Facebook

虚假航空公司赠品不仅不会为你赢得机票，反而会让你丢失资料。

别出心裁的加密货币网络钓鱼方式

帮助Facebook用户了解如何调整收到的通知，以及如何在帐户设置中调整通知。

Stamos称，安全行业面临着几个青春期问题，其中一个主要问题是虚无主义。这意味着专家更偏重于”幻想”，即技术上复杂的安全问题和漏洞，而不是实际造成真正破坏并危及大量用户的问题。

随着在线文字聊天愈加流行，各种聊天机器人也层出不穷。有时只是为了单纯替代现实中的公司，而有时却拥有特殊功能。企业方面对聊天机器人有着极大的需求：作为’员工’使用但不需要支付任何酬劳；不会产生任何负面情绪；他们严格按照编程行事。在Telegram机器人平台全面开放API后，聊天机器人的受关注程度几乎达到了顶峰。

就社交网络的自身发展趋势和规律而言，可以说是现实世界的延伸—又反过来对我们的线下世界起到极大的影响力。在这篇文章里，我们将提供五条金科玉律，并希望每一名社交网络用户都能牢记在心。

2010年，世界上最大的人脸图像库拥有者— Facebook — 学会了如何区分人像和风景画：社交网站搜索人脸照片并标记这些区域。但有时也会出错。4年后，Facebook识别人脸照片的准确率达到97%：区分是同一个人还是两个人。 尽管Facebook取得了重大进步，但其算法依然在某些方面输给了人脑3个百分点。如果需要在较低分辨率照片里识别熟人，人类一定比计算机做得好。就算这些照片是从非常规角度拍摄。 这的确有些不同寻常，因为通常来说计算机的精确度要远高于人脑。那么问题来了，人类为什么偏偏在这方面比计算机强呢？ 我们的大脑经过了严格的训练 科学研究证明，大脑的某个区域专门负责脸部识别。这一区域叫做”梭状回”，是”颞叶”和”枕叶”的一部分。婴儿从出生那一刻起便开始学习如何区分不同的脸，并不断练习这一技能。新生儿在4个月大的时候，大脑就能区分大伯和二伯—二舅妈和三舅妈。 眼睛、颧骨、鼻子、嘴巴和眉毛是面部的主要特征，能帮助我们相互辨认。皮肤也同样重要，尤其是纹理和颜色。值得注意的是，我们的大脑倾向于将面部作为一个整体来处理— 主要是因为无法专注于个别特征。因此，有一半脸用围巾或纸头遮住，我们也能轻松认出。但如果将不同人的照片拼贴到一起，并加入2个名人的人脸照片，观察者则往往需要一定时间才能认出。 上图是布拉德·皮特和安吉丽娜·朱莉的合成照 由于从出生那刻起大脑就开始存储人脸。我们慢慢开始创造出一个模版，用来进行人脸处理。如果将这一模版画下来的话，看上去就像这样： 一旦我们大脑开始将某个人的外貌和固定模版进行比较时，人脸处理即自动开始：这人的鼻子是否更宽些、嘴唇是否更丰满还有肤色是暖色还是冷色调等等。有些不太常出国旅行的人常常会说某个国家的人都长得差不多。之所以有这样的感觉，是因为他们大脑中的模版对脸部特征相当敏感，但对周遭环境却不那么敏感。 顺便提下，有些动物（比如：狗和猴子）同样能区分不同的脸。尽管通过嗅觉能带来许多信息，但视觉图像同样有助于识别其它动物。有趣的是，人类最好的朋友—狗—不仅能通过看我们的脸掌握人的情绪，还能学会如何微笑。 计算机是如何识别人脸的？ 微笑和脸部处理之间到底有何联系？这两个之间是不可分割的，因为任何表情的变化都会让我们的脸瞬间变样而无法识别，对于计算机算法而言更是如此。 软件可以将两张正面脸部照进行比较，并确定是否为同一人。这些解决方案的工作模式类似于人像画家：通过分析人脸上所谓的”节点”。这些点被用来确定每一张单独脸；不同的方法可以从一张脸上找出80-150个节点不等。 例如，无论是画家还是软件都会测量两眼之间的距离、鼻子的宽度、眼窝的深度、颧骨的形状以及下巴轮廓的长度等等。 一旦你改变视平线或要求模特转一下头，这些测量结果也会发生变化。由于许多脸部处理算法只能分析二维照片，因此视点成为了识别精确度的关键所在。你希望一直”隐姓埋名”吗？用太阳眼镜遮住自己的眼睛和颧骨，再用围巾盖住下巴和嘴巴，如此才能隐藏自己的身份。在我们测试名声不佳的FindFace服务时发现，它只能识别正面人像。 由于此类脸部识别服务只能辨认”平面照片”，因此你完全可以”愚弄”它们一番。但可谓好景不长，更加先进计算机算法正在研发之中。 未来发展动态 随着我们年龄的增长，大脑处理人脸的能力也在不断得到训练。区分”我们”和”他们”的能力，是人类生存的必要技能之一。最新计算机也能像人类一样学习，并自行编程。为了提高机器脸部处理的准确率，开发人员采用了自我学习算法，并将数百张人像照片打包编成教科书供计算机学习。这些照片其实并不难找到—互联网、社交媒体、照片寄存网站、图库和其它网络资源中都可以找到。 而随着计算机算法开始采用3D模型，脸部识别技术工作得以更加有效。通过将网格映射到面部并整合人头像的视频捕捉，软件就能得到某人多个角度的面部特征。顺便提下，人类大脑的模版也是三维的。尽管这一技术仍在开发之中，但目前市场上已出现了多个专利解决方案。 模拟研究也将从中受益。对人物情绪的真实渲染始终是电子游戏行业的一座金矿，许多工作都是在努力让自己的游戏角色看上去更加真实。事实上，许多工作已经在进行中。相同的技术对于脸部识别软件而言也同样重要—一旦这些解决方案需涉及模拟人类的方面，他们就会知道照片里男孩的笑脸，是因为在街上牵着女孩的手。 除了3D模型外，开发者还致力于其它方面的研发，例如：Identix公司就设计了一种用于脸部识别的生物认证技术- FaceIt Argus。它能分析皮肤纹理的独特性：线条、毛孔和疤痕等等。FaceIt Argus的作者们还宣称他们的研发成果还能用来区分双胞胎，但很可能不只使用了脸部识别软件。 据说这一系统对脸部表情变化并不敏感（比如：眨眼、皱眉或微笑），并且即使长胡子和戴眼镜也能成功分辨。如果将FaceIt Argus与其它脸部处理系统结合使用的话，准确率还可提高20-25个百分点。但另一方面，如果照片的分辨率和亮度都很低的话，这一技术就无法成功使用。

整个2015年发生的互联网安全事件可谓数不胜数。要从所有这些中挑选出10个当年最热门的话题可以说是一项极其艰巨的任务。照旧如果你对榜单有异议或认为还有哪些事件应该入围的话，请在下面的评论栏留下您宝贵的意见。闲话少说，下面就开始逐一揭晓2015年十大安全事件榜单。

你是否自认为是一个”网络通”？你是否常常上网冲浪而觉得能区分互联网上的各种”真伪”？ 我们最近决定测试一下我们读者的网络精通水平（该让我们喘口气了，我们总不能一直坐在那里分析网络威胁吧！），最终发现我们能真正认定为”网络通”的网络用户数量实在是少得可怜。 例如，我们给出的测试题是从4个Facebook主页截图中选择一个你觉得登入后最安全的。根据我们的研究调查，只有24%的网络用户选择了正确答案。剩下76%的网络用户心甘情愿地选择网络钓鱼页面，这样会将自己的登录凭证透露给网络犯罪分子 –而这只是其中最简单的一道例题！ 当然，我们应该注意区分真实网页和虚假网页的能力或从垃圾消息中找出合法电邮并非是界定 “网络通”的唯一标准。”网络精通”用户常常具备各种良好的安全习惯。例如，从可疑网页下载未知文件是个坏习惯，相反常常检查操作系统是否存在漏洞，同时定期升级更新来清除病毒是个好的习惯。 时常备份数据是个好习惯，而相反在社交网站上公开过多信息是个坏习惯。使用薄弱密码并将密码写在纸上，随意安装新应用程序或软件，更糟糕的是常常忽视许可协议或访问权限，这些都是很不好的习惯。”精通网络”是信息安全的基础，严格遵守信息安全准则将能保护您的数据、隐私、资金甚至电子设备的安全。 在现实生活中，我们或多或少都会遵循自我保护法则，例如我们通常不会：三更半夜在贫民区四处游荡；有人问你信用卡PIN码时一定三缄其口；或将钥匙留在门口醒目的位置。这些习惯和读写能力一样都是人类的本能，除了一些很少的例外情况，大多数人都出于安全保护的本能做出各种决定。 随着年龄的增大，人的自我保护意识会不断提高，而孩童时代的粗心大意也逐渐消失并被必要的小心谨慎所代替。而在上网时，出于某些原因自我保护本能起到不到任何作用，同时许多成年人变得像孩子一样粗心大意，总是觉得不会出什么问题。我们最近的调查显示有太多的成年人缺乏基本的安全保护意识。在18000名调查对象中，没有一人在测试中得到满分，平均得分仅为50分。 技术的进步常伴随着结构性的变化和剧烈的变革，而人类的意识往往无法及时跟上。有些人仍然相信所谓的网络威胁根本就是虚构出来的，有些人则确信自己能轻松应付，而另一些人则对此视而不见。 这就好比不看两边的车况就贸然闯红灯。在现实的网络中，网络威胁的数量不断增加且愈来愈复杂，因此要想从互联网”全身而退”的可能性越来越低。网络犯罪分子对这一切心知肚明，并利用了人性的弱点：他们算定人们薄弱的互联网安全意识以及常会忽视可疑的互联网行为，因此不断将新的病毒植入到他们的电子设备内。 那普通用户到底该如何应对呢？像我这样的偏执狂可以提供一个简单的答案：你感觉不到危险的存在并不代表没有危险。只要你稍加提高安全意识，就能避免许多严重的问题，比如：丢失儿子小时照片的唯一拷贝、你未完成的小说惨遭外泄或银行账户内巨额资金被盗。 不言而喻，我们应该使用可靠的软件来保护你的所有设备；你应该定期更新反病毒软件并经常扫描自己的文件是否存在病毒。如果有个程序常常占用大量资源，不要因为该程序烦人而不信任和禁用它（有19%的受访者选择了是）。千万不要让网络犯罪分子如此轻易地得逞！ 如果你想测试自己的”网络精通”程度，请点击这里！  

为了保护用户免遭网络犯罪，对于那些已被Facebook团队检测出行为可疑并可能感染恶意软件的账户的拥有人，Facebook建议使用免费的反恶意软件扫描器有助于修复Facebook用户账户的安全程序。卡巴斯基恶意软件扫描器。仅仅在过去3个月里，已成功保护了超过260,000名Facebook用户免于恶意软件侵扰。

Facebook并没有对一些进出其移动照片共享服务- Instagram的网络流量加密。尽管公司表示计划在不久将来对Instagram实现完全加密，但依然没有明确给出完成过渡的具体日期。 这意味着，当你在移动设备上使用Instagram应用时，处在同一网络的攻击者很有可能会监视你正在查看的照片和会话，并确定你的用户名及ID号。 目前，Facebook承认了部分通过HTTP（而非HTTPS）通讯的Instagram存在风险。 Mazin Ahmed是Defensive-Sec公司的一名信息安全专家，他在周六所发表的一篇个人博文中讲到，并非所有Instagram都部署了加密。他通过使用叫做WireShark的数据包嗅听工具，对安卓版Instagram应用进行了测试，最终得出了这一结论。 从本质上说，WireShark有能力在所访问的网络上观察数据包流量，无论你是将它接入你的家庭网络，还在某个地方的公共网络上观察数据移动都一样有效。但如果数据被加密的话，则数据包根本无法被读取。反之，则数据将以可读的纯文本形式呈现给WireShark用户。 在Ahmed的例子中，他注意到Instagram仅对其移动应用上的一部分流量进行了加密。 在对Kaspersky Daily的电子邮件采访中，Ahmed表示他在安卓版本的Instagram应用上测试了这一问题。然而，他认为iOS系统上的Instagram应用也将同样受到攻击，原因是安卓和iOS版本应用依靠的都是同一个服务器，并且似乎也没有全部实施SSL加密。 Ahmed在他的博文中写到，他曾就此问题向Facebook询问。而他本人声称，Facebook也确实承认了Instagram移动加密的不完全性，并作出如下陈述： “Facebook仔细讨论了这一问题，并计划将Instagram站点的所有内容移至HTTPS。但目前还无法给出做出这一改变的具体日期。目前，Facebook承认部分通过HTTP（而非HTTPS）通讯的Instagram存在风险。我们认为这是一个已知的问题并将在不久的将来研究出一个解决方案。 Kaspersky Daily曾就此说法向Facebook求证，但Facebook方面并没有立即回复我们的求证请求。 如果你担心自己的 Instagram流量遭到监视，最好的方法就是避免使用这一服务的移动应用，直至Facebook方面认真处理加密问题，Ahmed如是说。他建议用户只使用网页版的Instagram，原因是这个版本更全面地支持HTTPS。 由于Facebook无法对Instagram移动应用的数据进行完全加密，造成用户面临安全和隐私方面的风险。

无论你承认与否，十多年来，我们孩子的沟通方式已经发生了翻天覆地的变化。他们对打电话和或见面的热情有所下降，但会在社交网络上持续保持联机。到孩子长到11-14岁时，他们会希望注册Facebook或微博帐户，具体取决于当时所处环境的流行趋势，另外在某种程度上还受当地法规的影响。但从很大程度上来说，父母是孩子们网络生活方式的唯一负责人。 禁止使用从不会奏效 有些父母只在”花季16岁”这样的特殊日子或者有其他重要活动时，才允许孩子登录上网。但这样做是徒劳无功的，因为孩子都会去做同龄人在做的事情，不会愿意成为落伍之人。如果铁面无私地严禁孩子上社交网络，结果只能导致孩子偷偷背着你上网，就是这样。但这并不是你希望的。如果打不赢这场仗，不如身先士卒引导孩子。 多屏幕模式 如果把家用PC放在起居室里，认为这样就能监控孩子的上网活动，那你准把手机、平板电脑、学校PC、电视、游戏机，还有可能包括冰箱都忘在脑后了。通过这些设备都能和朋友进行联络。这一事实掩盖了许多危险状况，你和你的孩子应该对此有所了解。 孩子使用的主要屏幕是手机。设置规则时请并此考虑在内。 注意隐私 看着电脑屏幕时，你很难意识到网上有数十亿用户，只要点击几次鼠标就近在咫尺。其中很可能包括各种类型的诈骗犯，各种程度用心不良的人士，甚至还有像恋童癖这样的危险分子。要全方位保护孩子不成为这类欺骗的受害者，必须教会孩子互联网行为规范，这些规范和交通规则一样重要。规则十分简单：不要透露自己的姓名、学校或住址；任何骚扰性对话务必直接告诉家长或监护人；严格监控网上发布的任何内容。照片和视频是最危险的内容：照片中可能会把孩子所在地点拍进去，而且现代智能手机默认情况下发送照片时会附带所在地标签。所以手机交给孩子之前，必须提前禁用这种功能。 主要规则 无论是成年人还是孩子，对上网的一大误区是认为上网只不过是一种游戏。但在网上看不到对方，也没法感知面对面对话时通常会有的反馈信号（手势、身体语言、语调或表情），所以很容易就认为交谈反正不是”真的”，而无意间泄露不该透露的信息。第二大误区是对网上交谈内容的范围和重要性有所误解：许多人（包括认识和不认识的）以及许多机器都会看到交谈内容。所以每位家长都应该向孩子解释一条金科玉律：若不可当面对人言，则切不可在网上轻言。真正理解这条规则的人才能通过自己的设备安全地在社交网络上冲浪。简单地说，就是”写比说更危险”，或者说”一言一行皆在外人眼中”。 若要人不知，不要在互联网上写下当人面难以启齿的话。 坚守公平原则 即便绝对相信孩子已经理解了这些规则，但作为父母，很可能要不时进行检查，了解他们是怎样做的。不要背地里去了解；最好是和孩子达成协议，界定控制权将怎样得到贯彻执行。如果孩子把自己社交媒体配置文件的密码给你，他们是不是就安全了？或者把父母添加为朋友？或者屈服于专用家长控制软件？如果使用得当，家长控制软件是最适合的选择：高品质软件解决方案只在特定情况下才会报警（例如，在消息链中检测到关键字），而不必翻遍整个对话内容。 此外，强烈推荐设置所有可能的管理手段，以此影响孩子的网上行为，包括在家庭作业完成之前，阻止在所有设备上登录上网，或者在严重过失时彻底禁止使用手机。当然，你应该和孩子详细说明适度的”底线”政策，不要限制孩子的上网自由。 警惕恃强欺弱 社交网络上的孩子们会遇到的最大危险之一是被网上的同龄人欺负（最近出现的一个特殊的术语”网络欺凌”就定义了这种概念）。与孩子在学校常遇到的问题不同，网络欺凌有两个显著特点：一是网络骚扰不会在下课后停止，而是会延续到家里；二是如我们前文所总结，因为不会有真人接触，所以这些流氓无赖会忘乎所以，挖空心思变着法地欺负人。欺负的方式花样百出：窃取对方的密码，利用对方的帐户发布不良内容；把对方照片放到网上，破坏对方在同学心目中的形象；把某个人秘密弄得众所皆知等等。这些类型的欺负对于家长来说可能不太当回事，但会让孩子非常沮丧，所以如果搞不清孩子的情绪从哪儿来，或者发现孩子变得陌生、疏远，请务必认真对等，从简单地交谈一直到家长控制，设法了解更多相关情况，阻止这些恶行继续。许多国家都设有特殊机构帮助家长处理这类受欺负的问题，但即便没有这样的机构，也有许多直截了当的方法能够帮助孩子摆脱这类问题：直接去学校找学校辅导员帮助解决问题。可能会有相反的情况，即自己的孩子是实施欺负的一方。对此家长应该立即有所反应，并付诸大量努力：家长需要向孩子解释欺负人是危险的，是非常严重的问题，有可能导致受害者选择自杀，而自己最终被告上法庭。 风雨同舟 在孩子开始探索互联网世界时与孩子保持联系的最好办法是一起做些什么。帮助孩子在Facebook上申请一个帐户，并设置相应的隐私级别。留意阅读业内新闻（通过我们的网站或我们合作方的网站Threatpost），你能告诉孩子Snapchat（阅后即焚）应用所拍照片并不会自行销毁，在网页上发布的SEM广告很可能有助于准确了解孩子在Google上搜索的内容。孩子非常关注自己的个人隐私，所以父母和孩子一条心时，父母的额外收获是成为孩子最好的朋友。

在发现恼人的Heartbleed bug短短数周之后，像你我这样的普通网民可能需要关心一下另一个看似普遍的问题，这个问题无法轻易给出答案。这个问题就是”隐蔽重定向”bug的准确定义，并于近期由新加坡南洋理工大学数学系的王晶博士公布。这些问题是在流行的互联网协议OpenID和OAuth中发现的；前者在您使用来自谷歌、Facebook和LinkedIn的现有登录信息来登录网站时使用，后者是在您授权网站、应用程序或服务使用您的Facebook/G+账号而非真正输入您的密码并登录第三方网站时使用。这两个协议通常结合使用，但事实证明，这可能会导致您的信息泄露。 威胁 我们在Threatpost的朋友针对这一问题给出了更具技术性的解释，并顺带提供一个原始研究链接，但我们会省略不必要的细节，只说明可能发生的攻击场景和后果。首先，用户访问一个恶意钓鱼网站，其中出现典型的”使用Facebook账号”登录的按钮。钓鱼网站可能酷似流行的第三方服务或将自己伪装为一个全新服务。一旦您点击该按钮，则会出现一个逼真的Facebook/G+/LI弹出窗口，提示用户输入自己的登录名和密码信息以授权上述（并且可能有声誉的）服务来访问他们的用户配置文件。最后，使用不当的重定向方式，将使用该配置文件的授权被发送到不正当（钓鱼）网站。 首先，用户访问钓鱼网站，并尝试使用Facebook账户或其他OpenID提供商账户登录。 在当天结束的时候，网络罪犯收到一个适当的授权（OAuth token），利用原始应用程序拥有的任何权限来访问受害人的配置文件——最好的情况下，只是访问基本的用户详细信息；最坏的情况下，可读取联系人、发送消息等内容。 这一bug已被修复？事实并非如此 这个威胁不会很快消失，因为修复必须在提供商端（如Facebook/LinkedIn/谷歌）和客户端（第三方应用程序或服务）同时执行。OAuth协议仍处于测试阶段，各个供应商使用不同的手段措施，并依据抵御上述攻击的能力而各有不同。LinkedIn在修复方面处于更有利的位置，因采取了更为严格的处理措施：即要求第三方开发人员提供适当重定向的”白名单”。到目前为止，每个使用LinkedIn授权的应用程序或安全或依然无法运行。而Facebook面临的情况则有所不同，因为其所拥有大量第三方应用程序，并且这些应用可能使用更早版本的OAuth执行。这就是为什么Facebook的代表告诉王晶，”无法在短期内修复的原因”。 此外，还存在众多似乎易受攻击的其他供应商（查看以下图片），因此如果您使用这些服务登录某些网站，则必须采取行动。 您的行动计划 对于最谨小慎微的用户来说，最可靠的解决方案是在未来数月放弃使用OpenID和这些便利的”使用……登录”按钮。您可能会受益于增强的隐私性，但使用社交网络账户登陆将导致您线上行为被更有效地追踪，并使越来越多的网站可以读取您的个人基本数据。为了避免因登录各种网站而不得不记住几十甚至上百个不同密码，您可能最终会使用有效密码管理器。当今的大多数服务都配有多平台客户端和云同步，以确保您能在自己不同的设备上访问您所有密码。 对于谨慎的用户来说，最好的解决方案莫过于在今后几个月放弃使用Facebook/谷歌账号登录。#OpenID #CovertRedirect 然而，如果你打算继续使用OpenID授权，并不会发生什么直接的危险。你只需要保持高度警惕，避免任何网络钓鱼诈骗，它们的通常手法是首先向您的邮箱发送骚扰邮件，或者在Facebook或其他社交网络上提供吸引眼球的链接。如果您使用Facebook/Google等账号登录到某些服务，应确保您使用手动输入的地址或书签打开此服务的网站，而不是点击您的邮件或者消息中的链接。仔细检查地址栏，避免访问粗制滥造的假网站，且不使用OpenID注册新服务，除非您100％肯定相应服务信誉良好且登录的是正确网站。此外，请在您所有设备上使用安全浏览解决方案，如卡巴斯基安全软件多设备版，以防止浏览器访问危险站点，包括网络钓鱼网站。 这只是一个为谨慎起见而采用的普通防范练习，每位互联网用户应每天进行这样的练习。网络钓鱼的威胁分布广泛而危害巨大，它会导致各类数字财产损失，包括：信用卡卡号和电子邮件登录账号等。OpenID和OAuth中出现的”隐蔽重定向”bug只是让您更有理由进行防范——没有例外。

如今，几乎很少有人会不使用到网络即时通讯。单就WhatsApp来说，全球就有数以亿计的设备上安装了WhatsApp，每天的消息总量达到数百亿条。别忘了除此之外还有Skype、Viber、ICQ以及其他数十种流行度略低的即时通讯工具，包括Facebook、LinkedIn等社交网络中内置的即时通讯功能。然而，正因为即时通讯服务如此受欢迎，所以信息交换的隐私问题自然成为人们的关注焦点。就我们每天通过互联网随时共享的信息量而言，也许说加倍小心隐私问题听起来是很可笑的一件事，但确实在有些情况下，必须完全保证通信的隐私性，杜绝第三方侵犯隐私。那么我们能够在不被任何人窥探的情况下进行网上通信吗？下面我们将具体讨论这个问题。 前言 要着手处理这一问题，我们必须考虑信息链或语音通信会暴露给第三方的方式。暴露方式非常有限：第一，无论哪种性质的信息，包括文本、视频、照片或语音，都会记录在发送方和接收方系统上的本地存储卷中；第二，这些信息通过有线或无线网络传输；第三，由即时通讯服务的服务器处理这些信息（并非强制性的）。对于第一种情况，如果有人能在某种程度上控制对即时通讯历史记录的访问，则在此之后的信息传递过程将完全失控。当然，通过加密可以挽救局面，但并不能绝对保证安全：谁能保证协议肯定没有漏洞呢？尤其是使用通用加密算法的协议。 以Skype为例。不久前，人们还认为Skype是一款非常不错的私人即时通讯工具，是无懈可击的”堡垒”，没有人能攻破，无论是个人黑客还是强大的政府组织都不例外。但自从Skype公司被微软收购而失去独立性后，一切都变了，现在我们无法确保Skype即时通讯百分之百安全。 WhatsApp服务每天处理的消息数达到数百亿条；所以我们几乎没法认为所有消息都是安全的。每个月至少会有一起关于漏洞的新闻（即便只在安卓版中，不包括其他平台），新闻中含有丰富的细节，让我们感到强烈的不安。例如，最近对WhatsApp的一项研究证明，您的设备上存储即时通讯历史记录的加密文件，只需使用一个简单的脚本在几秒内就能被破解。另外要注意的一点是，近期Facebook收购WhatsApp的交易不能说是利于安全即时通讯的：事实上，Facebook创始人马克•扎克伯格斥资数十亿美元购买的是开发团队和技术，而不是用户数据，这是前所未闻的。 公正地说，其他免费即时通讯平台，从Viber到iMessage，都与上述服务一样存在着同样类型的问题。所有这些平台都允许采用相对容易的方法来获取对私人通信的访问。所以，从某种程度上来说，如果此类服务属于大公司的资产，并授权这些公司向政府和执法机构证明拥有这些信息可能还好些。幸运的是，对于某些行为，已经有了应对措施：我们周围有这么多不安全的即时通讯工具，难怪号称更安全的解决方案如雨后春笋般层出不穷。这些解决方案真的能解决重要的隐私问题吗？让我们来具体了解一下。但在此之前，首先必须确定哪种安全级别最适合您。 如今，谈到隐私问题时，日常即时通讯工具已经难以让人信任。当然，确实有一些更安全的替代工具，但这些工具真的能代替Skype和WhatsApp吗？ “安全性剧场”是个非常有意思的词。它的含义不言而喻，表示表面上的安全措施，让人们错以为采取了行动，而不考虑行动的效率。如果要找个类比对象的话，公共交通设施的反恐安全措施可与之相提并论：只对有选择的车站进行可疑物体和人员排查。部署在无数住宅建筑中的室内对讲系统也是”戏剧化安全性”的写照。同样的特征也适用于软件领域，尤其是即时通讯。这不一定意味着一些即时通讯工具彻底没用：对隐私问题和高安全级别不挑剔的用户来说，它们不失为很棒的替代工具。毕竟，负责地铁站反恐检查的安保人员也能够提供一定级别的保护。所以话虽如此，我们必须得承认，用户仍可以使用一度曾出过问题的即时通讯应用，只要用户清楚自己需要保护的内容就行：是防范一个醋意十足的热情交友者读取自己的私人信息，还是防范热衷于拦截发送方到接收方之间流量的人员。是的，我们并未将侵犯隐私者正是对话对象这一事实考虑在内：对于这种情况，没有任何高级软件能够保护你。所以，如果你不信任对话者，就不要和他进行即时通信！下面我们将讨论两种类别中提供的流行方案。 安全错觉 我们将以下类型的即时通讯工具归类在此列表中：达不到预期安全级别的即时通讯工具，或无法保证通信不在传输过程中被拦截（中间人攻击）的即时通讯工具。 Confide 从某种意义上说，这是一种独一无二的即时通讯工具：所有通过Confide传入的消息都会用一个矩形盒将文本隐藏起来，只有手指滑过矩形盒时文本才会显示。此外，该应用不会长期存储信息历史记录，所以即便犯罪分子拿到你的手机，他也没法发现你的通信。用户尝试对消息截屏时，会将用户推送回联系人列表，同时对话方也将获得相应的通知。这些功能被应用开发者极力推崇：用户可以阅读信息但无法保存。但唯一的问题是，用户要记录信息时，没法进行截屏，而必须改用相机来逐字记录通信过程。从这方面来说，该应用可以分类为执行”戏剧化安全性”的程序：最新的即时通信和保护和截屏禁用功能只提供安全错觉。它可能适用于希望执行秘密服务代理程序的用户。 Wickr 此应用在设计上并不是很精美，但野心勃勃，将自己定位成不在设备上留下通信痕迹的解决方案：它会同时擦除（有些情况下无法撤销）设备内存和服务器上的信息历史记录，通过政府级安全算法来保护信息，为接收方提供控制存储时效的方法，并禁用信息复制。此应用类似于上一个应用，也依赖于智能手机功能的技术限制。 Telegram 谈到安全即时通讯工具时，我们怎么能忽略Telegram，大概这是最广为人知的以”安全”为品牌口号的即时通信工具了。为什么我们会把它包含在”戏剧化安全性”即时通信工具列表中呢？因为该应用的开发人员声称的”前所未有的”安全性从未得到过客观方面的证实，而这正是其遭人诟病之处。 许多人告诉我们，该解决方案的创建者曾宣称，若有人能入侵Telegram的MTProto协议，将给予20万美元的奖励。事实下，对于大多数人来说，这种自信本身就会导致人们对该即时通信工具的可靠性产生强烈质疑。但是拦截此即时通信程序的工具最初效率低下，也无法对协议进行压力测试。cryptofails.com创始人在指出这一事实的同时还评论说，MTProto是一种极不安全、也不可靠的算法，”它忽略了近20年来发布的所有意义重大的信息加密研究成果”，他建议开发者应该聘用真正的信息加密专家来审核Telegram。 另一个令人好奇的细节是：无论Telegram是基于哪种复杂协议，对于直接的应用攻击来说都脆弱无比。我们在此讨论的并不是流量拦截，而是与此相比简单得多的情况。即在注册时，用户会通过手机收到一条文本信息，用户必须输入收到的安全代码后才能激活应用。但如果黑客控制了受害者的文本信息，即可以使用他人的代码来激活自己的应用副本，结果他就可以接收发送给受害者的所有信息。假设默认情况下”安全聊天”功能未启用，那么通信隐私会在很大程度上受到影响。 Telegram的优点是速度快：信息几乎能实现即时收发，速度明显快于其他即时通信工具。所以，这是一款高速即时通信工具吗？回答是肯定的。安全吗？只能说是相对安全。 真正安全 此类别包括满足以下条件的应用和服务：具有一定安全级别，与官方宣称的特点相符，基本能够保护通信，阻止第三方对通信进行访问攻击。 Threema 这是一个瑞士项目，在宣布收购WhatsApp后，越来越受到人们的欢迎。开发人员承诺保证通信的安全性：首先，此软件能对传输中的数据进行可靠加密；其次，添加新联系人时，它会通过面对面确认来保护用户隐私。第二个措施是假设对方用户必须亲自见面，并从彼此的手机中扫描QR码，这种方法从安全角度来说是可取的，但在许多情况下实施起来却极为复杂。当然，你可以用老式方法，即通过手动输入用户标识来添加新联系人，但在这种情况下，安全级别会降低。值得注意的是，开发人员并未夸大其辞地证明自己的即时通信工具能够提供”前所未有”的安全级别，也没有作出任何虚假承诺。没错，此外，此应用的价格为2美元，只用付一次钱。 Silent Circle 这是知名信息加密权威开发的极少数项目之一。开发团队中就有PGP加密技术的开发者Phil Zimmerman。与Telegram类似，Silent Circle服务也同样依赖于专用算法SCIMP。这种算法优点在于它能完全擦除已发送信息，完全不留痕迹：不管是发送方还是接收方都无法在自己的设备上恢复通信的任何部分。这种功能可通过手动或自动方式启用：信息发送后经过一段特定的时间，即被自行删除。但此即时通信工具的主要优点在于此软件具有强大的通信流量加密功能，所以即便信息被拦截也没用。另外，此解决方案假设传输的是经过加密的包含文本、视频和音频信息的流量。至于其他方面，很遗憾此即时通信工具仍存在一些弱点。从含糊的注册流程到较高的价格：Silent Circle的年费为100美元。 TextSecure

Facebook收购WhatsApp事件近期登上报纸头条，社交媒体巨头Facebook斥资190亿美元，破纪录大手笔地收购了这家新兴的即时通讯服务商。WhatsApp拥有4.5亿用户－平均每位用户价值大约是42美元！WhatsApp向用户收取的服务费为1美元/年，显然，这笔收入在中短期内是无法涵盖收购成本的。这自然会让人们产生顾虑，WhatsApp是否最终会在应用中插入广告，并附带侵犯隐私的监视工具，包括消息扫描（请想想Gmail的例子）。那么是时候去寻找WhatsApp的替代软件了吗？ 首先，请不要慌。这个问题还远未到要迫切解决的地步。在收购相关的新闻稿中，无论是Facebook的创始人马克•扎克伯格还是WhatsApp的老板库姆都强调说，WhatsApp仍将是一家独立的公司，具有自己独立的政策。库姆一贯以不认同以广告驱动的收入模式而著称，所以我们预计广告和分析不会太快出现。当然，万事都会随时间而变化，这种情况当然也会改变。即便您决定不再搭乘WhatsApp这艘船，你也有足够的时间来寻找完美的替代软件，并说服朋友切换到后者。 不用担心即时通讯的隐私性 不用担心即时通讯的隐私性。老实说，WhatsApp从来就不是真正意义上的保密即时通讯工具；以前甚至发生过几次泄露事件，包括一些可以进行窃听的漏洞。如今，WhatsApp在接收信息时使用合理加。另外服务商声称，用户的消息传递到接收方后就不会再被存储。所以Facebook数据挖掘程序是不能够挖掘到您的历史消息记录的。但是有一些专用工具可用于保密即时通讯，而且Facebook的收购交易与WhatsApp即时消息的隐私性无关。如果担心第三方会读取您的信息，请更多关注NSA或类似机构。 综上所述，大家不需要急着从WhatsApp换到其他移动即时通讯平台。保密数据不会在未加密的情况下通过标准通信通道发送，无论是Facebook、WhatsApp还是电子邮件均不例外。请使用安全专用工具来保护数据不被窥探。接下来要警惕的真正威胁是您会收到新一波的虚假电子邮件和消息，提醒您”确认WhatsApp帐户”、”选择不接受WhatsApp内部的Facebook广告”或类似内容。这些消息肯定含有恶意链接，一旦点击就可能会感染您的设备，或将页面切换至网络钓鱼网站，从而尝试盗取您的个人数据。WhatsApp和Facebook绝不会发送类似的内容，因此切勿落入这类圈套。