余弦：隐私大爆炸，你得学几招保护自己

引子   在这样混乱的互联网上，军阀割据的地盘中，你根本身不由己，当你接入互联网或陌生人的那一刻，你的隐私就失控了。拿到你隐私的坏蛋，他们可以偷窥你，可以诈骗你或你身边的人，可以利用你的隐私做出下三滥的事。他们不会可怜你，你得学几招保护自己，保护你重要的人……     注：我准备不断更新这个页面，给出最靠谱实在的建议，时间与精力原因，我会逐渐完善之，如果你有什么好的建议可以留言给我页面永久链接：http://evilcos.me/yinsi.html   在开始了解保护招数前，首先默念下面这条准则3遍：   互联网那头和你聊天的可能是只狗。   念完了？这是一条简单粗暴却道出了人性本质的准则。   为什么这样说呢？互联网是人类创造的，人性在里面表现得淋漓尽致，曾经线下的坑蒙拐骗偷都搬到了互联网上，而互联网对于绝大多数人来说还是很神秘的玩意，在这个神秘的大坑里，随便来点伎俩都会导致很多很多人上当，你几乎没法肯定对方就是你认为的那个人。   看到这有人要傲娇了：「我可不会被骗！」   莫傲娇，在人性的 PK 上，总有你失利的时候。请牢记：   精于人性弱点与黑客技能的骗子是最可怕的。   当你认可我这些观点时，下面这些招数一定会让你受益。   招数   线下隐私   注：这里的「线下」是相对互联网这个「线上」来说的。   如名片、身份证、学生证、工牌、信用卡、银行卡等这类会暴露你真实信息的线下物品。   1、骗子在拿到你名片、身份证、学生证、工牌里的真实身份时，是可以通过社工库进一步得到你的更多信息，尤其是名片。   注：社工库是指：一种包含很多非法采集或盗取来的用户数据库，里面有你在各大社交网络、邮箱、O2O服务等的数据，这些数据要么是被黑出来的，要么是被内鬼卖出来的。   社工库里不仅可以有你的很多账号密码信息，还可以关联分析出你用过的马甲，你的好友关系，你待过的某些地址如（家庭、租房、公司、酒店）等，这是一个非常海量的数据库，动辄数十亿条记录。   2、信用卡、银行卡都存在被盗刷的可能性。   比如信用卡为了方便，在消费的时候填写卡号、有效期、CVV 码（卡背面的3或4位数字）即可完成支付，这三个值就印刷在卡上，很容易被知道，虽然信用卡有很多保障机制来应对这种风险，但是为了减少不必要的麻烦，还是保管好这三个值，别泄露了。   而常规的银行卡（磁条），我们经常会听说银行卡的磁条被复制，密码被记录，然后盗刷，对于这个现象我得提醒：在你递出银行卡的那一刻，多留个心眼，尤其是在不那么正规的地方刷卡消费的时候。   3、有些场合会要你填下你的真实身份，比如招聘、银行业务办理、贪小便宜后的纸质调查等等。一定得谨慎了，多用大脑思考：这个必须填？填个假的行不行？   某地，骗子买通银行业务人员，顺手就得到你填的各种真实资料，乱办信用卡或用来进行一连贯严谨细腻的诈骗过程，这种事我会乱说？你敢相信吗？碰到这种情况，去哪哭？   这些线下隐私在陌生人面前，一定要非常谨慎。   线上隐私   线上隐私都有哪些呢？手机、Pad、电脑、路由器、联网所谓的「智能」设备、网站等等都存有你的线上隐私。对我来说，如果我不了解这些我使用的东西，我会没安全感：）   关于线上隐私我给出如下建议：   1、手机锁屏时建议用密码（数字、字母或指纹都行），强烈不建议用图形密码，随便都可以被陌生人瞄到。   2、手机建议用安全的 iPhone，不越狱，如果用安卓就安卓吧，别 root，强烈建议购买正版 APP，不要盯着免费的就两眼发光，在国内这种混乱的互联网时期，大多破解后的 APP 多少存在些猫腻。   3、重要网站、APP 的密码一定要独立，猜测不到，普通网站为了记忆方便可以简单有规律，如果你记忆好，那可以都不一样，或者用 1Password 这样的软件来帮你记忆。   4、电脑勤打补丁，用腾讯管家、百度卫士、360安全卫士都可以（历史上360留下了一些不好的口碑，这点我不发表看法，现在的实际情况是360占据了绝大多数国内用户的电脑，至少在用户体验方面是值得称道的）。   5、能不用 IE 浏览器就不要用（网银登录这类必须是 IE 的情况那再用），用 Firefox 或 Chrome 浏览器，如果想和我一样变态安全的话，可以考虑给 Firefox 装个安全扩展：NoScript。   6、可以在 Firefox、Chrome 上安装 Adblock Plus，这个插件的可信度应该还行，不仅能屏蔽广告，还能杜绝你被那些猫腻 Cookies 跟踪。   7、支持正规渠道下载的软件，包括 Windows，Office 等，如果买不起正版，淘宝注册码没几个钱（相比激活软件要靠谱，虽然非正版方式，但对国内来说要求大家都正版不现实），因为盗版的、破解的实在难以保证没有猫腻，当然有的破解者是友好的，这个需要进一步判断。   8、不那么可信的软件，如果你玩虚拟机的话，可以安装到虚拟机里，VMware Workstation 是首选。同样：买不起正版就百度个注册码。   9、不要在公共场合（如咖啡厅、机场等）使用公共无线，自己包月 3G/4G。当然你可以用公共无线做点无隐私的事，如简单的网页浏览，此时得注意是不是有账号登录，有的话，账号隐私（如 Cookies）会存在被监听盗取的可能性，这时有个技巧：用浏览器的隐身模式上网即可。   10、自己的无线路由器，用安全的加密方式（如 WPA2），密码复杂些，关闭 WPS 这类便捷功能，Web 控制台的登录密码修改个复杂的。   11、外出时，手机、Pad 关闭 Wi-Fi 功能，防止掉进无线蜜罐中。有时你发现自己莫名其妙连接到了陌生 Wi-Fi 上，此时一定要警惕。   12、在任何地方输入密码时，注意周围，包括角落的摄像头。   13、不要在陌生的电脑上输入密码等，如果实在需要，输入后，清除好记录。如果是在浏览器上输密码，记得用隐身模式。   14、如果浏览器访问的是 https 网站，比如支付宝，注意地址栏左边的绿色标记，如果浏览器给出任何异常提示，就别访问了，说不定存在中间人劫持或者钓鱼攻击。在陌生网络里，访问 https 网站也是靠谱的，前提是你能足够警惕浏览器的任何异常。   15、电脑上好识别 https 网站（看地址栏的网址开头是 https 就知道），可手机里那么多 APP，你怎么知道哪个 APP 的数据传输是安全的？这个对于普通用户来说太难知道了，但是对于善于网络技术的人来说，自己抓包分析分析就会知道了。   16、谨慎免费的 VPN、代理，非 https 数据在 VPN 或代理中传输是一件不靠谱的事，因为这也是个陌生的网络，同理，访问 https 网站是靠谱的，前提是你能足够警惕浏览器的任何异常。   17、不要太依赖云同步，一些非常私密的东西在不做加密保护的情况下上传到云端是不靠谱的，时刻提醒自己：坏人真的就看不到这些存在云端的东西了？   18、离开电脑时，记得按下 Win（Windows 图标那个键）+L 键，锁屏，这个习惯非常非常关键。   19、住酒店时，如果你很敏感，离开房间时，记得关机，锁好电脑到保险柜去，或者随身携带。   20、如果你是重要人物，记得给你的电脑 BIOS 加个密、硬盘加个密、关键文件放到 TrueCrypt 里，发邮件用 GPG 加密。   21、涉及到 QQ、微信等的朋友、亲人向你借钱、充值之类事宜，电话过去确认，要记住互联网那头不一定是一个人或你以为的那个人。   22、即使是官方短信也不一定可信，因为基站可伪造，百度「伪基站」看看就知道了，这条切记切记。   23、不用相信「天下掉馅饼」的传说，高明的骗子一定会让你头脑发热，此时你的人性弱点正在被引导被利用，去洗个脸，冷静下，找个可信任的人说几句话，你就不会掉进去了。   24、相信我，如果你成为目标的话，骗子要黑你的方式太多了。还是那句：不做亏心事不怕鬼叫门，这是终极防御了。   说了这么多，有一点需明确：   安全和用户体验一定要达到一种平衡。不要被安全恐吓住而矫情说：「那我什么都不用了……」这是多么傻的决定啊，平时保持安全好习惯并不是影响用户体验。   以上提到的都是安全基本点，有新的我会继续补充。更高级的攻击手法恐怕我难以在这个页面里科普全面，如果你有兴趣，并且让我有兴趣，咱可以喝杯咖啡，我慢慢科普……   参考 知乎日报2014年初发布的我的这篇：《几乎所有互联网重要隐私都泄露了，想黑你还真的躲不掉》。   永久链接，持续更新：http://evilcos.me/yinsi.html   KCon V3（知道安全论坛第三期）最新进展： 知道创宇联合知乎举办的这个黑客会议得到了圈内各团队的鼎力支持，下周我们可以顺利上线会议官网： http://kcon.knownsec.com/ （现在还无法访问） 并正式开放注册，名额500，精彩之处敬请期待；）

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/