與他人溝通

電信網絡和網際網路讓人與人之間的交流比以往容易許多,但也讓監控在人類歷史上變得更加普遍。如果沒有採取額外的行動來保護您的隱私,您的每通電話、每封簡訊、電子郵件、即時通訊、網際協議通話(VoIP)、視訊聊天,以及社群媒體訊息都可能遭到竊聽。

與他人溝通最安全的方式往往是面對面,完全不使用電腦或手機。但總是用這種方式溝通是不太可行的,所以如果您需要保護您的通訊內容,退而求其次的做法是當您在網路進行通訊時,使用端對端加密

端對端加密如何運作?Anchor link

如果有兩個人 (例如,Akiko 和 Boris) 想要安全地溝通,他們必須分別產生加密金鑰(crypto keys)。在 Akiko 發訊息給 Boris 前,她把訊息用只有 Boris 可以將它解密金鑰加密,Akiko 才在網路上發送訊息。如果有人在竊聽 Akiko 和 Boris,即使他們能存取 Akiko 用來發送此訊息的服務 (例如她的電子郵件帳戶),他們只會看到加密的資料,無法讀取訊息。Boris 收到訊息後,必須用他的金鑰解密成可讀取的訊息。

使用端對端加密需要花一些力氣,但這是使用者驗證通訊安全性的唯一方法,而不用信任他們所使用的平台。有些服務 (如 Skype) 聲稱提供了端對端加密,但實際上並沒有。為了確保端對端加密的安全性,使用者必須能夠驗證,他們用來加密訊息的金鑰屬於他們的通訊對象所有。如果通訊軟體沒有內建這個功能,任何加密都可能被服務提供商攔截 (例如,如果政府強制要求)。

您可以閱讀 Freedom of the Press Foundation (FPF) 的白皮書 Encryption Works,了解使用端對端加密保護即時通訊和電子郵件的詳細說明。請務必查看以下 SSD 單元:

語音通話 Anchor link

當您以室內電話或手機打電話時,您的通話沒有端對端加密。如果您使用的是手機,您的通話可能會在手機和基地台之間進行 (微弱) 的加密。然而,當您的通話在電話網絡傳輸時,您的電信公司乃至任何握有權力控制您的電信公司的政府或組織,都有可能攔截通話。最簡單確保您的語音對話有端對端加密的方法,是改用 VoIP。

小心!大多數常見的 VoIP 提供商 (例如 Skype 和 Google Hangouts) 都提供傳輸加密功能,讓竊聽者無法監聽,但提供商仍可能會監聽。取決於您的威脅模型,這未必會是個問題。

一些提供端對端加密的 VoIP 通話服務包括:

要進行端對端加密的 VoIP 通話,雙方必須使用相同 (或相容) 的軟體。

文字訊息 Anchor link

標準文字 (SMS) 訊息不提供端對端加密。如果您想在手機上發送加密訊息,請考慮使用加密的即時通訊軟體取代文字訊息。

有些端對端加密的即時通訊服務使用自有的協定。因此,例如 Android 和 iOS 上的 Signal 使用者,可以與使用這些程式的其他使用者進行加密交談。ChatSecure 是一款行動應用程式,可以在任何使用 XMPP 通訊協定的網路上使用 OTR 加密聊天,這表示您可以選擇使用各種獨立的即時通訊服務。

即時通訊 Anchor link

不記錄 (OTR) 是一種用於即時文字交談的端對端加密協定,可以在多種服務上使用。

合併 OTR 與即時通訊的工具包括:

電子郵件 Anchor link

大多數電子郵件提供者讓您透過網頁瀏覽器 存取電子郵件(如 Firefox 或 Chrome) 。這些提供者多半支援 HTTPS 或傳輸層加密。如果您登入 webmail 後,看到瀏覽器頂部的 URL 以 HTTPS 字母開頭而非 HTTP,您可確知您的電子郵件提供商支援 HTTPS (例如:https://mail.google.com)。

如果您的電子郵件提供者支援 HTTPS,但預設不啟用,請嘗試將 URL 中的 HTTP 改成 HTTPS 並重新整理頁面。如果您希望在可用 HTTPS 的網站上持續使用,請下載適用於 Firefox 或 Chrome 的 HTTPS Everywhere 瀏覽器附加元件

預設使用 HTTPS 的電子郵件提供者包括:

  • Gmail
  • Riseup
  • Yahoo

有些電子郵件提供者可以讓您在設定中預設使用 HTTPS。熱門服務中還可以這麼做的有 Hotmail。

傳輸層加密有什麼功能,為什麼您需要它?HTTPS (也稱為 SSL 或 TLS) 會加密您的通訊,讓網路上其他人不能讀取,包括:在機場或咖啡廳使用共同 Wi-Fi 的人、您辦公室或學校的人、您的 ISP 管理員、惡意駭客、政府或執法單位人員。使用 HTTP 而非 HTTPS,讓攻擊者能輕而易舉地攔截,和閱讀您從網頁瀏覽器發送的通訊 (包括您瀏覽的網頁,以及電子郵件、部落格文章和訊息的內容)。

HTTPS 是我們推薦所有人使用的網頁瀏覽最基本加密層級。就像您開車時繫安全帶一樣基本。

但是 HTTPS 有些做不到的事。當您使用 HTTPS 發送電子郵件時,您的電子郵件提供者仍會取得您未加密的通訊副本。政府和執法機關可以用搜索票取得這些資料。在美國,大多數電子郵件提供者的政策是:只要在法律允許的情況下,他們就會告訴您,他們在何時收到政府對使用者資料的請求;但這些政策完全出於自發,而且在很多情況下,電子郵件提供者受到法律規範,不得告知使用者相關資料的請求。有些電子郵件提供者(如 Google、Yahoo 和 Microsoft)會發布透明度報告,詳細說明了收到政府請求使用者資料的次數、哪些國家提出請求,以及公司依法交出資料的頻率。

如果您的威脅模型包括政府或執法機關,或者您有其他理由,希望確保您的電子郵件提供者無法將您的電子郵件通訊內容交給第三方,請考慮為您的電子郵件通訊使用端對端加密

PGP (或優良保密協定) 是電子郵件端對端加密的標準。如果正確使用,它能為您的通訊提供非常強大的保護。有關如何為您的電子郵件安裝和使用 PGP 加密的詳細說明,請參見:

端對端加密的限制 Anchor link

端對端加密只能保護您的通訊內容,而不能保護通訊的事實。它不能保護您的中繼資料,也就是指其他一切資料,包括您電子郵件的標題、聯絡的對象和時間。

即使您的通訊內容保密到家,中繼資料仍能揭露您的個人資訊。

您通話的中繼資料可能會洩露一些非常私密和敏感的資訊。例如:

  • 他們知道您在凌晨 2 點 24 分打了情色電話,講了 18 分鐘,但是不知道您說了什麼。
  • 他們知道您從舊金山金門大橋上打了自殺防制熱線,但通話主題不得而知。
  • 他們知道您在一個小時內跟 HIV 檢測服務通話,然後是您的醫生,再來是您的健康保險公司,但他們不知道你們討論了什麼。
  • 他們知道您在接到當地 NRA 辦公室打來的電話之後(當時有抗議槍枝合法的運動),立即打電話給您的參議員和國會代表,但這些通話內容仍然不受政府監聽。
  • 他們知道您打電話給婦產科醫師,講了半個小時,後來打電話給當地的計畫生育聯盟,但沒有人知道您說了什麼。

如果您使用手機撥打電話,您的所在位置就是中繼資料。2009 年,德國綠黨政治人物 Malte Spitz 控告德國電信,要求他們交出六個月來關於他的通話資料,並將這些資料提供給一家德國報紙,最後製作成可視化資料,記錄 Spitz 詳細的行動歷程。

除了端對端加密,保護您的中繼資料同時需要使用其他工具,如 Tor

同時使用 Tor 和 HTTPS 保護您的通訊內容和中繼資料不受各種潛在攻擊者影響,您不妨看看這個說明提供的例子。

上次查閱: 
2017 年 1 月 12 日