真正有用的个人网络安全指南

威胁模型，就是简短回答三个问题：什么东西最重要，谁可能想得到它，以及对方实际上会怎么下手？对大多数人来说，最要紧的是主邮箱、手机号码、金融账户、身份证件，还有无法替代的照片。常见的对手并不是什么顶尖黑客，而是自动尝试泄露密码的机器人、擅长骗人的窃贼、捡到你笔记本电脑后顺手翻看的人，以及普通的硬件故障。

我的排序很明确：先保护邮箱，因为邮箱能重置其他所有账户；然后是密码管理器和手机账户；再往后才是银行、云存储和社交账户。别花掉整个周六去加固一个菜谱应用，而你的邮箱还在使用重复密码。安全的本质是降低风险，不是参加洁癖比赛，也没有任何清单能带来绝对安全。

使用可靠的密码管理器，让它为每个账户生成不同的随机密码。这个答案很无聊，但确实有效。用网站名加上喜欢的数字设计个人规律，看起来很聪明，可一条密码泄露后，整套规律也就暴露了。密码管理器的主密码，是唯一值得你认真记住的密码。请使用从未在其他地方出现过的、足够长而且独一无二的密码短语。

从邮箱、银行、云存储和购物账户开始。遇到重复密码就改，不必今晚一口气翻修两百个登录账户。把恢复代码存进密码库，再导出一份加密的离线应急副本。只有在那张纸确实能放在私密场所时，才把主密码短语写下来。生物识别只是方便的解锁方式，不会神奇地替你解决账户恢复问题。

This password has appeared in a data breach.

错误做法：在旧密码后加一个 !，然后继续重复使用。
正确做法：生成一个全新的 20 位以上随机密码，
存入密码管理器，再退出其他会话。

如果服务支持通行密钥，就优先使用。通行密钥会和真正的网站绑定，所以仿冒页面不能简单地把它收走再冒用。其次是硬件安全密钥，再其次是身份验证器应用。短信验证码仍然比只用密码更安全，不过诈骗者可能通过运营商欺诈转移手机号码，也可能用话术把短信验证码从你嘴里套出来。

双重身份验证有一个前提：绝不批准意外出现的登录提示，也绝不把验证码念给主动联系你的人。趁还用不到时保存恢复代码，为重要账户准备第二把安全密钥，并在心平气和时实际测试一次恢复流程。会把主人锁在门外的防护，还不算做完。

Invalid code. Please try again.

常见原因：手机时钟没有同步，导致身份验证器的
30 秒有效窗口与服务器不一致。

精致的品牌标志什么也证明不了。钓鱼消息靠制造紧迫感得手，比如工资账户变更、包裹欠费、共享文档、账户即将过期，或者老板突然要你购买礼品卡。不要再凭消息外观判断真假，而要看它要求你做什么。它是不是让你登录、转账、交出验证码、安装软件，或者把对话转移到反常的地方？

如果事情重要，就先离开这条消息。打开你熟悉的官方应用，或者自己输入机构网址。涉及钱款和账户变更时，要通过你原本就信任的第二种渠道核实。密码管理器在这里还有一个安静的优势：面对仿冒域名，它通常不会自动填充。请把这种拒绝当成停手的证据，而不是一个需要绕过的障碍。

From: Microsoft Support <[email protected]>
Subject: Your mailbox will be deleted in 30 minutes
Link shown: https://login.microsoftonline.com
Actual destination: https://microsoft-login.example/account

线索：凭空编造的截止时间、与机构不符的发件域名，
以及和真实服务毫无关系的目标地址。

为操作系统、浏览器、手机、密码管理器和路由器打开自动更新。攻击者经常把已经修复的漏洞做成自动化攻击，专门寻找迟迟没有打补丁的设备。你不需要追逐每一条安全新闻，只需要让更新自动安装，而不是等你哪天突然对它感兴趣。

不再接收安全补丁的设备应该更换。藏在电视后面的老路由器仍然是一台面对恶意流量的计算机。安装大型操作系统更新前，先做一份最新备份，并确认自己能解锁磁盘。及时更新是明智的；没有恢复方案就更新一台无法替代的机器，那是在赌博。

We couldn't complete the updates.
Undoing changes. Don't turn off your computer.

全盘加密会让被盗且处于关机状态的笔记本电脑对小偷没那么有用。在现代系统里，Windows 通常称它为 BitLocker 或设备加密，macOS 称为 FileVault，Linux 和移动设备一般在初始设置时提供加密选项。请亲自确认它确实已启用，因为锁屏密码不一定代表磁盘已经加密。

加密也把一项责任交给了你：恢复密钥必须保存在设备之外。可以放进密码管理器，打印后放在安全地点，或者确认平台账户已经代为保存。不要把唯一的恢复密钥放在这台加密笔记本里的文本文件中。还要设置自动锁屏，并使用真正的登录密码；如果平台不会限制尝试次数，就别只靠方便的四位数密码。

BitLocker recovery
Enter the recovery key for this drive

Recovery key ID: 4A2C1D9E
Reason: Secure Boot policy has unexpectedly changed.

同步文件夹很有用，但它不一定是备份。删除、损坏和勒索软件造成的改动也可能同步出去。可以把“三二一”原则当作方向：保留三份副本，使用两种存储介质，其中一份离线或异地保存。对普通家庭来说，可以是正在使用的电脑、自动运行的外置硬盘备份，以及带历史版本的加密云备份。

真正的测试，不是备份应用显示绿色。每隔几个月随机恢复三个文件，其中要包括一个旧版本，然后亲自打开。若软件不能隔离快照，备份盘不工作时就把它断开。照片值得用最无聊的方式多存几份；等到珍贵回忆丢失时，才发现账户同步的只是缩略图，实在太迟了。

Time Machine couldn't complete the backup to “Archive”.
The backup disk image could not be accessed (error 19).

现代网站使用的加密连接，已经会保护绝大多数网页流量的内容，咖啡馆无线网络也不例外。公共网络更现实的风险，是仿冒接入点、恶意登录门户、暴露在局域网里的服务，以及诱导你忽略证书警告。方便时，用手机热点处理敏感工作。把陌生网络设为公用网络，关闭自动加入，用完后再忘记该网络。

虚拟专用网络只是转移信任，并不会让你隐身。它能向本地网络隐藏访问目标，也适合连接单位内网，但服务商仍可能看到元数据。它阻止不了网络钓鱼、恶意下载、账户接管、浏览器跟踪，也救不了已经失陷的设备。比起购买网红推广的随机“终身”虚拟专用网络，我更希望你先更新软件并认真保护账户。

Your connection is not private
NET::ERR_CERT_DATE_INVALID

收到数据泄露通知，不一定代表有人进入了你的账户。它表示数据已经从某项服务流出，具体怎么应对，要看泄露的是什么。邮箱地址泄露会招来诈骗；密码泄露，就要更改所有重复使用它的地方；支付信息暴露，需要监控或更换银行卡；身份证件暴露，则应该冻结信用，或使用你所在国家提供的同类保护措施。

请在一台你有理由信任的设备上操作。先保护主邮箱，因为入侵者可以用它重置其他所有账户。更改密码、撤销会话、检查转发规则和恢复方式，再逐步处理外围账户。保留通知、可疑消息、日期、交易编号和截图。活动会话还开着时，别把第一个小时浪费在网上争论谁该负责。

冷静处理数据泄露的顺序
1. 邮箱：设置新的唯一密码；撤销会话；检查转发规则。
2. 密码管理器：检查登录项；更换已泄露或重复使用的密码。
3. 钱款：拨打银行卡背面的号码；对异常交易提出争议。
4. 手机运营商：设置账户密码；检查 SIM 卡或 eSIM 是否变更。
5. 重要服务：移除陌生设备和恢复方式。
6. 身份信息：条件允许时冻结信用；保存报告记录。

如果只做六件事，就做这些：用密码管理器生成的唯一密码和可靠的第二重验证保护邮箱；所有账户都使用不同密码；自动安装更新；启用磁盘加密并保存恢复密钥；保留经过恢复测试的备份；收到消息后先离开消息本身，再按它的要求行动。这些措施能避免或减轻很大一部分日常安全事故。

只有当威胁模型确实需要时，才增加复杂度。保护消息来源的记者、拥有生产环境权限的系统管理员，以及试图逃离家庭暴力的人，需要的方案和普通家庭用户完全不同。安全改进本身也可能带来账户锁定、监控和恢复风险，所以请记录自己改过什么。绝对安全并不存在。我们能做的，只是提高胜算、缩小影响范围，并提前练好恢复的方法。

一小时安全重置
[ ] 保护主邮箱；保存新的恢复代码
[ ] 安装密码管理器；优先更换最危险的重复密码
[ ] 为邮箱和金融账户添加通行密钥或身份验证器双重验证
[ ] 打开操作系统、浏览器、应用和路由器的自动更新
[ ] 确认磁盘已加密；单独保存恢复密钥
[ ] 运行一次备份；恢复一个文件来证明它有效
[ ] 禁止自动加入开放无线网络；检查路由器管理员密码
[ ] 记下银行、运营商和单位安全团队的联系电话

目标不是让自己害怕，也不是产生刀枪不入的错觉。目标是提高常见攻击的成本，让故障能够恢复，并在紧迫感替你做决定之前，察觉那些反常的要求。