|
【51CTO.com快译】从安全芯片到匿名服务，本文介绍了如何在网上确保安全和私密的一些工具。
别搞错了：专业的网络犯罪岔子和政府撑腰的网络犯罪分子在试图危及你的身份――如果在家里，窃取你的钱;如果在工作场所，窃取你雇主的钱、敏感数据或知识产权。
大多数用户在使用互联网时都知道计算机隐私和安全的基本知识，包括尽可能运行HTTPS和双因子身份验证，上haveibeenpwned.com验证电子邮件地址或用户名和密码是否中了已知攻击的招。
而这年头，计算机用户要做的不仅仅是加强社交媒体帐户方面的设置。安全精英人士在运行众多程序、工具和专门的硬件，确保其隐私性和安全性尽可能高。我们在本文中分析了这一组工具，先介绍提供最广泛安全保护的工具，然后介绍针对特定用途的每一款具体的应用软件。可以使用任何或所有这些工具保护你的隐私，并获得最高的计算机安全性。
一切始于安全的设备
良好的计算机安全始于经过验证的安全设备，包括安全硬件和经过验证、符合预期的引导体验。如果任何一个受到操纵，就没有办法可以信任更高级别的应用软件，无论它们的代码有多万无一失。
这时可信计算组织(TCG)登场了。该组织得到IBM、英特尔、微软及其他公司的大力支持，它为创建开放、基于标准的安全计算设备和引导路径做出了重大的贡献，其中最受欢迎的莫过于可信平台模块(TPM)芯片和自我加密硬盘。可以说，你的安全计算体验始于TPM。
TPM。TPM芯片提供了安全加密功能和存储。它存储高级进程的可信测量数据和私钥，让加密密钥能够以一种对通用计算机来说最安全的方式存储起来。有了TPM，计算机可以从固件层面一路往上，验证自己的引导过程。几乎所有的PC制造商都提供搭载TPM芯片的机型。如果你的隐私至关重要，就应该确保使用的设备拥有已启用的TPM芯片。
UEFI。通用可扩展固件接口(UEFI)是一种开放标准固件规范，它取代了安全性低得多的BIOS固件芯片。启用后，UEFI
2.3.1及更高版本让设备制造商可以“锁定”设备的始发固件指令;任何未来的更新必须通过签名和验证，才可以更新固件。另一方面，BIOS可能会受到少量恶意字节的破坏，导致系统“无法正常工作”，因而无法使用，只好送回制造商。要是没有UEFI，有人可以植入狡猾的恶意代码，绕过操作系统的所有安全保护体系。
遗憾的是，如果你使用的是BIOS，没有办法从BIOS转换到UEFI。
安全操作系统引导。你的操作系统需要自检过程，确保预期的引导过程没有受到破坏。启用UEFI的系统(v.2.3.1及更高版本)可以使用UEFI的安全引导过程，开始可信的引导过程。非UEFI系统可能有一种类似的功能，但有必要明白这一点：如果底层的硬件和固件没有内置必要的自检程序，就无法同样程度地信任上层操作系统检查。
安全存储。你使用的任何设备都应该有安全、默认、加密的存储，既用于其主存储，又用于它允许的任何可移动介质存储设备。本地加密大大增加了物理攻击读取个人数据的难度。今天的许多硬盘都是自加密硬盘，许多操作系统开发商(包括苹果和微软)都有基于软件的硬盘加密。许多便携式设备提供开箱即用的全设备加密。你不该使用不启用默认存储加密的设备及/或操作系统。
双因子验证。双因子验证正迅速成为当下必不可少的一种机制，如今每年被窃取的密码多达数亿个。尽量要求存储你个人信息或电子邮件的网站使用并要求双因子验证。如果你的计算设备支持双因子验证，就在设备上开启该功能。要求使用双因子验证后，它确保攻击者无法轻松猜中或窃取你的密码。
(请注意：使用指纹等单一的生物特征识别因子甚至不如双因子验证来得安全。真正提供安全效果的是第二个因子。)
双因子验证确保攻击者无法像你单单使用密码那样可以轻松地通过网络钓鱼，窃取你的登录信息。就算他们搞到了密码或PIN，仍然要搞到第二个登录因子：生物特征、USB设备、手机、智能卡、设备和TPM芯片等。虽然这不无可能，但是难度大大提高了。
不过请注意，如果攻击者完全可以访问对你的双因子验证登录进行身份验证的数据库，他们将拥有超级管理员访问权限，那样无需双因子验证登录信息，即可访问你的数据。
登录帐户锁定。错误登录尝试达到一定次数后，你使用的每个设备都应该锁定自己。数字不重要。5到101之间的任何值都很合理，足以让攻击者无法猜到你的密码或PIN。然而，值较低意味着无意的登录可能最终会让你无法使用自己的设备。
远程查找。设备丢失或被盗是导致数据泄露的最常见途径之一。今天的设备(或操作系统)大多数都有这一项功能：查找丢失或被盗的设备，但是默认情况下常常没有启用。这样的故事在现实生活中比比皆是：人们使用远程查找软件就能够找到其设备(常常找到小偷的位置)。当然，没必要亲自对付小偷，总是报警就行。
远程擦除。如果你找不到丢失或被偷的设备，退而求其次的办法就是，远程擦除所有个人数据。不是所有的厂商都提供远程擦除，但是许多厂商提供这种支持，包括苹果和微软。被激活后，在输入的不正确登录信息达到一定次数后，设备(但愿已经过加密，并可以防范未授权登录)就会擦除所有私人数据，或者一旦设备下一次连接到互联网，就接到远程擦除的指令(在你下达自动擦除内容的指令之后)。
所有上述都为整体安全计算体验提供了基础。没有固件、引导和存储加密保护机制，就无法确保真正安全的计算体验。而这只是个开始。
真正的隐私需要安全的网络
最谨小慎微的计算机安全从业人员希望他们使用的每个网络连接都是安全可靠的。而这一切始于VPN。
安全VPN。我们大多数人都熟悉VPN，可用来远程连接到我们的工作网络。公司VPN提供了这一功能：从你的异地远程位置安全地连接到公司网络，但常常对其他任何网络位置不提供任何或有限的保护。
许多硬件设备和软件程序让你可以使用安全VPN，无论你在哪里连接。如果使用这些设备或程序，你的网络连接从设备到目的地实现全程加密。最好的VPN可以隐藏你的原始信息及/或在其他多个参与设备之间为你的连接随机性建立隧道，让窃听者更难以确定你的身份或位置。
Tor是当今最常用的免费而安全的VPN服务。使用启用Tor的浏览器，你的所有网络流量都通过随机选择的中间节点来路由传输，加密尽可能多的流量。成千上万的人依赖Tor提供合理的隐私和安全级别。但是Tor有许多众所周知的弱点，其他安全的VPN解决方案试图解决这些弱点，比如麻省理工学院的Riffle或Freenet。然而，这些解决方案大多数限于理论阶段，而不是实际部署(比如Riffle)，或者要求选择加入、排他性参与，才能更安全(比如Freenet)。比如说，Freenet只能连接到你事先知道的其他参与的Freenet节点(处于“暗网”模式时)。在此模式下，你就法连接到Freenet之外的其他人和网站。
匿名服务。匿名服务可能不提供VPN，也可能不提供，它是一种中间代理，代表用户完成网络请求。用户向匿名网站提交其连接尝试或浏览器连接，匿名网站完成查询后，获得结果，并将结果传回给用户。任何窃听目的地连接的人更可能无法跟踪匿名网站，匿名网站隐藏了始发者的信息。网上有大批的匿名服务可供使用。
一些匿名网站存储你的信息，其中一些被执法部门强行要求提供用户信息。为了确保隐私，你最稳妥的办法就是选择一家存储信息时间不超过当前请求的匿名网站，比如Anonymizer。另一种流行的商业安全VPN服务是HideMyAss。
匿名硬件。有些人试图使用特别配置的硬件，从而让Tor和基于Tor的匿名更容易实现。我青睐Anonabox(型号：anbM6-Pro)，这是一种便携式、支持无线网络的VPN和Tor路由器。你只要使用Anonabox，没必要在计算机/设备上配置Tor。
安全VPN、匿名服务和匿名硬件可以通过保护网络连接来大大增强隐私。但是需要注意的一个方面是：提供安全和匿名的设备或服务没有哪个被证明是百分之百安全的。下定决心的对手利用无限资源可能会窃听你的通信，从而确定你的身份。每个使用安全VPN、匿名服务或匿名硬件的人在通信时都应该知道这一点：他们的秘密通信随时有可能公开。
安全应用软件也必不可少
有了安全的设备和安全的连接，安全专家可以使用所能找到的最(合理)安全的应用软件。下面列举了保护隐私的最佳应用软件。
安全浏览。说到安全、几乎端到端的互联网浏览，Tor一路领跑。如果你无法使用Tor或类似Tor的VPN，确保使用的浏览器已设置为最安全级别。你希望阻止未授权的代码(和有时合法的代码)在自己不知情的情况下执行。如果装有Java，卸载它(如果不用它)，或者确保关键的安全补丁已打上。
大多数浏览器现在提供“私密浏览”模式。微软称此功能为InPrivate，Chrome浏览器称之为隐身(Incognito)。这种模式可以擦除或不在本地存储浏览历史记录，对于防止本地、未经授权的取证分析调查得逞大有用处。
对所有互联网搜索(以及与任何网站之间的连接)使用HTTPS，尤其是在公共场所。启用浏览器的“禁止跟踪”(Do
Not Track)功能。另外的软件可以阻止你的浏览器体验受到跟踪，包括浏览器扩展、Adblock Plus、Ghostery、Privacy
Badger或DoNotTrackPlus。一些热门网站会试图检测这些扩展，阻止你使用其网站，除非你在浏览其网站时禁用它们。
安全电子邮件。电子邮件可谓是互联网最初的“杀手级应用”，众所周知它侵犯了用户的隐私。S/MIME是互联网保护电子邮件的原始开放标准，现在用得越来越少。S/MIME要求每个参与用户与其他用户交换公共加密密钥。事实证明，这个要求对于不太在行的互联网用户来说过高了。
近来，需要端到端电子邮件加密的大多数公司使用商业电子邮件服务或设备，那样可以通过启用HTTPS的网站发送安全电子邮件。使用这些服务或设备的大多数商业用户表示，它们很容易实施和使用，但有时费用很高。
在个人方面，有几十种安全电子邮件产品。最流行、广泛应用于许多公司的是Hushmail。有了Hushmail，你可以使用Hushmail网站收发安全电子邮件，或安装和使用Hushmail电子邮件客户软件(适用于台式机和一些移动设备)。你可以使用自己的原始电子邮件地址，可通过Hushmail的代理服务来进行代理，或者获得Hushmail电子邮件地址，这是一种成本比较低廉的解决方案。
目前市面上有几十家安全电子邮件提供商，Hushmail是其中之一。
安全聊天。大多数操作系统和设备提供的聊天软件并不提供强大的安全和隐私。为了获得强大的端到端安全，你需要安装一个额外的聊天软件。幸好眼下众多聊天软件，包括免费版和商业版，声称可以提供更高的安全性。一些需要安装客户端软件，另一些提供网站服务。大多数需要所有方使用同样的软件来通信，或者使用同样的网站(或至少同样的聊天协议和保护机制)。
常见的安全聊天软件包括ChatCrypt、ChatSecure和Cryptocat。大多数安全聊天客户端软件具有相同的基本功能，所以选择一款让你能够与需要安全聊天的最广泛的人群进行通信的聊天软件。
安全支付。大多数支付系统需要存储关于你和所购买物品的大量信息，如果执法部门提出要求，它们通常还需要提供付款或付款人的详细信息。即使不需要它们向警方或政府提供详细的数据，许多支付数据库每年还是遭到恶意黑客的入侵。
希望在互联网上提高支付匿名性的大多数用户转向在线加密货币，比如比特币。用户得先购买比特币，通常通过传统的在线支付方法来购买，并通过比特币兑换流程，才能将比特币价值重新兑换成传统货币。比特币的每次兑换通常要收一小笔付款手续费。
当然，虚拟货币的隐私和匿名面临真正的风险。它们通常不被认为是合法货币，可能无法受到与“真实”货币同样的法律保护。它们可能还存在极大的价格波动性，你持有的虚拟货币的价值有可能在短短一天内迅速增值或贬值。也有这种可能：单单一起加密攻击就可能导致无法挽回的永久性损失。黑客已成功地窃取了数百万美元的比特币，而有时用户得不到赔偿。
至于信用卡，你可以购买和使用临时的在线(或实体)信用卡。大多数信用卡机构提供临时卡，通常收取略高的费率，它们可用于一段临时的指定时间或甚至一次性使用。如果网站被黑，临时信用卡泄密，你也毫无损失，因为你永远不会再用它。
安全文件传输。安全文件传输可能是唯一提供的选择比安全电子邮件还要多的一类应用软件。任何使用SSH或SCP的软件都允许加密、安全的文件共享，而市面上至少有几十款商业软件。
如果用户希望安全地共享文件，同时又保持匿名，面临众多选择。最受欢迎的商业服务之一是BTGuard。它提供了文件匿名服务，基于BitTorrent这种非常流行的对等文件共享协议。
菲尔·齐默尔曼(Phil Zimmerman)开发的任何软件。菲尔·齐默尔曼是Pretty Good Privacy(PGP)的开发者，他非常关注隐私。他愿意冒着被逮捕、被监禁，甚至可能被美国判处死刑的风险，因为他坚信，地球上每个人都应该得到优秀的隐私工具。
我熟悉的每个优秀、经验丰富的计算机安全人员都使用PGP。要使用PGP，每个参与者得创建自己的私钥/公钥对，并与其他参与者共享公钥，以便安全地传输文件、电子邮件或其他内容。
自2010年赛门铁克收购PGP以来，就为它提供商业支持，不过市面上几十个开源版本，它们备受信任，包括OpenPGP。如果你没有PGP，下载一份，安装后即可使用。
齐默尔曼也是Hushmail的开发者，还是Silent Circle的联合创始人，这家公司为一系列技术提供安全解决方案。该公司甚至提供Blackphone，这是一款从头设计的产品，旨在成为最安全、供公众使用的手机。虽然不乏Blackphone被黑的例子，但是它仍是一款相对其他所有功能，更注重隐私和安全的手机。
凡是菲尔·齐默尔曼开发或推销的软件，你大可放心，因为它们保证经过了深思熟虑，肯定确保了隐私和安全。
|
