[[175272]]

【51CTO.com快譯】從安全芯片到匿名服務，本文介紹了如何在網上確保安全和私密的一些工具。

別搞錯了：專業的網絡犯罪岔子和政府撐腰的網絡犯罪分子在試圖危及你的身份――如果在家里，竊取你的錢;如果在工作場所，竊取你雇主的錢、敏感數據或知識產權。

大多數用戶在使用互聯網時都知道計算機隱私和安全的基本知識，包括盡可能運行HTTPS和雙因子身份驗證，上haveibeenpwned.com驗證電子郵件地址或用戶名和密碼是否中了已知攻擊的招。

而這年頭，計算機用戶要做的不僅僅是加強社交媒體帳戶方面的設置。安全精英人士在運行眾多程序、工具和專門的硬件，確保其隱私性和安全性盡可能高。我們在本文中分析了這一組工具，先介紹提供最廣泛安全保護的工具，然后介紹針對特定用途的每一款具體的應用軟件。可以使用任何或所有這些工具保護你的隱私，并獲得最高的計算機安全性。

一切始于安全的設備

良好的計算機安全始于經過驗證的安全設備，包括安全硬件和經過驗證、符合預期的引導體驗。如果任何一個受到操縱，就沒有辦法可以信任更高級別的應用軟件，無論它們的代碼有多萬無一失。

這時可信計算組織(TCG)登場了。該組織得到IBM、英特爾、微軟及其他公司的大力支持，它為創建開放、基于標準的安全計算設備和引導路徑做出了重大的貢獻，其中最受歡迎的莫過于可信平臺模塊(TPM)芯片和自我加密硬盤。可以說，你的安全計算體驗始于TPM。

TPM。TPM芯片提供了安全加密功能和存儲。它存儲高級進程的可信測量數據和私鑰，讓加密密鑰能夠以一種對通用計算機來說最安全的方式存儲起來。有了TPM，計算機可以從固件層面一路往上，驗證自己的引導過程。幾乎所有的PC制造商都提供搭載TPM芯片的機型。如果你的隱私至關重要，就應該確保使用的設備擁有已啟用的TPM芯片。

UEFI。通用可擴展固件接口(UEFI)是一種開放標準固件規范，它取代了安全性低得多的BIOS固件芯片。啟用后，UEFI 2.3.1及更高版本讓設備制造商可以“鎖定”設備的始發固件指令;任何未來的更新必須通過簽名和驗證，才可以更新固件。另一方面，BIOS可能會受到少量惡意字節的破壞，導致系統“無法正常工作”，因而無法使用，只好送回制造商。要是沒有UEFI，有人可以植入狡猾的惡意代碼，繞過操作系統的所有安全保護體系。

遺憾的是，如果你使用的是BIOS，沒有辦法從BIOS轉換到UEFI。

安全操作系統引導。你的操作系統需要自檢過程，確保預期的引導過程沒有受到破壞。啟用UEFI的系統(v.2.3.1及更高版本)可以使用UEFI的安全引導過程，開始可信的引導過程。非UEFI系統可能有一種類似的功能，但有必要明白這一點：如果底層的硬件和固件沒有內置必要的自檢程序，就無法同樣程度地信任上層操作系統檢查。

安全存儲。你使用的任何設備都應該有安全、默認、加密的存儲，既用于其主存儲，又用于它允許的任何可移動介質存儲設備。本地加密大大增加了物理攻擊讀取個人數據的難度。今天的許多硬盤都是自加密硬盤，許多操作系統開發商(包括蘋果和微軟)都有基于軟件的硬盤加密。許多便攜式設備提供開箱即用的全設備加密。你不該使用不啟用默認存儲加密的設備及/或操作系統。

雙因子驗證。雙因子驗證正迅速成為當下必不可少的一種機制，如今每年被竊取的密碼多達數億個。盡量要求存儲你個人信息或電子郵件的網站使用并要求雙因子驗證。如果你的計算設備支持雙因子驗證，就在設備上開啟該功能。要求使用雙因子驗證后，它確保攻擊者無法輕松猜中或竊取你的密碼。

(請注意：使用指紋等單一的生物特征識別因子甚至不如雙因子驗證來得安全。真正提供安全效果的是第二個因子。)

雙因子驗證確保攻擊者無法像你單單使用密碼那樣可以輕松地通過網絡釣魚，竊取你的登錄信息。就算他們搞到了密碼或PIN，仍然要搞到第二個登錄因子：生物特征、USB設備、手機、智能卡、設備和TPM芯片等。雖然這不無可能，但是難度大大提高了。

不過請注意，如果攻擊者完全可以訪問對你的雙因子驗證登錄進行身份驗證的數據庫，他們將擁有超級管理員訪問權限，那樣無需雙因子驗證登錄信息，即可訪問你的數據。

登錄帳戶鎖定。錯誤登錄嘗試達到一定次數后，你使用的每個設備都應該鎖定自己。數字不重要。5到101之間的任何值都很合理，足以讓攻擊者無法猜到你的密碼或PIN。然而，值較低意味著無意的登錄可能最終會讓你無法使用自己的設備。

遠程查找。設備丟失或被盜是導致數據泄露的最常見途徑之一。今天的設備(或操作系統)大多數都有這一項功能：查找丟失或被盜的設備，但是默認情況下常常沒有啟用。這樣的故事在現實生活中比比皆是：人們使用遠程查找軟件就能夠找到其設備(常常找到小偷的位置)。當然，沒必要親自對付小偷，總是報警就行。

遠程擦除。如果你找不到丟失或被偷的設備，退而求其次的辦法就是，遠程擦除所有個人數據。不是所有的廠商都提供遠程擦除，但是許多廠商提供這種支持，包括蘋果和微軟。被激活后，在輸入的不正確登錄信息達到一定次數后，設備(但愿已經過加密，并可以防范未授權登錄)就會擦除所有私人數據，或者一旦設備下一次連接到互聯網，就接到遠程擦除的指令(在你下達自動擦除內容的指令之后)。

所有上述都為整體安全計算體驗提供了基礎。沒有固件、引導和存儲加密保護機制，就無法確保真正安全的計算體驗。而這只是個開始。

真正的隱私需要安全的網絡

最謹小慎微的計算機安全從業人員希望他們使用的每個網絡連接都是安全可靠的。而這一切始于VPN。

安全VPN。我們大多數人都熟悉VPN，可用來遠程連接到我們的工作網絡。公司VPN提供了這一功能：從你的異地遠程位置安全地連接到公司網絡，但常常對其他任何網絡位置不提供任何或有限的保護。

許多硬件設備和軟件程序讓你可以使用安全VPN，無論你在哪里連接。如果使用這些設備或程序，你的網絡連接從設備到目的地實現全程加密。最好的VPN可以隱藏你的原始信息及/或在其他多個參與設備之間為你的連接隨機性建立隧道，讓竊聽者更難以確定你的身份或位置。

Tor是當今最常用的免費而安全的VPN服務。使用啟用Tor的瀏覽器，你的所有網絡流量都通過隨機選擇的中間節點來路由傳輸，加密盡可能多的流量。成千上萬的人依賴Tor提供合理的隱私和安全級別。但是Tor有許多眾所周知的弱點，其他安全的VPN解決方案試圖解決這些弱點，比如麻省理工學院的Riffle或Freenet。然而，這些解決方案大多數限于理論階段，而不是實際部署(比如Riffle)，或者要求選擇加入、排他性參與，才能更安全(比如Freenet)。比如說，Freenet只能連接到你事先知道的其他參與的Freenet節點(處于“暗網”模式時)。在此模式下，你就法連接到Freenet之外的其他人和網站。

匿名服務。匿名服務可能不提供VPN，也可能不提供，它是一種中間代理，代表用戶完成網絡請求。用戶向匿名網站提交其連接嘗試或瀏覽器連接，匿名網站完成查詢后，獲得結果，并將結果傳回給用戶。任何竊聽目的地連接的人更可能無法跟蹤匿名網站，匿名網站隱藏了始發者的信息。網上有大批的匿名服務可供使用。

一些匿名網站存儲你的信息，其中一些被執法部門強行要求提供用戶信息。為了確保隱私，你最穩妥的辦法就是選擇一家存儲信息時間不超過當前請求的匿名網站，比如Anonymizer。另一種流行的商業安全VPN服務是HideMyAss。

匿名硬件。有些人試圖使用特別配置的硬件，從而讓Tor和基于Tor的匿名更容易實現。我青睞Anonabox(型號：anbM6-Pro)，這是一種便攜式、支持無線網絡的VPN和Tor路由器。你只要使用Anonabox，沒必要在計算機/設備上配置Tor。

安全VPN、匿名服務和匿名硬件可以通過保護網絡連接來大大增強隱私。但是需要注意的一個方面是：提供安全和匿名的設備或服務沒有哪個被證明是百分之百安全的。下定決心的對手利用無限資源可能會竊聽你的通信，從而確定你的身份。每個使用安全VPN、匿名服務或匿名硬件的人在通信時都應該知道這一點：他們的秘密通信隨時有可能公開。

安全應用軟件也必不可少

有了安全的設備和安全的連接，安全專家可以使用所能找到的最(合理)安全的應用軟件。下面列舉了保護隱私的最佳應用軟件。

安全瀏覽。說到安全、幾乎端到端的互聯網瀏覽，Tor一路領跑。如果你無法使用Tor或類似Tor的VPN，確保使用的瀏覽器已設置為最安全級別。你希望阻止未授權的代碼(和有時合法的代碼)在自己不知情的情況下執行。如果裝有Java，卸載它(如果不用它)，或者確保關鍵的安全補丁已打上。

大多數瀏覽器現在提供“私密瀏覽”模式。微軟稱此功能為InPrivate，Chrome瀏覽器稱之為隱身(Incognito)。這種模式可以擦除或不在本地存儲瀏覽歷史記錄，對于防止本地、未經授權的取證分析調查得逞大有用處。

對所有互聯網搜索(以及與任何網站之間的連接)使用HTTPS，尤其是在公共場所。啟用瀏覽器的“禁止跟蹤”(Do Not Track)功能。另外的軟件可以阻止你的瀏覽器體驗受到跟蹤，包括瀏覽器擴展、Adblock Plus、Ghostery、Privacy Badger或DoNotTrackPlus。一些熱門網站會試圖檢測這些擴展，阻止你使用其網站，除非你在瀏覽其網站時禁用它們。

安全電子郵件。電子郵件可謂是互聯網最初的“殺手級應用”，眾所周知它侵犯了用戶的隱私。S/MIME是互聯網保護電子郵件的原始開放標準，現在用得越來越少。S/MIME要求每個參與用戶與其他用戶交換公共加密密鑰。事實證明，這個要求對于不太在行的互聯網用戶來說過高了。

近來，需要端到端電子郵件加密的大多數公司使用商業電子郵件服務或設備，那樣可以通過啟用HTTPS的網站發送安全電子郵件。使用這些服務或設備的大多數商業用戶表示，它們很容易實施和使用，但有時費用很高。

在個人方面，有幾十種安全電子郵件產品。最流行、廣泛應用于許多公司的是Hushmail。有了Hushmail，你可以使用Hushmail網站收發安全電子郵件，或安裝和使用Hushmail電子郵件客戶軟件(適用于臺式機和一些移動設備)。你可以使用自己的原始電子郵件地址，可通過Hushmail的代理服務來進行代理，或者獲得Hushmail電子郵件地址，這是一種成本比較低廉的解決方案。

目前市面上有幾十家安全電子郵件提供商，Hushmail是其中之一。

安全聊天。大多數操作系統和設備提供的聊天軟件并不提供強大的安全和隱私。為了獲得強大的端到端安全，你需要安裝一個額外的聊天軟件。幸好眼下眾多聊天軟件，包括免費版和商業版，聲稱可以提供更高的安全性。一些需要安裝客戶端軟件，另一些提供網站服務。大多數需要所有方使用同樣的軟件來通信，或者使用同樣的網站(或至少同樣的聊天協議和保護機制)。

常見的安全聊天軟件包括ChatCrypt、ChatSecure和Cryptocat。大多數安全聊天客戶端軟件具有相同的基本功能，所以選擇一款讓你能夠與需要安全聊天的最廣泛的人群進行通信的聊天軟件。

安全支付。大多數支付系統需要存儲關于你和所購買物品的大量信息，如果執法部門提出要求，它們通常還需要提供付款或付款人的詳細信息。即使不需要它們向警方或政府提供詳細的數據，許多支付數據庫每年還是遭到惡意黑客的入侵。

希望在互聯網上提高支付匿名性的大多數用戶轉向在線加密貨幣，比如比特幣。用戶得先購買比特幣，通常通過傳統的在線支付方法來購買，并通過比特幣兌換流程，才能將比特幣價值重新兌換成傳統貨幣。比特幣的每次兌換通常要收一小筆付款手續費。

當然，虛擬貨幣的隱私和匿名面臨真正的風險。它們通常不被認為是合法貨幣，可能無法受到與“真實”貨幣同樣的法律保護。它們可能還存在極大的價格波動性，你持有的虛擬貨幣的價值有可能在短短一天內迅速增值或貶值。也有這種可能：單單一起加密攻擊就可能導致無法挽回的永久性損失。黑客已成功地竊取了數百萬美元的比特幣，而有時用戶得不到賠償。

至于信用卡，你可以購買和使用臨時的在線(或實體)信用卡。大多數信用卡機構提供臨時卡，通常收取略高的費率，它們可用于一段臨時的指定時間或甚至一次性使用。如果網站被黑，臨時信用卡泄密，你也毫無損失，因為你永遠不會再用它。

安全文件傳輸。安全文件傳輸可能是唯一提供的選擇比安全電子郵件還要多的一類應用軟件。任何使用SSH或SCP的軟件都允許加密、安全的文件共享，而市面上至少有幾十款商業軟件。

如果用戶希望安全地共享文件，同時又保持匿名，面臨眾多選擇。最受歡迎的商業服務之一是BTGuard。它提供了文件匿名服務，基于BitTorrent這種非常流行的對等文件共享協議。

菲爾·齊默爾曼(Phil Zimmerman)開發的任何軟件。菲爾·齊默爾曼是Pretty Good Privacy(PGP)的開發者，他非常關注隱私。他愿意冒著被逮捕、被監禁，甚至可能被美國判處死刑的風險，因為他堅信，地球上每個人都應該得到優秀的隱私工具。

我熟悉的每個優秀、經驗豐富的計算機安全人員都使用PGP。要使用PGP，每個參與者得創建自己的私鑰/公鑰對，并與其他參與者共享公鑰，以便安全地傳輸文件、電子郵件或其他內容。

自2010年賽門鐵克收購PGP以來，就為它提供商業支持，不過市面上幾十個開源版本，它們備受信任，包括OpenPGP。如果你沒有PGP，下載一份，安裝后即可使用。

齊默爾曼也是Hushmail的開發者，還是Silent Circle的聯合創始人，這家公司為一系列技術提供安全解決方案。該公司甚至提供Blackphone，這是一款從頭設計的產品，旨在成為最安全、供公眾使用的手機。雖然不乏Blackphone被黑的例子，但是它仍是一款相對其他所有功能，更注重隱私和安全的手機。

凡是菲爾·齊默爾曼開發或推銷的軟件，你大可放心，因為它們保證經過了深思熟慮，肯定確保了隱私和安全。

原文標題：17 essential tools to protect your online identity, privacy，作者：Roger A. Grimes

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】