增强”个人隐私安全“方法分享——不定时持续更新

zmhfdu 发表于 2020-12-28 18:02
码。还没看到文章，先提问：我知道不同账号都用差不多的密码这样不对，但是用不同密码我不可能记得住，我也 ...

至少1password/lastpass这种有网就能access的密码管理器是可以考虑一下的
当然也有人不信任，因为keepass是开源的，可以audit。那这就没啥好办法了，信不信只能看自己了。

锦木千束 发表于 2020-12-28 18:30
至少可以手机安装啊，手机总是随身带的。  最常用的账号像是Google和Apple可以自己记一下，其他的尽量都密 ...

Login with apple隐私我还能相信一点，Login with google就别谈隐私了。君不见乌泱乌泱的第三方网站请求权限竟然还有阅读Email，Google还不像苹果一样可以选择良心的revoke单独的权限

striges1111 发表于 2020-12-29 09:16:21
Login with apple隐私我还能相信一点，Login with google就别谈隐私了。君不见乌泱乌泱的第三方网站请求权限竟然还有阅读Email，Google还不像苹果一样可以选择良心的r

login with google不需要授权的，你说的情况是一些第三方服务关联Google账号的情况，我真正使用的gmail账号是不会同意第三方连接的。   我有个专门的Google账号用来注册其他账号用，偶尔也会授权第三方

密码的话其实复杂程度不是特别重要，差不多就行，关键的是要做到一号一密（防止撞库），并且要与与社工信息解耦（生日，电话等）。要一号一密那密码管理器是必须得用的，用哪种其实随意，SaaS那种一般安全性也是足够的。另外比较重要的网站两步验证也要用起来。当然了，你密码设的再好，也挡不住网站被脱裤，也挡不住S(A+C)/2网站用明文存储信息，所以不要填写太多的真实信息，电话就用虚拟号，邮箱可以用临时邮箱，名字可以瞎编。

当然了，类似于上网不涉密，涉密不上网。保护隐私最好的办法就是不让它接触网络。

firefox enable DOH: https://support.mozilla.org/en-US/kb/firefox-dns-over-https

duckduckgo 隐私搜索： https://duckduckgo.com/

锦木千束 发表于 2020-12-29 11:13:56
login with google不需要授权的，你说的情况是一些第三方服务关联Google账号的情况，我真正使用的gmail账号是不会同意第三方连接的。   我有个专门的Google账号用来注册其他账

怎么会不要授权，不授权怎么能拿到你的email和名字

andante_bravo 发表于 2020-12-30 06:33
怎么会不要授权，不授权怎么能拿到你的email和名字

我那帖子是回复的前一个帖子，只是说signin with google 和 third-party apps with account access是两个概念，准确的说是“signin with google”不会给到"account access"的权限（除非sign-in这个步骤之后app又像你申请了其他权限，一些工具类的app可能会这样，但那些工具类的app没办法支持苹果的账号，比如通讯类/邮件管理类的，我通常不放心用那些工具）

前者是那个你的基本信息，比如邮件地址，头像之类的，没那么敏感， 后者有可能可以读取到一些敏感信息（striges1111@提到的读取邮件就是后者，https://myaccount.google.com/u/1/permissions可以看到授权列表，只是单纯signin with google的话不会被加进那个access列表的)

不过现阶段确实signin with apple在隐私保护上要更好一点，可以隐藏自己的邮箱。

striges1111 发表于 2020-12-30 01:16
Login with apple隐私我还能相信一点，Login with google就别谈隐私了。君不见乌泱乌泱的第三方网站请求 ...

Google还不像苹果一样可以选择良心的revoke单独的权限

对了求问苹果怎么revoke单独的权限， 我apple id绑定了 sonos和 movies anywhere，都只找到disconnect，没看到怎么单独控制某个权限

个人认为隐私和安全是两个维度。楼主给的各种增强安全的建议都非常好，再加两条的话我建议：
1. 在所有能开启 2FA (2-Factor Authentication) 的地方都启用 2FA。其实现在各种主流互联网服务都支持 2FA，比如邮箱 (e.g, Gmail etc) 以及你的密码管理器本身 (e.g, lastpass etc.)。
2. 对于所有的 2FA，请不要使用 SMS 作为验证方式 （很容易被 hack）。推荐使用 Yubikey 硬件来做 2FA。

对于保护个人隐私，其实更多是隐私安全与便利性的权衡。比如，牺牲一定的便利性的话，建议除每个网站使用随机密码以外，用户名也请使用随机字符串（同样使用密码管理器来生成及管理），这样能大大提高在网络上的隐私程度。