COSCUP 2026 匿名网络社区议程轨

匿名网络社区 anoni.net 是台湾的开源社区，近一年持续推广 Tor、Tails、OONI 等自由开源的匿名网络工具。开场介绍社区的缘起与运作方式，以及社区如何以开源协作参与国际项目，例如把 Tor、Tails、OONI 与 Tor University Challenge 的界面翻成正体中文、回报问题、协助在校园架设中继节点。

接着说明记者、公民团体、人权倡议者这类高风险工作，为何特别倚赖源代码公开的开源工具，封闭的黑箱软件无从验证是否遭到窜改。最后介绍社区 2026 年的三个主题：依情境分级的个人隐私指引、校园 Tor Relay 中继节点建立，以及在合法前提下探索匿名支付的开源工具。

COSCUP 官方议程页

挑选工具之前，要先回答三个问题：要保护什么、要防范的对手是谁、愿意付出多少成本。讲者用威胁模型把三个问题组成判断框架，并说明 metadata（连接、时间、联系对象这类没有加密的记录）的风险。就算通话内容没有被监听，对手仍可能从通信记录得知谁在什么时间联系了谁、联系多久。对记者与公民团体来说，这类记录往往足以反推出消息来源与整个行动的关系网。

有了判断框架，遇到新工具、新威胁时就能自行对照。对手有能力检查设备与通信时，工具能否被独立审计就攸关安全，Tor Browser、Tails 采用开放源代码与可重现构建（reproducible build，任何人都能从源代码编出比特相同的程序，验证没有被动过手脚）也是出于这个原因。

COSCUP 官方议程页

讲者整理公民团体、独立记者与注重隐私的个人实际采用的开源隐私工具，分三个场景介绍，每一项都交代用户与适用情境。高风险场景特别倚赖源代码可供公开审计的开源工具，封闭软件无从验证是否遭到窜改，与前一场威胁模型的判断框架相互呼应。介绍以最容易上手的几样工具为主，听众不必记住整份清单，可以先挑一两个开始使用。

公民团体与 NGO 对外用 Signal、Matrix 加密通信，内部协作用 CryptPad、Etherpad。举报与敏感数据的投递用 SecureDrop、OnionShare，网络审查的观测则用 OONI。独立记者的部分有安全收件渠道、用 mat2 与 Metadata Cleaner 清除文件内嵌的作者与 GPS metadata，以及用 Tails、Qubes OS 隔离高风险作业。个人隐私防护则有 Tor Browser 与 Brave 抵御网页追踪、GrapheneOS 与 LineageOS 取回手机的控制权、KeePassXC 与 Bitwarden 管理密码。完整的场景与工具对照见记者保护消息来源与匿名通讯工具比较。

COSCUP 官方议程页

讲者从《我们与恶的距离》谈起，提问看完那部戏之后，我们为何仍对善恶的边界这么有把握。同一件事物换一套规则就被归成两种性质，也就是标题「毒品非毒、洗钱非洗钱」的由来。接着讲者提出核心问题，在全面实名监控与无须许可的匿名服务之间，是否还有第三条路。

技术上，这个提问对应到资格验证，也就是证明一个人符合某项条件，而不必一并披露身份。W3C 的可验证凭证（Verifiable Credentials，VC）等开放标准搭配选择性披露（selective disclosure），持有者可以只出示「已成年」这一项，其余数据验证方看不到。开放标准让验证规则不由单一厂商定义，任何人都能自行实现钱包或验证端。用户手上那一端是否开源、可供审计，决定了用户能否确认它没有多送出数据。讲者也区分了证明资格与证明身份，作为审视各种实名制方案的依据。

OONI 采用同一类思路的匿名凭证（anonymous credentials），让测量数据可信，又不追踪回报者，设计与取舍见 OONI Probe 匿名凭证系统的设计与实现。讲者在 8/09 的 Open Source Policy 议程轨另与黄豆泥 mashbean 合讲年龄验证、数字监控、隐私权，讨论这些以前，不妨先开源吧，分析欧盟以开源方式开发的年龄验证 App。适合关心数字身份、实名制争议与匿名服务治理的听众，不需要密码学背景。

COSCUP 官方议程页

如何在不泄漏任何个人信息的前提下，向服务提供者证明「我是台湾公民」？讲者把零知识证明（zero-knowledge proof，不透露内容就能证明某件事为真的密码学方法）与自然人凭证结合，建立一套保护隐私的身份验证系统。自然人凭证内置 RSA 非对称密钥，可以对任意消息做数字签名。系统以 OpenAC 电路框架设计一套 ZKP proving scheme，解析并验证凭证产生的 RSA 签名，同时在电路层面隐藏所有可识别个人的字段。

整套流程在用户的设备上完成，应用程序请求自然人凭证对特定 challenge 签名后在本地生成零知识证明，最后只把 proof 提交给验证方。验证方能确认对方持有合法的自然人凭证、是台湾公民，却无从得知姓名、身份证号等个人信息。讲者也介绍已发布的 SDK 与范例应用，内容包括 RSA 签名电路设计、on-device proof 生成的性能优化与集成示范，适合对隐私强化技术（PET）、去中心化身份（DID）以及密码学在公民科技上的应用有兴趣的听众。

COSCUP 官方议程页

KYC（金融机构确认客户身份的程序）有一个内在矛盾，主管机关要求严格的身份证明，但服务每多保存一笔身份数据，就多一个永久的外泄破口。传统做法把证件收齐、查核、归档，每个 KYC 服务商因此成为高价值的攻击目标，用户则承担永久的披露风险。讲者介绍 zkKYC 领域已在运作的另一套流程，用一组精选的密码学原语组合成一个系统，能证明用户的宣称（护照有效、已成年、与上个月注册的是同一人），服务器却看不到身份数据。

讲者整理出一套评估隐私保护身份系统的语汇，说明设备绑定密钥、加密的身份保存、政府签署的证件链、生物特征承诺、零知识证明与经过认证的宣称递送如何组合在一起。内容以系统设计与架构图为主，每个密码学原语只做高层次说明，不深入数学，适合工程师与产品人员。讲者也盘点了尚未解决的问题，例如生物特征的撤销、后量子 SNARK，以及不牺牲不可链接性的去重。

COSCUP 官方议程页

区块链上任何人都能查到一个地址的完整交易历史与余额，永久公开的财务记录不符合日常支付、薪资发放或商业往来对隐私的基本需求。讲者从 ECDH 密钥交换出发，拆解隐匿地址（Stealth Address）在 ERC-5564 的推导流程。收款方公开一组 stealth meta-address，每次收款都推导出一个全新的一次性地址，同一人收到上百笔款项，也会落在上百个彼此无关的链上地址。外部观察者无法把这些地址连到同一个身份，只有持有对应 viewing key 的收款人能扫出哪些地址属于自己。

隐匿地址提供不可链接性（unlinkability），但不保证不可追溯性（untraceability），每笔交易的金额与流向在链上依然可见、可以审计。被切断的只有地址与身份之间、同一人不同地址之间的关联，因此在税务、审计这类需要选择性披露的场景，比全匿名方案更实用。最后以 Fluidkey 为例，说明它把 ephemeral key 改为从 viewing key 依 BIP-32 阶层式路径推导，用户能完全独立地重新推导出历史地址、恢复资金，不必依赖任何中心化服务。

COSCUP 官方议程页

很多人以为加密货币是匿名的，实际上只要知道一个钱包地址，就能在公开链上看到对方完整的金流、社会关系与行动轨迹。对倡议组织、跨境协作的公民团体，以及需要保护身份的捐款人与受助者来说，这项风险经常被低估。讲者用白话走过链上隐私金流的设计逻辑，对照近年区块链社区发展出的三套方案。Tornado Cash 是曾遭美国制裁、开发者被起诉的混币器，Privacy Pool 走白名单路线，在同一个架构里协商合规与隐私。Railgun 以黑名单搭配冷却期与集体检测，2025 年挡下 zkLend 黑客约 950 万美元的洗钱，另外也介绍把隐私设为所有钱包默认值的 Kohaku。

讲者最后提出一个比技术更难的问题，隐私从技术问题延伸成治理问题时，由谁来定义好人与坏人？适合关心数字人权与公民安全的工作者、想了解加密货币合规边界的合规与会计人员，以及对「我又没做坏事，为什么要在乎隐私」这句话感到不对劲的人。

COSCUP 官方议程页

工作坊从用户的角度出发，介绍龙卷风现金（Tornado Cash）的设计哲学，以及隐私池（Privacy Pool）在它之上的改进。

现场以道具与实机示范两项工具的操作，并备有模拟网络，听众可以自备电脑实际操作。时间允许时，也谈这些工具的沿革与在现实世界造成的冲击。

COSCUP 官方议程页

在浏览器输入 google.com、按下 Enter 之后，数据包到底经过哪些人的手？讲者用寄明信片比喻，说明从设备到目标网站之间有哪些角色经手（多半是合法的），以及它们能看到、能改动什么。议程以英文进行，但从生活比喻切入、不预设技术背景，英文不熟的听众也能掌握大意。

理解这套机制，就能看懂审查、监控与数据外泄如何发生，也能分辨那些劝人购买「某某 VPN」的广告话术问题在哪里。内容也提到默认情况下网络的隐私有多不足，以及看待掠夺式 VPN 营销时该有的警觉。

COSCUP 官方议程页

OpenWRT 是一套开源的路由器操作系统，讲者跳过基本网络设置，直接示范一般家用路由器不提供、通过 OpenWRT 设置即可达成的便利、安全与隐私功能。

内容包括挑选支持 OpenWRT 硬件的要点、用 VLAN 隔离访客网络与危险设备、通过多 WAN 运用电信商配发的多个 IP、设置策略路由与 site-to-site VPN、阻挡危险 IP 与域名，以及把 VPN 供应商与 Tor 设成特殊的上游网络。

COSCUP 官方议程页

各国政府陆续参考并引入区块链防制洗钱的法案，以防范国际犯罪，共同点在于定位用户本身。台湾的对应法案是虚拟资产服务法，2026 年 4 月 2 日通过。台湾用户的身份在链上如何被定位，因此逐渐成为虚拟资产持有者关注的议题。

讲者盘点目前用于链上身份定位的几种开放标准，说明用户的身份在区块链上如何被认定，以及密码学研究为这个领域带来的正面影响。

COSCUP 官方议程页

学术网络带宽稳定、IP 声誉良好，一直是全球 Tor 网络最重要的支柱之一，在校园部署 Tor 节点却要同时处理技术配置与校内政策。讲者分享在国立台湾师范大学（NTNU）建立学术 Tor 节点的完整历程。

内容从 EFF 发起 Tor University Challenge 的缘起与意义，谈到 Linux 环境下的节点配置与防火墙规则、如何与学校信息部门沟通并运用 EFF 提供的法律指南，以及节点上线后的流量观察。其他学校可以参考这套实践经验，讲者也希望借此邀请更多台湾学术研究机构参与全球隐私基础设施的建设。社区整理的校园架设脉络见 Tor Relay 校园建立研究专题。

COSCUP 官方议程页

现代浏览器提供许多看似不属于网页的 API：WebGL 让网页使用图形加速、WebAudio 让网页运行复杂的音频合成、WebAssembly 让网页直接运行底层指令。与硬件紧密结合的 API 让网页能做的事变多，网页也因此能搜集更多用户数据，更精准地追踪与识别用户。网页要求时，API 就自动启用，不会征询用户同意。

Pellaeon 分享他在浏览器指纹（browser fingerprint）与反追踪方面的研究，说明浏览器可能如何泄漏用户的行踪，以及 Tor Browser、Brave、VPN 等软件各自的反追踪策略、潜在解法与实际使用心得。

COSCUP 官方议程页

台湾的就医数据多年来未经病人同意，就提供产业与学界使用。台湾人权促进会、台湾女人连线、健保监督联盟三个民间团体发动退出权诉讼之后，健保数据库的目的外利用陆续停止贩售光盘，并限制为仅供研究使用。2022 年的宪法诉讼确认政府必须让人民实践停止利用权，也就是不同意将个人信息提供其他目的使用。之后台湾完成修法，民众开始可以行使这项权利，但立法过程增加不少例外，适用范围缩小许多。

讲者说明停止利用权的申请方式与目前的限制，并介绍台湾其他规范不明、对个人信息主体权利保障尚不清楚的大型数据库，同样需要公民社会一起监督。

COSCUP 官方议程页

工作坊与座谈从个人谈到组织，第一部分建立个人隐私风险矩阵，把广告追踪与数据中介、诈骗与盗账号、亲密关系加害者、跨境盘查、针对性监控等威胁来源分级。威胁来源对应到数字身份、移动设备、SaaS 与云端、金流四个暴露面，矩阵的每一格都给出以开源工具与设备内置设置为主的默认配置建议。

第二部分是自我检查的方法学，包括如何检查 App 内嵌的追踪器、如何观察设备实际连接的对象、如何读懂 iOS App Privacy Report。自评的基准则对照 NIST Privacy Framework 与 OWASP MASVS，只做最小范围的检查。

第三部分谈组织层面的多人协作隐私，对象是 NGO、独立媒体与小型公司，内容涵盖共享密码管理、端对端加密协作、组织遭遇法律调取数据的事前准备，以及 Shamir Secret Sharing、门限签名（FROST、TSS）、MPC（多方计算）、Private Set Intersection（隐私集合交集）、OpenMLS 等较高级的工具。门限签名、MPC、PSI 是给有密码学背景的组织管理者的重点，非技术背景的听众略过这串工具名称，也不影响前两部分。

个人、NGO 与小型团队都能从中取得对照自身情境的默认配置与自我检查方法，遇到新工具、新威胁、新法规时可以自行判断，不必仰赖固定的推荐清单。密码学细节则点到为止。

COSCUP 官方议程页