世界第一黑客凱文·米特尼克再出山：這次教你如何在線隱身

美國《紐約客》雜誌一則著名漫畫「在網路上，沒人知道你是一條狗。」（On the Internet,nobody knows you』re a dog.），表現了互聯網世界網民的基本形態：人們似乎可以利用假名或匿名活躍在這個世界裡，隨心所欲地扮演各種角色，而完全不用擔心被發現真實的自己。

然而這可能並不是事實的全部。根據《信息通訊技術前沿》雜誌（Frontiers in ICT）發布的一項最新研究結果表明：人們上網瀏覽的行為會生成獨一無二的數據信息，由此可以推斷出此人的個性特徵。而這種推斷有時僅需上網者在網路上待上30分鐘就可以產生。一個人慣常的上網瀏覽習慣受其獨特的個人心理特徵支配，因此個人的選擇傾向、興趣偏好以及對事件的反應都可以在網路使用習慣中反映出來。

這項發現來自馬來西亞工藝大學伊庫珊·艾德耶米（Ikusan R.Adeyemi）教授及其同事的實驗研究。他們對來自馬來西亞各個大學志願者的互聯網使用狀態進行了8個月的考察，了解志願者們的上網聊天時間、網頁瀏覽數量和網站請求總量等，並結合他們的性格測試進行對比分析。

其中性格測試共有五項，包括受測者對新體驗的開放度、責任心強弱、外向性、友好度和敏感度。通過這些數據分析可以揭示出個人的性格特徵與其上網瀏覽習慣具有非常密切的關聯。比如具有責任心特質的人們會更適合在線交流；使用匿名形式在網路上表達意見的人普遍敏感度更高。

在過去的研究中，對於網路使用習慣能否揭露網民個性特徵的討論主要集中於社交媒體。Ikusan R.Adeyemi教授補充稱：「人們的性格和生活特性可通過其慣常的上網行為推斷出來，而這不僅僅局限在Facebook或Twitter這樣的社交媒體平台，在整個互聯網平台都有所體現。」

這意味著，想在網路中真正匿名「隱身」並不是件容易的事。

而就在最近，世界第一黑客凱文·米特尼克現身說法，他將教會人們如何在網路世界裡隱藏自己。

如果你跟我一樣，早上做的第一件事就是查看電子郵件，我想你一定也跟我一樣想知道是否有其他人讀過自己的郵件。這並不是什麼偏執的問題，因為如果你使用的是基於Web的郵件服務（例如Gmail或Outlook365），我想答案是非常明顯而又可怕的。

即使你刪除了在電腦或手機上閱讀的電子郵件，那也並不意味著郵件的內容就已經徹底地清除了，它可能還在某些地方存儲了副本。Web郵件是基於雲的，所以為了讓用戶能夠隨時隨地從任何設備上訪問到郵件，就必須要有冗餘副本。例如，如果你使用的是Gmail，那麼通過Gmail賬戶發送和接收的每一封郵件都會在全球各地的Google伺服器上保存一個副本。

如果你使用的是Yahoo、Apple、AT&T、Comcast、Microsoft或是工作場所提供的郵箱服務，結果也是如此。你所發送的任何郵件都會隨時隨地遭到服務託管方審查。據說他們是為了過濾掉郵件中的惡意軟體，但事實是，第三方可以並且確實訪問了我們的電子郵件，以滿足他們更為險惡和自私的理由。

雖然我們大多數人可能會容忍第三方服務掃描我們的郵件來過濾惡意軟體，而且可能有些人還能忍受他們出於廣告目的的掃描行為，但是這種肆意閱讀我們的郵件，並私自提取有用信息的行為卻讓我感到了深深地不安。我想是時候採取一些行動來增加他們的工作難度了。

一． 從加密開始

大多數基於Web的電子郵件服務在郵件傳輸過程中都會進行加密。但是，當某些伺服器在郵件傳輸代理（MTA）之間傳輸郵件時可能並沒有使用加密手段，因此你的郵件就處在了開放的狀態中。如果想要實現「隱身」，你需要加密你的電子郵件信息。

大多數電子郵件加密使用的是所謂的非對稱加密（asymmetrical encryption）。也就意味著，我需要生成兩個密鑰：一個存儲在我的設備里，不用跟他人共享的私鑰，以及一個可以直接在網上跟他人分享的公鑰。這兩個密鑰雖然不同，但在數學上它們其實是相關的。

例如，Bob想要給Alice發送一封安全的電子郵件。他可以在互聯網上找到Alice的公鑰，或者也可以直接從Alice處獲取，當發送郵件信息給Alice時就可以用她的公鑰來加密信息，而這封加密郵件只有Alice使用自己的私鑰才可以解密並讀取信息。

那麼如何加密你的電子郵件的內容呢？

目前電子郵件加密最流行的方法就是賽門鐵克公司開發的PGP，即「Pretty Good Privacy（很好的隱私）」。它並不是一款免費的產品，但是它的創造者Phil Zimmermann也發布了一個免費的開源版本——OpenPGP。你還可以選擇由Werner Koch創建的第三種PGP（GNU Privacy Guard），它同樣也是免費的。好消息是，這三種加密技術都是互操作的。這就意味著，無論你使用哪個版本的PGP，其基本功能都是一樣的。

當愛德華·斯諾登（Edward Snowden）首次決定曝光從國家安全局（NSA）拷貝的機密數據時，他需要全球各地與他志同道合的人的幫助。隱私權倡導者兼電影人Laura Poitras最近剛剛完成了一部關於「泄密者斯諾登」的紀錄片。他們在通過電子郵件溝通時，斯諾登希望與Poitras建立一條專門的加密通信信道，但是只有少數人知道Poitras的公鑰。

於是斯諾登接觸了電子前沿基金會（EFF）的Micah Lee，Lee的公鑰是可以直接在網上找到的，而根據Intercept發布的一篇報告，Lee獲得了Poitras的公鑰。在獲得Poitras的同意後，Lee便將她的公鑰分享給了斯諾登。

鑒於他們即將共享的秘密的重要程度，斯諾登和Poitras不可能使用他們常用的電子郵箱地址。為什麼呢？因為他們的電子郵箱賬戶中包含很多跟他們相關聯的信息，例如郵箱資料、聯繫人列表等，通過這些信息可以成功識別出他們的身份。因此，斯諾登和Poitras決定創建新的新建電子郵箱地址來進行聯繫。

接下來，他們又是如何知道對方的新電子郵箱地址的呢？換句話說，如果雙方都是匿名的，他們怎麼知道對方就是那個自己可以信任的人呢？例如斯諾登是如何排除不是國家安全局的特工假扮成Poitras跟他聯繫的呢？私鑰很長，所以你不可能通過一部安全電話就把字元讀給對方聽，他們還需要一個安全的電子郵箱地址交換方法。

又到了Lee登場的時刻，斯諾登和Poitras可以把Lee作為信任紐帶來交換彼此的新匿名電子郵箱賬號。Poitras首先將她的新公鑰分享給了Lee，Lee不會直接使用這個密鑰，而是對這個密鑰進行計算來生成一個長度為40個字元的縮寫（或指紋），然後他在將其發布到公共網站Twitter上。

這就告訴我們，有時候想要變得「不可見」，你就必須使用可見的因素。

現在，斯諾登就可以通過匿名訪問lee的Twitter，比較自己收到的信息和這個縮寫就可以確定郵件是否由Poitras本人所發。如果信息不匹配，斯諾登就不會信任這封郵件中提及的信息，也不會繼續使用該郵箱地址，因為它可能已經遭到泄漏。

據悉，斯諾登最後發送給Poitras一封加密的電子郵件，並將自己標註為「第四公民（Citizenfour）」，該簽名也成為Poitras那部關於隱私權運動的奧斯卡獎記錄片的名字。

這個故事看起來像是結束了——現在他們可以通過加密的電子郵件來進行安全通信。但事實卻並非如此，這還只是一個開始。

二． 選擇一種加密服務

數學運算的強度和加密密鑰的長度決定了沒有密鑰的人是否能夠輕易地破解你的代碼。

如今所使用的加密演算法都是公開的，存在很多安全缺陷，這就意味著任何人都可以故意破壞它們。每當一個公開演算法變得易受攻擊或已經被破解後，它就會退出歷史舞台，一個更新更強的演算法就會來取代它。

因為密鑰（或多或少）是掌控在你手中的，所以，可想而知對其管理有多麼重要。如果你自己生成了一個加密密鑰，你（而不是其他人）肯定會將其保存在自己的設備上。如果你讓第三方企業在雲端執行加密，那麼在你使用完這個密鑰後，該公司很可能還會將其存儲下來，也可能會被法庭強制命令，與執法部門或政府機構分享該密鑰信息。

當你加密信息（電子郵件、文本信息或電話呼叫）時，一定要使用端到端加密。這就意味著，你的信息在到達預期收信人手中以前是不可讀的。使用端到端加密，只有你和你的收件人擁有解碼信息的密鑰。就算執法部門或政府機構強制要求電信運營商、網站管理員或應用程序開發者交出你的信息，也是無法實現的。

你可以谷歌搜索「端到端加密語音通信」，如果應用程序或服務不提供端到端加密，請根據具體情況選擇另一種方式。

可能這些話聽起來非常複雜，不過它確實如此。但是Chrome和Firefox等瀏覽器都提供了PGP插件，可以讓加密變得更加容易。其中值得一提的就是Mailvelope，它能夠很好地管理PGP的公共和私有加密密鑰。只需在Mailvelope中輸入密碼即可生成公鑰和私鑰。然後，每當你編寫一個基於Web的電子郵件時，只需要選擇一個收件人，如果收件人具有一個可用的公鑰，你就可以選擇向該人發送加密郵件。

三． 對元數據（Metadata）進行加密

即使你用PGP加密了你的電子郵件信息，你郵件中的一小部分信息仍然是可讀的。美國政府為了回應「稜鏡門」監控醜聞，一再表示他們並沒有收集公民電子郵件的實際內容，因為在PGP加密的保護下這部分數據是不可讀的。但是，政府表示他們只會收集電子郵件的元數據。

什麼是郵件的元數據呢？其實指的就是郵件中收件人和發件人的信息，以及郵件在發送過程中所經過的伺服器IP地址，它還包括郵件主題行和部分可破解的加密信息內容。元數據是互聯網早期的產物，但是現在仍然存在於每封發送和接收的電子郵件中，只是現代電子郵件閱讀器會將這部分數據隱藏起來。

這可能聽起來還不錯，因為第三方並沒有真正讀取到你郵件的內容，而且你可能也不關心這些電子郵件的運行機制，但是當你知道其他人可以或多或少地從電子郵件傳輸路徑和郵件發送頻率來獲取到你的信息時，我想你應該會感到驚訝。

根據斯諾登所言，NSA和其他情報機構一直都在收集我們的電子郵件、簡訊文本和電話元數據。但是政府究竟能否收集到所有人的元數據呢？至少從技術層面上來說是不可能的。不過，從2001年開始，政府「合法」收集信息的力度就一直大幅上漲。

想要在數字世界中變得真正地「隱身」，你需要的不僅僅是加密你的消息，你還需要做到以下幾點：

1. 刪除你的真實IP地址：IP地址是你連接網路的入口，也是數字指紋。它會暴露你的地理位置（詳細到實際地址）和你所使用的ISP（互聯網服務提供商）。

2. 模糊你的硬體和軟體：當你連接到網站時，網站很可能會記錄下你所使用的硬體和軟體信息。

3. 保障你的匿名性：匿名性使得證明你在案件發生時在現場變得異常艱難。但是如果你在星巴克上線之前拍了照片，或是使用信用卡在星巴克購買了拿鐵咖啡，那麼這些操作可以在幾秒鐘後與你的在線狀態相關聯。

首先，你的IP 地址會暴露你在世界上哪個地方，你使用的網路提供商是誰，以是誰在為你的網路服務付費（可能是你，也可能不是你）。所有這些信息都包含在電子郵件元數據中，以後還可以用這些數據作為識別你身份的唯一標識。任何通信（無論是否為電子郵件）都可以根據你在家裡、公司或其他地方所使用的分配給你的路由器的內部協議（IP）地址來識別你。

電子郵件中的IP地址當然是可以被偽造的。因為我們可以使用一個代理地址來隱藏我們真實的發件IP地址。代理人就像是一個外語翻譯者一樣，你可以跟翻譯交談，然後翻譯人員負責跟說其他語言的對方交流，傳遞的信息保持不變。這裡有一點要說明的是，有人可能會使用來自中國甚至德國的代理人來逃離對北韓電子郵件的檢測。

除了託管自己的代理外，你還可以使用一種稱為匿名remailer的服務，它也能隱藏你的電子郵件IP地址。匿名remailer在將郵件發送到其預期收件人之前，只需要更改發件人的電子郵件地址。收件人可以通過remailer進行回復。這是最簡單的版本。

隱藏IP地址還有一種方法就是使用洋蔥路由器（Tor），這也是斯諾登和Poitras的選擇。Tor只要為生活在嚴酷制度下的人們而設計，以此來避免對大眾社交媒體和服務的審查，並防止用戶的網路活動被追蹤。Tor是免費的，任何人都可以使用——即使是你。

Tor是如何工作的呢？Tor顛覆了訪問網時的傳統模型。當你使用Tor時，你和目標網站之間的直接線路會被其他節點隱藏，而且通信節點每十秒就會更換一次鏈接且不會中斷。換句話說，如果某人想要通過目標網站來追溯並嘗試找到你的話，幾乎是不可能的，因為通信路徑一直都在不斷變化。除非你的入口點和出口點以某種方式關聯。否則你的連接將一直處於匿名狀態。

想要使用Tor，你需要從Tor站點（http://torproject.org）下載一個修改版的Firefox瀏覽器。記住，一定要從Tor項目的官方站點下載合法的Tor瀏覽器，不要使用第三方網站。對於Android用戶來說，Orbot是Google Play提供的一款合法免費Tor應用，可以加密你的網路流量並隱藏你的IP地址。在iOS設備上，用戶可以直接從iTunes商店下載安裝Onion Browser。

除了允許瀏覽可搜索的網站外，Tor還允許你訪問不可搜索的網站——即所謂的「暗網」。這些網站通常不能解析為常用名稱（例如http://Google.com），而是以.onion擴展名結尾。這些隱藏的網站會提供，銷售非法的項目和服務。其中一些網站是世界上受壓迫地區人們維護的合法場所。

即使掌握如此多優點，使用Tor你還是必須忍受以下幾個缺點：你無法控制可能受政府或執法機構控制的退出節點；你仍然可以被剖析或識別；Tor上網很慢。

話雖如此，如果你仍然決定使用Tor，那麼建議你不要在用於瀏覽的同一物理設備上運行它。換句話說，你用一台筆記本電腦瀏覽網頁時要單獨使用一個運行Tor軟體的設備。在這種情況下，即使有人能夠破解你的筆記本電腦，因為Tor運行在一個單獨的物理設備上，他們仍然不能剝離你的Tor傳輸層。

四． 創建新的（隱形）帳戶

傳統電子郵件帳戶可能會以各種方式聯繫到你生活中的其他部分——比如朋友、習慣以及工作等。為了實現保密通信，你需要使用Tor創建新的電子郵件帳戶，以便設置帳戶的IP地址與你的真實身份無關。

創建匿名電子郵件地址是有挑戰性的，但也是可能的。

因為如果你使用常用私人電子郵件工作時，你將留下足跡。Gmail、Microsoft、Yahoo以及其他要求你提供電話號碼才能驗證身份的服務商，都會保存你的身份信息。顯然，你不能使用你的真正的手機號碼，因為它可能連接到你的真實姓名和真實地址。如果支持語音認證而不是SMS身份驗證，你可以設置一個Skype電話號碼；但是，你仍然需要現有的電子郵件賬號和預付的禮品卡才能設置。

有些人認為只有恐怖分子、皮條客和毒販才會使用burner phones（一次性手機），但burner phones其實有很多完全合法的用途，它可以為一些需要保密的人提供語音，文本和電子郵件服務。

然而，匿名購買burner phones會是個棘手的事情。當然，我可以走進沃爾瑪，然後用現金購買一部burnerphones和100分鐘的通話時間。誰會知道呢？事實上很多人會知道。

首先，我是如何到達沃爾瑪的？我是搭乘了一輛Uber車嗎？這些記錄都可以被調取出來。我也可以自己開車，但是執法部門會在大型公共停車場使用自動牌照識別技術（ALPR）來尋找失蹤或被盜的車輛以及牌照持有人。而這些ALPR記錄也可以被調取。

即使我是步行到了沃爾瑪，一旦進入商場，我的臉就會出現在商場多個監控攝像機中，而這些視頻信息仍然可以被調取。

此外，激活預付費電話需要撥打移動運營商的客服電話或是在運營商的官網上操作。為了避免被「服務質量評分」記錄到信息，還是選擇網路激活更安全。更改MAC地址，更改MAC地址後，在開放的無線網路上使用Tor應該是最低限度的保護措施。您應該填寫您在網站上輸入的所有訂閱者信息。對於你的地址，只要搜索一個酒店的地址填上即可。如果您將來需要聯繫客戶服務，請一定要填寫一個你能記住的出生日期和PIN碼。

使用Tor隨機化你的IP地址後，會創建與你的實際電話號碼無關的Gmail帳戶，這時Google會向你的電話發送驗證碼或語音電話，現在，你的Gmail帳戶就幾乎不可追溯了。藉助Tor，我們就可以生成相當安全的（IP地址匿名的）電子郵件了；而藉助PGP加密，郵件在送達預期收件人手中之前內容無法讀取。

為了保持這個賬號的匿名性，你只能在Tor中訪問賬戶，以便你的IP地址永遠不會與其關聯。此外，你不應在登錄到匿名Gmail帳戶時執行任何互聯網搜索，因為這些操作可能會暴露你的真實身份信息。例如，即使是搜索天氣信息也會暴露你的位置信息。

如你所見，變得「隱形」或始終保持自己在網路世界中「隱身」的話，你需要強大的紀律性和付出巨大的努力，而這些努力肯定是值得的。更重要的是：首先，要知道有人可以識別你的所有方法（我提到或沒提到的），即使你採取了所有可行的預防措施。此外，使用匿名賬戶時也要時刻謹言慎行，切莫作惡多端，因為所有犯罪行為終將受到懲處，沒有例外！FBI的眼睛已經鎖定你了～～～

推薦閱讀：