安全上网指南 2

两年前我写过一篇文章，分享了一些保护个人隐私的技巧。

时过境迁，新的攻击手段层出不穷，尤其在 Crypto 行业，稍有不慎、倾家荡产。

事实上，没有什么银弹能抵御所有攻击，问题关键在于构建自己的「防御系统」，也就是说，你应当思考自己

可能被哪些人攻击
他们想要从中获取什么
他们会用什么样的方式

并且，假设攻击已经发生，自己是不是能承担损失；如果承担不了，应当如何分散风险。

大部分攻击都是「无差别」的，黑客广撒网，愿者上钩，这种只要正常防范就好。

也有针对性非常强的攻击，通过各种工手段（暗网交易 KYC 信息和电商记录），黑客很容易获得你的家庭和公司地址，从而进一步实施犯罪，要防范这种攻击，必须祭上更周密的策略。

只有「防御系统」构建好，你才能遇事不乱，把核心风险降到最低。

以下是我常用的一些防御手段：

1）使用能保护隐私的搜索引擎

不再使用 Google 搜索，转而使用 DuckDuckGo 或 Startpage，好处显而易见，因为它们能：

在通信中移除你的 IP 地址
在浏览网页内容时持续保持匿名状态
阻止第三方广告系统追踪你的个人信息
阻止基于你的个人网络活动构建用户画像

我只有在找不到想要内容的时候才会用回 Google。

2）加密你的数据

如果你已经离不开诸如 iCloud、Google Drive、DropBox 这样的网盘，那你就要做好自己的数据有一天被 Hack 的觉悟。虽然大型企业会在加密、数据安全上投入大量预算，但你依然不能否认：

只要数据还在对方服务器上，那么它实际上已经脱离了你的控制。

大多数网盘提供商仅在传输过程中加密数据，或者他们自己保留用于解密的密钥。这些密钥有可能被盗、复制或滥用。因此，给自己留个心眼，用 Cryptomator 这样开源、免费的工具来加密数据。

这样即便网盘服务商被 Hack，你的数据大概率还是安全的。

3）输入法

我之前说过，最好不要用任何第三方输入法，而只使用系统自带的。

现在我要增加一个选项，那就是「鼠鬚管」，它有许多优点：

性能优秀、占用资源少
极少出现敲第一个字的时候页面卡钝的情况
全开源、无后门、不会上传内容
繁体字强大
极高的定制自由度

我现在使用的是 placeless 的双拼配置，觉得还不错，如果你是双拼用户，可以试试他的配置。

4）只访问 HTTPS 网站

安装 HTTPS-EVERYWHERE 这个插件。
它可以自动为访问网站的所有已知受支持部分，激活 HTTPS 加密保护，防止你跟网站的交互的信息被窃听或篡改。
访问网站时，如果是明文传输，会有明确提醒。

5）使用 Google Drive 打开可疑的附件

你经常会收到各种带有附件的邮件，虽然邮件服务商会预先扫描并阻拦可疑内容，但很多附件伪装精妙，下载到本地是有风险的。

这种情况下，我建议直接在网页中预览，或者存储到临时的 Google Drive 文件夹中预览，这能有效隔离病毒。

6）小众平台能显著提高对抗病毒木马的可能性

思考这样一个问题：如果你是黑客，准备开发一个病毒（木马）来获利，你会选择针对那个哪个平台？

显然是用户基数更大的平台。

相比 Windows，以下平台的用户基数更少。

虽然它们并不显著比 Windows 安全，但面临的风险要小得多。

macOS
ChromeOS
Ubuntu
Fedora
Debian
其他 Linux 发行版本

7）慎写安全问题

「你的大学名字是什么？」
「你的女朋友是谁？」
「你最喜欢哪个乐队？」

…

不要再老实地把真实信息填上去，因为你的信息在大量社交平台上都有存档，很容易被社工，这会给黑客可乘之机。

取而代之，用密码管理软件生成的随机密码作为这些安全问题的答案，这样就安全多了。

8）不要在临时设备上登录你的核心账户

核心账户指的是你的 Google、Apple 等等主力账户，它们绑定了一堆设备、信用卡、密码等等。

互联网公司为了方便，通常会在你的浏览器本地存储Session Cookie ，一旦这个 Cookie 被窃取，黑客甚至可以绕过平台的2FA等校验，这种情况下，什么2FA都没用。

9）永远二次确认

记忆不可靠
核对钱包地址要完整，不能只核对前/后几位数

我去年登录一个不常用的交易所，准备清理一些碎币。

提币时看到地址薄有几个眼熟的，但一时想不起来是什么时候创建。

因为只有零点几个比特币，就直接转了，事后却怎么也找不到那个地址对应的私匙。

有点后悔，如果当时多确认一次，就不会犯这种低级错误。

10）卖二手设备前清空所有磁盘资料

推荐两个工具：

前者可以彻底清空硬盘。

后者可以替代”安全清倒废纸篓“的操作，每次操作能覆盖文件存储空间35次，基本很难恢复。

11）只在官网下载钱包

最近遇到非常多用户下载了被黑客「二次打包」的钱包，安卓是重灾区，因为很多钱包都提供 APK 的安装方式，真假难辨。

我建议下载任何钱包前，先核对一下产品的官网，如果没有，推特上的信任链也能帮助你确认官网的真实性。

不要点来路不明的链接，更不要直接去下载这些链接中的安装包。

其次，对于开源项目，从官方开源 Github 仓库的 Release 中下载，检查 Commit，并校对签名是更保险的方式，基本可以保证你下载的安装包，就是当前仓库对应的代码，非常安全。

12）辨析假合约

从至少2个信源上确认币种合约的真实性，以 Rainbow 和 OneKey 为例，都有从多个 Tokenlist 多重校验的机制
Twitter 粉丝数不可信，关注和信任链更实用，要警惕挂羊头卖狗肉的假推号，从 CGK 和 CMC 找到的合约地址通常更可靠

13）使用开源硬件钱包

我自己常用的硬件钱包是 Trezor、OneKey 和 Ledger。
硬件钱包的鼻祖是 Trezor，这是一家捷克企业，隶属 SatoshiLabs。创始人 Pavol 和 Marek 在加密货币行业广受敬仰，比如最受欢迎的 BIP39 和 BIP44 提案就是他们撰写的。
Trezor 钱包完全开源，开发者非常活跃。
OneKey 是一个开源钱包，其固件源码继承自 Trezor，并在此基础上增加了许多特性，添加了安全芯片。我个人也曾为这个开源项目贡献过一些代码。
需要注意的是，任何钱包都有其局限性。硬件钱包虽然能极大程度防范远程攻击，但像 DeFi 授权这样的用户主动行为，却时常无能为力。
从供应链角度，也有多种多样的攻击手段专门盯着各类软、硬件钱包。
因此，你要尽可能自行验证钱包的安全性，分散资产，使用诸如多重签名的方式放置大额资金，避免单点故障。
如果你想尝试硬件钱包，可以试试，这里是购买链接。