数字安全实用手册

被迫失去安全
这是建立这本手册背后最大的原因，因为那些在中国的人权工作者面临的信息安全威胁大大的多于被黑客。关键的威胁就在于在警方或其他人的胁迫下，让你交出你的邮箱、云存储或加密数据存储的密码。这是整个手册的主线，

但在手机里会允许APP不需要输入密码就能接入同样的服务，或是用手机浏览器使用同样的服务（比如连接工作邮箱）。这就是将大门打开着，让任何获得你的手机或进入手机的人都能查看你的信息。

“完善的安全意识能让小问题更小”
第一步：什么是你需要保护的？
你工作的信息是哪方面的，如果被交到警方手里，将如何影响到你。更重要的是，会如何影响到他人？如果你的整个硬盘都被没收，外人能从中获得你和工作的什么讯息？又能获得他人的什么讯息，比如资助人，同事或合伙人？要意识到忽视基本的安全考量会如何影响到你和他人。

基本保护行为
一旦被警察或国安带走，就几乎失去了保护自己的机会。特别是在像越南、中国、巴基斯坦这样的国家，执法人员几乎为所欲为的执法方式，更是留下极少的安全保障。他们会让你做任何他们要求你做的，不管是通过威胁你、同事或你重视的人，还是通过直接的身体或精神上的酷刑。在面临这种境况时，唯一保护自己的方法就是在这之前你已经做好了保障自身安全的步骤。

对警方来说如果要用随机的方法获取你的信息，有太多的服务、邮箱、网络软件，很难让他们有效率的获取。他们需要有大概的方向，从何处下手。如果他们强迫你交出某个服务的登录密码，大部分情况下，他们需要先知道你在用什么服务。在中国，他们可能会估计你有微信账户，在越南，他们估计你会有Facebook账户。总之，除了这几个特别广泛的服务之外，大部分其他的服务他们需要先知道你在用的是哪一个。


你需要考虑到的不仅仅是你该说什么，还有如何存储信息。这样你得先要有一个专门的邮件或聊天软件用于最敏感的工作，这个账户或邮箱不应该用于你的常规工作和聊天。
这种账号不要使用你的全名，也不要在邮箱或邮件的内容、聊天会话中包括任何可能显示你的确切身份、地理位置的信息。这样就算是被第三方查出这个账号与另一个人的来往记录，另一个人供述出这个账号是你的情况下，你也还是有一些否定的空间。
这个问题是最大的顾虑之一，也是你自身最难以控制的，因为取决于他人
要减少此类风险最安全的办法就是在最敏感的互动中使用有自动销毁和删除功能的邮箱和聊天软件也就是在发件者和收件者双边的脚本和邮件，会在被发件人设置的一定时间内被自动删除，比如说在发出邮件后一小时或一天后即自动删除。虽然邮箱发送者的用户名能够被看到，但是由于发送的信息或说“证据”再也无法被任何人打开了，包括你和那位收件人，因为邮件都会按照设定的时间自动销毁，也不可能被修复。
自动销毁邮件功能的使用，尤其是在当与一个你不完全信任的人通讯时，或与某个非常缺乏IT操作技巧的人联系时很重要。使用方法也很简便，同样的功能也适用于某些聊天软件。

电脑痕迹和证据带来的危害
一旦你被带走，或是你的电子设备被没收，当局很可能启动技术化的电脑分析。这是通常警方追踪到你所使用的账户的方式，再通过他们所掌握到的信息，更容易强迫你交出这些账户的密码。一旦他们成功，他们所找到的这些信息就很有可能用于对你或他人不利。


相反地，你应该做的第一件事情是使用双重浏览器策略。一个浏览器用于平日普通的浏览和使用，另一个浏览器用于最敏感的邮件收发和相对敏感的资料搜集工作。用于工作的浏览器应该设置为关闭时自动清除痕迹，也需要添加特定的安全插件，以便协助浏览器的清除工作，更彻底的移除掉更多的痕迹。


所以，要真正的保护好你的信息，就需要使用到“隐藏的”加密空间，让他们根本不知道你有加密的信息存在，这样他们也就无法通过威胁或酷刑让你交出他们根本不知道是否存在的空间密码。
你也可以将需要保留但可能不会用到的旧文件转移到一个安全的云存储。你需要使用一个安全度高，在中国没有服务器的云存储服务。另外你也需要留意浏览器中的信息，要确保警方无法发现你所使用的云存储，也无法获取登录方式。

手机，PAD和APP
在工作中要将电脑和手机的使用分开，这两者之间不要有重叠。请务必仔细研究手机的使用方式，务必避免在手机中使用工作相关或可能被察觉到你在使用的服务App。此外，不要用手机内的浏览器进入工作（敏感的）网络邮箱，因为手机内的痕迹是几乎不可能清除掉的。而且，在手机内彻底的删除也非常难，坚决不要用手机存储任何工作文件，也不要临时下载任何工作文件后再转移到电脑。

你也需要做好预备计划，如果在被带走的情况下你会做出哪些反应。而且还要将你的计划告知几个你信任，而且不太可能会被带走的朋友。一旦被审问，什么样的信息是你该说的（因为你一旦进去，你总是得要说一些东西，否则很明显他们知道你在隐瞒），什么样的信息是你一定要保护的？同样地，如果你有同事，你们需要一起讨论出一个每个人都同意的应对方案。
你也需要考虑到他人最有可能会放弃保护的信息是什么。
在政治领域有一句话是这样说的：绝不要撒公众能够发现的谎。对你来说，则是不要撒警方能够发现的谎。关于这点我们并没有技术性的解决方案，只能靠你自己的谨慎和智慧了。

现今，在中国和越南，警方可以任意要求连接到通信公司和网络公司的运作记录。这些公司通常都有将客户使用服务的记录存储起来，比如他们会记录下你使用手机的情况，包括你的地理位置，网络使用情况等等。
也就是说因为上面提到的这些情况，你在手机内所做的为了保护数据、隐藏使用的服务（比如邮箱）等步骤都可能变得徒劳。幸运的是，你可以通过使用VPN或TOR，对互联网服务供应商隐藏上面提到的大部分信息。
手机的安全问题并不是那么好解决，所以，针对工作，我们还是建议你使用电脑，而不是手机。


视网膜和指纹识别
千万不要使用视网膜识别、指纹识别或其他生物识别信息服务，它听起来似乎是高端的技术，但是远远比不上一个强度高的密码来的安全。鉴于我们上面提到的步骤，一旦这些生物识别信息被泄露，与密码不一样的是，它们是无法改变的。如果你的密码被泄露你能轻易的再建一个新的，但你却不能再建一个新的眼睛和指纹。
也就是说，如果你设置了视网膜识别和指纹识别用于进入手机或解密文件，一旦你被拘留，警方甚至不需要给你施压以获得你的密码，他们只需要将手机拿到你的面前，对着你的脸部或抓住你的手指按住屏幕就可。你是不是处在清醒状态都不重要。所以，千万不要使用。

最好的结果，是你永远不要用到这些应对喝茶的方式-----如果你能成功让国安找不到你的话。


需清楚“喝茶”到底是怎么运转的。


“国安”和“国保”不是一个部门，前者的级别更高，如果是国安上门，你犯的罪可能比较严重了，远不是发表了不当言论这么简单，弄不好一定会坐牢。相反，普通屁民发表点不当言论，最多也就是国保上门。

国保的请喝茶方式：

1.使用手机通话让你去附近的派出所接受调查。

2.直接上门。

3.采取被失踪方式。（一般情况下，如果仅仅是发表了不当言论，不会有这么高的规格，这一般针对知名异见勇士）


1：在电话里问明白什么原因找你去，一定要问清楚，并确保不是诈骗电话（有诈骗电话会这么干）。
如果确信是被盯上了，请先表示自己有事。也许，你稍微的一点不配合，国保嫌麻烦，问题不大的话，避免喝茶都有可能的。
但如果对方执意需要你去，那就不要以卵击石。

2：这种情况就参照下面的喝茶应对。


喝茶应对：

在境内被请喝茶，不外乎就是发表了不当言论。

因此当被国保交谈时，应明确以下几点：

1.国保没有掌握你的全盘信息，不要心慌意乱轻易交代自己的重罪，这对他们那就是升官发财的希望，你就遭殃了。

2.不要轻易使用谩骂等语言，除非对方明确侮辱你的人格。

国保一定会问你，知不知道为什么找你，或者直接问你XXX是不是你说的、发表的。

如果是知不知道，那一定回答“不知道”，不要给自己找麻烦并表示出自己服软的态度。拿出账号截图，由于墙国账号实名制，因此抵赖没有用，只能承认。

然后就一定会问你：为什么发表？

你的回答很简单：不知道/我手滑了/我可能哪天喝多了。


有人可能会觉得这是不是要引火烧身？放心，不是的。抗拒从严，回家过年，坦白从宽，牢底坐穿。

对于一个“寻衅滋事”乃至拘留的口袋罪，国保对个人意愿掌握越准确，越容易定罪。

请千万不要承认自己是“受了境外势力蛊惑”或者“转发某个人”。这种说谎一旦国保继续追问下去，你就不好圆，万一问你境外势力在哪，转发的谁的？你继续圆谎，露馅越多，你不是专业反侦察人士，迟早进圈。

不知道就是最简单的回答。

我之前提到“转发”，有人说，我真正转发他人冲塔的，同样，人家问你为什么转发，你的回答：不知道/我可能不小心按错了。

不要去编造理由，比如“我觉得他发表的不好，我转发着玩。”

阻止对方继续追问防止挖出更多消息。


对方发怒，威胁你，不说实话就把你XXX？

害怕了，竹筒倒豆子把能交代的全交代了，接下来就等着吃牢饭吧，最差拘留十五天跑不掉，千万不要以为你交代了人家放你回去（未成年人可以酌情）


拿出《中华人民共和国宪法》，以及《刑事诉讼法》，不用怂，就是上：你什么态度，刑讯逼供？还是诱供？规定：刑事起诉需要提供证据来证明我有罪，只有特殊情况才有“举证倒置”。

中华人民共和国刑法规定公民不被随意逮捕，你想推翻伟大领袖习近平定的宪法和刑法？

该硬的时候硬，该软的的时候软，虽然中共法律是纸，但这并不代表不走司法程序。你是一介屁民，真要习包子动真格被失踪，你连国保都见不到。


国保问你其他个人情况，对自己过去做过的事，一律表示不记得了，对现在做的事，一律表示不知道，对未来想要的做的事，一律表示还没想好。


避免对方通过聊家常套出你的个人想法，甚至锁定你是社会危险重点监视人物，那就麻烦了。被边控你可能润都没机会。



结束语


信息安全和敌我作战分析需要精通，如果你能玩弄土共于股掌之间，就会令土共胆寒。永远记住，土共不会短期倒台，但不代表我们没啥可做的，更不是灰心丧气的理由。

诚如我选择义无反顾写小说，就是为了维持和土共不一样的东西，这是基本的良知。本站存在的道理也是一样。

用中国大陆手机号注册推特和电报推特和电报账号均为国内手机号注册。中国大陆手机号和实名身份关联，对于大多数网友来说应该是常识，对此应该非常清楚。俗话说“淹死的都是会游泳的”，却又对自身安全如此疏忽，只能一声叹息。
失误二：网络身份隔离不彻底
搜集马某某的匿名身份不需要任何侦察或社会工程学技巧，因为马某某在国外网络平台上的账号，用户名一概叫“Ya Ya”，只要一搜便知。此外，马某某推特账号上明晃晃地写着自己的电报群，这是一个强有力的证据，可以证明他的账号之间的关联，也为国安定罪抓捕提供了便利。
失误三：泄露的个人信息太多
我在考察群聊时发现，尽管马某某一直声称自己在国外，但他在群聊时，却在多处无意暴露了自己在国内的事实。

中国政府是怎么找到境外账号背后的人的？这几年很多社交平台在注册时都要求短信验证，可以留心观察，国外大网站发往国内的验证短信，几乎全部是1069开头的号段。1069号段又称“三网短信通道”，使用该号段的企业，必须拥有《中华人民共和国电信与信息服务业务经营许可证》和《二类增值电信业务经营许可证》（俗称ICP证和SP证）。
按照中国现行法律，外资独资或外资控股企业，不允许在中国内地经营电信与信息服务业，因此1069短信一定经过了中资企业之手。不仅如此，按照工信部要求，1069的短信内容必须事先报备。可以合理地认为，只要中国政府愿意，就可以知道某个手机号，在特定境外平台注册账号的精确时间。尽管这不足以反过来找到境外账户背后的手机号码，但结合一些其它信息，足够把排查范围缩小到几十个人了。

推特的风险前些时候，我和一些国内因言获罪的人士有过沟通，蹊跷的是这些人士几乎全部因推特上的言论被定罪。据我了解，有当事人用朋友的手机号注册了推特，结果警察找到的是他的朋友而非他本人，直到推主接到自己朋友的电话，要求他去派出所“配合调查”，这才让警察抓到推主本人。因此可以认为，国内警察有某种手段找到注册推特的人，并且这种手段一定与注册时用到的手机号有关。
我对推特的安全性进行了一些测试分析，这里不谈“李飞飞是中共间谍”等阴谋论，仅从推特的交互逻辑上，公安或国安部门即可通过推特的设计缺陷，运用背后的国家能力定位特定用户。可能的途径有三：
(1) 使用注册时间缩小排查范围根据前面的分析可知，中国政府可以获知某个手机号注册境外平台的时间，因此只要知道某个境外账号注册的时间，就可以通过相同的注册时间，把境外账号和手机号对应起来。

遗憾的是，推特的注册时间是公开可见的。尽管推特的个人主页上的注册时间仅仅显示到月，但推特提供了API，可以通过此API查询精确到日期的注册时间。例如：
2) 不安全的密码恢复方式推特的找回密码功能非常不安全，点击忘记密码，推特就会向推主的手机发送一条验证短信，同时显示手机的最后两位数字。有了这些信息，找到某个人就非常简单了。例如，安全部门可以先用注册时间把侦察范围缩小到几十个手机号以内，然后根据手机尾号找到账号背后的手机号；安全部门也可以直接拦截推特的1069短信，在同一时刻接收推特短信的号码，就非常有可能是该推主的号码。

(3) 客服人员的问题推特的客服为外包，其人员素质参差不齐。理论上，即使隐藏了手机号（见下文），也可以向客服人员申诉忘记密码并发送一条恢复密码的短信。只要拦截这条恢复密码的短信，就可以用上文的方法定位特定用户了。
安全建议：为推特设置额外密码保护并绑定邮箱根据上文的分析，理想的安全措施是不用国内手机号注册任何境外服务，只用国外的不记名的虚拟号码。然而，在现实中获取一个可以用来注册的国外虚拟号很困难。如果已经用了国内手机号注册了推特，只要做一些很简单的设置，就可以让公安或国安无法找到你。

设置额外密码保护之后，恢复密码前推特会要求输入手机号或邮箱进行验证，这避免了直接暴露尾号和恶意触发恢复短信。
但是请注意，只绑定了手机的推特并不安全。尽管设置额外密码保护之后，恢复密码时会被要求输入手机号验证，但是若安全部门通过注册时间缩小了排查范围，那么他们只要几十次尝试就可以试出正确的手机号。
因此，有可能请尽量绑定邮箱，绑定邮箱之后恢复密码会要求先输入正确的邮箱，不会有触发恢复短信的问题。

最后强调一点，如果某个国内手机号已经注册过推特，那么换绑手机并不会更安全，因为这部手机的号码已经和推特的注册时间关联到一起了。因此，上策仍然是尽量用国外虚拟号注册，彻底避免国内实名手机号带来的风险。

---

非常好的总结。俺有几点评论补充：

• 在不同平台使用同样或相关联的网络ID不是问题，只要所有的ID都是匿名的。总体匿名性由所有相关账号中安全性最低的账号决定。就是说，假如有100个账号，99个都完全匿名，但第100个和实名邮箱相连，那么全部100个账号都等于实名。
• 国内进行推特操作（注册、登录、身份验证等）时，经常会遇到收不到验证短信的问题，收到的例子俺见到的都是从1069发出。俺认为，无论使用什么网站，凡是验证码从1069之类的中资通信平台发出，就不妨假设您的注册或登录记录（包括手机号，注册或登录的网站，注册或登录的时间）进入中国警方数据库。
  

附1：墙内手机谷歌的验证码从1065发出，俺查了查这种情况企业可以直接和三大运营商签约申请，对企业资质要求不如1069严格。
最近几年谷歌验证码也开始走1069通道了。理论上讲，只要在中国境内收验证短信，政府就会知道你的手机号注册了境外平台。目前还不清楚境外实体号+境内收验证码这种组合是否会带来风险。
其实我觉得归根结底就是一句话：用国外虚拟号注册。国外的号码不要求实名，虚拟号可以保证验证码不会被拦截（虚拟号的验证码通过HTTPS传输，高强度加密）。

在虚拟号的基础上，再绑定邮箱并设置密码保护就比较安全了。
其实隐藏自己不复杂，从淘宝上买个国外虚拟号就可以了，注册推特的时候也可以写申请，只用邮箱注册。这个人推特电报全绑定+86号码，我觉得单纯就是比较懒而已。