被盗事件频发，如何让“数字卫生”的落实到位？

2025-03-23 13:36

阅读本文需 15 分钟

AI 总结

看总结

原文作者：@karpathy，@EurekaLabsAI 联合创始人
原文编译：zhouzhou，BlockBeats

编者按：本文介绍了改善计算机隐私和安全的一些基本技巧，涵盖了密码管理器、硬件安全密钥、硬盘加密、生物识别等防护措施。推荐使用安全工具如 1Password、YubiKey、Signal 等，同时强调避免使用不安全的智能设备，使用隐私保护的浏览器和搜索引擎，采取 VPN 和广告拦截工具。文章还建议保护个人信息，通过虚拟信用卡、电子邮件管理和网络监控实现数字安全。

以下为原文内容（为便于阅读理解，原内容有所整编）：

基本上，你可以做出一些简单的事情来改善计算机的隐私性和安全性，本文就涵盖了一些这样的内容。

时不时，我会被提醒到互联网庞大的欺诈机制，这重新激发了我对于日常计算机隐私/安全基本数字卫生的追求。问题从一些主要的科技公司开始，它们有动机构建你的全面个人资料，用来直接通过广告赚钱，或者卖给专业数据经纪公司，这些公司会进一步丰富、去匿名化、交叉引用并将数据转售。

不可避免且频繁的数据泄露最终会将你的信息汇总到黑市档案库，滋养了一个庞大的地下垃圾邮件/诈骗产业，包括黑客攻击、钓鱼攻击、勒索软件、信用卡欺诈、身份盗窃等。这个指南是一些最基础的数字卫生技巧的集合，从最基础的开始，到一些稍微更细致的建议。

密码管理器

你的密码是你的「第一因素」，即「你知道的东西」。不要傻乎乎的给每个注册的网站或服务设置新的、独特、复杂的密码。结合浏览器扩展，可以非常快速地创建并自动填写它们。例如，我使用并喜欢 1Password。这样可以防止你的密码：1）容易猜测或破解，2）一旦泄露，打开了许多其他服务的门。作为回报，我们现在有了一个存放所有第一因素（密码）的集中位置，所以必须确保它得到彻底保护，这引出了...

硬件安全密钥

你生活中最关键的服务（例如 Google 或 1Password）必须额外通过「第二因素」加固，即「你拥有的东西」。攻击者必须同时拥有这两个因素，才能访问这些服务。许多服务实现的最常见的第二因素是手机号码，理论上，你会收到一条带有 PIN 码的短信，输入后除了密码外进行验证。

显然，这比没有第二因素要好得多，但使用手机号码已知是非常不安全的，因为存在 SIM 卡交换攻击。基本上，攻击者发现自己可以轻松地打电话给你的手机公司，假装是你，并要求他们将你的手机号码切换到他们控制的新手机上。我知道这听起来完全疯狂，但事实就是如此，而且我有很多朋友是这个攻击的受害者。

因此，购买并设置硬件安全密钥——工业级的保护标准。特别是，我喜欢并使用 YubiKey。这些设备在设备安全元件上生成并存储私钥，因此私钥永远不会出现在像笔记本电脑这种通用计算设备上。一旦你设置了这些设备，攻击者不仅需要知道你的密码，还必须物理上拥有你的安全密钥才能登录服务。

你的风险大约减少了 1000 倍。购买并设置 2 到 3 个密钥，并将它们存放在不同的物理位置，以防万一你丢失其中一个密钥。安全密钥支持几种认证方法。查看你服务的第二因素设置中的「U2F」作为最强保护。例如，Google 和 1Password 都支持它。如果不得不使用「TOTP」，请注意，你的 YubiKey 可以存储 TOTP 私钥，所以你可以通过 YubiKey 认证器应用程序轻松地通过 NFC 与手机接触获取 PIN 码登录。

这比将 TOTP 私钥存储在其他（软件）认证应用程序中要好得多，因为你不应该信任通用计算设备。本文不打算深入讲解，但基本上，我强烈推荐使用 2-3 个 YubiKeys 来大大增强你的数字安全。

生物识别

生物识别是第三种常见的认证因素（「你是谁」）。例如，如果你是 iOS 用户，我建议在几乎所有地方设置 FaceID，比如访问 1Password 等应用。

安全问题。恐龙公司对安全问题（如「你母亲的娘家姓是什么？」）着迷，时不时强迫你设置这些问题。显然，这些问题属于「你知道的事情」类别，所以本质上它们就是密码，但对骗子来说，这些问题可以在互联网上轻松查找，你应该拒绝参与这种荒谬的「安全」练习。相反，把安全问题当作密码来处理，为每个问题生成随机答案，并将它们与密码一起存储在你的 1Password 中。

磁盘加密。始终确保你的计算机使用磁盘加密。例如，在 Mac 上，这个完全不费脑子的功能叫做「File Vault」。这个功能确保如果你的计算机被盗，攻击者无法获取硬盘并访问你所有的数据。

物联网

更像是 @internetofshit。尽量避免使用「智能」设备，这些设备本质上是极其不安全、连接到互联网的计算机，收集大量数据，经常被黑客攻击，而人们却心甘情愿地将它们放进家里。这些设备有麦克风，定期将数据发送回母公司进行分析，并「改善客户体验」，哈哈，好吧。例如，在我年轻且天真时，我曾购买过一款来自中国的 CO2 监测仪，在告诉我房间中的 CO2 含量之前，它要求了解我所有的个人信息和准确的地理位置。这些设备是你隐私和安全的大漏洞，应该避免使用。

消息传递。我推荐 Signal 而不是短信，因为它会对所有通讯进行端到端加密。此外，它不像许多其他应用程序那样存储元数据（例如 iMessage、WhatsApp）。开启消息消失功能（例如默认 90 天是不错的选择）。根据我的经验，消息消失功能是信息漏洞，没有什么显著的好处。

浏览器。我推荐使用 Brave 浏览器，它是一个以隐私为先的浏览器，基于 Chromium。也就是说，几乎所有的 Chrome 扩展程序都能直接使用，浏览器的体验也类似于 Chrome，但没有 Google 能完全掌握你整个数字生活。

搜索引擎

我推荐 Brave 搜索，你可以在浏览器设置中将其设置为默认搜索引擎。Brave Search 是一个隐私优先的搜索引擎，拥有自己的索引，而不像 Duck Duck Go 那样，实际上是 Bing 的一个皮肤，并且不得不与微软做一些奇怪的合作，妥协用户隐私。和这个列表中的所有服务一样，我每月支付 3 美元购买 Brave Premium，因为我更喜欢成为客户，而不是在我的数字生活中成为商品。我发现，根据经验，95% 的搜索引擎查询都是非常简单的网站查询，搜索引擎基本上充当了一个小型的 DNS。如果找不到你想要的东西，只需在搜索查询前加上"!g"，就能跳转到 Google。

信用卡

为每个商家铸造新的、唯一的信用卡。没有必要在多个服务上使用同一张信用卡，这会让他们「关联」你在不同服务上的购买行为，此外，它还增加了信用卡欺诈的风险，因为服务商可能泄露你的信用卡号码。我喜欢并使用 privacy.com 为每一笔交易或商家铸造新的信用卡。

你可以通过一个很棒的界面查看所有消费情况，还能接收每次刷卡的通知。你还可以为每张信用卡设置消费限制（例如，每月 50 美元等），这大大降低了你被收取意外费用的风险。此外，通过 privacy.com 的卡，你在填写账单信息时可以输入完全随机的姓名和地址。这一点非常重要，因为根本没有必要让那些随机的互联网商家知道你的实际地址。接下来说说……

地址

大多数随机服务和商家都不需要知道你的实际地址。使用虚拟邮寄服务。我目前使用 Earth Class Mail，但说实话，我有点不好意思，所以打算换成 Virtual Post Mail，因为它在隐私、安全性、所有权结构和声誉方面的承诺更强。在任何情况下，你可以提供一个地址，他们收到邮件后会扫描并数字化，你可以通过应用程序快速查看，并决定如何处理它（例如销毁、转发等）。这样，你不仅能获得安全和隐私保障，还能享受到相当大的便利。

电子邮件

我仍然使用 Gmail，因为它实在太方便了，但我也开始部分使用 Proton Mail。同时，关于电子邮件还有一些想法。永远不要点击任何你收到的电子邮件中的链接。电子邮件地址非常容易伪造，你永远无法确定你收到的邮件是否是骗子发来的钓鱼邮件。相反，我会手动进入任何感兴趣的服务并从那里登录。

此外，建议在电子邮件设置中禁用图像加载。如果你收到的邮件需要查看图像，你可以点击「显示图像」来查看，完全没问题。这很重要，因为很多服务通过嵌入图像来跟踪你——它们把信息藏在图像的 URL 中，所以当你的邮件客户端加载图像时，它们就能看到你是否打开了这封邮件。完全没有必要这么做。此外，骗子还常用混淆图像的方式隐藏信息，避免被邮件服务器过滤为垃圾邮件。