Qubes OS documentation
将隔离贯彻到底。即使你从不安装它，也值得一读，因为它会让你注意到你的普通机器与自身共享了多少东西。
Whonix documentation
这可能是任何地方关于匿名工程的最大规模免费写作，包括长篇、细致的页面，说明哪些做法无效以及为什么。
GrapheneOS technical documentation
在操作系统层面加固手机意味着什么 — 内存分配器、漏洞利用缓解措施、沙箱实际强制执行什么。具体，而且异常没有营销色彩。
这是针对人们实施此类行为的证据
Citizen Lab — 定向威胁
记者、律师和人权工作者遭国家黑客攻击的取证记录，逐案列出，附有技术证据。如果你想知道本页的前提是否真实，请读这个，而不是听我们说。
国际特赦组织安全实验室
公布其方法论，而不仅仅是结论，以便工作可被核查和复现。
移动验证工具包
用于在手机上发现 Pegasus 的实际取证工具，附有可跟随操作的文档。要求较高，也是对“我怎么可能知道”这一问题的诚实回答。
EFF — 街头级监控
地面上的硬件究竟是什么、能做什么：IMSI 捕获器、车牌识别器、人脸识别。在公共场所拍摄任何东西之前值得一读。
OONI
从实施互联网审查的国家内部测量审查情况，数据开放。如何证明封锁是真实存在的，而不是网络连接不好。
如果你处理他人的材料
Hacks, Leaks, and Revelations
Micah Lee 关于处理被黑和泄露数据集的书 — 如何经手、核实和发布，而不暴露线人或你自己。可在线免费阅读全文。最接近本档案馆工作手册的东西。
SecureDrop
当提交者的安全就是全部问题时，如何接收提交内容。即使你永远不会运行一个实例，其文档也值得一读。
整体安全
Tactical Tech 讲述任何工具都无法解决的部分：一个承受压力的团体如何做决定、分担风险，并在不耗尽精力的情况下继续工作。
如果出了问题
数字急救包
引导你诊断问题 — 账户被接管、设备被扣押、骚扰、疑似间谍软件，并告诉你该联系谁。
CPJ 数字安全工具包
保护记者委员会。简洁实用。地址中的 2019 是其首次发布日期 — 它会定期审查，最近一次检查是在 2026 年 2 月。