跳至主要内容

40 篇文章 含有標籤「隱私與資安」

隱私、監控、密碼、詐騙

檢視所有標籤

隱密錄製,全天直播

· 閱讀時間約 2 分鐘 ┊ 純文字版

剛剛看到一個新產品:「Waves」,一支可以錄影、直接直播的眼鏡。(官方網站)

創辦人 Chris Samra 在 Twitter 上寫1:

introducing Waves, camera glasses for creators.
record in stealth. livestream all day.
pre-order now.

隆重介紹 Waves,專為創作者而生的攝影機眼鏡。
隱密錄製,全天直播。
立即預購。

(Waves 眼鏡的官網)

看到這個我只想說,如果誰在跟我見面的時候給我戴這眼鏡「record in stealth, livestream all day」(隱密錄製,全天直播),我一定把他連人帶眼鏡一起踢出門外然後跟他絕交。專為創作者而生?我看是偷拍狂吧?

更離譜的是,它們官方網站 https://www.waveglasses.com/ 上 FAQ 的第一題居然寫:

Q: Is there an external LED Indicator?
(問:是否有外部 LED 指示燈?)

A: Waves will have an external indicator, but the user will be able to control whether or not it's in use.
(答:Waves 配備外部指示燈,但使用者可以控制是否啟用。)

哇靠,你把「能不能關掉錄影指示燈」放在 FAQ 第一題?這就是你覺得買你眼鏡的人最迫切想知道的問題?從這裡就能看出他們的目標客群是哪種人了:「各位偷拍狂們,你們的夢幻神器終於來了!」

(正常的產品 FAQ:「電池續航多久?」;Waves 眼鏡的 FAQ:「我偷拍會被發現嗎?」)

歡迎來到「預設被錄影」的新世界。從今以後,每次跟人見面都要假設對方可能在錄影,說出來的每句話都要考慮是否會被直播到全世界。每天的日常生活將變成 24 小時不間斷的實境秀,而且還是在不知情的狀況下被迫參演。

Footnotes​

  1. https://x.com/crsamra/status/1948050596029952000 ↩

FB 和 IG 是間諜軟體

· 閱讀時間約 3 分鐘 ┊ 純文字版

最近,荷蘭拉德堡德大學(Radboud University)和西班牙 IMDEA 網路研究所的學者們,發現 Meta 藉由 Facebook 和 Instagram 的 Android Apps,偷偷開後門監聽你的手機瀏覽記錄,然後把它跟你的真實身份連在一起。

📕 閱讀整份研究報告:

https://localmess.github.io/

簡單地說,這份報告提出確切的證據,證實了 Facebook 和 Instagram apps 都是不折不扣的間諜軟體。你以為在手機瀏覽器裡偷偷看什麼沒人知道?太天真了,這些 apps 全部都知道!

研究人員 Gunes Acar 接受採訪時說1:

"They are bridging these two worlds that we think are separate; web browsing and mobile app activities. That's very shocking."

(他們把兩個原本分開的世界──網頁瀏覽跟手機 App──連起來了。這真的很可怕。)

怎麼可能?​

你可能會想,FB 或 IG 的 App 跟瀏覽器不是獨立的嗎?它怎麼可以隔空知道我看了什麼網頁?

Meta 讓它們的 App 在背景偷偷監聽特定的網路連接埠(TCP 12387-12388 和 UDP 12580-12585),當你用手機瀏覽器看網頁時,如果那個網站有嵌入 Facebook Pixel 追蹤程式(有將近六百萬個網站有,但 wiwi.blog 這裡沒有),網站就會嘗試透過這些「秘密通道」傳送資料給手機內部的 FB/IG App。

最狡猾的地方是:因為是手機「自己傳資料給自己」,所以繞過了一般的安全檢查。防得了外賊,防不了內鬼呀!

另外,Meta 還用了一種叫做「SDP Munging」的技術。簡單來說就是假裝要進行 WebRTC 視訊通話,然後在建立連線的準備階段,偷偷摸摸把追蹤資訊塞進原本應該放身份驗證碼的地方。這樣一來追蹤資料就偽裝成了「我想跟你視訊通話」的正常訊息,騙過瀏覽器的安全檢查,連用 Chrome 開發者工具都觀察不到資料正在傳輸。

當然,什麼開無痕模式、清除 cookie 等等民間偏方,都是無法對付以上招數的。

你一直都被看著​

研究發現,Meta 從 2024 年 9 月就開始用這招了。更厲害的是,研究也提到俄羅斯的搜尋引擎 Yandex 早在 2017 年就已經開始這樣搞,而且沒人發現!

Google 在接受 Sky News 採訪時1也說 Meta 和 Yandex「明目張膽地違反了我們的安全和隱私原則」(blatantly violate our security and privacy principles)。

(因為 Google 的原則是「只有我可以當間諜,別人不行」😂)

有趣的是,在這個研究發布當天,Meta 馬上就停止了使用這個方式追蹤用戶。

移除間諜軟體吧​

真心推薦你,考慮把手機上這些垃圾間諜軟體移除吧!它們對你的隱私不友善、消耗手機電池、浪費你的時間、讓你容易生氣、品味變差、注意力渙散⋯⋯不需要這樣殘害自己呀!

題外話,最近我有一個朋友的 IG 帳號被盜了,她很煩惱、花了好多時間在處理這個事情,一直卡在帳號救援的流程,幾天之後好像都還沒弄好。其實很想跟她說,根據我從 2022 年開始的親身測試,不用 IG 真的不會怎麼樣的,只會讓生活變得更好而已。

Footnotes​

  1. https://news.sky.com/story/meta-found-covertly-tracking-android-users-through-instagram-and-facebook-13379083 ↩ ↩2

一次性密碼

· 閱讀時間約 2 分鐘 ┊ 純文字版

想要輸入一次性密碼,但手機不在身邊?或是更慘的情況──手機不見了,而所有的一次性密碼驗證都綁在那支手機上?

許多人不知道,其實一次性密碼是可以備份的,而且可以在多個裝置同步使用,也不必綁定像是 Google Authenticator 這類的專有 App。

在設定一次性密碼時,不是通常會掃一個 QR Code 嗎?但你有沒有想過,那個 QR Code 裡面寫了什麼?如果讀取 QR Code 裡的文字,你會看到裡面有類似這樣的文字:

otpauth://totp/網站名稱?secret=XXXXXXXX&issuer=發行者名稱

(掃掃看!裡面寫了什麼?)

看到那個 secret=XXXXXXXX 了嗎?這就是你的祕密鑰匙(Secret Key)。把這個字串備份下來就可以囉!

(更新:有讀者提醒,自行備份時一定要注意安全,不要用明文儲存,不然可能會造成密碼洩漏喔!用之前推薦過的 KeePassXC 是一個不錯的方法。)

一次性密碼的運作原理很簡單:App 會將「祕密鑰匙」和「目前時間」組合起來,丟到一個公定的演算法,得出六位數字的密碼,這就是為什麼密碼每 30 秒會改變一次。把同一個祕密鑰匙輸入到任何支援 TOTP 一次性密碼的 App 中,它們都可以算出完全相同的一次性密碼。

這樣一來,就算手機遺失了,只要還保有祕密鑰匙,就可以輕易地在其他裝置上重新設定,不用經過麻煩的帳號救援流程!

如果你用 Linux 的話,可以試試看極簡的解決方案 oathtool,許多常見的 Linux 系統裡都有內建。只要在終端機輸入 oathtool -b --totp XXXXXXXX(將「XXXXXXXX」替換成你的祕密鑰匙),就可以產生一次性密碼了,不用安裝肥大的 App!

如果你用 Android 手機,我推薦 Aegis 這個自由的一次性密碼程式,它介面簡潔、無廣告,而且支援匯出、匯入功能,讓你方便地保存所有的祕密鑰匙。

現金

· 閱讀時間約 5 分鐘 ┊ 純文字版

老實說,我對於那些支持全面改用電子支付、覺得使用現金「很落後」的人感到不解。現金是一個超棒的東西,尤其在這個電子支付普及的時代,我們更是應該要用力保護它。

為什麼現金很讚?讓我給你幾個理由:

匿名性​

這是我覺得最重要的一點:錢上面沒有晶片、沒有追蹤器,更沒有寫著你的名字,現金交易不會被具名記錄下來。因為一定有些購買行為是很私人的,是你不想讓別人知道的嘛。

舉個例子,你偷偷跑去藥房買了一盒「增強信心」的藍色小藥丸,應該不希望老闆娘把你的名字洩露出去吧?或者,你上網加入了某個神秘論壇的會員,又或是到 Motel 開房間,如果用了電子支付或刷卡,這筆消費記錄就會永遠留在某處,等著以後有一天爆出來。

不要等到未來某天你老婆質問你:「我看到上個月的消費記錄,那天深夜的 Motel 帳單是怎麼回事?」你才在後悔沒有聽 Wiwi 的話付現金了。

沒有技術障礙​

現金支付不需要手機、網路、任何電子設備和該死的 QR Code。為什麼總是要期待每個人身上有手機?我只是出門跑個步,不想帶手機不行嗎?

任何裝置故障、軟體問題、電力或網路中斷也都會造成電子支付消費麻煩,就更不要說軟體 Bug 的問題了。反觀我的一千元鈔票從來不會突然「當機」或「需要更新」。

延伸閱讀

沒有交易費​

以為電子支付沒有交易費?那只是藏起來了而已。商家為了支付電子交易的手續費,自然會把成本轉嫁到商品價格上,最終買單的還是消費者自己。何必多被剝一層皮呢?

避免監控​

現在所有主流的電子支付系統都不是自由軟體,而且也都是中心化管理的。這表示所有透過它們購買的所有東西,都會留下永久的記錄,存在某台主機的資料庫裡。

這些系統背後的公司會拿交易記錄做什麼?它們是怎麼加密、怎麼儲存的?誰有權限調閱這些資料?它們是否把這些資訊賣給第三方廣告商,甚至提供給政府機構?這些我們都不會知道。

政治風險​

對於那些源自中國的支付方式(微信、支付寶之類的)就更應該小心了。你的所有消費記錄,都「一定」會被共產黨監控,也許是監控行蹤、言論、查稅,或是檢查你有沒有「疑似對黨不友善」的思想。

中國不是想要推廣「數位人民幣」嗎?你認為他們的出發點是想要你生活變得更方便,還是想要讓黨獲得更多控制呢?當財產全部數位化、中心化管理之後,政府只要按一個鍵,你全部的資產就可以「被消失」,而你一點反抗的餘地都沒有。但如果你有現金藏在床墊底下,沒有人能夠遠端把它弄掉。

帶些現金在身上吧​

雖然電子支付很方便,但現金依然是不可以輕易放棄的自由堡壘。它讓我們有不被記錄、不被技術捆綁、不被監控分析的基本權利。所以,還是帶些現金在身上吧,這樣當全球網路大癱瘓的時候,你還可以優雅地掏出鈔票,從超市架上買下最後一包泡麵。

Footnotes​

  1. 西班牙和葡萄牙發生了前所未有的大規模停電,數千名火車乘客受困,數百萬人無法使用電話、網絡和自動取款機。 ↩

  2. 2024 年 7 月 19 日,由於美國網路安全公司 CrowdStrike 發布了有問題的更新,導致大量客戶的 Windows 電腦出現故障。眾多行業受到衝擊,如航空業、銀行、酒店、醫院、證券市場及廣播電視;政府服務(像是緊急電話號碼和政府網站)也受到影響,電子支付和緊急服務也未能倖免。 ↩

  3. 英國央行的重要支付系統出現了技術故障,這個系統每天處理約 1 萬億英鎊(約台幣 40 兆)的交易。故障影響了銀行間的交易系統和用於處理大額交易的支付系統,包括房屋買賣。整個故障持續了約 6 小時後被修復。由於八月是英國搬家高峰期,這次系統問題可能造成當天不少人無法如期完成房屋交易。 ↩

我同意

· 閱讀時間約 7 分鐘 ┊ 純文字版

安裝完一個新 App、第一次開啟的時候,可能會出現一個視窗問你同不同意他們的隱私政策、使用條款之類的東西。你總是都按「我同意」對不對?我當然也是,畢竟不同意的話就不能用了嘛!

但是,你真的讀過常用 App 的隱私政策嗎?今天我們來一起來讀這篇幾乎全台灣人都已經「同意」過的 LINE 隱私政策,看看我們到底同意了什麼有趣的條款。

💬 你的私訊其實不「私」​

We automatically collect information related to when and how you used our Services... For example, when using LINE, the contents that you posted, and texts, images, videos and sounds of the messages that you sent are sent via our server.

(我們會自動收集有關您何時以及如何使用我們服務的資訊⋯⋯例如,當使用 LINE 時,您透過我們的伺服器發佈的內容、文字、圖片、影片和聲音訊息。)

In principle, we will not use transmitted contents, as such messages exchanged between users and specific recipients other than us, for any purpose other than transmitting such contents. However, in certain countries or regions (*1) for specific services, we may use a part of such information upon obtaining your additional consent for the provision and maintenance of our Services, development and improvement of our Services, prevention of unauthorized use, and provision of optimized contents including ads.

(原則上,我們不會將傳輸內容,例如使用者之間交換的訊息和特定接收者(我們除外)用於傳輸此類內容以外的任何目的。然而,在某些國家或地區(日本、台灣、泰國、印尼)的特定服務中,我們可能會在取得您的額外同意後使用部分此類資料,用於提供和維護我們的服務、開發和改進我們的服務、防止未經授權的使用以及提供包括廣告在內的最佳化內容。)

白話翻譯:我們會把你的所有訊息內容都存起來,然後我們「原則上」不會偷看喔!但如果我們想要偷看的話,我們會放一個彈出視窗,顯示一大篇你懶得讀的超長文字,然後讓你按「同意」(反正你每次都一定會按同意),這樣我們就可以合法使用你的對話內容了!

想像你在 LINE 上面才剛跟朋友討論想買新鞋,然後就看到 Instagram 上面開始出現運動鞋廣告;這不是巧合,這是因為這個資訊已經在剛才被賣掉了(收銀機音效)。

🗺️ 我們知道你在哪​

We may collect the location information of your device... Furthermore, in certain countries or regions (*2), when we provide customized contents or ads to you, such as local news near the areas where you are located, we may separately ask you to generally provide your location information and allow us to use such information.

(我們可能會收集您裝置的位置資料⋯⋯此外,在某些國家或地區(日本、台灣、泰國),當我們向您提供客製化內容或廣告時,例如您所在區域附近的本地新聞,我們可能會單獨要求您一般性地提供您的位置資料並允許我們使用此類資料。)

Even when you do not accept sending your location information, we may estimate your approximate location by using information such as your IP address.

(即使您不接受傳送您的位置資料,我們也可能會使用例如您的 IP 位址等資料來估計您的大致位置。)

白話翻譯:我們知道你每天去了哪裡、跟誰在一起,比你媽還清楚你的行蹤。你去了哪間咖啡廳?跟誰吃飯?去哪家醫院看病?我們都知道。不要以為把定位關掉就有用,你逃不掉的。

🛒 我們從別的地方買你的資料​

We may collect information such as your identifier (internal identifier, ad identifier etc.), one-way encrypted (hashed) email address and telephone number, IP address, part of your device information (OS, etc.), your attribute information as well as your action history, including your purchase history, viewing history, search history and location information, from our Partners, and use such information for the purpose described...

(我們可能會從我們的合作夥伴那裡收集諸如您的識別碼(內部識別碼、廣告識別碼等)、單向加密(雜湊)電子郵件地址和電話號碼、IP 位址、部分裝置資料(作業系統等)、您的屬性資料以及您的行為歷史,包括購買歷史、瀏覽歷史、搜尋歷史和位置資料,並將這些資料用於所述目的⋯⋯)

白話翻譯:我們不但收集你用 LINE 時的資訊,我們也會從其他公司買你的資料喔!你用購物網站買的東西、搜尋引擎查的問題、上過的網站記錄,我們都可以拿到。

上禮拜搜尋了「避孕藥」,今天又下載了生理週期追蹤 App?這些碎片化的資訊被組合起來,可以形成一幅關於你的數位拼圖,這幅拼圖有可能比你自己還了解你的生活和身體狀況──甚至可能在你發現自己懷孕之前,就已經開始向你推播嬰兒床和尿布的折價資訊。

🗑️ 你刪不掉你的資料​

Unless you request the deletion of your account, in principle, we will retain most of your information. Once we receive your request to delete your account, we will delete your information according to Applicable Laws and internal rules after retaining such information for a given period of time.

(除非您請求刪除您的帳戶,原則上,我們將保留您的大部分資料。一旦我們收到您刪除帳戶的請求,我們將在保留此類資料一段時間後,根據適用法律和內部規則刪除您的資料。)

白話翻譯:我們會把你用 LINE 傳送過所有東西存起來,直到永遠;沒錯,包含那些喝醉後發送的訊息,以及那些別人看到會嚇昏的私密照片。你可以要求我們這些記錄刪掉,但我們還是會保留它「一段時間」;「一段時間」指的可以是三個月、五十年或是直到宇宙毀滅,誰知道呢?

📑 你同意的不只是 LINE 的條款​

We may use tags and modules containing cookies and third-party software development kit (SDK) for fulfilling the purposes described in this Policy. With regard to your Personal Data that is processed by a third-party through a module provided by such third party, the privacy policy of such third party will apply.

(我們可能會使用包含 cookie 和第三方軟體開發工具包(SDK)的標籤和模組,以實現本政策中描述的目的。關於透過第三方提供的模組由第三方處理的您的個人資料,將適用該第三方的隱私政策。)

白話翻譯:我們在 LINE 裡面嵌入了其他公司的程式碼,他們可能會收集你的資料,會怎麼使用我們也不知道,但這不是我們的責任喔!反正你已經說同意了!

這就很像是你簽了一份合約,但合約第 37 頁的小字寫著:「簽署此合約,表示你也同意另外 20 份合約。」,但又不跟你說另外那 20 份合約內容是什麼。

我們不是使用者,而是產品​

雖然在台灣,你大概一定會被強迫使用 LINE,但千萬不要忘記這個事實:我們並不是 LINE 的使用者,是 LINE 在使用我們;我們只是被 LINE 當作「貨品」賣出的礦物。

用 LINE 傳送任何東西時,提醒自己這會被永久記錄、可能被監控,並且將來有可能外洩。我強烈建議:任何你不希望在十年後被挖出來的東西,都不要透過 LINE 傳送。

使用 LINE 就像進入了一場非玩不可,但又永遠贏不了的遊戲;更荒謬的是,就算你決定退出,他們還是可以保留你之前的遊戲記錄「一段時間」。

延伸閱讀

你是數位韭菜嗎?

· 閱讀時間約 5 分鐘 ┊ 純文字版

有沒有發現自己常常一滑手機就是三小時,一打開網購 App 就噴掉半個月薪水,總是對每天看到的貼文和新聞感到生氣,或是明明已經訂了五個串流平台卻還是覺得「少了這一個就看不到最新影集」?

這些都是你正在不知不覺變成「數位韭菜」的徵兆!

🌱 什麼是「韭菜」跟「割韭菜」?

根據維基百科,「韭菜」最初被用來形容在股市被大戶欺壓的散戶;因為韭菜耐寒、不容易死,割了又會長出來,所以可以反覆一直割,它們也不會有怨言。

這個比喻逐漸延伸,現在「割韭菜」也用來描述那些擁有資訊優勢的人,利用資訊落差或資訊不對等來剝削一般民眾。

不要慌張,只要能到認知到自己正在變成韭菜,情況就還有救!以下是一系列可以常常自我檢查的問題,幫助你在這險惡的數位社會中,保持清醒和自主。

👀 當看到任何內容時,問自己:​

  • 「這內容背後隱藏著什麼政治立場或商業利益?」
  • 「為什麼我會看到這個?是誰想要我看到這個?是我自己想要看到這個的嗎?」
  • 「我看到這個對我有好處嗎?沒有的話,那是對誰有好處?」
  • 「我看到的是完整的故事嗎?還是被刻意剪裁、意圖帶風向的片段?」
  • 「看到這個讓我有什麼情緒?是誰想要我產生這個情緒?」
  • 「如果我用不同的管道或語言搜尋同一件事,結果會不會完全不一樣?」

🛍️ 當想要買東西時,問自己:​

  • 「我真的需要這個嗎?還是我被廣告、網紅、社群洗腦了?」
  • 「我是真的想要用這個產品,還是我想要藉此尋求身份認同?」
  • 「它如果壞了,我能自己修或找人修嗎?還是只能乖乖買新的?」
  • 「它需要 App 或雲端服務才能運作嗎?如果服務停止了怎麼辦?」
  • 「買二手的是不是也可以達到相同目的?」

💲 關於訂閱服務,問自己:​

  • 「我到底訂閱了什麼?我知道嗎?」
  • 「以我這個月的用量來說,值得花這個價錢訂閱它嗎?」
  • 「我真的需要這個服務嗎?還是只是覺得取消很麻煩?」
  • 「難道這服務沒有一次性付費的替代方案嗎?為什麼我要一直付錢?」
  • 「這服務刻意設計得讓我越來越依賴它,越來越難脫身嗎?」

👁️ 關於隱私,問自己:​

  • 「為什麼我要裝這個 App?用網頁版不行嗎?」
  • 「為什麼這個 App 需要這麼多權限?」
  • 「如果我的搜尋記錄外漏了,被貼在公開場合,對我來說會很糟嗎?」
  • 「這個免費服務為什麼能夠免費?它出賣了我的哪些資料?」
  • 「我是否在網路上公開了太多沒有必要的私人資訊?」
  • 「當使用條款出現時,我是否總是想都不想就按『同意』?」

👍 關於社群媒體,問自己:​

  • 「如果把滑社群的時間用在其他事情上,我的生活會有什麼不同?」
  • 「那些讚和留言對我的現實生活有什麼實質意義?」
  • 「我會因為看到別人的生活而感到自卑或焦慮嗎?」
  • 「如果這個平台明天消失了,我到底會失去什麼?」
  • 「我把自己在網路上的存在,都託付給平台嗎?」
  • 「是我在使用這個平台,還是這個平台在使用我?」

⛓️ 關於被科技制約,問自己:​

  • 「一天中我有多少時間是完全脫離手機的?」
  • 「當我感到無聊時,第一反應是做什麼?」
  • 「我是不是一聽到 App 跳通知就會馬上想要查看?」
  • 「科技是否讓我喪失了一些基本生活技能?(例如找路、原地坐著、專心讀一份文件、做簡單的心算等等)」
  • 「如果停電或斷網一週,我的生活會變得多困難?」

當個強韌的韭菜​

雖然情況對我們一般人是不利的:大科技公司的力量龐大到連政府都難以制衡,他們的演算法比我們的意志力要強得多。

就算韭菜覺醒了,其實也很難完全避免被割,但至少我們可以不要當最好割的那一群;被割的當下要用力反擊,並且盡可能取得屬於自己的好處!

從日常生活的一些小事做起:用 RSS、用自由軟體、用 Linux、減少使用社群媒體、不要看主流新聞、拒絕 DRM、不要安裝專有 Apps、支持獨立網站、架自己的網站⋯⋯把這些融入到生活中,你就成為了一根強韌的韭菜!

david123

· 閱讀時間約 4 分鐘 ┊ 純文字版

歡迎來到又一篇的真.宅男工具推坑文!今天我要告訴你,為什麼你需要從今天開始使用密碼管理器。

(錯過前兩篇了嗎:Markdown 篇、終端機篇)

密碼管理器是什麼?為什麼要用它?​

密碼管理器是一個手機或電腦上的 App,功能是安全地收納所有的帳號密碼,並將它們加密起來。你只需要記得一個「主要密碼」就可以存取所有其他密碼。

至於你為什麼應該用密碼管理器,有幾個簡單的原因:

  1. 你的記憶力不好,連昨天早餐吃了什麼都不記得
  2. 因為第一點,所以你在每個網站都用一樣的密碼
  3. 而第二點超級危險;因為只要有一個網站的密碼被洩漏(這種事發生得比你想像得更頻繁),別人就可以到其他網站嘗試用相同的 E-mail 和密碼登入你的帳號

我要坦白,我以前就是那個在每個網站都用 david123 當密碼的人;當然不意外地,我之前有許多帳號被盜用了。這就像是你家裡每個門、你的辦公室、你的車和保險箱都可以用同一把鑰匙打開,然後還把鑰匙大方地掛在門外一樣。

KeePassXC​

在所有密碼管理器當中,我目前最推薦的是 KeePassXC。它是可離線使用的跨平台自由軟體,也就是不依賴雲端、沒有廣告、沒有訂閱制,而且在 Linux/macOS/Windows 作業系統都可以執行。

KeePassXC 的介面長得像下面這樣子,非常直覺;就是一個簡單的表格,儲存著你所有的帳號密碼。

每當你要註冊一個新帳號的時候,你就用 KeePassXC 隨機產生一個超強的、你自己都記不住的密碼,然後把它存在裡面。KeePassXC 產生密碼時可以自訂長度,以及是否要包含大寫、小寫字母、數字、符號等等。

(KeePassXC 的密碼產生器畫面)

在電腦上,你還可以設定熱鍵(我都用 Ctrl+Super+Alt+Shift+P)或使用瀏覽器外掛來自動輸入密碼;所以當你要登入時,只要按下一個組合鍵就能迅速登入,不需要再複製貼上。

我有多台裝置怎麼辦?​

雖然 KeePassXC 本身是完全離線的軟體,但你的密碼資料庫只是被儲存在一個加密的檔案中。這表示你可以自由複製、備份、同步這個密碼庫檔案,那麼當然也可以同時在多裝置之間共享:

  • 初學者的話,我覺得利用像是 Google Drive、Dropbox 等等的服務來同步就可以了;
  • 當然更好的選擇是使用 Syncthing 或是 NextCloud 這樣的自由軟體來同步。

因為密碼庫檔案本身是加密的,所以就算不小心檔案外流了也不用擔心;取得檔案的人,只要不知道你的「主要密碼」,是沒辦法對那個檔案做什麼的。

關於主要密碼的建議​

因為「主要密碼」是所有其他密碼的保護者,所以它一定要夠強!我建議你用「非常長(至少 20 個字元)但好記」的字串當作主要密碼:

  • 像是 david123 就是一個很糟糕的主要密碼,駭客只要幾秒鐘就可以破解了。
  • 而 my-cat-likes-to-sleep-on-my-keyboard-for-18-hours-a-day 就是一個好記又強的選擇。

小秘訣:絕對不要把主要密碼寫在紙上,或用明文存在電腦或手機裡。它應該只存在於你的大腦中!

今天就開始用!​

今天花 10 分鐘設定密碼管理器,絕對比未來花在補救帳號被盜的 10 小時值得。千萬不要學以前的我到處 david123 啊!現在就去下載 KeePassXC 吧!

安全性問題

· 閱讀時間約 2 分鐘 ┊ 純文字版

在註冊新的網路帳號時,有些地方會要你輸入一些「安全性問題」。

這些問題會被用來當作確認身份的第二道防線,在有些平台,當你忘記密碼時,只要正確回答這些問題就可以重設密碼。像是:

  • 你的第一隻寵物叫什麼名字?
  • 你出生的醫院是哪一家?
  • 你最喜歡的電影是什麼?
  • 你第一輛車的品牌是什麼?

但這其實超不安全的啊!如果你總是老實回答這些「安全性問題」的話,這反而可能成為你帳號安全的一大漏洞。

為什麼「安全性問題」不安全?​

道理很簡單。想想看,有誰知道你第一隻寵物的名字?

  • 你的前女友知道;她不只記得「小白」的名字,甚至還留著跟牠的合照(跟你的合照倒是刪了)
  • 你叔叔、你阿姨也知道
  • 你家樓下的管理員阿伯可能也知道
  • 甚至連不認識你的人,只要翻一下你的 Facebook 貼文也找得到。

同樣地,真的只有你一個人知道你在哪間醫院出生、喜歡哪部電影、開什麼牌子的車嗎?

那要怎麼辦?​

解決方法也很簡單:不要老實回答這些問題。你應該捏造完全虛構(而且最好是很長)的答案,例如:

  • 第一隻寵物的名字:「我的霹靂貓阿洛」
  • 出生的醫院:「平行宇宙第七區量子穿梭醫療中心」
  • 喜歡的電影:「河北彩花的奇幻冒險第二季之魔法時光機的最後反擊」
  • 第一輛車的品牌:「反重力星際旅行者 Type-R 9000 型」

記得,在每個網站要使用不同的虛構答案,並將這些答案儲存在像是 KeePassXC 之類的密碼管理器中。

(什麼?你說你沒在用密碼管理器?你該不會在所有網站都用同一個「Password123!」密碼吧?)

使用 DeepSeek R1 的正確方式

· 閱讀時間約 4 分鐘 ┊ 純文字版

想要搭上最近討論度超高的 DeepSeek 列車嗎?很簡單,你只要:

  1. 用瀏覽器連到 chat.deepseek.com,或是下載 DeepSeek 的手機 App。
  2. 註冊帳號,依照它的需求填寫各種資料。
  3. 開始使用,在使用過程中把你的各種祕密告訴它。
  4. 疑惑為什麼中共政府突然知道了你的一切。

不~千萬不要這樣做啊!

當你使用線上版的 DeepSeek,在跟 AI 的對話過程中,不免會洩漏一些個人資訊、祕密甚至是敏感的資料,而這些資訊都會存在他們的主機上。當然,不只是 DeepSeek 會這樣,所有的線上 AI 服務都是如此,包括 ChatGPT、Claude 等等。

但是 DeepSeek 的問題是,他們的主機位在中國。我並不是說 DeepSeek 身為中國公司就一定心懷不軌,但是 DeepSeek 的確需要遵守中國的法律啊!

這表示只要習維尼大大想要,牠就可以隨意調閱世界上任何一個人跟 DeepSeek 的對話記錄,如果你說了什麼可能成為你的把柄、用來攻擊你的東西,那就⋯⋯祝你好運囉!

唯一正確的用法​

想要安全地使用 DeepSeek R1,不被共產黨政府偷窺,唯一的方式就是離線執行!至少有兩種簡單的工具可以做到:

  1. LM Studio:到 https://lmstudio.ai/ 下載。它是一個可以讓你離線執行各種大型語言模型的工具,一個程式直接搞定所有事情,非常方便!唯一的缺點是我覺得它的界面沒有很漂亮。
  2. Ollama + Open WebUI(我更偏好的方式):如果你不會害怕終端機,那麼我強烈建議你用 Ollama 和 Open WebUI 的組合!Ollama 是一個單機 AI 運行引擎,需要用簡單的終端機使用安裝和設定;而 Open WebUI 則是提供漂亮友善、幾乎長得跟 ChatGPT 一模一樣的網頁介面,讓你可以打開瀏覽器跟 Ollama 互動。

(網路上有大量 Ollama + Open WebUI 的安裝教學,從文章到 YouTube 影片都有,我就不在這邊寫了。)

選擇合適的模型大小​

你可以根據自己的電腦配備來選擇合適大小的模型。

  • 以我為例,我用 Linux 作業系統,有兩張 RTX 4000 顯示卡,可以很順暢地執行 DeepSeek R1 32B 的模型。
  • 如果你只有一張 16 到 20 GB VRAM 的顯示卡(或者你用的是大約 32 GB 記憶體的 M 系列蘋果電腦),那也許可以嘗試使用 14B 的模型。
  • 如果你的電腦配備更差,DeepSeek R1 還有 14B、8B、7B、1.5B 大小的版本。當然「B」數越少,模型的 IQ 就越低囉!

我是覺得 32B 的模型已經非常聰明,不管是文章整理、翻譯、潤稿、腦力激盪等等的工作都很好用,幾乎就和 ChatGPT 4o 不相上下!

投資一兩張顯示卡吧!​

除了 DeepSeek R1 之外,目前我個人很推薦的模型還有 Aya Expanse 32B、Qwen2.5 32B 和 Mistral-small 24B,這些模型都可以在只有 20 到 40 GB 顯示記憶體(VRAM)的電腦下執行,而且實用度都很高。有了他們,就很像是家裡請了幾個工讀生幫你處理各種工作一樣!

如果你常常使用 AI 工具,我超級建議投資一兩張好的顯示卡,建立自己的離線 AI 小天地!買顯示卡執行 DeepSeek,就不用擔心自己的祕密被習大大 Deep Seek 了。

資訊武器

· 閱讀時間約 3 分鐘 ┊ 純文字版

最近在讀 Tim Ferriss 寫的《Tools of Titans》,這本書集結了他在 Podcast 中訪問過的厲害人物們的精彩內容。其中有一節是關於 Marc Goodman,他是前 FBI 的「未來學家」,也就是研究科技與犯罪的專家。

(Tim Ferriss 訪問他時是在 2014 年,你可以在這邊找到原 Podcast。)

Goodman 分享了許多惡意人士運用(看似無害的)資訊做攻擊的情況。看了以下的例子之後,也許你會想要重新考慮目前的個人隱私保護策略。

Google 決定生死​

2008 年孟買恐怖攻擊事件,恐怖分子攻入了泰姬瑪哈酒店(Taj Mahal Palace & Tower),當他們闖入一個房間時,裡面的房客聲稱自己只是個普通老師。恐怖份子覺得奇怪:普通老師哪裡住得起這麼貴的套房?於是他們找到了房客的身分證,拍照傳回指揮中心。

指揮中心 Google 了這個房客(對,恐怖份子也是會用 Google 的),發現他其實是一個大銀行的董事長。確認身分後,指揮中心下令處決這位房客。

誰在機場接你?​

在墨西哥城機場也發生過類似的事件。犯罪集團會在機場觀察接機牌子上的名字,用手機搜尋這些名字,找出有價值的目標,然後威脅或賄賂司機離開,自己假扮接機人員把旅客綁架走。

Tim Ferriss 說這就是為什麼他出國時,如果有請司機到機場接機一定會用假名,這樣當他看到有人舉著寫著「Tim Ferriss」的接機牌時,就知道那個是陷阱。他也建議,只要你在網路上有任何一點知名度,都應該這樣做。

(用 Uber 可能更安全,至少 App 上有司機的照片和車牌號碼,比一張只是寫著你名字的紙來得可信賴一點。)

個人化的生化武器​

基因資料或醫療記錄也可以成為攻擊手段!Goodman 舉了個例子。

Warfarin 是一種很常見的抗凝血藥物,但有極少數的人因為具有某些基因特徵,導致吃下這種藥之後可能會致命。如果惡意人士取得了你的基因資料或醫療記錄,就可以知道你是不是對某種常見藥物過敏;這樣一來,就可以把看似普通的藥物,變成專門對付你的「生化武器」了。

你以為無害的資訊,在有心人士的眼中是絕佳的致命武器。

怎麼保護自己?​

有很多方式可以保護自己,以下是基本的幾個:

  • 密碼管理:千萬不要在每一個線上服務都用一樣的密碼!如果你還沒開始使用密碼管理器,馬上去下載 KeePassXC 吧!
  • 物理保護:例如用膠帶遮住筆電的鏡頭,以及把門鎖好。
  • 保密行蹤:不要在社群媒體上即時公開自己的行蹤。(老實說,我真的無法理解為什麼有人會想要這樣做)
  • 使用自由的作業系統:在電腦上用 Linux,手機上用去 Google 化的 Android。

別再說「我又沒做壞事,有什麼好隱藏的」這樣的話了。世界上就是會有人用非常「有創意」的方式來利用你的資訊──而且通常不是為了要給你生日驚喜。