资讯安全 ABC - 树立观点，选取策略，选择工具和更多

有感而发自 10 個自我保護、避免駭侵攻擊的方法(上篇) ，但原作者似乎比较常用 Apple 家的产品，对 Android / Windows 好像很有偏见的样子……正好咱对 Apple 很有偏见，可以拿来互补一下（x）

要打破一个人的偏见比崩解一个原子还难。

破除迷思

随着最近几年数字货币的兴起，个人资料外泄、计算机漏洞病毒的集中曝光和爆发，信息安全逐渐的不再是遥不可及的新概念了。众多科技媒体和创作者也不断的在强化安全意识的重要性，就不再需要咱多讲了吧……

• 不要觉得自己没有什么可以保护的就不关注自己的安全，在各种入侵和破坏（？）过程中，有些被作为”跳板“的目标的重要性不亚于骇客严重的终极目标（例如利用汝的设备完成关键的一步然后汝莫名其妙的去背锅什么的）。
• 知识这种东西嘛绝对不嫌多（除非汝已经达到了如爱因斯坦或者冯·诺依曼那样登峰造极的地步，或者汝信仰克苏鲁神系（？）），于是平时上网的时候顺便（或者主动）关注一下近期的安全动态啥的也好啊😯
• 没有啥绝对安全的硬件/软件，在比较长的时间范围内，也不存在哪个比哪个一定更安全的说法（例如虽然 CVE Details 的报告里指出 Windows 的漏洞比 macOS 多，也不代表 macOS 一定比 Windows 更安全。 （macOS 上也爆出过严重影响安全性的漏洞，例如早期的空密码获得 root 权限啥的，熟悉类 Unix 系统的家伙们都知道 root 用户的重要 or 危险性了吧））。
• 也不存在一个百搭的昂贵方案可以一劳永逸的解决所有人的问题。毕竟安全需求因人而异，也是个长期工程。

评估汝的状况、需求和风险

这就是所谓的“威胁模型分析”啦，通过寻找系统潜在威胁以建立对抗的策略。介于分析的结果会直接影响汝等的决策，所以最好用心一下。

威胁模型分析的方法有很多，结果也因进行分析的人不同而各有千秋。下面简单举一例：

• 汝要保护的是什么？
• 例如汝存放有财务信息/人际关系的在线帐号，存有重要文件的电脑等等。
• 汝要保护它们免受什么威胁？
• 对于在线帐号的话，大概主要是防止被其他人盗用和自己无法访问。对于文件和设备，可能主要是防止被他人读取和遗失等等。
• 咱需要保护它们的可能性有多大/如果咱失败了会怎么样？
• 例如要是汝的线上账号被盗用，攻击者可能会以汝的名义做一些汝不会去做的事情使汝蒙受损失；汝的文件丢失的话可能会使汝失去合作机会或者输掉官司等等。
• 为了保护它们，咱愿意承受多少麻烦？
• 汝能承受更多麻烦的话，就能花费更多时间和知识去保护它。

经过一轮自问自答（？）以后，汝大概就对汝要怎么做有些想法了吧……

强化系统安全性

流行的桌面或者手机操作系统自身基本上都内置了不少安全措施（例如 Windows 内置的杀毒软件 Windows Defender， macOS 中内置的 Gatekeeper 安全机制，iOS/Android 默认只能从限定的来源安装应用等等）。把这些内置的安全措施设置好是提高系统安全性的基础，除此之外：

• 如果觉得内置的安全功能/杀毒软件不够强大的话，可以从网上下载和购买到其它功能更丰富/强大的安全软件。不过安装之前最好搜索一下该软件的历史和评价等等。（例如有人的威胁模型不放心来自某些国家的软件啥的）
• 打开系统和系统内的软件商店的系统更新功能，及时安装系统（和软件）更新。系统软件更新是软件开发商修复漏洞/提高稳定性/提供新功能的主要手段。（但介于之前出过系统或软件更新中“夹带私货”的先例，大家都没那么主动更新了呢，攻击者狂喜）

尽可能的总是使用加密

加密和各种密码学技术是对抗监控和极权等各种自由的威胁的有效手段，目前现有的加密技术都在努力确保在相当长的时间内不会被暴力破解。因此只要保护加密信息的凭据（例如密码和密钥）不被泄露，有效的密码技术在相当长的一段时期都是很有效的。

但是如果因为担心加剧的监控（例如主动的监视）而只在敏感时期或特定情况使用加密却会让汝陷入危险之中， 为啥？因为只是一段时间内使用加密的话，就有可能把元数据（关于数据本身的一些“数据”，例如消息的时间和长度等等）和一些重要的日期和时间关联起来。所以就算是普通的日常活动也要记得使用加密来保护自己哦~

以及要是只有汝自己在使用加密的话，汝所产生的元数据可能会被认为是可疑的（？）。 这就是鼓励大家都尽可能的使用加密工具的原因：为真正需要加密的人泛化加密的使用。加密的流量越多，越能让审查者疲于奔命。

关于几种常见的加密方法的应用，可以参考咱之前的两篇译文， 当汝看到加密（encryption）时应该想到什么 和 一点点深入端到端加密 -- 公钥密码系统如何保护我们的信息？ ，也可以在关联文章里找到。

构造强力密码

（这似乎是信息安全的日经话题）

是啊，在大多数情况下，密码是进行验证的第一个（也许是唯一一个）关键因素。所以密码安全才如此重要。

• 像之前经常提到的不要在复数地方使用同一个密码和利用各种方式创建各种带有各种字母和符号的密码这些都快听腻了的话就不再反复重复了……
• 然后汝发现汝忘记了刚想好的足够强的密码。
• 或者汝辛苦想出的密码还是被猜出来了。（ 参见 https://xkcd.com/936/ ）
• 低技术出手相救！（？）利用骰子和一张几乎随机的单词表，汝就能构造出又长又好记又难猜的密码。 （就像这样： https://ssd.eff.org/en/module/animated-overview-how-make-super-secure-password-using-dice ）
• 或者，考虑下面的招数……

使用密码管理器

几乎到处都在讲密码管理器的好处，例如帮汝记住密码和构造不重复的强密码什么的，这是好的，但有些问题却被无意或者刻意的回避了（例如密码管理器作者推荐自己的作品的时候）。

• 使用密码管理器会让汝置于一个单点故障风险中（密码管理器的主密码被窃取的风险）。但又不能因噎废食，因此可以只让密码管理器帮汝记忆汝“相对”不那么重要的密码，以及用前面提到（或汝熟谙）的各种手段为汝的密码管理器选择一个强密码，然后用汝自己的脑子记住它。（记一个总比记一堆省力吧！）
• 仔细研究和挑选密码管理器，特别要避开曾经曝光出漏洞或者不安全行为的产品（例如有些密码管理器曾经会把汝的密码明文缓存到内存中）。
• 留心声称提供网络和同步功能的密码管理器，对于某些人而言这是个安全风险。

开启双因素（两步）验证

又是老生常谈的一点，简单的来说，两步验证通过一些额外的措施确保了就算汝的密码因为某些原因不慎泄露，攻击者在只知道汝的密码的情况下也无法访问汝的账号。所以只要汝正在使用的服务支持的话，就打开吧。

关于各种两步验证的类型、劣势和注意点，咱之前有翻译过一篇 EFF 的文章，这次再拿来参考一下： 常见的双因素认证类型

中段警告（？）：小心使用生物验证

生物验证指常见的通过识别人身上的某些信息来完成认证的某些类型，例如指纹、虹膜、面部和声音等等。

虽然生物验证一定程度上很方便，但方便的同时也带来了不少麻烦。

• 有一些手段能够轻易借助伪造的生物特征绕过验证，例如通过指纹模具绕过早期的指纹识别和通过照片绕过某些孱弱的面部识别等等。
• 目前难以伪造的某些特征在某些时候可能会成为汝的弱点，例如被家人，警察或政权部门强行要求解锁什么的。（目前大多数生物识别都是在失败一定次数后回落到传统的密码认证，密码认证也有在几次失败后延长尝试时间或清除数据的设定。在某些设备上，还可以通过特定的操作停用生物特征验证。）

小心沟通 - 例如邮件

虽然 IM 和社交网络逐渐流行起来，电子邮件还是主要的沟通手段之一，因此还是要小心的使用。

• 小心的选择一个邮件提供商。（一样的根据威胁模型不同选择的要点不同）
• 提防当地政权的人可能不会考虑物理位置位于居住国或者有密切合作的地区的服务，厌恶大私有企业的人可能会考虑一些专注于邮件服务的优秀小服务商等等。
• 不要轻易相信发件人（声称）的发件人。
• FROM 是可以轻易伪造的（用过各种发件服务的人应该更深有体会）。
• 现在相比电子邮件的开荒年代，反制垃圾邮件的策略和技术都多了起来，例如 SPF（发件人策略框架）确保声称来自某个域名的邮件确实是从信任的服务器寄出，DKIM （域名密钥识别邮件）通过数字签名阻止邮件的标头和内容被篡改，DMARC（基於域的消息認證，報告和一致性，基本上是 SPF 和 DKIM 的结合）提供一种验证发件人的机制，并在发现伪造时及时让真实的发件人受到回报等等。这些技术的结合使用在很大程度上阻挡了大多数垃圾邮件。
• 流行的邮件服务基本都会利用这些记录检查邮件。
• （学有余力的话，）用 GnuPG 保护自己（和他人）的电子邮件。
• 大规模监控无疑是对基本权利的侵犯和言论自由的威胁，即使汝没有什么见不得人的事情，使用加密可以保护通信对方的隐私，并使大规模监控系统变得难以运作。如果确实有重要的东西需要隐藏，那么你并不孤独；告密者在揭发人权侵犯、腐败以及其他犯罪问题时，也使用同样的工具保护他们身份。

自由软件基金会维护了一份使用 GnuPG 加密和解密邮件的入门指南，如果汝的威胁模型里有这种因素以及汝有这种意愿的话，推荐去读一读。（链接在最下一节）

留心应用或网页的权限请求

打破砂锅问到底的精神不仅有利于学术研究，也能保护汝的（各种）安全。

例如汝遇到一个手电筒应用要访问汝的联系人的时候，汝是不是就该多长几个心眼了呢？

• 对于桌面操作系统，保护自己的方法有很多，从使用网页版到安装一个虚拟机来运行某些疑似危险的软件都可以。
• 对于 iOS ，用好系统内置的隐私选项，不要无脑按确认。
• 对于Android，除了用好系统内置的隐私选项以外，汝还可以选配一些工具来强化保护，像是 AppOps（Android 4.4 以后内置的隐私选项，有其它人写了一些应用来扩展它的应用范围） 或者 XPrivacyLua（通过劫持相关接口伪造数据保护隐私信息）等等。

保护物理和连接安全

于是汝小心保护好了汝线上的一切，然后被入侵者直接摸到了汝的手机和电脑……

很多基于软件上的保护措施都会教导用户，如果物理安全无法保证，那么软件层面上再完美的防护都毫无意义。例如汝用密码保护了汝的设备，但是没有加密硬盘，于是攻击者借助外部设备读取了汝的硬盘，获得了汝费力保护的数据什么的。 或者汝不小心插入了一个“特制”的设备，有可能是存储器或者键盘，然后后门乘虚而入……

于是，除了加密汝的硬盘以外，还要努力的提醒自己不要使用来历不明的外部设备或网络。

末段警告（？） - 小心的选择各种服务

于是汝小心翼翼地运用了各种技巧，直到汝用了一个设计很烂或者被迫交出用户信息的服务……

• 对于大中华地区的居民而言，大多数时候可能在考虑避开中国大厂 BAT 的各种服务（百度，阿里巴巴和腾讯，在某些人口中百度可以换成字节跳动等等了）。或者物理位置位于中国的所有服务……
• 正在计划或者做着什么的家伙们可能在考虑避开自己居住地或者其他合作国家/企业的服务（啥？）
• 或者自己动手丰衣足食？（但自己加固自己的服务还是个瓷器活……）

请依旧根据自己的威胁模型决定……

学无止境

如果汝真的在意自己的隐私和安全的话，这篇（以及下面这些文章，还有关联的文章）绝对不是汝会看到的所有文章。

咱并没有受到来自以下项目和网站的任何赞助，以及被推荐的工具不一定适合所有人，使用前的调查和准备还是要做的哟～

• SURVEILLANCE SELF-DEFENSE TIPS, TOOLS AND HOW-TOS FOR SAFER ONLINE COMMUNICATIONS 监控自我防御指南- 在线上更安全沟通的提示，工具和方法 ，来自电子前哨基金会，介绍了对抗监控的一些基本概念，提示和工具。
• PrivacyTools.io， 介绍了一些隐私友好的软件和服务。
• PRISM Break 粉碎棱镜，介绍了一些可能受棱镜计划等大规模监控计划影响的软件和服务的替代品。
• 电子邮件加密指南 ，自由软件基金会出品的通过 GnuPG 加密和解密邮件的快速入门指南。
• 编程随想的博客 的系列文章。

如何保护隐私 ，适合于不那么擅长技术操作的人的隐私保护要点。

如何防止骇客入侵， 介绍了骇客入侵的某些手法和防御技巧。

如何隐藏你的踪迹，避免跨省追捕 ，当汝要做某些事情的时候可能会用得上，作者本人就是个活生生的例子（？）