个人隐私保护初版(长期更新)

本文的叙述内容可能和网络上其他关于隐私保护的文章不一样

个人隐私数据分类

我把个人隐私大概分为几类:

  1. 可导致严重问题的隐私数据,可以通过该数据判断该人人品、喜好、弱点、身上的特性、家庭背景等,可以对其进行行为预判的数据。
  2. 敏感数据泄漏,包含个人基本信息情况。比如身份证、姓名、家庭住址、工作、个人图片、虹膜、指纹、步态等敏感数据。
  3. 不太敏感信息,但可以把不同数据关联,定位个人。比如浏览网站时浏览指纹信息、关联昵称、关联邮箱、关联社交账户等把很多信息关联起来可以定位是哪个人。
  4. 其它信息,作为第三条的补充。

个人隐私数据保护思路

由于互联网设施的不安全,导致个人隐私数据实时泄漏。
在已经泄漏的情况下,介绍几个保护思路

1、混淆数据,通过泄漏适量的假个人基本信息数据,多个身份活动。
2、通过精心构造的假数据,把不同的假数据关联起来,减少来自批量数据挖掘的伤害。对于定点攻击,公民几乎没有办法。
3、对已泄漏的数据,要解决以后泄漏数据的问题,如果可以弃用服务商,实时更新假数据并弃用,如果数据不重要可以注销账户。

个人隐私保护具体问题

非国内firefox+HTTPS+TLS1.3+ESNI/ECH+DoH/DoT

浏览网站

浏览器指纹

Supercookie uses favicons to assign a unique identifier to website visitors. 使用多个访问url区别用户
https://supercookie.me/workwise

https://fingerprintjs.com/blog/audio-fingerprinting/

浏览器证书

不受信任证书
沃通(WoSign)和StartCom证书和CNNIC
firefox 需要单独删除

使用DoH后隐私安全问题

使用DoH 信息查询使用中心化的DNS服务器,不能保证中心化的DNS服务器的信息泄漏。

什么是SNI

SNI是后端请求https证书时 nginx知道请求哪个server证书
SNI 告诉 Web 服务器在客户端与服务器之间的连接开始时显示哪个 TLS 证书。SNI 是 TLS 协议的补充,它使服务器可以在同一 IP 地址上托管多个 TLS 证书。

ESNI加密原理

ESNI是使用公钥加密SNI
公钥加密
我请求A网站,查询DNS,DNS返回ip和ESNI公钥
对ip请求包含加密的ESNI,返回A TLS证书

使用ESNI就安全了吗

第一步对DNS服务器发起查询时,通信流量是明文传输的。需要使用加密的DNS流量和DNSSEC。 加密的DNS,目前方案分为基于HTTPS的DNS和TLS加密的DNS。
DNSSEC是确认返回DNS真实和合法DNS服务器

ECH

对整个ClientHello进行加密

WebRTC IP Leak

什么是WebRTC?

WebRTC,名称源自网页即时通信的缩写,是一个支持网页浏览器进行实时语音对话或视频对话的API。它于2011年6月1日开源并在Google、Mozilla、Opera支持下被纳入万维网联盟的W3C推荐标准

在利用XSS获取内网ip时,用到WebRTC技术

通信加密

GPG


其它可能碰到的问题

1、比如PC和手机上的软件(安全软件、输入法、下载软件、播放软件等),因为个人使用不多不再阐述。输入法可以用开源的。
2、硬件(固件、GPS、陀螺仪、摄像头等),假设硬件本身含有后门,这方面隐私难以保护,需要从头自制
3、操作系统,windows不断与微软服务器有连接,在用户层不一定可以收集到所有的windows传输的数据。使用linux替代
4、基础设施,待写

个人历史注册信息找回

假设只要数据存在在载体上就可能泄漏。
个人历史注册信息,如何快速找到?这里不谈论不知情的情况下的注册信息,比如没有通知个人的,学校、医院、机构等自建系统包含的个人信息。
一般对于网上注册是通过手机号或邮箱,其他注册方法比较少。
1、手机号可以查看本地短信记录、云备份、或者运营商短信记录来获得注册信息。也可以找回密码查看是否注册。
2、邮箱一般是国外注册通行证,在国内邮箱注册包含个人信息比较少。找回历史注册账户和手机号类似。

IOT侧安全导致的信息泄漏

1、手机
国内情况是以手机号作为认证基石,不仅要保护好手机在互联网上的安全,还要注意无线安全和物理安全,比如玄武师傅写的丢失SIM卡后果,阐述了SIM卡丢失带来的危害。
2、智能家居
运营商把家庭网络和设备分到公网或网络隔离不当带来的威胁。
智能家居的内网信息收集行为等。

酒店安全

简单介绍一些住宿酒店的安全事项
1、准备多个身份,不细说。
2、针对人脸识别伪造
3、堵猫眼
4、挂上门锁链
5、检测双面镜
6、检测摄像头。摄像头一般在好的角度的位置、不好发现、可持续录制的地方。
7、酒店选择。看偷拍的出发点,偷拍地点一般选学校附近、景点附近。酒店类型多是主题酒店,房型多是大床房。尽量避开。
8、干扰偷拍结果。偷拍比较看中质量。假如是画面黑暗、模糊、没有拍到想要的位置。
9、开门检测,用椅子支下,开门有声音。门锁门卡默认不安全。
10、洗浴和上厕安全,有透明材质的玻璃,可看到室内发生的情况。
11、规划逃生路线

网约车安全

日常生活隐私保护策略

1、多重身份信息 2、多个步态信息 3、输入密码时用东西挡着屏幕 4、戴眼睛 帽子

小结

个人信息保护主要落脚点是保护可导致严重问题的隐私数据,要把主要精力放在这上面。

参考

https://github.com/tom0li/collection-document
https://cybermagicsec.github.io/privacytools-zh/
https://www.cloudflare.com/zh-cn/learning/ssl/what-is-encrypted-sni/
https://blog.mozilla.org/security/2021/01/07/ encrypted-client-hello-the-future-of-esni-in-firefox/
https://blog.cloudflare.com/encrypted-client-hello/
http://webrtc.org/
https://cloud.tencent.com/developer/article/1733817
https://k4yt3x.com/ 2020-firefox-%E5%AE%89%E5%85%A8%E9%9A%90%E7%A7%81%E5%AE%9E%E7%94%A8%E6%89%A9%E5%B1%95%E6%8C%87%E5%8D%97/
https://wiki.mozilla.org/Fingerprinting
https://fingerprintjs.com/blog/audio-fingerprinting/

Written on October 1, 2020