目录 SIM 卡 SIM 卡，⼿机号很多时候同邮箱⼀样也是很重要的基础身份。这些年我们国家的⼏⼤运营商对⼿机号的安全保护做得还是很不错的，⽐如注销、重办 SIM 卡是有严格的安全认证流程，这些都发⽣在营业厅⾥。SIM 卡攻击这块，我举个案例： 2019.5，有⼈的 Coinbase 账号遭遇了 SIM Port Attack(SIM 卡转移攻击)，损失了超过 10 万美⾦的加密货币，很惨痛。攻击过程⼤概是：攻击者通过社会⼯程学等⼿法拿到⽬标⽤户的隐私，并到运营商欺骗得到⼀张新的 SIM 卡，然后通过同样的⼿机号轻松搞定⽬标⽤户在 Coinbase 上的权限。 SIM 都被转移了，这就很麻...

目录 科学上⽹ 这块出于政策原因，不多说，知名的⼏个⾃⼰对⽐。有能⼒肯定⾃建，这样安全可控，毕竟我们的出发点还真是科学上⽹、安全上⽹。 如果并⾮⾃建，难保不会出现中间⼈攻击。前⾯说过，现在⽹络环境确实没以前那么糟糕，尤其 HTTPS Everywhere策略普及了后。但有些平静可能只是⽔⾯，⽔⾯之下早已暗流涌动却不易被察觉。所以这块我并没特别好的安全建议，⾃建有⻔槛，但值得，实在不⾏，⼀定是多⽅确认，选择那种存在已久、⼝碑良好的品牌。 邮箱 邮箱是真正重要的 Web 基础身份，我们会⽤邮箱注册⼀⼤堆服务，我们⽤的邮箱⼏乎都是免费的，似乎如空⽓⼀般，你觉得它应该不会消失。如果哪天，它消失了...

目录 你在互联⽹上的身份安全，第⼀层靠的是密码，第⼆层得靠双因素，第三层靠的是⽬标项⽬本身的⻛控能⼒。我不能说双因素都是标配，⽐如你在⽤的去中⼼化钱包，有⼀层密码就够烦了（现在基本都配套⼈脸、指纹这类⽣物识别来提⾼体验），双因素就算了吧。但在中⼼化平台⾥，没有双因素可不⾏。因为中⼼化平台任何⼈都可以访问或有能⼒访问，你的密码被盗了，意味着你的账号权限失守，资⾦也就没了。⽽你的去中⼼化钱包，密码仅仅只是发⽣在本地的认证，⿊客即使拿到这个密码，还需要有能⼒接触到你这个钱包所在的设备。 明⽩其中区别了吧？好，知名的双因素认证(2FA)⼯具有：Google Authenticator、Micro...

目录 浏览器 浏览器⽅⾯流⾏的主要就是 Chrome、Firefox 了，加密货币⾏业还有⼈会⽤ Brave，也⾏。知名度⾼的，团队强⼤的，安全更新也会⽐较及时。浏览器安全话题实在太⼴泛，对你来说，你只需注意这⼏点就好： 有更新就及时更新，千万别侥幸。 扩展如⽆必要就不安装，安装也看清楚⼝碑、⽤户规模、背后是哪家知名公司维护的，并警惕扩展申请的权限，还有扩展必须来⾃浏览器⾃⼰的应⽤商城。 浏览器可以多个共存，强烈建议：重要的操作在其中⼀个浏览器中进⾏，⽽其他常规、不重要的操作都可以在另 ⼀个浏览器中进⾏。⼀些隐私保护的知名扩展（如 uBlock Origin、HTTPS Everywh...

目录 ⼿机主要也就 iPhone、安卓系列，没了，⽐如曾经我最爱的⿊莓，被时代淘汰了。安卓以前的安全性很堪忧，⼀⽅⾯是发展早期，另⼀⽅⾯是版本太多碎⽚，不同⼿机品牌都有⾃⼰的 fork 版本。现在安全性逐渐好了不少。 ⼿机⽅⾯同样要重视系统的安全更新及下载的安全原则，并且警惕下⾯这⼏点： 不要越狱、Root 破解，除⾮你玩安全研究，否则没必要。如果是为了盗版软件这样做，⾹不⾹得看你的驾驭能⼒。  不要从⾮官⽅市场下载 App，还是那句话，除⾮你能驾驭它。⽽且即使从官⽅市场下载的 App 也存在不少假的，注意分辨。  官⽅的云同步使⽤的前提是：账号安全⽅⾯你确信没问题，否则云端被控，⼿机也...

目录 Windows 10(及以上版本) 和 macOS 的安全性都挺让⼈满意了，你选择哪个都⾏。你能驾驭好，⽤ Linux 也是你的⾃由，⽐如 Ubuntu，或如 Tails、Whonix 这些隐私及安全变态的操作系统也⾏。 操作系统⽅⾯最容易上⼿的安全原则是：重视系统安全更新，有安全更新就⽴即⾏动。然后才是⼀些驾驭技能的掌握，很多⼈说 Windows、Mac 电脑还需要学习什么驾驭技能？点来点去不就⾏了吗？当然远远不⾏。对于安全⼩⽩来说，安装个杀毒软件是绝对的标配，如卡巴斯基、BitDefender 这种⼝碑很好的，Mac 上也有。 接着记住下载的安全原则，前⾯有提。不乱下程序其实已...

目录 不容易，你学习到这⾥了。传统隐私保护⽼⽣常谈了，2014 年我就写过⼀篇：  隐私⼤爆炸，你得学⼏招保护⾃⼰ https://evilcos.me/yinsi.html 回头读这篇⽂章，绝⼤多数建议都没过时，我建议你消化下，很快，毕竟当年这篇属于特别⼊⻔型的。下⾯我将开始新的介绍。隐私保护实际上和安全息息相关，在这你也可以认为是你的安全保护，保护的是什么？当然是你的隐私，私钥什么的属于隐私的⼀种。另外，别认为这是传统就不重视，传统的这些才是基⽯，基⽯都不安全了，基⽯的隐私都没了，上层建筑也就是空中楼阁，危如累卵，脆弱不堪了。 这⾥有两⼤资源是我⾮常推荐的： ⼀个是： SURVEIL...

目录 ⾼级攻击⽅式其实真很多，⼤多在⼤众视⻆下⽆⾮就是：我被钓⻥了。但这钓⻥可真⾼级了。 ⿊客通过邮件发送钓⻥，邮件⾥附带的⽂档是： A Huge Risk of Stablecoin(Protected).docx 这确实是⼀份很有吸引⼒的⽂档...但这份⽂档打开后电脑就可能被植⼊⽊⻢（⼀般通过 Office 宏脚本⽅式或0day/1day），这类⽊⻢⼀般都会包括如下常规功能： 各种凭证采集，如浏览器的，SSH 有关的等，这样⿊客就可以把触⼿伸向⽬标⽤户的其他服务。所以中毒后，⼀般都会建议⽤户不仅⽬标设备清理⼲净，相关账号权限该改的都需要及时更改。 键盘记录，尤其采集那些临时出现的敏...

目录 还没结束，我还想特别提⼀种⻛险：反常识⻛险。 什么是反常识，⽐如你已经特别熟悉以太坊了，各种 DeFi、NFT 玩得⼩⽩们直呼你⼤佬。此时你去玩 Solana，同样也遇到了各种钓⻥⽹站，你可不畏惧，轻蔑⼀笑：“这些在以太坊系列⽣态⾥都麻了，我怎么可能上当？” 不好意思，⿊客笑了，你确实上当了。因为出现了个反常识流程，⼈都是有惯性或惰性，这导致你⼤意了，没有闪。 好，让我们来看看这个反常识真实案例。 2022.3.5，⼀个安全预警：Solana 上的授权钓⻥残忍多了，攻击者批量给⽤户空投 NFT(图 1) ，⽤户通过空投 NFT 描述内容⾥的链接(www_officialsolana...