翻墙时代网络生存安全策略

网络安全7个月前更新 sevennight

834 0 0

文章原标题：脱钩: 我的个人网络安全策略

自 2020 年以来，经常可以从国际政经新闻中看到一个词汇 Decoupling ，中文翻译过来叫「脱钩」，这里所说的脱钩主要就是中美脱钩，中美两个大国在经济、科技、金融、供应链等领域的逐渐升级的分离和对抗。

一方面，是过去 20 年伴随着全球化浪潮的互联网公民的出现，另一方面，是全球互联网的法治化和监管的加强，这两个趋势的交汇，也让我开始思考自己，作为一个互联网从业者，一个普通网民，应该如何应对这些变化。

今天这篇文章，我不会危言耸听贩卖焦虑，更不会鼓励大家做任何违法的事情，只是分享一下我个人在网络资讯安全方面的「脱钩」策略、方案和经验，希望能给大家一些启发和帮助。

一. 为什么要脱钩

我是一个程序员，由于职业的关系，对于资讯安全有着比较高的敏感度，时不时也会关注一些跟网络安全相关的新闻。

过去几年，也是由于工作的关系，做了不少与「合规」相关的工作，看了不少文档，对于「合规」也有了一定的了解。

大概从 2020 年底开始，随着《网络安全法》《个人信息保护法》以及各种相关法规的陆续实施和监管落地，某种程序上国内互联网行业的「合规」工作也进入了一个新的阶段。

已到凌云仍虚心——互联网平台合规监管2021年度盘点

不管是欧盟、美国还是中国，都在加强对于互联网行业的监管，对大公司的监管力度也在不断加强，这是一个全球性的趋势。

趁着着这波互联网法治完善的浪潮，我也稍微研究了一下相关的法律法规，尤其是看了下这些法规中，对于个人隐私、数据的强制要求。

大家可以打开你日常使用最多的几个国内 APP，看看这些 APP 的用户协议，一般都会在APP的「隐私」栏里，在过去几年监管层的要求下，目前主流大厂的应用基本基本都强制公开了。

在了解完法律层的要求后，我愈发觉得国内互联网公司的「合规」工作还有很长的路要走。

2021年开始，我尝试陆续脱离了一些国内的互联网服务，比如：社交媒体、云服务、云存储、邮箱和各类账号等，经过一年多的实践下来，虽然还没完全脱离，但是已经有了一些经验和心得，这里分享给大家。

二.我的脱钩策略

我的脱钩策略，总结下来就是「有限隔离」。

对于生活在中国大陆的人来说，完全脱离国内互联网服务是不现实的，也无必要，但是可以尽量减少对国内互联网服务的依赖。

当然，这里的「脱钩」并不代表我对国内互联网服务和产品的否定，也不代表我对境外公司或者产品的盲目信任，我只是从理性和博弈的角度分析，选择一个相对来说更加安全的方案。

由于国家强而有力的监管，许多外国互联网公司难以在中国境内运营，也难以获得中国用户的个人数据并开展业务。

不用中国互联网公司的产品，而改用国外的产品服务，恰好可以避免这些数据在国内境内流通，这也是我「脱钩」的原因之一。

我依旧认为国内互联网服务和产品是非常优秀的。但是鉴于个人对于「隐私」和「安全」的偏好，我个人的网络资讯安全策略需要做一些调整。

三.账号

账号是互联网世界的身份证，这一部分是隔离，也是「数字移民」或者「第二数字身份」的关键。

手机 && 手机号码

手机是每个人都使用的设备，目前国内的大多互联网服务都是以手机为主要的入口。

国内法规要求所有的互联网服务都必须实名，目前国内通过实名制严格管控手机号码，基本上所有网站都会要求绑定手机号，手机号某种程序上就是一个人的第二身份证。

我的建议是采用至少2套手机 + 多个手机号方案，这是相对来说最简单的隔离方案。

A:iPhone + 境外SIM卡 + 国外互联网服务。
B:国产手机 + 国内SIM卡 + 国内互联网服务，

iPhone 由于其封闭的 iOS 底层系统和严格的权限管控，应用的权限管理严格，基本上不会出现胡乱读取你设备上其他信息的情况，反过来 Android 由于其开放的生态，加上各大手机厂商在系统层面的定制和不太规范和透明的权限管理，所以安全性上还是有一定的差距。

这部分就不展开了，给大家一个最近的新闻，即使在国内安全和合规做到遥遥领先的头部品牌，也会面临这种被取证的挑战:

效率源｜遥遥领先！华为 Mate60 手机快速取证现勘工具全球首发

目前我使用的手机方案是：

手机	型号	运营商	IP	用途
iPhone	iPhone14 Pro	澳门电信	澳门	美区 AppleID + 国外互联网服务
安卓	华为 Nova 6	深圳联通	境内	国内常用互联网服务
iPhone	iPhone XS 港版	eSIM 香港卡	–	美区 AppleID + 国外互联网服务

手机号码方面，我的境内外号码也在用途上做了一些区分。

运营商	属地	IP	用途
深圳联通	境内	广东	绑定国内政府、金融机构等关键服务
深圳联通	境内	广东	绑定普通应用与服务、快递等
ClubSim	香港	香港	绑定香地区服务
中国电信澳门	澳门	澳门	–
美国卡	美国	–	绑定其他境外地区服务

我的澳门和香港卡都是通过合法流程申请的，算半实名制的卡，但毕竟还是境外卡，还是有一定的隐私保护。

同时为了避免不必要的麻烦，我也从未使用境外卡号注册境内服务。

我之所以依旧使用一台安卓手机做完自己的主力机，注意还是为了便利。一些政务相关的应用反而在安卓上使用更加方便。

日常生活中许多国内应用和服务，领取优惠券什么的，一般都需要绑定国内手机号，干脆就用安卓手机，反正各种平台数据互相读取，用有限隐私换便利。

邮箱

将邮箱交给一个平台，某种意义也是一个风险挺大的事情。但对于大多数人来说，也没有其他选择。在邮箱服务的选择上，尽量遵循以下几个原则:

可持续性:最好这个公司和产品能活得久一点
安全记录:是否有被黑客攻破、数据泄露的记录
数据和隐私:向任一政府或者机构提供数据的记录和底线

新闻参考:

过去很长的一段时间，我都使用境内腾讯域名邮箱+境外Gmail的组合。

目前除了 QQ 自带的数字邮箱和工作必须的企业邮箱，其他的都迁移到了境外，算是完全弃用了国内邮箱。

目前我的邮箱方案是：

邮箱	用途
Google Workspace	绑定个人域名，用于日常工作、个人通讯
Gmail	绑定国外主流互联网服务
CloudFlare Email Routing	绑定匿名域名，实现任意邮箱转发，用于注册境外中小产品和服务

之所以使用域名邮箱，是因为即使是再大的公司，也有可能会倒闭，而域名邮箱可以随时迁移到其他服务商，不会因为某个公司倒闭而导致邮箱失效。

Google Workspace

我在《我的云账单:2023年》中曾经介绍过我将邮箱从原来的 G Suite 迁移到了 Google Workspace，支持绑定多个域名，最多可以添加300个独立账号，每个账号都拥有独立的 Gmail ，加上终身免费，还是非常划算的。

Cloudflare Email Routing

CloudFlare Email Routing 是一套免费的邮件转发方案，支持Catch-all，可以将任意邮箱转发到任意邮箱。

# catch-all 支持将任意邮箱转发到指定邮箱，并隐藏你的真实邮箱地址
abc@luolei.org -> your-public-mail@gmail.com
edf@luolei.org -> your-public-mail@gmail.com
xyz@luolei.org -> your-public-mail@gmail.com

Cloudflare 的 Workers，支持你根据不同的域名，设置不同的转发规则，比如：

export default {
  async email(message, env, ctx) {
    // 通过 message.to 判断希望转发到哪个邮箱
    // 例如把 ssyy.1984@luoeli.org 转发到 your-secert-mail@gmail.com
    let forwardAddress = message.to.includes(".1984")
      ? "your-secert-mail@gmail.com"
      : "your-public-mail@gmail.com";
    await message.forward(forwardAddress);
  },
};

使用Catch-all方案，理论上可以实现无限多个邮箱地址，有时候我需要注册一些不太重要的境外服务，就会使用这个方案。毕竟网络安全不分国界，境外服务也存在数据泄漏、密码爆破的风险。

#例
某网站A: a.random@luolei.org 密码: 123
某论坛B: b.kitty@luolei.org 密码: 456
某应用C: c.mikami@luolei.org 密码: 789

即使这些网站中的某一个发生数据泄漏，也不会影响我的真实邮箱，也不容易撞库发现我的其他账号。

离岸金融账号

使用境外服务，尤其是涉及到金融、支付、投资、交易等服务，都需要绑定银行卡或者信用卡，这部分也是脱钩的难点。

有关这一部分，大家可以参考我过往的有关境外银行卡的文章和视频:

四.云服务

对于云服务，我采用的是迁移境外+下云的双重方案。

服务	Before	After	变化
域名注册商	Name.com	Cloudflare	境外
DNS 解析	DNSpod	Cloudflare	境外
博客	腾讯云广州	Vercel	境外
MySQL	腾讯云 MySQL	HomeLab	下云
MongoDB	腾讯云广州	MongoDB Atlas	境外

域名

目前我有不少域名，用于博客和各种其他用途。虽然我的好几个域名都按照国内法规备案了，但我还是陆续把域名注册和DNS解析的服务商都已经迁移到了境外。

目前我使用域名服务商是 Cloudflare，国际主流，域名价格也不贵，提供免费的 DNS 解析服务，支持 HTTPS，非常好用。

在这里需要提醒，针对这类具有「根用途」属性的账号权限管理，一定要注意邮箱和找回方式的隔离:不要使用国内邮箱来注册账号，也不要使用国内邮箱来找回密码。

如果你的域名注册商是国外的，但是你使用了国内或存在安全风险的DNS解析服务商，并且将国内或域名邮箱作为找回邮箱，那么你的域名可能会受到中间人攻击。

理论上，攻击者可以通过修改你DNS中的MX记录来转发找回邮件到新的落地邮件服务，从而实施攻击。

云主机

在今年初《我的云账单:2023年》的服务器相关部分，我还在使用国内云服务商的主机，现在我只保留了一台香港轻量服务器，但是已经将所有数据均下云或者迁移到了其他境外云主机，这台香港轻量只用于转发一些特殊的网络请求。

过去我的博客和一些应用都是部署在国内云主机上，虽然我的网站已经备案，但是还是难免会接到一些「投诉」，比如要求屏蔽某一篇文章。时不时也能接到备案中心的检查电话，虽然都是正常的检查，但是也是一种麻烦。

除此之外，由于国内互联网主机也会有一些「安全检测」，如果发现你有一些「不正常」的行为，也会被封禁，比如我之前在国内云主机上部署的一个应用，由于有一些于境外通讯的「不正常」的行为，也警告封禁了。

去年我搬新家后，我在家里已经部署了一台服务器，我已经把大多数的服务迁移到了家里的这台 HomeLab。如果外网需要访问，直接通过 DDNS 或者 Cloudflare Tunnel 暴露就可以了。

Cloudflare Tunnel

由于硬件、数据完全都在自己手上，可以说再也不用担心账号「被封」的问题了。

当然，将数据部署在自己的服务器上，也需要注意安全，比如防火墙、安全组、密钥管理、数据备份等等。目前我是采用了多设备+多备份的方案，重要的数据在两个NAS上做了双备份，对于MySQL、Git、Docker 持久化数据等，我都做了定时备份策略。

云存储

由于我的博客有大量的图片资源，加上后面笔记同步的需要，我也陆续将所有需要上云的数据迁移到了境外。

存储源	类型	实体属地	存储内容
Cloudflare R2	云	R2	博客图片

目前我唯一使用的云存储是 Cloudflare R2，这是 Cloudflare 的一个免费的云存储服务，也可以实现图片的全球分发。

Cloudflare R2

五.个人数据

同样的道理，我也将所有个人相关数据都迁移到了境外或者下云。

存储源	类型	实体属地	存储内容
群晖NAS	本地 NAS	个人	照片+视频+ homelab 数据备份
绿联NAS	本地 NAS	中国	工作照片+视频+影音娱乐
iCloud	云	美国	照片+视频+文档
OneDrive	云	美国	照片+视频+文档+应用数据备份
阿里云盘	云	中国	影音娱乐
百度云盘	云	中国	影音娱乐