從 ProtonMail 事件,再談私隱與隱身
文:薯伯伯
最近 ProtonMail 涉及一宗引起極廣泛關注及討論的資訊安全事件,事緣一名法國社運人士被法國警方調查,法國警方透過歐洲刑警與瑞士警方交涉,瑞士警方向瑞士法院申請命令,要求 ProtonMail 監察涉事法國社運人士的 IP 地址,ProtonMail 如令執行。在法國警方提交給當地法庭的文件顯示,顯示了涉事者的 IP 地址。
這件事引起牽然大波的原因,是因為 ProtonMail 一直標榜安全及尊重私隱,而大多數用戶是真誠地相信該公司維持「零記錄政策」(no log policy),但 ProtonMail 的公司事後指出,在一般的情況下不會記錄用戶 IP,只有在收到瑞士法院的要求,才會開始記錄用戶的 IP 地址。
這件事引起不少香港人的關注及擔憂,我認為是好事,這顯示不少香港人早已脫離資安無明無知之心。正是因為了解資安對自己的重要,才會因資安事件而心生恐懼,從而作出相應的行動及策略,這是非常重大的進步。
我之前一直沒有評論 ProtonMail 事件,並非沒有看法,而是不願倉猝下結論,寧願多花一點時間去了解情況,以及等待各方回應,再給讀者建議。
我先說一下我的結論,然後再討論當中的細節及分析理據。
一,我的結論
我依然認為 Proton Technologies 是可靠的公司,而我仍然使用這家公司的 ProtonMail 及 ProtonVPN 作為自己最主要的電郵及 VPN 服務供應商。
(注:我以前多次介紹 ProtonMail 及 ProtonMail,每一次介紹都是用普通的連結,而非介紹人 referral 連結。讀者看完我的文章而選用該兩個服務,對我完全沒有利益,而我使用 ProtonMail 及 ProtonVPN 時,也是自己付費,沒有任何形式的贊助。)
二,不同場景
這宗案件最太的爭議,是當 Proton Technologies 公司收到瑞士法院的命令時,同意開始記錄客戶的 IP 地址。我們用五個不同的情況去逐一分析,當位於瑞士的 Proton 收到不同司法管轄區發出的法庭命令後,會如何應對。
Proton 公司主要有兩個服務,一是電郵,另一個是 VPN。目前涉事的是電郵的服務,但我也會討論一下他們對 VPN 的可能處理手法。
Case 1:在完全沒有法庭命令的情況下,ProtonMail 及 ProtonVPN 均不會記錄客戶的 IP 地址。但要留意這是不為,而非不能,也就是說在一般情況下,Proton 並不會記錄 ProtonMail 及 ProtonVPN 用戶的 IP 地址,但他們是有能力這樣做,只是在沒有命令的情況下,他們不會這樣做。
Case 2:假如瑞士警方拿到日內瓦州法院或瑞士聯邦最高法院的法院命令,由於 Proton 的註冊地是瑞士,法院的命令足以迫使 Proton 開始記錄 ProtonMail 的用戶 IP 地址。
Case 3:承上,值得留意的是,即使有日內瓦州法院或瑞士聯邦最高法院的法院命令,但該規定不能針對 VPN 供應商,也就是瑞士註冊的 VPN 供應商,在任何情況下也沒有法律責任去記錄客戶的 IP,而 Proton 對其 VPN 用戶,是一直保護他們原來的 IP,目前沒有向第三方交出過相關數據。這次上了新聞的人,是使用 ProtonMail 電郵用家戶,而該用戶沒有使用 VPN 連接郵件服務。
Case 4:當美國警方透過美國法院發出命令,要求位於瑞士的公司交出客戶資料,就必須要得到日內瓦州法院或瑞士聯邦最高法院的批準。而 Proton 不能單方面與美國的 FISA 法庭(外國情報監視法庭)合作,否則即屬違反瑞士法律。
Case 5:即使有瑞士法院的命令,ProtonMail 也只能記錄客戶的 IP 地址,而不能突破其 AES-256 加密,亦不能查看到客戶的電郵的主體文本內容,但要注意的是,電郵的 metadata,包括發送人的電郵地址、電郵主題,則不屬加密的部份。
Case 6:歐盟區內的法院向瑞士法院提出申請,獲批的機會較大。
Case 7:極權國家向瑞士法院提出批出命令,獲批的機會較小。
三,討論
當 ProtonMail 配合瑞士法院命令,記錄並交出法國社運人士的 IP 地址,有不少人來信,想我建議一些「更為安全」的電郵服務。但任何公司均會受其註冊地的司法管轄,例如另一間著名的安全郵箱服務供應商是 Tutanota,註冊地是德國,同樣會受德國法律規管。
承接 Case 3 的情況,如果用戶在連接 ProtonMail 服務時,有同時使用 ProtonVPN,即使瑞士法院同時向兩間公司發出命令要求記錄客戶 IP,但由於相關規定只適用於 Mail,而不能套用在 VPN 上,所以 Mail 要記錄 IP,但 VPN 則不會記錄,最終也就是無法得知使用者的 IP。
ProtonMail 本身亦有提供 TOR 版本的 ProtonMail(https://protonmail.com/tor),那就是連技術上也難以記錄用戶 IP 地址。
四,私隱與匿名
我發覺不少用戶混淆了私隱與匿名的概念,兩者看似相關,在實際執行時卻是兩個完全不同的事物。坊間經常有人把「保護私隱」及「隱藏身份」混為一談,這是錯誤的說法,也是危險的說法。要做到完全不留任何個人痕迹的「隱身」,不只牽涉極度複雜的操作,加上淵博的學識,還有非常考驗耐力及堅忍力。
舉個例子,有人頻密更換電話卡,以為使用「太空卡」就能隱藏自己身份,但卻把多張「太空卡」輪流放入同一部手提電話使用,當中也包括與自己有關連的電話卡,那麼其他電話卡就不算是匿名了。又或者用家本身很小心,把不同的太空卡放在不同手機,卻經常把太空機與自己常用的手機同時打開,出雙入對,那也做不到真正的匿名。
我曾經聽過有人跟我說買了「太空卡」,追問之下才知對方居然認為使用「沒有個人登記的八達通購買自由鳥」就當是「太空卡」,我就覺得非常不安。
我撰寫的資安文章,一直強調的是私隱,而非隱身。隱身是極為複雜的操作,對於大部份讀者而言,必須覺察自己不能輕易隱身的技術現實。有關隱身的討論,請參看:〈零基資安訓練營(九):如果要完全隱藏網上身份〉
https://www.patreon.com/posts/38185283
五,防患
使用網上服務時,必須清楚明瞭自己的需要以及其服務的限制。以 ProtonMail 的為例,分三種情況去講:
A. 電郵內容文本:如果電郵用家只是想把電郵文本的內容加密,使用 ProtonMail 很合適。
B. 隱藏 IP:如果電郵用家想隱藏自己的 IP,每次連接 ProtonMail 時就應該使用 ProtonVPN,又或是使用 TOR 的登入點,但可能還是有其他蛛絲馬跡能查看到當時人的真實身份。
C. 電郵標題:這項資料未能加密,敏感資料不應寫在電郵標題。
六,尾聲
如果是要防止電郵內容被偷窺,收件及寄件雙方均使用 ProtonMail 是很合適的做法。以涉事法國社運人士的情況來看,ProtonMail 提供了其 IP 地址,卻沒有(亦不能)提交其加密的電郵文本內容。
收尾再重申我的結論:我目前仍然認為 ProtonMail 是安全的電郵供應商,而我的電郵地址上就是自己的名字,我清楚知道自己要求的是電郵文本內容加密,而非隱藏自己的身份。
如果要保持高度匿名,那就要使用 TOR、VPN,上網地點也要非常講究,必須經常轉換上網地點,像斯諾登在發佈 NSA 大規模監控公民的消息時,就是開車去搜尋 Wi-Fi 訊號,每次上網十多分鐘就要停下來。
ProtonMail 事件引起多人關注,而從不少讀者及朋友的反應來看,不只是關注,更引起不安。我很樂見這種不安,我相信這種不安其實是好事,這代表大眾更為注重資訊保安,早已脫離盲目相信安全無事的時代。不過在注意安全的同時,更要明白自己想保護的是甚麼類型的數據。遠離無知,保持警惕,但不過度恐慌,才能更掌握人民的科技優勢。
🔑 【超務實長清單整理:Do not make it easy!(2021年9月更新)】 https://www.patreon.com/posts/55578887
▶️ 請訂閱 Patreon 頻道,支持不受干預的獨立創作及評論 | www.patreon.com/pazu
同時也有9部Youtube影片,追蹤數超過63萬的網紅沛莉 Peri Story,也在其Youtube影片中提到,沛莉X林三益專業刷具 #限時團購 入口➡️ https://www.lsy031.com/l-8tiiy 每一支團員都是我精心搭配的唷😊 沒有混入我不愛的刷具,可以放心選購 2/22至3/15,首次完成會員資料贈$50購物金,可現折唷! 滿千免運/下單後五天內出貨/全球可配送 (海外運費另...
供應商登入 在 紡織產業綜合研究所 Facebook 的最讚貼文
(線上分享會)服飾業 - 國際供應鏈減碳行動 Carbon Leadership Project"
紡織綜合所協辦8/26(四)下午3:00-4:00"服飾業-國際供應鏈減碳行動",集結 AEO, Columbia, C&A, GAP, lululemon, PVH & Target 等知名國際運動服飾品牌與其供應商夥伴,開發標準化方法,協助品牌與工廠間達成共識,加速供應鏈減碳行動,期能推廣至更多供應鏈,以擴大服飾產業整體減碳成果。有興趣者,請趕快報名參加,千萬不要錯失機會
日期:2021 年 8 月 26 日(四)15:00 - 16:00(14:50 開始登入)
主辦單位:銳思碳管理顧問股份有限公司
協辦單位:Apparel Impact Institute、紡織產業綜合研究所
報名截止日:至8月23日(一)
活動及報名資訊網址:https://reurl.cc/lRK59d
#紡織綜合所
#服飾供應鏈
#減碳(
供應商登入 在 我是老查 Facebook 的最讚貼文
工作裡的誠信議題,除了「收受禮物」與「公私分明」這類的判斷之外,還會出現在哪些領域裡呢?對於主管與員工,會有不同的考量標準嗎?
《Airbnb改變商業模式的關鍵誠信課》書中提到,工作中的倫理與誠信議題,會出現在以下的情境裡:
-濫用公司資源、財產,或不正確的核銷費用
- 利益衝突
- 濫用客戶資料
- 性騷擾或攻擊
- 賄賂或收受不當禮物
- 營業秘密和保密資訊揭露
- 詐欺
- 社群媒體的運用
- 感情糾紛
- 酒精或藥物問題
這些議題出現的場景會非常多樣,像是:
- 把提供給員工但大家沒吃完的餐點整批帶回家可以嗎?
- 把設計案發給太太的表妹可以嗎?
- 用管理帳號登入客戶的後台查看其使用情形可以嗎?
- 鍥而不捨一直約隔壁部門的正妹同事去吃飯可以嗎?
- 尾牙時暗示供應商贊助抽獎禮物可以嗎?
- 把和業界朋友輕鬆閒聊餐敘的費用報帳可以嗎?
- 在社群討論區匿名批評公司制度可以嗎?
- 和自己的部屬發展戀情可以嗎?
- 定期在部門舉辦喝到掛party可以嗎?…
還有更多更多的情境,或許有些會讓你心裡想「咦?這樣可以嗎?」(也可能你的反應會是「可以呀!當然可以!」)
這些情境,有些有明確的相關法令,有些則沒有法令規範。但法律只是道德的最低標準,以及就算有法律規範,也還是要面對切實執法的難度。所以並不只是「有沒有違法」的考量而已。
《Airbnb改變商業模式的關鍵誠信課》認為,制定明確且符合企業自身價值觀的倫理守則只是開始,接下來就要發展出可行的流程,包括溝通宣導、解答疑問、以案例進行討論、舉報、調查、做出適切處理等。
也許有些人會覺得「設倫理守則太制式、僵化了,應該每次就個案判斷」,他們可能會舉出一些特例,像是:「公司不能規定不准收禮呀,我們在日本有分公司,日本的商界很重視禮數,有些合作夥伴會覺得我們不收禮物是對他們的輕視。」作者認為,這種思考方式有點是把特例當常態思考,就像「不能設交通速限呀,當我們需要送病患到醫院時必須能開多快就開多快」,這並不是好的方式。
在不尋常的情況下規則可以討論是否該有例外,但是在大部分的情況下,仍然需要有標準與規則。
#老查輕鬆讀
#Airbnb改變商業模式的關鍵誠信課
供應商登入 在 沛莉 Peri Story Youtube 的精選貼文
沛莉X林三益專業刷具 #限時團購 入口➡️ https://www.lsy031.com/l-8tiiy 每一支團員都是我精心搭配的唷😊 沒有混入我不愛的刷具,可以放心選購
2/22至3/15,首次完成會員資料贈$50購物金,可現折唷!
滿千免運/下單後五天內出貨/全球可配送 (海外運費另計)
沛莉專區限定:滿2680元加碼送價值1300元好禮!
531圓眼影刷+雙頭睫毛梳(不銹鋼)+美妝蛋+彩虹夾鏈袋
//官網滿額禮 及 沛莉專屬滿額禮 可疊加使用/
LINE登入綁定會員,訂單現折100購物金
首次使用LINE登入可領取$50購物金
首次完成會員資料可以再領取$50購物金
(例如購買沛莉指定強棒組2650元 現折100 是2550,可以再加購品項湊專屬滿額禮(2680)唷!)
時間軸:
4:43 新手挑選刷具注意事項
6:10 多種刷毛如何選擇?馬毛?灰鼠毛?動物毛人造毛的差別
7:33 底妝刷挑選小秘訣
12:00 超熱賣502蜜粉刷/灰鼠毛+羊毛
14:00 基礎眼影刷使用方式
14:19 眼影刷挑選小秘訣
22:30 新手超優惠全妝組
毛孔肌 https://www.lsy031.com/l-9anvh
全膚質/敏弱肌 https://www.lsy031.com/l-9anvg
23:30 不畫眼妝刷具組
毛孔肌 https://www.lsy031.com/l-96dj7
毛孔肌 https://www.lsy031.com/l-96dj8
全膚質 https://www.lsy031.com/l-96dj9
24:16 讓妝容更精緻的4支神奇刷具/沛莉指定強棒組
https://www.lsy031.com/l-96dja
更多限時優惠 單支刷具入口➡️ https://www.lsy031.com/l-8tiiy
更多限時優惠 單支刷具入口➡️ https://www.lsy031.com/l-8tiiy
(〃∀〃)~♡ 以上整理連結是方便大家購買,價格優惠跟一般人購買一樣。若是限時團購則是比市場上更優惠的價格。然而透過點擊連結交易,我們會分到微薄佣金來補貼一部分影片創作成本,在此感謝大家的支持。
😊 歡迎訂閱頻道 ► 記得開啟小鈴鐺,第一時間收到新片通知
沛莉開箱中 http://bit.ly/periyoutube
沛莉一家闖美國 https://ppt.cc/fZbT1x
小陶德玩樂園 https://ppt.cc/fbQHHx
🛒 購物推薦 ► https://www.amazon.com/shop/peri.com.tw
從這裡可以找到我常用、愛用推薦的商品,價格與一般相同、貨源來自各大供應商,可以安心。但透過連結購買我們會得到來自amazon官方分潤獎金,支持我們持續創作,在此說聲謝謝。
😘 更多即時生活分享,歡迎追蹤社群
Instagram ► https://www.instagram.com/peri168/
Facebook ► https://www.facebook.com/peri.com.tw
聯絡信箱 ► peritaiwan@gmail.com
非商業合作影片
This video is not sponsored.
![post-title](https://i.ytimg.com/vi/QqldGheIous/hqdefault.jpg)
供應商登入 在 沛莉 Peri Story Youtube 的最讚貼文
美國生活請訂閱新頻道➡️ 沛莉一家闖美國 https://www.youtube.com/channel/UCIt-YvG_HtoGFiKX7bju5SA
久等了!很難買的包包收到了!要買愛馬仕的包除了靠運氣還要靠手氣...有錢還不一定買得到自己喜歡的顏色,除非超級超級有錢,哈哈😂。考量影片長度,影片中沒說我為什麼沒買菜籃子~是因為我加入購物車後,想說看一下還有什麼,結果沒一會兒它就不見了!所以刷官網秘訣就是要速戰速決!早起用手機先去登入帳號,這樣可以整天都不用重新登入,接著~只要有空想到就刷一下,如果有幸遇到真愛不用再登入就可以馬上結帳,才有可能搶得到!還有我會觀察上方的包包總數,直接記數字就知道有沒有上新,或是當數字低於100款,就知道很快就會上新了~勤勞守候就對了!有時候刷到卻無法買不要太早灰心,有可能只是剛上架還沒整理好,多整理幾次頁面搞不好就行!這兩星期我刷官網的次數超過幾百次了吧。哈哈!今天影片就當是人生中有趣的經驗紀錄,畢竟直接進店裡買愛馬仕比較有效率啦~希望疫情快快結束😊
.
至於想快速得到愛馬仕明星包款的話,有些人的分享是去二手店,我看過二手店的價格好高唷!二手普皮還接近原價!其他品牌大概二手都會有打折~愛馬仕的二手包感覺是把配貨金額都算進去,但你沒有配貨的商品,特殊皮飆漲的價格更不用說...深深體會到愛馬仕真的是名牌包中最保值的品牌。深入了解後,覺得自己長知識了!如果現在有人問我要買名牌包又希望保值,就挑愛馬仕明星包款~像是鉑金、凱莉、康康,挑黑金、金棕、大象灰,加個金釦,基本上都安全不吃虧,只是前提是買得到啦!哈哈哈。好啦~聊天完畢,謝謝你們陪我開箱。
🎀 影片中使用的商品▼Products I Mentioned▼ LINKS ▼
小菜鳥能搶到喜歡顏色的Herbag就很開心了😛
🎀 我的好物分享清單
https://www.amazon.com/shop/peri.com.tw
從這裡可以找到我常用、愛用推薦的商品,價格與一般相同、貨源來自各大供應商,可以安心。但透過連結購買我們會得到來自amazon官方分潤獎金,支持我們持續創作,在此說聲謝謝😊
🎀 歡迎訂閱頻道,記得打開「小鈴鐺」接收通知 ► http://bit.ly/periyoutube
🎀 這裏也能找到我~更多生活動態追蹤我社群唷!有新片也會通知~
Instagram ► https://www.instagram.com/peri168/
Facebook ► https://www.facebook.com/peri.com.tw
聯絡信箱 ► peritaiwan@gmail.com
🎀 影片匯集
新手美妝保養Q&A http://5happy.cc/post/23920
非商業合作影片
This video is not sponsored.
#名牌包 #精品包入門 #愛馬仕攻略
![post-title](https://i.ytimg.com/vi/w9v9I4xtz8c/hqdefault.jpg)
供應商登入 在 MEeeep More Youtube 的精選貼文
繼早前有流動網絡供應商提供額外嘅數據流量俾用戶之後,為咗同客戶「疫」境同行,香港寬頻亦都宣佈,將會向個人同埋商業客戶減免一個月嘅月費,最高減免費用分別係每戶港幣 $200 同埋 $500。不過相關嘅減免係要通過一個簡單嘅登記先至可以完成個喎,點做法?今日就同大家睇吓!
如果你係香港寬頻嘅個人用戶,呢個減免申請可以喺 MyHKBN 手機應用程式入面完成。當你下載咗呢個應用程式之後,首先以你嘅客戶號碼同埋密碼登入、之後拉落去「我的換領/優惠」、搵番「逆境同行 - 豁免一個月服務費用」呢張Coupon,㩒「立即換領」,跟住就完成喇!
如果你係用緊香港寬頻嘅商業用戶,你嘅登記電郵將會收到由香港寬頻發出嘅優惠碼電郵,憑呢封電郵入面嘅優惠碼,同埋你嘅商業登記證號碼,去 www.hkbnes.net,揀「逆境同行」、再拉落去商業用戶一項,再揀立即登記,之後輸入你嘅商業登記證號碼同埋啟動碼,咁就完成登記!
今次香港寬頻嘅減免措施令到用緊佢哋嘅用戶受惠,我亦都希望借呢個機會祝願疫情快啲過去,各行各業重上軌道!
《Z世代達人》
麥卓華
![post-title](https://i.ytimg.com/vi/rwgaYQBzMhM/hqdefault.jpg)
供應商登入 在 登入-供應商平台 的相關結果
登入. 歡迎登入供應商平台. 帳號登入 ... 關於我們 |隱私權及保密政策 |權利與義務 |聯絡我們 |合邦商網股份有限公司版權所有. 建議最佳瀏覽器為Chrome,最佳視窗 ... ... <看更多>
供應商登入 在 供應商登入(已申請帳號) - 中華電信電子採購廠商作業專區 的相關結果
供應商登入 (已申請帳號). 輸入帳號密碼. 帳號: 帳號通常是統編,子帳號則以E-mail為帳號。 密碼:. 驗證碼:. 忘記密碼. © 中華電信股份有限公司採購案相關問題,請 ... ... <看更多>
供應商登入 在 供應商平台- 登入 - 仲信資融 的相關結果
... 操作,避免受騙上當,或可直接與本公司客服確認。如愈了解zingala最新活動,歡迎加入zingala銀角零卡官方LINE帳號:@zingala;網址: https://maac.io/23oRJ. 登入 ... ... <看更多>