匿名网络社群 anoni.net/Docs

文档站新增八个小工具，全部在读者自己的浏览器里执行

anoni.net 社区 — Tue, 25 Aug 2026 00:00:00 +0000

文档站新增八个小工具，全部在读者自己的浏览器里执行¶

我们是一群关心匿名网络与网络自由的志工，从台湾出发，维运文档站，把个人隐私与匿名的做法依日常、敏感工作与高风险三种情境整理成可以照着操作的指引。

站上的文章说明怎么保护自己，小工具区放的是可以直接按的东西。八个工具都在读者的浏览器里完成运算，不送出任何数据，存进设备之后没有网络也能用。

起点是照片的 metadata¶

Metadata 是什么那篇提到，照片里带着拍摄时间、相机型号与 GPS 坐标，而上传照片前先去 EXIF 是任何人现在就能做的低成本防护。

在线的清除工具几乎都需要先把文件传上去，而需要清除 metadata 的人，正是最不该把原始文件交出去的人。密码生成器、QR code 读取器与网址清理器都有同样的矛盾，要用的东西本身就是不该外流的东西。

把运算放回读者自己的浏览器可以解决矛盾，代价是功能受限于浏览器能做到的范围。需要连到外部服务才能运作的功能不会放进来，网络测量请用 OONI Probe，那是专门为测量设计的工具，数据的处理方式也公开。

八个工具看起来各做各的，收进来的判准只有一条：处理的东西本身就不该外流。照片里的坐标、刚生成的主密码、还没确认过的 QR code、可能被标记过的文件、答完就显示你在防谁的清单，交给任何一台服务器都说不过去。威胁模型清单与隐形字符检测离清除 metadata 这个起点比较远，收进来的理由相同。

八个工具共同的四条规则¶

在你的设备上运算：所有工具都在浏览器中完成计算，不送出任何数据
断网可用：存进设备之后没有网络也能用，域名被封锁、连接被切断或身处没有信号的地方都可以打开
源代码公开：程序放在 anoni-net/docs 仓库，具备能力的人可以自行验证
需要 JavaScript：运算在读者的设备上进行，浏览器关掉 JavaScript 时整页不会有反应

想自己确认第一条，最直接的做法是打开浏览器开发者工具的网络面板，用任何一个工具处理一次数据，看有没有请求送出去。整个过程不到一分钟，比读完源代码快得多。

用 Tor Browser 的话有一个冲突¶

Tor Browser 的安全等级调到 Safest 会关掉 JavaScript，八个工具都无法使用。冲突在于，安全等级页的指引写的是在遇到来路不明的钓鱼链接与不熟悉的域名时把等级调高，而收到可疑链接正是最需要用隐形字符检测或 QR code 读取器检查一次的时候。

可疑的网站用高安全等级打开，把要检查的文字或图片复制出来之后切回 Standard，检查完再调回去。工具不连外，在 Standard 等级下打开不会增加你在可疑网站上的暴露。

开始之前，先答三题¶

威胁模型清单把「要保护什么、要防谁、愿意付出多少」三题答成一份可复制的纯文本摘要，并列出建议先读的页面。分级与威胁模型如何建立一文完全一样，资产四类、对手六级、成本三级。

三题各自看都合理，凑在一起未必，清单会把凑不起来的组合标出来。对手选到执法或国家级而成本填最低、要防亲密关系的人却没把设备列进要保护的东西、只防随意路人却打算大改工作流程，都在标记的范围里。

答案只留在该标签页里，不写进 localStorage、不写进 IndexedDB、不写进 cookie，刷新就回到空白。「我要防的是亲密关系的人」写在设备上正好是最不该留的记录，而设备很可能就在对方的接触范围内。要保存一份就按复制摘要，贴到自己选的地方。tools/test_threatmodel.mjs 有一项测试守着不落地这件事，避免日后有人为了体验方便顺手加上存储。

刚加入一个团体、被交代注意安全却不知道从哪开始的时候，最适合打开清单。换工作、换城市、开始参与新议题，或经历一次安全事件之后，回头再答一次。

要交给别人的东西¶

密语与密码生成器¶

密语与密码生成器从 asian-diceware 的 7776 字词表抽密语，或从勾选的字符集抽随机密码。两个模式的随机数都来自 crypto.getRandomValues，取样时将无法整除的部分舍弃重抽，让每个字被抽中的概率完全相同。抽六个字的熵约为 77.5 位，画面会直接显示熵值。

怀疑手边的电脑被人动过的话，切到实体骰子模式。词表的顺序本身就是编码，第一个字是 11111，最后一个是 66666。掷五颗骰子按下画面上的数字即可查出一个字，随机性来自你自己的手，程序只剩查表的工作。按下载完整对照表会得到一份 7776 行的纯文本文件，印出来之后不必再打开工具。

申请密码管理器要设主密码、加密磁盘等长期不换的密码，都适合在此生成。复制之后记得用一段无关的文字覆盖剪贴板，手机上的剪贴板常常跨 App 共用。

QR code 生成器¶

QR code 生成器将很长又容易打错的字符串转成 QR code，让眼前的人用相机读取。活动报名链接、讲义的下载网址、临时的联系方式都适用，56 个字符的 onion 网址与一行含 IP 与指纹的 Tor bridge 也在其中，中间不经过任何服务器，也不留下消息记录。

QR code 里面是明文，任何拍到图的人都能读出内容，包括墙上的摄像头与你身后的人。真正需要保密的内容应该用端对端加密的通信工具传送。要印在纸上时将容错度调到 Q 或 H，纸会折也会脏。

现场要把一个链接交给眼前的人，而网络不方便使用的时候最适合。带工作坊把一行 bridge 交给参加者是典型的例子，念出来两边都不确定刚才是大写 O 还是数字 0，改用 QR code 让对方扫描，一次就对。

收到来路不明的东西时¶

QR code 读取器¶

QR code 读取器在浏览器中解出图片里的内容，图片不离开设备。解出来是网址时会将主机名独立标出，并且刻意不提供打开按钮，确认主机之后再自行贴进浏览器。

Wi-Fi 设置、两步验证绑定、预先写好的邮件与短信、地理坐标、电子名片都能识别，字段会拆开来标记，密码默认遮蔽。扫到 nopass 的 Wi-Fi、含 secret 的 otpauth:、javascript: 开头的内容都会另外提醒，那几种按下去的后果与扫到一个普通网址差很多。

停车缴费机上贴着一张看起来没有异状的 QR code，或刚认识的人递来印着 QR code 的名片，都适合先确认内容再决定要不要照做。

隐形字符检测¶

隐形字符检测找出文字里的零宽字符、方向控制、标签字符与混在拉丁字母里的同形字，标出位置并说明每一类是什么。

机构发文件给二十个人、每一份在不同位置插入不同组合的零宽字符，内容看起来完全一样，外流之后比对即可知道是哪一份。记者取得文件向机构求证时出示原件或复制粘贴其中一段，等于把消息来源交给正在找他的人。完整的场景见记者保护消息来源。

不可见字符的另一个用途是把整段指令藏进看起来正常的文件里。人读不到，模型读得到，把一段来路不明的文字贴给 AI 助手之前扫描一次，成本十秒。

检测结果能证明「有」，不能证明「没有」，零宽字符是最粗糙的一种标记方式，同义词替换、段落空白行数、标点微调、PDF 里的字符间距都不会被检测到，彩色激光打印机还会在每张纸上留下编码序号与时间的黄点阵列。处理真正敏感的文件时，正确的做法是重新打字或转述内容，不要传递原始文件。

社区的立场是教检测、不教植入，同一组零宽字符，机构用来保护内部文件是合理需求，用来找出举报人就是压迫工具，所以工具不提供生成带标记副本的功能，示范文字也固定，无法换成自己的文字。

送出去之前先清一次¶

文件 metadata 清除器¶

文件 metadata 清除器移除 EXIF、XMP、IPTC、制作软件与注释字段，文件不离开设备，清完的是新的一份，原始文件不会被改动。处理范围是 JPEG、PNG、WebP、GIF、MP4、MOV 与 PDF，遇到认不出来的文件，画面上会直接标示，不会安静地交回一份没有处理过的东西。

照片与视频的压缩数据从文件里的固定位置一路照抄到文件尾，一个比特都没有变动，清完的文件解出来与原文件完全相同。重新编码的工具做不到无损，每一次重新压缩都会损失画质，而且会在输出里留下自己的处理痕迹，用 mat2 清过的文件可以辨识出是 mat2 清的。

EXIF 里还有一张没有被裁切过的缩略图。照片裁掉一半再传出去，缩略图可能仍是原本的完整画面。画面上会逐项列出移除与保留的内容，含各自占几个字节，以及文件格式里对应的段落代号。

iPhone 默认拍出来的 HEIC 还无法处理，可以在「设置 → 相机 → 格式」选「最兼容」，之后拍的就是 JPEG。TIFF、RAW、MKV、WebM、AVI 与 Office 文档目前也不在范围内。工具不做人脸模糊，画面里的门牌、路标、制服与窗外景色都在图像本身，分享之前自行检视一次。

网址清理器¶

网址清理器挑出网址里的跟踪参数并移除，每一个都说明是谁在跟踪，同时拆掉 Google 与 Facebook 的跳转包装。

移除的逻辑是白名单，只处理清单里能识别的参数，其余一律保留。反过来做的话，YouTube 的视频 ID 与分页参数会一起被删除，读者会得到一个打不开或指向错误内容的网址，而且不会联想到是清理工具改坏的，只会觉得对方给错了链接。

从 Facebook 点开文章再复制出来的网址带着 fbclid，贴进群组之后，每个点进去的人都会带着同一个 ID 回到 Meta，同一个 ID 将整串点击记录串了起来。邮件通讯的 utm_source 转发出去等于告诉收件人你订了哪份通讯，mc_eid 更直接，属于 Mailchimp 的收件人识别码，对得回电子邮件地址。

短网址刻意不展开，因为展开的动作会把想清理的网址送到第三方服务器上，正好是工具要避免的事。

想知道自己的浏览器透露什么¶

你的浏览器透露了什么列出任何网站在打开页面的那一刻就能取得的信息，没有问过使用者，也不需要同意。每一项下面标出 Tor Browser 会显示什么，例如时区直接写「Tor Browser 会显示：UTC」，换一个浏览器打开同一页就可以对照。

最上面的八位短码是将稳定的值揉在一起算出来的，换设备或换浏览器再打开一次，只要比对短码就知道有没有变。十五项值加起来足以认出一个人，短码把整组值浓缩成一个可以直接比对的识别码。原理见浏览器指纹是什么。

列出的十五项里，在自己设备上真正能够关闭的只有三项，位置权限、语言偏好与 Do Not Track 信号。其余没有开关可以关，因为它们本来就是网页平台提供给网站的能力。单一动作能处理最多项目的是改用有内建防护的浏览器。

工具刻意没有导出按钮，导出的文件本身就是一份完整的指纹，留在设备上比不留更糟。也没有独特性百分比，计算独特性需要一个母体数据库，社区不打算为此开始收集访客数据。想看那种统计可以用 EFF 的 Cover Your Tracks。

视频与 PDF 各有一个限制¶

编码器会把自己的版本写进压缩数据本身，与画面内容混在一起，不属于描述字段，要移除只能重新编码，而重新编码会损失画质，也只是把旧编码器的痕迹换成新的。工具不做重新编码，改成把扫到的字符串列出来，避免使用者误以为已经清干净。

照片与视频可以把描述那一段直接剪掉，PDF 不行。PDF 的每个对象在交叉引用表里记着自己的位置，剪掉一段之后后面全部位移，整张表要重算，而 1.5 版之后常见的做法还会把好几个对象压进同一段压缩数据，从外面连内容都看不到。所以工具是把整份文件重写，无损的保证在 PDF 上不成立。实测页面内容不会重新排版，渲染出来与原文件逐像素相同，但表单、数字签名或特殊交互元素重写之后不一定完全保留，重要的文件先留一份原始文件。

XMP 另有一个陷阱，把文档目录里指向 XMP 的引用删掉、重新保存之后，内容仍然完整留在文件里，只是没有人指向它，用文本搜索工具打开还是找得到作者与地点，所以工具是把对象本身移除，tools/test_stripmeta.mjs 有一项测试专门守着。

整份文档站可以存进设备¶

用一般浏览器打开过文档站之后，目前语言的核心章节（概念、工具、进阶、在地）会在后台保存到设备的缓存里，不需要另外安装任何东西。切换语言时才会下载该语言的章节，所以设备上只会有实际读过的语言。

记者、行动者、LGBTQ、家暴等场景页不在预先下载的范围内，只有自行点开过才会保存。场景页留在设备上本身可能就是敏感信号，所以是否留存交给读者决定。要离线带着走的话，在离线阅读页的清单里自行勾选。

自动保存的章节默认只存文字，离线打开会缺图。页面上有一个选项可以连同核心章节的正文图一起保存，大约多 7 MB。默认关着是因为多数人在移动网络上，而缺图仍然读得懂大部分内容。自行勾选的页面不受该选项影响，一律连正文图一起保存。

文档站也可以安装成离线 App，Android、桌面浏览器与 iOS 的逐步操作写在离线阅读页。Tor Browser 以及 onion、IPFS 版基于隐私考量不注册后台的 Service Worker，需要离线备援时用一般浏览器在 anoni.net 安装，平时的匿名浏览再回到 Tor Browser。

用了谁的程序¶

小工具区大部分的程序是社区自己写的。有四样东西来自别人，原封不动放进来，不做任何修改：

组件	用在	许可证
qrcode-generator 1.4.4	QR code 生成器	MIT
jsQR 1.4.0	QR code 读取器	Apache-2.0
pdf-lib 1.17.1	metadata 清除器的 PDF 部分	MIT
asian-diceware 的 7776 字词表	密语与密码生成器	词表 CC-BY-4.0，程序 MIT

不做修改是刻意的，改过就失去「这是上游那一份」的可审性，读者要验的时候只能相信我们的说法。文件都在 utils/vendor/ 底下，可以自己跟上游的版本比对。共通的理由是组件写错不会崩溃，只会产生看起来正常但实际上错的结果，那比坏掉更难发现。

想一起做的话¶

工具是纯前端，没有构建流程，程序在 anoni-net/docs 的 docs/zh-TW/js/ 底下，一个工具一支 JS。改完要在本机看效果，执行 cd docs && uv sync && mkdocs serve 即可。

八个工具各有一支测试，执行方式是 node tools/test_<名称>.mjs，不需要安装任何包，每一支都在 CI 里执行。测试守的是画面看起来正常、结果却是错的那几种情况：取样有没有偏差、生成的 QR code 扫回来内容对不对、指纹示范页有没有偷偷送出数据、网址清理有没有误删必要参数、威胁模型的答案有没有被写进存储。

目前缺的东西列在各工具页的不支持清单里，HEIC、TIFF、RAW、MKV、WebM、AVI 与 Office 文档都还没有人做。着手之前先开一个 issue 或到 Matrix room 说一声，避免两个人做同一件事。流程见 CONTRIBUTING 与如何参与与认领主题。

接下来¶

社区想往的方向是让文档站成为一份存在读者自己设备上的隐私与匿名指引。域名被封锁、连接被切断、身处没有网络的环境，正是最需要打开文档的时候，能否打开取决于之前有没有先保存下来。

几件现在就可以协助的事：

希望能离线带着走的页面：预先下载的范围目前依核心章节划分，实际需求可能不同
工具在你的情境下缺了什么：某个字段没有被识别、某种文件格式无法打开、说明看不懂都算
视频或 PDF 的实际案例：手上有无法清除 metadata 的文件，或清完之后无法打开的文件，都欢迎回报

回报渠道是 Matrix 公开 room（家服务器 im.anoni.net，链接见社区工具页），或 anoni-net/docs 的 issue。不方便具名的部分可寄到 whisper@anoni.net（GPG 公钥）。

匿名网络社区前往 Global Gathering 2026

anoni.net 社区 — Thu, 20 Aug 2026 00:00:00 +0000

匿名网络社区前往 Global Gathering 2026¶

Team CommUNITY 主办的 Global Gathering 2026 于 9 月 4 日到 6 日在葡萄牙 Estoril 举行，我们申请到一个展位，时段已经排定。

日期时间：9 月 6 日 13:00 到 15:00 WEST（UTC+1，活动期间的葡萄牙当地时间，北京时间减 7 小时）
位置：Regional Perspectives Village 的 6 号展位，大小 3 x 3 米
展位名称：anoni.net Hub: Sinophone Asia-Pacific Networked Freedom

活动信息见 Global Gathering 2026。

Global Gathering 是什么¶

Global Gathering 是 Team CommUNITY 主办的年度聚会，参加者来自世界各地，工作范围涵盖数字权利、网络自由，以及协助民间社会抵御数字攻击。

整场活动没有主舞台的主题演讲，三天的议程由讨论圈（Circles）、依地区或主题聚集的 Meetups，以及开放走动的展位（Booths）组成。村落（Villages）再把这些活动依主题分类，例如规避审查技术、数字安全、区域观点。我们的展位位于区域观点村（Regional Perspectives Village）。

我们参与的原因¶

我们第一次参加 Global Gathering，主要希望认识更多人，包含开发匿名网络与规避审查工具的技术工作者，以及同在亚洲区域的伙伴。

我们是一群关心匿名网络与网络自由的志愿者，目前从台湾出发，长期投入的工作涵盖保护记者的消息来源、让行动者在组织过程中不留下痕迹、让人在不暴露身份的前提下支持敏感议题。三者共同的基础都是一个可用的匿名网络。我们运维 Matrix 家服务器 im.anoni.net 与这个文档站，观测与讨论的记录都留在可以查验的地方。

社区从 2025 年 8 月举办的匿名网络工作坊起算，第一批伙伴在那场活动认识。2026 年的工作分成三个方向，个人隐私指引依日常、敏感工作与高风险三种情境整理可操作的做法，校园 Tor relay 与 EFF 和 Tor Project 合作推动，国立台湾师范大学已有实际运行的案例，第三个方向是这次要带到展位的匿名支付。

同样的题目在亚太地区其他地方也有人处理，彼此还不知道对方存在。华语使用者分散在台湾、香港、中国、日本与东南亚各地，遇到的状况彼此关联，能够互相对照经验的机会很少。

另一个目的是参与区域之间的协作，网络自由的题目很少能靠单一社区完成，能够观测与维护的范围有限，多数需要跨地区协作才能完整处理。先建立联系，后续才有共同投入的可能。

8 月 13 日台湾北部移动网络降速的那 30 分钟，我们用 OONI 公开数据整理成一份数据导览，当天全台 238 笔连接速度测试来自 47 台设备，其中一台的下载中位数由 132,096 kbit/s 降到 1,223 kbit/s，文章里的每个查询都免验证免密钥，读者可自行重新执行一次。记录会一并带往现场，若有人正在处理断网或降速，可以提供对照。

展位上要谈匿名支付¶

议程在 8 月下旬公布，三天的场次涵盖断网应变、规避审查工具、平台问责、AI 治理与记者安全。把 Circles、Villages 与 Booths 逐项看过之后，没有任何一场以资金流隐私为题。捐款者匿名、跨境拨款、制裁与外汇管制对公民社会的影响，这几件事没有出现在任何一个场次的标题或说明里。有几场以筹款策略与资助申请为题，重点在把钱找进来。款项怎么在不暴露收款人的前提下送达，议程上没有着墨。

制裁名单、银行拒绝往来、捐款记录被调阅，是许多组织每天在处理的事，在议程上却找不到对应的讨论。

匿名支付会是展位上的主要话题，我们还在研究阶段，正在收集实际的使用情境，包含谁在什么处境下需要匿名的资金流、现行做法卡在哪一段、法规与合规要求造成哪些限制。

特别想找这几种人聊：

有跨境拨款经验的运营者：特别是收款方在高风险或受制裁地区。
处理过捐款者匿名的组织：知道现行工具在哪里不够用。
被资金流管制挡住的项目：因为银行拒绝往来或外汇限制而无法收受支持。
在研究或倡导层面关注这个题目的人：包含法规面。

展位时段欢迎直接走过来，不用预约也不用准备话题，匿名支付以外的题目一样可以聊。展位的用意是当一个区域的会面点，让在场的人彼此找得到。

另一组来自台湾的团队也在现场¶

Cofacts 也到了 Estoril，展位是 Booth 10，9 月 6 日 13:00 到 15:00 WEST，与我们同一个时段。他们这次展示 Cofacts.ai，一套建立在多年协作查核社群与聊天机器人之上的多代理（multi-agent）AI 框架。

两边关心的事情会在同一个地方交会。公共讨论需要可以查证的信息，也需要一个承载信息却不会让传递者曝光的网络。两个展位开放同一个下午，欢迎两边都来。

议程上与我们相关的讨论¶

匿名与规避审查的部分：

技术工作者聚会（Technologist Meetup，9 月 4 日 13:30 到 14:30）是各地投入数字权利与公共利益技术的人互相认识的场合，排在规避审查技术村，我们想找有维护测量工具或自建服务经验的人。
跨境叙事的设备检查与 metadata（Cross-Borders Storytelling: Device Searches, Metadata, and Collective Preparation）比较各地在过境时遭遇设备检查与 metadata 审视的经验，并讨论数字、法律、实体与心理层面的准备。华语记者往返不同司法管辖区的频率高，别人的准备方式我们用得上。
Signal 能否抵抗钓鱼（Can Signal Become Phishing-Resistant?）处理针对记者与行动者的钓鱼，攻击者滥用 Signal 账号救援与设备连接的正常流程，不需要软件漏洞。账号救援的风险要怎么写进隐私指引，我们想在这场找答案。
VPN 透明度的问责框架（Lights in the Tunnel: Co-Creating an Accountability Framework for VPN Transparency）着手草拟评估 VPN 透明度与问责的方法论，并选定要评估的服务商。社区常被问哪一家 VPN 可信，我们想知道这套方法怎么变成使用者看得懂的建议。
年龄验证与数字身份系统（Age Verification and Digital Identity Systems）分成两场，盘点各国的推行状况与背后的行动者，并讨论民间社会可以推动的减害路径。

观测与区域协作的部分：

审查事件的快速应对（Strengthening Rapid Response Efforts to Censorship Events）讨论各地在审查事件发生时如何协作应对，并介绍 OONI 用于快速应对的工具与方法。我们长期使用 OONI 公开数据，8 月那份降速观测即为同一套方法的实现。
亚洲聚会（Asia Meetup，9 月 4 日 12:00 到 13:00）是亚洲区域工作者的连接场合，我们想在这场认识同区域正在处理相近题目的人。
断网应对计划服务台（Internet Shutdown Contingency Planning Help Desk）以 BRACE 框架协助组织依自身的威胁模型拟定断网时的应对计划。台湾每年有演习情境可以对照，框架能接上哪些部分是我们要理清的。
数字证据的保存（We See, We Archive, We Remember）以香港、中国、伊朗、巴勒斯坦的档案工作为基础，讨论公共利益信息在遭到抹除时如何保存。

会前往交流的展位¶

The Onion Odyssey Cryptographic Universe 由 Tor Project 与 Guardian Project（Orbot、Onion Browser）共同设置，位于规避审查技术村的 22 号展位，三天都开放，我们想了解华语使用者在 Orbot 与 Onion Browser 上遇到的门槛。
Lockdown Systems 带着 OnionShare，通过 Tor 网络匿名分享文件、搭建网站与聊天，另有备份与删除社交媒体记录的 Cyd。消息来源第一次使用时容易卡在哪里，隐私指引正需要这类细节。
Air Messenger 以 MLS 协议为基础，结合端到端加密、低 metadata 与联邦式架构，我们自己运维 Matrix 家服务器，想知道联邦式架构能把 metadata 压到什么程度。
Amnezia VPN 展示 VPN 封锁与 DPI 过滤的研究，以及追踪断网的 Amnezia Pulse，我们想用 8 月那份降速观测与他们的断网判定方法对照。
LEAP 的 MANTA 测量规避通道在受审查环境中的健康程度，我们想了解同一套测量方法是否适用于台湾的连接环境。他们的展位（Booth 21）只在 9 月 4 日 15:30 到 17:30 开放，同一天 15:00 到 16:00 在规避审查技术村另有一场 MANTA 的讨论。
po1ytech 的 polymorphic 是自动镜像系统，让遭到封锁的独立媒体维持可达，我们想问维持这套系统需要多少人力，志愿者社区的规模有限，可持续性是选工具时的前提。

完整议程见 Global Gathering 2026，场次数量远多于此处列出的部分。

将到现场的伙伴¶

我们的展位排在最后一天，前两天没有固定据点，以下几种方式都可以找到我们。

活动专用的 Matrix room 最可靠，地址是 #gg2026:im.anoni.net，在里面留言即可约定时间与地点，不需要交换电话号码，活动期间我们会尽快回复。任何 Matrix 账号都能加入，没有账号的人申请一个 matrix.org 账号，几分钟就好。房间里的时间若没有特别注明，一律指 WEST。im.anoni.net 的账号由人工开通，需要一到两天，现场找人来不及等，不需要为了进这个房间去申请。
9 月 4 日有两场我们会参加的场次，亚洲聚会（12:00 到 13:00 WEST）与技术工作者聚会（13:30 到 14:30 WEST），直接在现场会合即可。
每天 12:00 到 13:00 WEST 的 Networking Hour 我们多半会出现，行程仍有变动，出发前可先在该 room 确认。9 月 4 日的这个小时就是上面那场亚洲聚会，两者是同一个时段。
三天大多数时间我们都在会场，名牌上会写 anoni.net 与昵称，看到请直接打招呼。
9 月 6 日 13:00 到 15:00 WEST 的展位时段最容易找到人，到展位时报上昵称即可。

无法到场的参与方式¶

多数人不会前往葡萄牙，仍然有两件事可以一起做。

欢迎把你遇到的协作缺口写下来寄给我们，我们会带到现场，与其他地区伙伴的记录对照。台湾的观察在国际场合出现的次数不多，具体写出一个情境，比一段抽象的简介更有用。

我们也想听匿名支付的实际经验，若你或你认识的组织处理过跨境的小额支持、捐款收据与身份披露之间的取舍、收款人因为资金流向遭到辨识而承担风险的情况，这些经验是现场最需要的素材。不方便具名的部分，可寄到下方的匿名信箱。活动的三天内我们会在几小时内查看，其余时间是一到两天回复。

活动之外，三个方向都需要更多人参与，个人隐私指引需要有人整理情境与校对，校园 Tor relay 需要有人在自己的学校里询问可行性，匿名支付需要更多实际案例。若你比对过 8 月那份降速观测与原始的 OONI 数据，有想补充或指正的地方也欢迎提出。想认领哪一项，在 Matrix room 提出即可。

欢迎协助传递¶

展位只有一个时段，是否遇到对的人，很大一部分取决于信息传得多远。若你认识可能会到 Estoril 的人，或身边有记者、开源社区的伙伴在处理相关的题目，欢迎把这篇转给他们，转传不需要事先告知我们。转出去之后若有人回应，欢迎在 Matrix room 分享，我们可以在出发前先接上。

活动结束之后¶

展位收集到的内容会整理成一份记录，在后续的电子报与这个文档站发布。我们会了解案例发生的情境，涉及的对象与所在区域不会出现在对外的内容里。协作缺口的清单与匿名支付的案例，两者都会去标识化之后才呈现。

联系方式¶

活动期间联系：Matrix room #gg2026:im.anoni.net，供 Global Gathering 三天使用
即时讨论：Matrix 公开 room（家服务器 im.anoni.net）
匿名线索：whisper@anoni.net（GPG 公钥），活动期间几小时内查看

Brave 用两种相反的手法抹平 GPU 指纹

anoni.net 社区 — Wed, 19 Aug 2026 00:00:00 +0000

Brave 用两种相反的手法抹平 GPU 指纹¶

打开一个网页，网页上的 JavaScript 就能取得你的显卡型号、驱动信息，以及硬件支持哪些功能。答案在同一台电脑上几乎不会变，跟踪公司把它们跟其他设备特征组合起来，就是一组不需要 cookie、不需要你同意、跨网站跟着你走的标识符。

显卡是浏览器指纹的其中一项来源，字体清单、屏幕尺寸、时区、音频运算结果同样算在里面。整套机制怎么运作、为什么清 cookie 没有作用、各家浏览器的默认状态差在哪，见浏览器指纹是什么，为什么很难摆脱。本文只处理显卡这一块。

Brave 从 1.93 版起处理这组信号，桌面版与 Android 版都默认开启，分批推送¹。做法有三项，WebGL 的厂商与渲染器字符串换成所有 Brave 用户一致的通用字符串、WebGPU 的硬件描述字段清空、WebGL 支持的扩展清单注入噪声。

前两项让所有用户看起来一样，第三项让同一个用户在每个网站看起来都不一样。两种方向相反的手法出现在同一次更新里，各自负责不同的 API。分工的界线落在哪里，也是 Brave 与 Tor Browser 在指纹抗性上分歧的起点。

显卡为什么是一组好用的指纹¶

WebGL 与 WebGPU 让网站使用硬件加速绘图，地图、游戏、数据可视化都靠它们。为了让网站能针对硬件调整绘图方式，两组 API 也把底层的硬件细节开放给 JavaScript 查询。

网站能取得的信息有三类¹：

厂商与渲染器字符串：透过 WEBGL_debug_renderer_info 扩展提供的 UNMASKED_VENDOR_WEBGL 与 UNMASKED_RENDERER_WEBGL 两个参数⁴，网站会取得类似 ANGLE (Apple, ANGLE Metal Renderer: Apple M5 Max) 的字符串，精确到芯片型号。调试用的扩展最早是 Chrome 为了 Google Maps 开放，后来变成所有网站都能调用。
支持的扩展清单：同一个 WebGL context 会回报它支持的完整扩展清单，内容随 GPU 与驱动而异，跟踪者把整份清单 hash 成一组精简的标识符。
WebGPU 的硬件描述：较新的 WebGPU API 会返回 adapter 的 vendor、architecture 与 device 字段，例如 {vendor: 'apple', architecture: 'metal-3'}。

显卡不会天天更换，所以这些值长期稳定，比 cookie 更难清除。用户换账号、开无痕窗口、清空浏览记录，API 回报的硬件特征仍是同一组。

Brave 执行了一次小规模的网络爬取，分析每次调用前的调用堆栈（stack trace），观察排行前段的网站怎么使用这些 API，结论是多数网站调用它们的唯一用途就是浏览器指纹识别¹。爬取规模与比例没有写在公告里。

一致化与随机化，各自处理哪一种数据¶

信号	Brave 的处理	手法性质
WebGL 厂商与渲染器字符串	换成单一通用字符串，所有 Brave 用户取得相同的值	一致化
WebGPU 的 adapter 描述	清空 `vendor`、`architecture`、`device`	一致化
WebGL 扩展清单	注入噪声，每个 session、每个站点（eTLD+1）、每个存储区看到的值都不同	随机化

第三项沿用 Brave 既有的 farbling 机制，2020 年的更新里写下的定义是「对半识别性的浏览器功能输出做轻微随机化，让网站难以检测，又不破坏良性、以用户为本的网站」²。

farbling 的种子怎么运作¶

farbling 的行为由种子的产生方式决定，浏览器启动时产生一组随机的 session token，与造访的每个第一方顶层框架域名经 HMAC256 混合，得出每个域名一组、寿命与 session 相同的 token²。同一个网站在同一个 session 内重复测量会取得完全相同的值，换一个网站取得不同的值，下一个 session 再全部换过。第三方 frame 与 script 沿用顶层 eTLD+1 的种子²，嵌入第三方内容不会成为绕道。

指纹器会把大量半识别特征 hash 成单一标识符，只要其中一项被随机化，整组 hash 就被污染。技术源头是 PriVaricator（Nikiforakis 等人，WWW 2015）与 FPRandom（Laperdrix 等人，ESSoS 2017）两项研究²。

为什么不全部一致化¶

扩展清单为什么走随机化，公告里没有写。从 API 的用途推测，改动两种数据对网站功能的冲击差距很大。

厂商与渲染器字符串主要用于性能调校与硬件黑名单。网站取得的字符串不在既有清单里，最坏的结果是走一般绘图路径。把值收敛成一个常数，该字段对指纹的贡献直接归零，代价有限。

扩展清单用于功能协商。网站会依照清单里有没有某个扩展，决定要不要启用某条绘图路径，或改走哪一种后备方案。给一份与硬件实况不符的统一清单，网站可能选到硬件无法支持的路径，也可能放弃本来可用的加速。可行的做法只剩在保留可用性的前提下加入噪声，让 hash 出来的值不稳定。

两种手法的防护目标也不同，一致化降低的是熵（entropy），让某一项特征失去区辨力，理想状态是全世界的 Brave 用户在该字段完全相同。注入噪声破坏的是可链接性（linkability），值仍然带有信息，但每站每次都不一样，跟踪者无法把两个网站上的你接成同一个人。

Tor Browser 把一致化做到底¶

Pierre Laperdrix 2019 年替 Tor Project 写的指纹介绍文章，开宗明义写着「所有 Tor 用户应该有完全相同的指纹」。当时的具体做法包含在所有平台回报同一组操作系统信息、统一时区与屏幕分辨率，以及 letterboxing 在内容周围加上灰边，把可视区域对齐到固定尺寸，避免最大化窗口泄漏屏幕大小³。

Laperdrix 也点出随机化的风险，引用 Eckersley 提出的「可指纹化的隐私增强技术悖论」（Paradox of Fingerprintable Privacy Enhancing Technologies）。举的例子是某个扩展程序改掉一批数值，却漏改 navigator.platform，于是造出一组现实中不存在的特征组合，用户反而更容易被辨认出来³。随机化要做对，覆盖范围必须够完整，Brave 持续扩充 farbling 的端点清单也是同一个原因。

Firefox 系的处理方式又是另一种。privacy.resistFingerprinting 开启时，WEBGL_debug_renderer_info 这个扩展直接停用，网站调用不到⁴。该开关默认关闭，需要用户自行到 about:config 开启，各家浏览器默认做到哪里的完整对照见浏览器指纹是什么，为什么很难摆脱。停用与返回通用值各有代价，停用之后网站取不到值，需要自行处理空值的情况，返回通用值则让网站收到的数据与真实硬件无异，照常运作。Brave 选后者，一贯把功能损坏的风险压到最低。公告里另一项主张是防护要默认开启，不藏在特殊模式或旗标后面¹。

界线在 Brave 的文档里也写得清楚。2020 年说明 farbling 的更新里有一句建议，需要对抗定向攻击的用户应该改用 Tor Browser²。随机化挡得住被广泛部署的商业跟踪，不提供匿名集（anonymity set）。

读者可以怎么选¶

日常浏览的层面，默认开启是这次更新最实际的价值。多数人不会为了隐私去改 about:config、切换特殊模式或安装扩展程序，公告里也写了扩展程序本身带有安全与隐私问题¹。防护在安装完就生效，门槛接近零。

需要匿名的情境仍然要用 Tor Browser。Brave 的随机化只处理跨站串接，IP 地址仍然直接暴露给网站，网络路径上的观察者也看得到你连了哪里。记者、行动者、处理敏感题材的工作者，威胁模型不同，工具选择也跟着不同，可以回头看威胁模型如何建立。

Tor 的可达性因地而异。境内重度封锁，需要网桥或其他接入方式，台湾、香港、澳门、新加坡、马来西亚一般都可以直连，限制转移到你发表了什么与 SIM 实名登记留下的记录，香港另有 2026 年 3 月起在国安调查中要求交出设备密码的义务，连转机旅客都适用。逐地的可达性与法规细节见出差与研讨会的数字准备。相对地，Brave 的指纹防护属于浏览器内建功能，不涉及接入方式，装完就生效。

用 Tor Browser 的人要记得一致化路线靠整体一致性维持。安装扩展程序、最大化窗口、改动字体设置，都会让你从人群里凸出来，细节见 Tor Browser 进阶设置。同一个动作在 Brave 上影响有限，在 Tor Browser 上会直接破坏防护的前提。

想确认自己的浏览器泄漏了什么，EFF 的 Cover Your Tracks 会列出浏览器回报的 WebGL 厂商与渲染器字符串，以及各项特征的识别力。Brave 的更新完整推送到你的设备之后，两个字段会塌成通用值¹。

还没做完的部分¶

WebGPU 支持的扩展清单目前还没纳入随机化，公告里写了之后会补上¹。图形 API 仍是指纹研究的活跃领域，新的泄漏管道会持续出现。

网站功能受损的情况还在观察期。Brave 保留了逐站调整防护的能力，遇到确实无法正常运作的网站，用户可以单站关闭图形防护、关闭指纹防护，或整个关掉 Shields¹。保留这些开关代表取舍仍在，一致化与注入噪声都无法保证所有网站维持原本的行为。

指纹识别不会因为一次浏览器更新而结束。显卡这一项被处理掉之后，字体清单、canvas 绘图结果、音频运算特征仍在原地。能安全收敛成常数的信号就收敛，牵涉功能协商的信号就注入噪声，这条分工线也适用于检视其他标榜指纹抗性的工具。

在田间学的两场数字安全线上课，8/26 这场还能报名

anoni.net 社区 — Wed, 19 Aug 2026 00:00:00 +0000

在田间学的两场数字安全线上课，8/26 这场还能报名¶

活动主视觉由《田间》制作，来源：在田间学活动页面

《田间》在「在田间学」开了「数字安全与隐私保护系列」，两场免费线上课程。8/12 的第一场由我们社区的 Toomore 分享，8/26 的第二场由黄豆泥（Mashbean）接续，现在还可以报名。

《田间》与「在田间学」¶

《田间》是独立研究计划 China Media Project 的华文刊物，关注全球华文媒体的发展与挑战，也鼓励媒体圈之间的交流。China Media Project 2004 年成立于香港大学新闻及传媒研究中心，目前设于美国，在台北设有研究据点。《田间》的关于我们页面上写着「我们坚信新闻自由，致力于推动华文圈的民主和开放社会」。核心团队三个人，主编简恒宇、记者苏晓凡、调查协调专员吕伊萱。团队之外另有一组编辑顾问群，成员包含独立记者乔龙、香港记者协会主席郑嘉如、香港中文大学新闻与传播学院副教授方可成、数字素养实验室（FactLink）创办人陈慧敏、《北漂台湾》作者杜晋轩，以及 READr 总编辑简信昌。

「在田间学」是他们为华文新闻工作者与内容创作者开设的线上学习平台，课程与活动都免费。这个系列的设定写在活动页上：「在资安风险无所不在的今天，个人数字足迹对新闻工作者格外重要，本系列课程将从个人装置盘点出发，到探讨平台中介者如何成为保护资讯流通与支持安全协作的屏障。」

两场的分工很清楚。第一场处理记者自己手上的设备与账号，第二场处理记者所依赖的平台。

第一场，个人隐私与你手上的消息来源（已结束）¶

时间：2026/08/12（三）19:30 - 21:00（+0800）
讲者：Toomore（anoni.net 共同维护者）

内容从个人隐私盘点开始，包含手机定位权限的检视、隐私防护现况的评估，以及记者工作中的安全应变。

《田间》记者苏晓凡把当天的内容整理成一篇笔记，2026/08/18 发布：

【在田间学】数字资安与隐私保护系列课程

（作者：苏晓凡，《田间》，2026/08/18）

笔记分成个人隐私检测、通讯录与日历、账号与密码管理、WiFi 与移动设备、与消息来源、推荐工具六个段落，把当天的操作步骤写得比现场更好读。想回顾或补课的伙伴，直接读那一篇最快。当中有一句话特别适合当成起点：「尽量不要让你的 APP 触碰通讯录。」

当天提到的主题，文档站都有对应的页面可以延伸阅读。

笔记段落	延伸阅读
个人隐私检测	一般人平常该做到什么、社群平台怎么收集你的数据
通讯录、日历	Metadata 是什么，为什么重要
账号与密码管理	密码管理器入门、Asian Diceware
WiFi 与移动设备	出差与研讨会的数字准备、浏览器指纹是什么，为什么很难摆脱
与消息来源	记者保护消息来源、匿名通讯工具比较

密码挑三到六个英文单字随意排列的做法，我们也做了一份带亚洲味的字典，见 Asian Diceware。

第二场，平台中介者如何成为保护独立记者的屏障（8/26）¶

时间：2026/08/26（三）19:30 - 21:00（+0800），欧洲中部时间 13:30 - 15:00，美东时间 07:30 - 09:00
讲者：黄豆泥 / Mashbean（哈佛肯尼迪学院 Allen Lab Fellow、Matters 总经理）
形式：线上（Webex），免费，以中文进行
主题：匿名性、隐私保护、通讯安全与资源传递，并介绍可以立即采用的实务工具

报名在活动页面按「注册参加」，需要先注册「在田间学」的账号。课后《田间》会提供参与者一份数字小册。

活动页面与报名

为什么推荐这一场¶

第一场的重点放在记者自己能控制的部分，设备、账号、浏览器指纹，以及跟消息来源的联系管道。做完之后，剩下的风险有一大半落在平台身上。信息存在谁的服务器上、平台被要求交出数据时会怎么处理、内容被下架或账号被停用时作品还在不在，都是个人设置管不到的范围。第二场把题目设定在平台中介者能为记者做什么，补上我们没有涵盖的另一半。

其他资源¶

从 OONI 公开数据看 8/13 台湾北部移动网络降速的 30 分钟

anoni.net 社区 — Sat, 15 Aug 2026 00:00:00 +0000

从 OONI 公开数据看 8/13 台湾北部移动网络降速的 30 分钟¶

台湾长期没有经历大规模的网络降速或断网。对日常生活来说是好事，对想理解网络异常的人来说，代表手上缺少对照的样本。OONI 是国际上长期在做网络封锁与连接质量观测的开源项目，任何人都能安装它的 App 参与测量，结果全部公开。台湾在里面的记录，一直呈现一个正常运作的网络。

8 月 13 日之前的 30 天，台湾三家移动运营商在 OONI 上留下 564 条成功的连接速度测试（测试项名称 ndt），下载中位数 12,425 kbit/s，低于 2,000 kbit/s 的只有 4 条，其中 2 条还是测量失败。kbit/s 是每秒传输的千比特数，数字越大越快，1,000 kbit/s 约等于 1 Mbps。

8 月 13 日 14:30 到 15:00，台湾北部七个县市的移动网络降速 30 分钟。两天前社区发出号召，请大家在降速时段执行 OONI Probe 的性能测试。当天全台留下 238 条连接速度测试与 235 条视频流测试（测试项名称 dash），其中在移动网络上完成的有 170 条与 168 条，来自 47 台设备。8 月 10 日中部场的同一个时段，全台湾的移动网络性能测量是 0 条。

号召的起点来自社区伙伴 mashbean（黄豆泥）。演习前他提议趁着难得的时间点找大家一起用 OONI 记录，两边于是分头准备，一边整理号召与操作说明，一边在当天实地观测。他把自己的记录写成另一篇文章，追到了演习公告结束之后网络仍然受限的情形，正好补上本文数据看不见的时段。两篇一起读，涵盖的时间才完整。

其中一部中华电信移动的手机，在降速时段测到 788 到 1,709 kbit/s。台湾的公开数据里没有出现过同一量级的数字。需要先说明的是，数字来自单一设备留下的 6 条记录，足以作为一个完整的个案，不足以推论全岛或任何一家运营商的普遍状况。

本文记录的是网络状态。运营商是否确实执行指令、官方公布的数字精不精确，都不在讨论范围。台湾过去没有降速形态的数据，把 30 分钟的观测留下来是主要目的。以下的查询都免验证免密钥，读者可以自行重新执行一次。

整理数据的过程里，最实用的收获与降速本身无关，而是判读方法。降速与封锁在 OONI 数据上是两种完全不同的形态。封锁会让异常率飙升、留下确认封锁的记录，降速则完全不动判定字段，变化只出现在吞吐量与延迟的数值上。当天全台的网络连接测试异常率是 1.0%，与平常的 0.6% 落在同一个区间，确认封锁整天维持在 0，下降的只有速度。拿封锁判定的异常率去描述降速，会得到一个接近平常的数字，然后误以为什么都没发生。

先看当天数据的整体形态¶

把当天全台的连接速度测试按 15 分钟分组，社区动员会直接呈现在数据上。

8 月 13 日各 15 分钟区间的连接速度测试条数，橙色为降速时段

{"description":"OONI ndt measurements per 15 minutes in Taiwan on 2026-08-13","data":{"values":[{"t":"13:00","n":3,"g":"一般时段"},{"t":"13:15","n":4,"g":"一般时段"},{"t":"13:30","n":11,"g":"一般时段"},{"t":"13:45","n":4,"g":"一般时段"},{"t":"14:00","n":9,"g":"一般时段"},{"t":"14:15","n":27,"g":"一般时段"},{"t":"14:30","n":13,"g":"降速时段"},{"t":"14:45","n":50,"g":"降速时段"},{"t":"15:00","n":31,"g":"一般时段"},{"t":"15:15","n":15,"g":"一般时段"},{"t":"15:30","n":2,"g":"一般时段"},{"t":"15:45","n":2,"g":"一般时段"}]},"mark":{"type":"bar","tooltip":true,"cornerRadiusEnd":4},"encoding":{"x":{"field":"t","type":"ordinal","title":"台湾时间（每 15 分钟）","axis":{"labelAngle":-45}},"y":{"field":"n","type":"quantitative","title":"连接速度测试条数"},"color":{"field":"g","type":"nominal","title":null,"scale":{"domain":["一般时段","降速时段"],"range":["#0089bf","#e65100"]},"legend":{"orient":"top"}}}}

号召文请大家设 14:35 的闹钟，行有余力再加 14:15 与 15:10。三个尖峰都出现了，14:45 到 15:00 的 50 条是全天最高点。前 30 天全台平均一天约 34 条连接速度测试，多数来自少数几台设备的自动排程，当天单一个 15 分钟区间就超过平常一整天。

各 15 分钟区间的完整条数

台湾时间	条数
`13:00` 到 `13:15`	3
`13:15` 到 `13:30`	4
`13:30` 到 `13:45`	11
`13:45` 到 `14:00`	4
`14:00` 到 `14:15`	9
`14:15` 到 `14:30`	27
`14:30` 到 `14:45`	13
`14:45` 到 `15:00`	50
`15:00` 到 `15:15`	31
`15:15` 到 `15:30`	15
`15:30` 到 `15:45`	2
`15:45` 到 `16:00`	2

各运营商的参与情况如下。AS 开头的编号是自治网络的全球标识符，运营商、企业、学校都有各自的号码，OONI 只记录到运营商层级，不记录使用者位置。设备数以 OONI 生成的匿名设备标识符（probe_id）去重计算。

运营商	8/13 条数	前 30 天条数	当天设备数
`AS17421` 中华电信移动	`68`	`20`	22
`AS9674` 远传	`51`	`12`	15
`AS24158` 台湾大哥大	`55`	`538`	9

三个数值列都是连接速度测试的数量，前两列的单位是测量条数，最后一列是不重复的设备数。一部手机测三次算 3 条、1 台设备。

中华电信移动与远传原本是台湾 OONI 数据里覆盖最少的两家。一个下午的测量超过了两家过去 30 天的累积。台湾大哥大的前 30 天条数本来就高，来自少数设备的长期自动执行，当天新增的 9 台设备是过去没有的分布。

数据上分不出谁是看到号召才测的。App 里的性能测试是一张内置卡片（编号 00107），全球使用者点下去执行的都是同一张，当天光是台湾以外就有上千条带着同一个编号。号召的效果只能从前后量的对比推估，看不到个别参与者的来源。

放大到一部手机的 30 分钟¶

设备标识符可以把同一部手机的多条测量串起来。当天有一部中华电信移动的 Android 手机在降速前后都执行了测试，两个性能测试项各留下 6 条。

同一部手机的下载与上传吞吐量，灰带为降速时段。纵轴为对数坐标，数据跨两个多数量级。13:33 到 14:36 之间没有测量，线段在此断开

{"description":"Download vs upload throughput of a single mobile device during the 2026-08-13 throttling drill","layer":[{"data":{"values":[{"s":"2026-08-13T14:30:00","e":"2026-08-13T15:00:00"}]},"mark":{"type":"rect","opacity":0.12,"color":"#546e7a"},"encoding":{"x":{"field":"s","type":"temporal"},"x2":{"field":"e"}}},{"data":{"values":[{"t":"2026-08-13T13:32:00","d":"下载","seg":"降速前","v":89510},{"t":"2026-08-13T13:33:00","d":"下载","seg":"降速前","v":174682},{"t":"2026-08-13T14:36:00","d":"下载","seg":"降速中","v":788},{"t":"2026-08-13T14:39:00","d":"下载","seg":"降速中","v":881},{"t":"2026-08-13T14:51:00","d":"下载","seg":"降速中","v":1565},{"t":"2026-08-13T14:52:00","d":"下载","seg":"降速中","v":1709},{"t":"2026-08-13T13:32:00","d":"上传","seg":"降速前","v":21510},{"t":"2026-08-13T13:33:00","d":"上传","seg":"降速前","v":16348},{"t":"2026-08-13T14:36:00","d":"上传","seg":"降速中","v":26300},{"t":"2026-08-13T14:39:00","d":"上传","seg":"降速中","v":31789},{"t":"2026-08-13T14:51:00","d":"上传","seg":"降速中","v":22370},{"t":"2026-08-13T14:52:00","d":"上传","seg":"降速中","v":32695}]},"mark":{"type":"line","strokeWidth":2,"point":{"size":70,"filled":true},"tooltip":true},"encoding":{"x":{"field":"t","type":"temporal","title":"台湾时间","axis":{"format":"%H:%M"},"scale":{"padding":18}},"y":{"field":"v","type":"quantitative","scale":{"type":"log","domain":[500,250000],"nice":false},"title":"吞吐量 kbit/s（对数坐标）"},"color":{"field":"d","type":"nominal","title":null,"scale":{"domain":["下载","上传"],"range":["#0089bf","#e65100"]},"legend":{"orient":"top"}},"detail":{"field":"seg","type":"nominal"}}}]}

下载的两段落差两个数量级，上传的两段几乎在同一个高度上。

前两条在降速开始前约一小时，后四条在降速时段内。下载中位数由 132,096 kbit/s 降到 1,223 kbit/s，两个测试项各自算出的比值是 1/108 与 1/88。放回台湾数据的脉络看，落差更明显：中华电信移动在前 30 天的 18 条测量里，最低值是 42,197 kbit/s，降速中的 788 kbit/s 是该运营商在公开数据上前所未见的量级。

同一批测量还记录了往返延迟与重传率，六条的完整数值如下。

台湾时间	下载	上传	流媒体比特率	最小 RTT	平均 RTT	重传率
`13:32`	`89,510`	`21,510`	`138,513`	`18.39`	`66.78`	`0.000%`
`13:33`	`174,682`	`16,348`	`119,179`	`17.85`	`82.05`	`0.001%`
`14:36`	`788`	`26,300`	`1,308`	`16.85`	`168.40`	`0.522%`
`14:39`	`881`	`31,789`	`1,608`	`19.97`	`137.24`	`0.202%`
`14:51`	`1,565`	`22,370`	`1,624`	`18.72`	`130.05`	`0.000%`
`14:52`	`1,709`	`32,695`	`821`	`18.28`	`114.79`	`0.000%`

前三个数值列的单位是 kbit/s，数字越大越快，其中 1,308 kbit/s 大致相当于标清的流媒体。两个 RTT 列的单位是毫秒（ms），数字越小代表数据包来回一趟越快，最小 RTT 取整段测试中最快的一次，接近线路本身的实际距离，平均 RTT 则把途中排队的时间也算进去。重传率是需要重发的数据包所占比例。

解读吞吐量时要记得一件事，连接速度测试的对端是 M-Lab 的服务器，数值里同时包含最后一公里与到 M-Lab 节点的国际线路，单条结果无法把两段分离。延迟字段正好回应该项疑虑：最小 RTT 全程维持在 17 到 20 ms，与数据包路径未改变的情形一致，也降低了「速度变化来自国际线路」的可能。平均 RTT 从 67 到 82 ms 升到 115 到 168 ms，代表数据包在某处出现队列延迟（queuing delay）。重传率四条里有两条从降速前的近乎 0 升到 0.522% 与 0.202%，相对变化不小，绝对值仍低于 0.6%，较符合延迟发送而非大量丢弃的形态。

三个字段合起来，构成流量整形（shaping）在数据上的特征。若手段是丢弃数据包，重传率会上升得更明显。若成因是信号劣化或换了基站，最小 RTT 通常会跟着变动。以上判读同样建立在单一设备上。

行政院对演练做法的说明是核心网络限流，将移动网络下载速率调降至 256KB²。原始说法没有标明单位，若解读为每秒 256 KB，换算后是 2,048 kbit/s。若解读为 256 kbit/s，量级则完全不同。本文不做数值精确度的比对，列出官方说法是让读者知道公布的量级落在哪里。

没有降速信号的测量撑起了对照¶

47 台设备里，46 台在降速时段测到的是正常速度。降速时段三家移动运营商的下载中位数是 42.2 Mbps，降速前是 53.2 Mbps，恢复后是 58.5 Mbps，三个时段落在同一个量级。

正因为有整批正常数值垫底，单一设备的 788 kbit/s 才能被认定是特殊的。若当天所有人都测到低速，合理的解释会变成全台网络普遍变慢，或当天的一般波动。若只有一部手机在测，低速也可能来自该设备自身的状况，例如信号不良或后台程序占用带宽。同时段有 32 台设备执行同一组测试，其中 31 台正常，单一设备的异常才站得住。

号召文请不在降速范围的人也测一次，用意即在于此。范围外的测量不是白测的，它们决定了范围内的数字能不能被解读。人在台南、在高雄，或当天根本不在台湾，只要在同一个时间点按下执行，数据都落在同一个公开数据库里，都是对照的一部分。

当天全球有数千条同样的性能测试在执行，台湾的差别只在于有明确的事件与时间边界可以对应。缺了对照组，剩下的就只是一个孤立的低速数字，说明不了任何事。

体感怎么对应到字段¶

社区没有做体感问卷，以下从数据回推当时使用手机会遇到的状况。

视频转圈圈¶

视频流测试会记录开始播放前的等待时间。降速前的两条都是 0 秒，降速中的三条分别是 0.12 秒、0.12 秒与 5.29 秒。最后一条等了超过五秒缓冲才开始播放，正是点开视频后盯着圈圈转的等待时间。

发消息、传照片出去反而顺畅¶

降速中的四条上传分别是 26,300、31,789、22,370 与 32,695 kbit/s，与降速前的 21,510、16,348 kbit/s 相比没有下降。上传与下载的倍率达到 33、36、14、19 倍。限流是单向的，只作用在下载方向。单向限流也解释了号召文提醒过的一件事：测量结果的上传在降速期间仍然顺畅，数据能即时发出，不需要等网络恢复后补传。

点下去要等一下才有反应¶

平均 RTT 翻倍，每一次点击到画面更新之间的空档会被拉长。

网页还是打得开，只是慢¶

降速时段全台有 1,893 条网络连接测试（Web Connectivity），异常率 1.0%，降速前与恢复后都是 0.6%。确认封锁的条数在所有时段皆为 0。网站连得到，Tor 与 Psiphon 也连得上，降速时段的 33 条 Tor 测试与 33 条 Psiphon 测试异常数都是 0。

降速的 30 分钟在数据上呈现为速度下降，连接本身没有中断。

降速与断网在数据上是两种形态¶

OONI 的多数测试项在做封锁判定，例如网络连接测试、Telegram、Signal。真正的封锁或断网发生时，异常率会飙升、出现确认封锁的记录，严重时测量直接失败，连报告都发不出来，数据库里留下的是一段空白。降速时连接全部成功，报告照常发出，判定字段一动也不动。

	封锁或断网	降速
连接是否成功	大量失败	全部成功
异常率	明显上升	不动
确认封锁	可能出现	维持 `0`
吞吐量	未必反映	明显下降
该看哪一组测试项	有封锁判定的测试项	性能测试项的数值

判准因此很清楚。想观测降速，要看性能测试项的数值。想观测封锁，要看有判定的测试项。两者用错了，得到的数字都会指向错误的结论。

号召文事前只请大家执行性能测试，原因也在于此。限速期间执行有封锁判定的测试项，手机端大量超时而辅助服务器一切正常，比对出来会被标成封锁的签名，等于在台湾的公开数据里注入一批看起来像审查的记录。当天的结果显示假信号没有出现。

两种形态都可以自行查看。台湾 8 月 13 日的逐小时分布里，确认封锁整天维持在 0，降速的一小时同样为 0。OONI 团队查证过的封锁事件收在 Findings，每则都连着对应的测量数据，可以看到确认封锁的条数在事件期间如何上升。两边查的是同一个数据库、同一组字段，差别只在数值。

结论怎么从公开数据得出¶

第一步，把时间区间内的测量捞出来¶

measurements 端点免验证，接受精确到秒的时间区间。

https://api.ooni.org/api/v1/measurements?probe_cc=TW&test_name=ndt &since=2026-08-13T06:00:00Z&until=2026-08-13T08:00:00Z&limit=200

所有时间一律为 UTC，台湾时间需减 8 小时，降速时段对应 06:30 到 07:00。要取台湾时间的一整天，起讫要往前推 8 小时，写成 2026-08-12T16:00:00Z 到 2026-08-13T16:00:00Z。返回的每一条都带网络编号（probe_asn）与测量编号（measurement_uid）。条数超过 limit 时返回里会有 next_url，要逐页取完才不会漏数据，当天的连接速度测试就有 238 条，一次 limit=200 取不完。

第二步，取原始 JSON 拿数值¶

列表本身不含吞吐量，要再开每一条返回的 measurement_url。连接速度测试的数值在 test_keys.summary，包含下载（download）、上传（upload）、最小往返延迟（min_rtt）、平均往返延迟（avg_rtt）与重传率（retransmit_rate）。视频流测试的数值在 test_keys.simple，包含比特率中位数（median_bitrate）与播放等待时间（min_playout_delay）。

第三步，剔除非移动网络的测量¶

原始 JSON 的网络类型字段（annotations.network_type）会标记移动网络（mobile）、Wi-Fi（wifi）、有线（wired_ethernet）或 VPN（vpn）。当天 238 条连接速度测试里，只有 170 条标记为移动网络。少了筛选，家用光纤与 VPN 的测量会混进来，而两者本来就不在降速范围内。

第四步，用设备标识符串起同一部手机¶

标识符在原始 JSON 的顶层，字段名是 probe_id，与吞吐量所在的 test_keys 是平行的两个位置。值是 OONI 为每台设备生成的匿名哈希，同一部手机的多条测量会带同一个值，把值相同的测量收在一起就是该设备当天的完整记录。当天 238 条连接速度测试里有 18 条没有带标识符，无法归户到任何一台设备，本文的设备数也不计入。

单条测量难以独立判读，因为手机型号、位置、信号强度全都不同。同一部手机的自身前后对照直接得多。本文的关键表格即由此得出。

第五步，排除误判¶

两个当天实际遇到的例子。

一台台湾大哥大的设备在 14:54 测到 3,124 kbit/s，看起来像降速。但它在当天 20:11 又测到 3,126 kbit/s，视频流比特率整天落在 2,072 到 2,909 kbit/s 之间。数字全天稳定，来自该号码本身的速率上限，与演练无关。只看降速时段的数据，很容易把它算进证据里。

降速时段另有 5 条测量完全失败，错误分别是连接超时、DNS 查询失败与连接被拒。失败的成因无法从单条结果判定，可能来自降速，也可能来自一般的连接问题，因此不列入。

第六步，建立对照组¶

8 月 10 日、11 日、12 日的同一个时段，移动网络的性能测量没有任何一条低于 2,000 kbit/s，8 月 12 日的 7 条里最低是 8,399 kbit/s。低于 2,000 kbit/s 的测量只出现在 8 月 13 日的降速时段，当天其他时段都没有。有了对照组，才能把观察到的低速与一般波动分开。

超出本批数据范围的问题¶

位置¶

OONI 记录国家与 ASN，不记录县市，也不记录基站位置。从数据看得出一条测量来自 AS17421，看不出手机当时在台北还是台南。47 台设备里只有 1 台留下明确的降速信号，最可能的解释是其他人不在降速的七个县市内，但公开数据无法验证。

不记录位置是 OONI 的设计选择，理由是保护参与者。在审查严重的国家，测量者的位置信息会直接转为人身风险。该取舍是对的，代价是地理范围明确的事件难以精确对位。想补上位置维度，需要社区自己另外收集，例如一份自愿填写的县市登记表单，且只收到县市层级、不与设备标识符对应，避免补回 OONI 刻意拿掉的追踪能力。

跨运营商的数据覆盖度¶

留下完整前后对照的设备集中在中华电信移动一家。台湾大哥大与远传在降速时段的低值都是测量失败，没有可判读的数值。落差来自参与者分布与数据落点，不代表各运营商的网络状况有差异。要看到不同运营商在同一时段的形态，需要每一家都有设备完成降速前、降速中、恢复后的测量。

恢复所需的时间¶

留下完整降速记录的手机，最后一条测量在 14:52，之后没有再执行，本文的前后对照到此为止。恢复后的 30 分钟有 38 条测量，全部来自没有降速信号的设备，同一台设备跨越降速中与恢复后的比较无从谈起。

公开数据里留着恢复期的线索，是本文的筛选条件把它挡掉的。台湾大哥大的一台设备在 15:08 测到 55 kbit/s，两分钟后的流媒体测试返回 0，两条都落在演习公告的结束时间之后。本文的统计没有纳入，因为两条的网络类型字段都是空的，而为了排除固网与 VPN，本文只计入明确标记为移动网络的测量。筛选挡掉噪声的同时，也挡掉了信号。

补上该时段的是 mashbean 的实地观测。他记录到 15:08 的下载仍然只有 55 kbit/s，流媒体测试从超时转为完成，一直到 17:47 才恢复到可用的水平，并据此主张恢复时间应该纳入韧性演习的成效指标，功能恢复与回到基准要分开判读。设备在谁手上、当时走的是不是移动网络、人在哪个县市，OONI 不记录的维度，只有测量者本人说得出来。

把两份观测的时间点排在一起，当天下午的轮廓才完整。

当天下午的事件时间轴，灰带为公告的降速时段，纵轴依数据来源分列

{"description":"Timeline of drill events and observations on 2026-08-13 afternoon","layer":[{"data":{"values":[{"s":"2026-08-13T14:30:00","e":"2026-08-13T15:00:00"}]},"mark":{"type":"rect","opacity":0.12,"color":"#546e7a"},"encoding":{"x":{"field":"s","type":"temporal"},"x2":{"field":"e"}}},{"data":{"values":[{"t":"2026-08-13T14:30:00","src":"行政院公告","e":"降速开始"},{"t":"2026-08-13T15:00:00","src":"行政院公告","e":"降速结束"},{"t":"2026-08-13T14:36:00","src":"本文数据","e":"788 kbit/s，全天最低"},{"t":"2026-08-13T14:39:00","src":"本文数据","e":"881 kbit/s"},{"t":"2026-08-13T14:52:00","src":"本文数据","e":"1,709 kbit/s，该设备最后一条"},{"t":"2026-08-13T15:08:00","src":"本文数据","e":"另一台设备 55 kbit/s"},{"t":"2026-08-13T15:10:00","src":"本文数据","e":"流媒体测试返回 0"},{"t":"2026-08-13T17:47:00","src":"mashbean 观测","e":"恢复到可用水平"}]},"mark":{"type":"point","size":110,"filled":true,"color":"#0089bf","tooltip":true},"encoding":{"x":{"field":"t","type":"temporal","title":"台湾时间","axis":{"format":"%H:%M"},"scale":{"padding":26}},"y":{"field":"src","type":"nominal","title":null,"sort":["行政院公告","本文数据","mashbean 观测"]},"tooltip":[{"field":"t","type":"temporal","format":"%H:%M","title":"时间"},{"field":"e","type":"nominal","title":"事件"}]}}]}

图上最长的一段是空白。公告写的结束时间是 15:00，最后一条低速记录落在 15:08，实际恢复到堪用是 17:47。三个时间点各自代表不同的意思，中间隔了将近三小时。

时间轴的完整事件列表

台湾时间	发生的事	依据
`14:30`	公告的降速开始时间	行政院公告
`14:36`	单一设备测到 `788` kbit/s，全天最低	本文
`14:39`	同一设备 `881` kbit/s，上传仍有 `31,789`	本文
`14:52`	同一设备最后一条，`1,709` kbit/s	本文
`15:00`	公告的降速结束时间	行政院公告
`15:08`	另一台设备仍测到 `55` kbit/s	本文与 mashbean
`15:10`	同一台设备的流媒体测试返回 `0`	本文与 mashbean
`17:47`	恢复到可用水平	mashbean 的实地观测

单一设备的代表性¶

本文对限流方向与层级的描述，建立在一部手机的 6 条测量上。数字内部互相一致，两个独立测试项也指向同一个结论，作为单一案例的记录是完整的。要谈到分布、平均降幅或置信区间，需要的样本量远不止于此。

另外，47 台设备都是看到号召后自愿参与的社区成员，并非随机抽样。要用来做跨运营商或跨区域的推论，需要先处理选样偏误。

一起来研究 OONI 的公开数据¶

本次观察没有用到特别的工具，全部来自公开 API 与一点数据整理。OONI 的数据有四个入口，用途各不相同。

OONI Explorer：网页界面，适合查单条测量、看某个国家或 ASN 的趋势，无须写程序。
Aggregation API：https://api.ooni.org/api/v1/aggregation，免验证免密钥，可依国家、测试项、ASN 切分做统计。起讫只接受日期，适合看天级以上的趋势。
Measurements API：https://api.ooni.org/api/v1/measurements，接受精确到秒的时间区间，返回逐条记录。本文的主要数据出自此端点。
AWS S3 公开数据集：ooni-data-eu-fra，逐条原始 JSON，适合需要检视测量细节或做大规模分析的研究。取用方式与 CSV 输出格式写在 ASN 观测数据抓取与分析，社区维护的抓取程序也在该页。

不写程序也能参与。装一次 OONI Probe 并执行，每一条测量都会进入公开数据库，成为台湾网络状态的长期记录。前 30 天全台平均一天只有 34 条连接速度测试，多一部手机的日常测量，基准就厚一分。下一次遇到非预期的网络变慢时，能不能分辨是自己的问题还是网络的问题，取决于平常累积了多少。

台湾还有不少题目尚待投入。移动网络的长期基准目前仍然很薄，三家运营商的覆盖差了一到两个数量级，细节见 ASN 自治网络观测数据分析。要判断某个问题该用哪个测试项，OONI 测试项速查表整理了每个测试项测量什么、规格状态，以及台湾是否有数据。

判读数据时最常见的误解，是把异常（anomaly）当成封锁。异常只代表测试未照预期完成，成因包含审查、网络不稳、ISP 暂时故障，以及测试程序本身的问题。以 Tor 测试为例，加拿大、瑞士、新西兰等没有审查的国家，异常率同样落在 16% 到 22% 之间。把异常率直接当成封锁率会产生假指控。

演习依分区实施，北部场是今年的最后一场，相同条件要等到明年。本次留下的数据是台湾目前唯一一份有明确情境对应的降速记录，之后遇到非预期的网络劣化时，总算有可以比对的样本。

想一起整理数据、规划下一次的观测，或是对 OONI 公开数据有任何问题，欢迎到社区的 Matrix Public Space 讨论。

数据与前提¶

查询日为 2026-08-14，测量数据仍会持续补传，之后重查可能得到略高的条数。所有日期以台湾时间为准，换算成 API 接受的 UTC 时再往前推 8 小时。以下的 test_name 等参数为 API 实际接受的值，照列以便重现查询。

当天逐条测量用 measurements 端点，probe_cc=TW、since=2026-08-12T16:00:00Z、until=2026-08-13T16:00:00Z，对应台湾时间 8 月 13 日整天。test_name 分别为 ndt、dash、web_connectivity、tor、psiphon。降速时段等时段统计另以 UTC 06:00 到 07:30 的区间查询。

吞吐量、往返延迟与设备标识取自每条测量的原始 JSON，经由 measurements 返回的 measurement_url 取得，字段位置见上方的观察流程。本文的移动网络测量仅计入网络类型为 mobile 者，排除 Wi-Fi 与 VPN。设备以 probe_id 去重，部分测量没有带值，未带值者不计入设备数。当天三家的条数为该 ASN 的全部测量，与前 30 天基准采同一种计算方式，扣掉 2 条 VPN 与 3 条未标记网络类型后，在移动网络上完成的分别是 67、50 与 52 条。移动网络的 170 条里另有 1 条来自 AS9416，不属于三家全岛性运营商，未列入运营商表格。

前 30 天的移动网络基准（564 条、中位 12,425 kbit/s、低于 2,000 kbit/s 的 4 条、中华电信移动最低 42,197 kbit/s）用 measurements 端点，probe_cc=TW、test_name=ndt、since=2026-07-13T16:00:00Z、until=2026-08-12T16:00:00Z，对应台湾时间 7 月 14 日到 8 月 12 日，probe_asn 分别为 AS24158、AS17421、AS9674，同样逐条取原始 JSON 后剔除非移动网络的测量。

对照日用同样的 measurements 参数，日期换成 2026-08-10、2026-08-11 与 2026-08-12，时间区间为 UTC 05:30 到 07:30。

本文不公开任何个别设备的标识符。该字段虽然出现在 OONI 的公开数据中，写出具体值等于为单一参与者的测量历史建立索引，与测量本身的目的无关。

演习细节以行政院公告与各电信运营商公告为准¹。

数据来源：OONI measurements 与 aggregation API（查询条件见上方，测量数据授权 CC BY-NC-SA 4.0）、ASN 名称取自 RIPEstat。

2026城镇韧性（防空）演习：移动网络降速演练 - 行政院 ↩
行政院补充降速做法 - 中央社 ↩

介绍 Signal 自动密钥验证

anoni.net 社区 — Thu, 13 Aug 2026 00:00:00 +0000

介绍 Signal 自动密钥验证¶

翻译备注：Signal 在 2026 年 8 月 11 日推出「自动密钥验证」（automatic key verification），底层技术是密钥透明度（key transparency）。既有的安全码（safety number）要当面或通过另一条可信渠道核对，自动密钥验证改由 App 自己去比对，省掉约时间见面的步骤。技术在通讯软件上还算新，Signal 这篇是少数把设计动机与运作方式一次说完的公开文件，因此先完整翻译，文末再附上编辑注解，说明它挡得住什么、挡不住什么。

以下内容原文翻译来自以下文章，主词角色为 Signal：

Introducing Automatic Key Verification, Katherine Yen 2026-08-11

文末有编辑注解：译文结束后接着编辑注解，内容是 anoni.net 社群的补充，包含三条给非技术读者的结论、十三则说明、一节发布后的后续补充，最后是常见问题与延伸阅读。想先看社群观点的读者可以直接跳到那一节。

Signal 现在提供一项名为「自动密钥验证」的功能，用来补强既有的安全码机制。Signal 的通讯一律采端到端加密，自动密钥验证多提供一条简便的途径，让你确认端到端加密会话的两端之间没有非预期的第三方介入。

运作方式是由你、你的 Signal 联系人，以及第三方审计方各自执行一组验证，合起来提供与手动核对安全码相同的保证。与安全码相比，各项验证都是独立完成的，无需当面见面，也无需第二条通讯渠道。

整套验证机制确保电话号码或用户名与其公钥之间的对应关系，在 Signal 生态系统的所有参与者眼中都一致而且透明。可以防范的情境是密钥在拥有者不知情的状况下被替换，例如恶意方入侵 Signal，把另一把密钥挂到你联系人的电话号码上。

要实际操作，请进入某位 Signal 联系人的个人数据页，点「查看安全码」，再点「自动密钥验证」标题底下的「自动验证」按钮。功能可用而且验证成功时，按钮会显示绿色对勾与「加密已验证」。随着时间累积，你这一次的验证，加上联系人与第三方审计方持续执行的验证，共同确保该位联系人的密钥在整个 Signal 生态系统中保持一致。

功能背后的概念称为「密钥透明度」（key transparency），后文都会使用这个词，说明我们为什么要建一套密钥透明度系统，并概述运作方式。

公钥与私钥入门¶

非对称密码学让你能传消息给朋友，而且只有朋友读得到。它牵涉到一对数学上相互关联的密钥，称为公钥与私钥，可以用在许多场合，收发消息是其中之一。

想象你有一个上锁的信箱，上面开了投递口。公钥像信箱的地址，可以给任何想寄信给你的人。私钥像信箱的钥匙，只有你持有，用它才读得到寄来的消息。任何人都可以把信投进你的信箱（用你的公钥加密），只有你能打开来读（用你的私钥解密）。信箱地址必须公开，没有人知道要寄到哪里，你就收不到信。

你注册 Signal 时，Signal App 会在注册流程中替你生成一组公钥与私钥¹。私钥留在你的设备上，只有你能访问，Signal 不行，其他人也不行。公钥会送到 Signal，Signal 扮演所有用户公钥的中央目录。你要传消息给另一位 Signal 用户时，会向 Signal 索取对方的公钥，再用 Signal 返回的密钥与你的私钥把消息加密。

中间人 Mallory 攻击¶

传消息要先取得收件人的公钥，取得公钥就需依赖中央目录。理论上，恶意的目录运营者可以发动所谓的「中间人 Mallory」攻击，不过要办到，需要外部人士绕过主要云端供应商的安全防护，或由握有权限的内部人士刻意锁定特定账号。手法极为进阶，发生概率也很低，我们仍然想防住。以下沿用信箱的比喻，说明攻击在假设情况下如何进行。

假设 Bob 想寄一张喝咖啡的邀请给朋友 Alice，于是他到中央目录查她的信箱地址。目录若被对手（Mallory）攻陷，可能把 Bob 导向 Mallory 的信箱。Bob 把信寄到他以为是 Alice 的信箱，信实际上进了 Mallory 的信箱。Mallory 接着用自己的信箱钥匙取出 Bob 的信，读过内容，需要的话改写几句，换一个信封，再转寄到 Alice 的信箱。

Mallory 改写的内容可以是咖啡店的地点或碰面时间，让 Alice 前往错误的地点，或在错误的时间出现。Alice 看不出消息被拦截或篡改过，在她眼中，消息就是 Bob 直接寄来的。同一时间，Bob 会白等一场。就算 Mallory 选择不动 Bob 的内容，光是读得到，就已经构成通讯隐私的严重破口。

约咖啡出错的代价相对低，同样的攻击放到其他情境，造成的伤害会大得多。

攻击能成立，是因为 Bob 从来没有真的验证过 Alice 的地址。他只是相信目录上列的信箱就是她的，而信任目录是个合理的假设。

Bob 若想格外谨慎，可以当面向 Alice 问地址，或通过另一条可信的通讯渠道问²。若 Alice 与 Bob 纯粹是笔友，这条路走不通。

那么，在无法见面、也没有第二条渠道的情况下，Bob 要如何验证 Alice 的地址？

本文接下来会说明我们如何设计出一套系统，让 Bob 无需直接联系 Alice，也能自动验证中央目录里的数据。

用比喻设计一套密钥透明度系统¶

要帮 Bob 确认目录里 Alice 的地址正确，一种做法是把目录的每一次变更都记录下来。有人改动目录里 Alice 的地址，就会留在按时间排序的日志里，因而可以被察觉。以下把信箱的比喻延伸下去，说得具体一点。

假设市立邮局里有一位职员，把每个人的地址变更都记在一本公开账本上。任何人换了新地址或更新既有地址，职员就在不断变厚的账本最后面加一页，把地址变更记在那里。职员用的是永久性的记号笔，写下去之后，没有人能翻回那一页撕掉或改内容。任何人都可以到邮局翻账本查地址，包括查自己的。

使用账本¶

对任何一笔地址，邮局的客户有两种方式跟账本互动：

像 Bob 这样的客户，可以查别人（例如 Alice）的地址。
像 Alice 这样的客户，可以查自己的地址，确认账本记得正确。

Bob 要找到 Alice 目前的地址，需从账本的最后一页开始，一页一页往前翻，翻到出现 Alice 的那一页为止。他从尾端倒着翻，是因为他要的是 Alice 最新的地址，而地址可能随时间变动过。账本页数越加越多，Bob 的工作量就越大，尤其在 Alice 有一阵子没更新地址、中间又夹着大量别人的地址变更需要一页页过滤的时候。

账本让 Alice 能验证自己的地址记得对不对，代价是她需把上次来访之后新增的每一页都看过，确认没有一页把她的地址写错。跟 Bob 一样，页数越多，工作量越重。

若 Alice 与 Bob 住在人口流动频繁的城市，大家常换地址，一页一页翻的工作量会大到不切实际。两人需要一种更有效率的方式来使用账本。

引入索引本¶

现实中的书常附一份按字母排序的索引，让读者快速找到要的内容。同样的想法可以套到账本上，做法是替账本至今收录过地址的所有人名，另外做一本按字母排序的索引本。

账本每加一页反映新地址或地址变更，索引本也要跟着更新，所以职员每往账本加一页，就发行一版新的索引本，内容涵盖截至那一页为止已被账本收录地址的所有人。长久下来，就形成一座对外开放的索引本馆藏。

先假设对账本的任一页，Alice 与 Bob 看到的一定是同一本索引本。下一节会谈到系统里的另一个组件，让两人能验证这项假设。

有了上述结构，Bob 可以改用「二分查找」的策略在账本里查 Alice 的地址，轻松许多，用具体例子最好说明。

假设一段时间内有 100 笔新增或更新的地址，账本因此有 100 页，职员也发行了 100 个不同版本的索引本。为了简化，假设 Alice 的地址只在账本里出现过一次，就是她刚搬来的时候。

Bob 先翻到账本的中间，接着查对应那一页的索引本。索引本按字母排序，找人名很快。若 Alice 的名字在那本索引本里，代表两种可能，它或许就是第一本收录 Alice 的索引本，也或许第一次出现在更早的版本，也就是账本更前面的某一页。

两种可能都让 Bob 可以忽略账本的后半段，改在前半段重复同样的步骤，直到找出 Alice 地址变更所在的那一页为止。更精确地说，Bob 的查找会在找到相邻的两本索引本时结束，前一本没有 Alice 的地址，后一本有。

查找流程有几个好处，第一个是有效率。账本若有十亿页，最坏的情况原本要倒着翻完十亿页，现在 Bob 最多只需要检视 30 页就能找到 Alice 的地址，工作量比先前轻松太多。

Alice 仍然想确认职员没有新增任何把她地址写错的页面，不过她无需检查每一页账本与每一本索引本。她只需要检查 Bob 为了找她地址而查过的那几页，如此就能确保 Bob 查到的 Alice 地址经过 Alice 本人验证。

由此带出查找流程的第二个好处：Alice 与 Bob 面对页数相同的账本时，流程是确定性的。职员若在 Bob 与 Alice 两次查找之间又加了页，情况会复杂一些，主要的概念不变。账本有十亿页时，Alice 可以照着 Bob 的查找流程走一遍，查 Bob 查过的同一批页面，确认里面没有任何一页把她的地址写错。

借由对查找流程取得共识，Alice 与 Bob 建立起一套使用账本的方式，让各自的目标在实际上可行。账本持续变厚，Bob 仍然有有效率的方法找到 Alice 的地址，Alice 也有有效率的方法确保 Bob 找到的地址正确。

为了说明清楚，上面的比喻做了简化。实际上 Alice 可以多次更新地址，要支持这种查找，索引本里要存的数据也不只有人名。我们已经把同样的想法实现到 Signal 的消息服务上，做成开源的密钥透明度服务器。

职员本身呢¶

到目前为止，查找流程的描述都假设 Alice 与 Bob 亲自翻账本、查索引本。实际上并不可行，账本与索引本的体积远超过两人能直接处理的范围。实际做法是 Alice 与 Bob 请职员代为查找，再汇报结果。

但邮局可能已经被 Mallory 这类对手攻陷，由她假扮职员，最终目的是让 Bob 误以为 Alice 的地址实际上是 Mallory 家。所以 Alice 与 Bob 无法单纯信任职员，必须有办法自己独立验证查找流程。

做法是请职员把查找过程中查过的那些账本页面与索引本数据全部交回来，两人自己再核对一次。

核对要有意义，前提是职员交回来的数据可信，于是浮现一个明显的问题：假扮职员的 Mallory 若对记录内容说谎怎么办？举例来说，Mallory 可以私下另外维护一本账本，里面把 Alice 的地址记错，或者对账本的同一页发行两个不同版本的索引本。Mallory 可以把其中一套数据给 Alice，另一套给 Bob，让两人各自验证手上的数据，却察觉不到 Mallory 的把戏。

Alice 与 Bob 需要一位独立的见证者，让职员不敢造假。

第三方审计方¶

要阻止 Mallory 给 Alice 与 Bob 不同的数据，两人需仰赖第三方审计方。审计方的角色像公证人，在职员一页一页往账本加、一版一版发行对应索引本的时候，就站在旁边盯着看。

审计方会检查每一版索引本是否与前一版包含完全相同的数据，只差在多出的那一笔，以及职员没有移除或偷偷改动账本里先前的任何一页⁴。条件都成立时，审计方就替该页账本与该版索引本签名³，表示记录新增正确。

审计方对每一页与每一本索引本只会签名一次，所以职员若想把第 50 版索引本的不同版本分别展示给 Alice 与 Bob，只有其中一个版本拿得出有效的审计方签名。通过检查与验证审计方签名，Alice 与 Bob 可以确信职员只维护一本账本与一套对应的索引本，两人看到的是同一批记录。

在 Signal 的密钥透明度实现中，由 Cloudflare 与 Trail of Bits 担任受信任的第三方审计方。

监测¶

第三方审计方确保职员给 Alice 与 Bob 的是同一批数据，却无法验证记录内容本身正确。举例来说，Mallory 可以试着往账本加一页，列上一笔伪造的 Alice 地址变更。从审计方的角度看，只要 Mallory 正确地新增账本页面、也发行了新版索引本，就算一次合法的变更。可是 Bob 到账本查 Alice 地址的时候，会找到那笔假记录，并且相信它是 Alice 的真实地址。

监测的作用就在补上这一块，回想客户跟账本互动有两种方式，查别人的地址，以及查自己的地址。监测要求 Alice 与 Bob 定期做这两件事，各自能检测到一种不同的篡改。

Alice 监测自己在账本里的数据，做法是定期查阅并验证自己最新的地址记录。若查到预期外的地址，她应该通过另一条可信渠道通知 Bob，说他收到的地址不可信。

Bob 也必须定期查 Alice 最新的地址，确认与先前收到的一致。之所以重要，是因为 Mallory 塞进一笔假的地址变更之后，可能再补一笔把 Alice 的正确地址还原，借此掩盖痕迹。

从 Bob 的角度，查到 Alice 换了地址跟一次合法的搬家看起来一模一样，而合法搬家是常见得多的解释。即使如此，他仍然应该通过第二条渠道向 Alice 确认她真的搬家了。若没有，先前那个地址就应当成不可信。

Alice 按固定节奏做自我检查，Bob 依自己的步调查账本，两人都无法保证在 Mallory 介入的当下就抓到。但两种监测加上第三方审计，构成一套完整的检测机制：审计保证 Alice 与 Bob 看到的是同一份数据，监测保证两人都定期检查数据的正确性。合起来，Mallory 的篡改终究会被发现。

回到 Signal 本身¶

那么，以上种种跟 Signal 的密钥透明度如何对应？

在 Signal 里，你可以选择让别人用电话号码找到你，也可以建立用户名，让别人用名称找到你。决定开放电话号码或用户名之后，别人就能在 Signal 输入你的号码或名称，发起消息邀请。Signal 保有一份中央目录，最终把这些公开标识符对应到用户的公钥，就像信箱比喻里的「姓名」与「地址」。

Signal 用户注册、变更电话号码或用户名、重新建立账号时，Signal 会把变更记在一棵日志树（也就是「账本」）里，并用前缀树（也就是「索引本」）协助在日志树中查找。Cloudflare 与 Trail of Bits 各自担任两种树的独立审计方，两种树合起来构成密钥透明度日志。

日志里所有的用户数据都经过密码学处理而无法辨识，公开标识符会先通过可验证随机函数，标识符对应到的值则由带密钥的哈希函数保护，因此审计方从来看不到任何明文的用户数据。

你的 Signal App 会自动、定期检查日志里属于你自己的公开标识符，要验证联系人的标识符则必须从「查看安全码」画面发起。所有向日志查询标识符的请求都不带身份验证，因此不会跟特定用户账号绑在一起。

本文不深入实现细节，有兴趣的读者可以到我们的开源仓库查看。实现依据的是 IETF 密钥透明度协议的早期草案，并针对 Signal 的使用情境做了调整。

密钥透明度目前的实际样貌¶

密钥透明度显示，Signal 生态系统里所有设备对「标识符与其公钥的对应关系」抱持同一份视角。它不验证掌控某个电话号码或用户名的人究竟是谁。具体来说，Alice 与 Bob 可以通过密钥透明度检查，确保各自持有某个账号正确的公钥，若 Mallory 已经完全接管 Alice 的账号，要察觉仍需仰赖额外的验证，例如在安全码变动后主动追问。

目前你的 Signal App 会自动验证日志里属于你自己的电话号码与用户名数据。要替别人做同样的验证，你必须有对方的电话号码。也就是说，你若是通过用户名在 Signal 上与某人建立联系，彼此没有交换电话号码，也无从得知对方的号码，就无法验证对方。

符合以下任一条件，你手上大概就有 Signal 联系人的电话号码：

你当初是用「以电话号码寻找」的选项，在 Signal 上开启与对方的对话。
你的手机通讯录里存有对方的联系信息（而且对方在 Signal 选择开放以电话号码被找到）。
对方选择了让所有人都能看到自己电话号码的设置（默认是没有人看得到）。

请记得，只有在对方存在你的手机通讯录里，或对方把电话号码的可见度设成所有人时，Signal 才会在 App 内显示对方的电话号码。

另一种情况是你手上的电话号码过期了，因为 Signal 上的联系人换了号码。换号码对联系人的公钥与底层的加密消息会话没有任何安全影响，却会让你无法对该位联系人使用自动密钥验证，原因是你手机里留着对方的旧号码，与账本中最新的电话号码记录对不上。情况类似监测那一节提到的，Bob 查到的 Alice 地址与先前收到的不同。极可能是一次合法的变更，你的设备却分辨不出它与服务器干扰的差别，所以你应该通过另一条可信渠道向联系人确认。

基于隐私优先的默认，上述情况我们一律让自动密钥验证无法使用，并建议用户改用既有的安全码机制，通过扫描 QR code 或比对一长串验证号码，手动确认自己与特定联系人持有同一组密钥。用户若倾向不依赖任何第三方，包含 Signal 与审计方在内，可以依序打开设置的「隐私」、「高级」、「自动密钥验证」关闭功能，继续使用手动的安全码验证。

结语¶

密钥透明度提供一种容易上手的方式，让用户确认消息安全中重要的一环，补足既有的安全码机制。

这项工作集合了 Signal 内部与外部的大量协作，我们特别感谢 Cloudflare 与 Trail of Bits 担任独立审计方。感谢他们，也感谢生态系统里许多让工作得以成真的人。

编辑注解¶

以下为 anoni.net 社群补充，非 Signal 原文内容

原文的比喻写得完整，技术脉络与取舍留在文外。以下先给三条结论，接着十三则补充，再一节发布后的后续补充，最后是常见问题与延伸阅读。

只想知道结论的话¶

以下三条不需要理解背后的机制，转述给没有技术背景的人也不会失真：

绿色对勾代表号码对应到的密钥在整个 Signal 生态系统里一致，代表不了对方是本人。
收到「安全码已变更」的通知就停下来，换一条渠道确认过再继续谈敏感的事。
每隔一段时间打开设置里的「已关联设备」，看清单上有没有你不认得的项目。

日常使用看完上面三条，再看接下来四则就够。需要保护消息来源、在组织里管对外账号、经常跨境或设备可能离开视线、加害者可能就在身边的读者，往后几则是为你们写的。最后三则谈密钥透明度怎么设计出来，不影响操作。发布之后另外补了一节，谈审计链的形状、对勾会被读成什么、匿名查询的双向性，以及可验证性到哪里为止。

绿色对勾保证什么，不保证什么¶

原文在「密钥透明度目前的实际样貌」一节已经划出界线，换个说法再说明一次会更清楚。自动密钥验证只确认一件事，同一个标识符在整个生态系统里对应到同一把密钥。握着那个电话号码或用户名的人究竟是谁，功能本身管不到。

常见的几个问题逐项对照。

你想确认的事	自动密钥验证	该看哪里
服务器有没有偷换某个号码对应的密钥	可以	绿色对勾
对方是不是本人	不行	安全码变动通知，另一条渠道追问
有没有陌生设备挂在你的账号上	不行	设置里的「已关联设备」
群组成员的密钥有没有被换过	不行	对每个人各做一次一对一验证
手机本身有没有被动过手脚	不行	属于设备安全，不在功能范围
号码的控制权在谁手上	不行	注册锁定 PIN，必要时拨 `113`

账号被接管的情境下，界线会变得很尖锐。攻击者若拦截到短信验证码、完成 SIM 卡调包，或取得对方已解锁的手机，可以用同一个电话号码重新注册 Signal。重新注册会生成新的身份密钥，而新密钥由服务器循正常流程写进日志，算一次合法变更，审计方不会有意见，日志前后也一致。此时你对那位联系人执行自动验证，画面仍会显示绿色对勾与「加密已验证」，只是验证通过的对象已经换人。

对方的身份密钥改变时，Signal 会在对话中以安全码变动通知标示出来，真正的警讯留在那一条。自动密钥验证不取代安全码变动通知，两件事回答不同的问题。

只作用在一对一，群组没有自动验证的入口¶

原文的操作说明是进入某位联系人的个人数据页，Signal 设置里的说明写得更直接：「如果启用此功能，Signal 会尝试自动验证一对一聊天加密。」群组聊天没有对应的入口。

限制来自密钥透明度的设计，日志记录一个标识符对应到哪一把密钥，而群组不是一个标识符，它是一群各自持有密钥的人。要确认一个二十人群组里每个人的密钥都没被换过，等于对二十个人各做一次一对一验证，每一次都需要你握有对方的电话号码。

把 Signal 群组当成协作骨干的社群，务实的做法是分层。核心决策的少数几人值得逐一验证，人数多、流动快的执行层改用社会性的确认，由信任的人亲自介绍、当面拉进群组。站上的社运行动者的数字准备有更完整的分层设计。

查证来源（2026-08）：values-zh-rCN/strings.xml - Signal-Android，字符串 preferences_automatic_key_verification_body。

关联设备是它看不到的地方¶

Signal 的关联设备（linked device），也就是桌面版与 iPad 版，与手机共用同一把身份密钥。攻击者若诱使你扫过一次恶意的关联 QR code，他的设备会挂进你的账号、同步收到后续消息，而你的身份密钥完全没有改变。安全码不变，日志里不会多出任何一页，密钥透明度从头到尾看不到，绿色对勾会一直亮着。

2025 年 2 月 Google Threat Intelligence Group 记录了实际的攻击。针对乌克兰军方人员、政治人物与记者的攻击者，把设备关联用的 QR code 伪装成 Signal 群组邀请页面，或乌克兰军方使用的应用程序页面，诱导目标把攻击者的设备连上自己的 Signal 账号。报告的说法是，攻击成功之后消息会即时同步给受害者与攻击者双方，形成持续窃听的通道，过程中不需要完整攻陷设备。

对应的操作是定期打开设置里的「已关联设备」，确认清单上每一项你都认得。密钥透明度不会替你看已关联设备。至于要不要解除不认得的关联、什么时候解除，在加害者可能就在身边的情况下需要先想过后果，后面「对方就在你身边时」那一则会谈到。

查证来源（2026-08）：Provisioning.proto - Signal-Android，ProvisionMessage 带有 aciIdentityKeyPrivate，关联新设备时主设备会交出账号的身份私钥。
查证来源（2026-08）：Signals of Trouble: Multiple Russia-Aligned Threat Actors Actively Targeting Signal Messenger - Google Threat Intelligence Group，2025-02-20。

在台湾与周边的脉络¶

台湾的手机号码采实名制，号码与身份证件绑在一起，补办 SIM 卡并同时取得短信验证码的攻击路径比想象中短。账号被完整接管时自动密钥验证会照常显示绿色对勾，所以更该优先打开 Signal 的注册锁定，设一组只有你知道的 PIN 码，让别人光有号码无法重新注册你的账号。注册锁定的优先顺序排在逐一验证联系人之前。整体的防护顺序见站上的一般人平常该做到什么，自动密钥验证算是锦上添花的一层，密码管理器与两步验证仍然排在更前面。

在 Signal 被封锁的地区，第一个问题是功能能不能用。密钥透明度的查询跟其他 Signal 功能一样需要连得上 Signal 的服务器，连线被挡住或不稳定的时候查询完成不了，验证就不会成功。Signal 没有说明「连不上」与「验证失败」在画面上如何区分，可行的判断方式是先看整个 App 收发消息正不正常，正常的话问题比较可能出在验证本身。查询不带身份验证，日志看不出是谁在查，走代理或审查规避工具时，通道的运营者仍然看得到你在跟 Signal 通讯，各种通道把可见度换到谁手上，见站上的 VPN 的风险与选择。

原文提到你手上留着联系人的旧号码时，自动密钥验证会直接无法使用，反过来，你换了号码之后，联系人的通讯录里留着你的旧号码，他们同样验证不了你，影响往两个方向都成立。跨境移动、常换预付卡或 eSIM 的人，两个方向都会频繁遇到，算是常态。退路仍然是安全码，当面扫 QR code 最快，只能通过语音核对那串数字时，前提是你认得对方的声音。维持多组号码与多个账号的人，每个账号的自我检查各自独立，站上的怎么维持多个网络身分谈到相关的取舍。

篡改终究会被发现，但不会当场被挡下¶

原文的监测一节写得含蓄，密钥透明度能检测篡改，没有即时阻挡的能力。Mallory 在账本里塞一笔假记录的当下，Bob 的查询仍然会取得假密钥，消息仍然会被读走。真正的保障来自 Alice 下一次自我检查时会发现对不上，而审计方的签名让 Mallory 无法对 Alice 与 Bob 各说一套。攻击窗口因此落在「从篡改到下一次监测之间」，代价则是必然留下可审计的证据。对长期监控来说，会留下证据往往就足以吓阻。

你打开自动验证之前送出的内容，期间若发生过密钥置换，那些内容已经走在错的通道上，功能不会回头修补，保护的方向只有往后。发现异常之后只能评估损害范围，判断哪些内容可能已经外流，以及对方是否还是本人在操作。

你的 App 自己检查，验证联系人要手动¶

原文提到你的 Signal App 会自动、定期检查日志里属于你自己的电话号码与用户名，验证联系人的标识符则必须从「查看安全码」画面手动发起。两件事的节奏差很多。

原文写「随着时间累积，你这一次的验证，加上联系人与第三方审计方持续执行的验证，共同确保该位联系人的密钥在整个 Signal 生态系统中保持一致」，容易被读成关系要够久才有保障。拆开来看，审计方审计整份日志，跟你们认识多久无关。你与对方各自的自我检查绑在自己的账号上，也跟关系新旧无关。只有「你对某位联系人的验证」是一次性动作，而它按下去当场就生效。

临时组成的团队因此不必担心用不上，第一次见面交换到电话号码就能验，比安全码更适合陌生人快速建立联系，因为不需要另约时间。限制在别的地方，那一次验证只反映按下按钮那一刻的状态，不会自动延伸。任务型的用户若只在组队当天验过，等于把确认锁在风险最低的阶段，真正高风险的那几天没有覆盖到。做法是至少验两次，组队时一次，高风险窗口开始前再一次。

日常的用户可以把节奏改成事件驱动，收到安全码变动通知、对方换手机或换号码、对话内容出现反常的时候，回去看一眼。

要验证别人，需先有对方的电话号码¶

对匿名网络社群的读者而言，电话号码的要求是最需要留意的取舍。Signal 过去几年一直在降低电话号码的角色，用户名、默认不公开号码都朝同一个方向走。自动密钥验证目前的设计却要求你握有对方的电话号码才能验证对方，于是最在意隐私、只用用户名交换联系方式的那群人，恰好是暂时用不到新功能的一群。

站上的记者保护消息来源与匿名通讯工具比较都建议用用户名交换联系方式，让消息来源不必先交出电话号码。照站上的建议建立起来的关系，记者手上通常没有对方的号码，自动密钥验证从一开始就用不上。取舍很明确，来源的身份保护排在前面，验证的便利性往后排。

功能也制造了一个诱因，让人为了让那个对勾出现，反过来去跟联系人要电话号码，属于要特别避免的误用。对方选择只给用户名，通常正是不想留下号码，为了验证去追问，等于把功能的便利性凌驾在对方自己的选择之上。验不了就接受验不了，高风险的个案改走当面或另一条渠道核对安全码。倡议组织面对捐款人与服务对象时尤其要守住，脉络见站上的倡议组织的匿名捐款管道。

原文的叙事是 Bob 去验证 Alice，实际的信任链常常反过来。公开身份的人，例如记者、组织的对外窗口，被锁定的概率比多数联系人高，而看着绿色对勾决定要不要信任的，是来找你的那一方。你自己的账号没有守好，所有信任那个对勾的人会一起被误导。注册锁定与已关联设备的检查，优先顺序排在逐一验证每个联系人之前。

Signal 遇到限制时直接让功能不可用，选择是对的，宁可让按钮消失，也不要给出一个看起来成功、实际上没有意义的绿色对勾。纯用户名的联系人目前仍请沿用安全码，扫 QR code 那条路一直都在。只是当面核对本身也有代价，被看到跟某个人有联系，对还没出柜的伴侣或需要保护的消息来源就是一次额外的曝光。当面核对留给真正需要的时刻，例如收到安全码变动通知之后，不必变成常态。

账号背后换了人，密钥不会变¶

密钥透明度绑定标识符与密钥的对应，不绑定标识符背后是哪一个人。前面谈账号接管时，落差表现成攻击，在组织里则是日常运作的一部分。

对外窗口、客服、项目联系人等角色账号，操作的人会换。交接若做得规矩，沿用同一台设备，或用注册锁定的 PIN 重新注册，密钥完全不会变动，安全码也不会变。一年前验证过那个账号的人，不会收到任何技术讯号告诉他们操作的人换了。密钥透明度本来就没有要回答账号背后是谁在操作的问题。

角色账号还有两件事跟个人账号不同。第一，「已关联设备清单上每一项你都认得」那条建议假定只有一个人在管账号，多人轮值时要改成比对一份内部名册，靠记忆不可行。第二，组织号码的短信验证码可能不只一个人收得到，办公室转接线、IT 管理的 eSIM、账单持有人都可能在链上，注册锁定的 PIN 要当成组织的共用机敏凭证管理，存放与轮替的做法见站上的密码管理器入门。

交接时要做的是换掉 PIN、盘点并清理已关联设备、记录目前谁握有管理权。若交接的情况不欢而散，处理顺序比照后面「对方就在你身边时」那一则。

设备离开你的视线之后¶

出入境查验、临检、设备被扣留一段时间再归还，三种情况有一个共同点，对手有过实体接触的机会。密钥透明度查服务器上的记录，与你的设备有没有被动过是两件独立的事，所以自动验证仍然会显示绿色对勾。

拿回设备之后要主动检查已关联设备清单，以及重要联系人的安全码有没有变动。清单干净只说明没有新的设备挂进你的账号，不足以推论设备本身没被动过手脚，那属于设备安全的范围。

被要求当场解锁交出，风险又高一层，对手取得你配合之下的完整访问权。保守的做法是把设备视为已暴露，重新评估账号的 PIN 码与重要联系人的验证状态。事前准备与事后处理的清单，站上的出差与研讨会的数字准备（东亚与东南亚）与社运行动者的数字准备写得比较完整。任务型的通讯还要处理收尾，任务用的号码注销之前提醒还留着号码的人清掉，借用的设备归还之前先手动解除关联，别假设对方会自己发现，选务场景的整体准备见选举观察员的自保。

对方就在你身边时¶

前面几则假定的攻击者都在远端，需要拦截短信验证码，或诱你扫一张恶意的 QR code。加害者若是同住的人、知道你的解锁方式，或本来就是号码的登记人与账单付款人，连前置动作都不必，因为对方看到的是你本人已经解开的画面，前面所有机制都绕不过去。

号码那一层要分开看，注册锁定挡得住「用你的号码重新注册 Signal」，挡不住对方对号码本身的行政控制权。对方若是合法的号码持有人，走电信商的正常渠道就能处理你的号码，过程中不需要伪造任何身份。设 PIN 码的时候也要留意，只有在对方不在场、不知情的状况下设定才有意义，并且不要与手机解锁码相同。未成年而使用家庭方案的人还要多想一层，号码、账单与设备管理往往在同一个人手上，设好 PIN 挡得住重新注册，挡不住对方看到你装了什么 App，设备层的痕迹管理见站上的 LGBTQ+ 与性少数的匿名社交。

检查关联设备的建议，在同住的情境下要先想过后果。前面说看到不认得的项目就解除关联，那条建议假定对手是陌生人，解除之后不会再出现。加害者是同住者的时候前提不成立，被解除的那台设备会立刻失去访问权，对方下次打开就会发现，而「你发现了」本身可能升高风险。比较安全的顺序是先确认人身安全与手边可用的支持资源，需要时先保留画面记录，再决定要不要解除、什么时候解除。

原文反覆建议的「通过另一条可信渠道确认」也有同样的前提问题，长期被监控的人不一定有一条对方接触不到的渠道。台湾可以拨 113 保护专线做匿名咨询，由社工协助判断风险等级。更完整的准备见站上的家暴受害者的数字准备与紧急求救。

审计方本身也是一种信任¶

功能引进了两个新的外部角色，Cloudflare 与 Trail of Bits。两家都无法读到明文数据，公开标识符经过可验证随机函数处理，对应值由带密钥的哈希函数保护。审计方能确认日志前后一致、没有被回头改写，看不到日志里究竟是谁。

多一位独立审计方通常让信任假设变弱，从「必须相信 Signal 没有作恶」放宽成「至少要有一位审计方是诚实的」，方向要说清楚。客户端实际要求三份签名，Signal 自己运营一份，Cloudflare 与 Trail of Bits 各一份，缺任何一份都会跳警告、让自动密钥验证失败。每份签名有七天有效期，全恶意的服务器因此最多维持一周的分叉视图。原文只写了 Cloudflare 与 Trail of Bits 两家，第三份自签要看 Trail of Bits 自己的说明才知道，后面「后续补充」那一节接着谈。

完全不接受第三方假设的用户，Signal 留了关闭开关，设置路径在隐私、高级、自动密钥验证。关闭之后回到手动的安全码验证。

为什么标识符要先过一层可验证随机函数¶

原文提到公开标识符会先通过可验证随机函数（Verifiable Random Function），一句话带过，背后的取舍可以再说明。

日志必须公开才有办法被审计，公开的日志若直接列出电话号码，任何人都可以整份取回，做成一份「哪些号码注册过 Signal」的名单。换成一般的哈希函数也挡不住，电话号码的可能组合数量太少，逐一算过一遍就能还原。

可验证随机函数让服务器用一把只有自己知道的密钥，把标识符映射到日志里一个看起来随机的位置，同时附上一份任何人都能检查的证明，说明映射确实照规则生成。外人少了那把密钥就无法自行还原名单，审计方仍然验证得了日志的一致性。

「不带身份验证」的意思也要看清楚。原文说所有向日志查询标识符的请求都不带身份验证，因此不会跟特定用户账号绑在一起。不带身份验证只保证查询不会被绑到你的账号，不保证服务器不知道你查了谁。可验证随机函数的密钥在服务器手上，你要查某个标识符，就得把它送过去让服务器算出对应的位置与证明，被查的标识符本身服务器看得到，审计方读不到明文则是另一层设计。

密钥透明度不是 Signal 首创¶

概念上密钥透明度延伸自证书透明度（Certificate Transparency），把 HTTPS 证书的公开日志与审计机制搬到即时通讯的公钥上。学术脉络可以再往前拉，2015 年的 CONIKS 提出让用户自行监测目录的设计，2019 年的 SEEMless 补上隐私与效率，Meta 在 2021 年把相关想法做成开源的 Auditable Key Directory（AKD）程序库。

通讯软件的第一个大规模部署来自 WhatsApp，2023 年 4 月上线，底层用的就是 AKD，当时的定位是让任何人都能自行验证。Cloudflare 接手担任第三方审计方，是一年五个月之后的 2024 年 9 月，两件事常被压成同一件。Apple 的 iMessage Contact Key Verification 在 2023 年底推出，走另一条路线，由用户设备自己验证一致性证明。

IETF 的 KeyTrans 架构草案把部署方式分成三种模式，联系人监测（contact monitoring）、第三方管理（third-party management）与第三方审计（third-party auditing），差别在于由谁负责察觉日志分叉。草案本身只定义模式，没有点名哪一家系统落在哪一格，常见的对照表出自工作组简报与各家自己的说明。Signal 这次以第三方审计为主，同时要求客户端对自己的标识符做监测，互补的理由在原文的「监测」一节说得很清楚。

查证来源（2026-08）：CONIKS: Bringing Key Transparency to End Users - USENIX Security 2015。
查证来源（2026-08）：SEEMless: Secure End-to-End Encrypted Messaging with less trust - Chase、Deshpande、Ghosh、Malvai，ACM CCS 2019。
查证来源（2026-08）：Deploying key transparency at WhatsApp - Meta Engineering，2023-04-13。AKD 程序库见 facebook/akd，仓库 2021 年 6 月建立。
查证来源（2026-08）：Cloudflare helps verify the security of end-to-end encrypted messages by auditing key transparency for WhatsApp - Cloudflare，2024-09-24。
查证来源（2026-08）：Advancing iMessage security: iMessage Contact Key Verification - Apple Security Research，2023-10-27。

后续补充（2026-08-13）¶

文章发布当天，Trail of Bits 也贴出自己那一侧的说明，里面有 Signal 原文没写的审计细节。以下四则按几位不同专业背景的读者的提问整理，查证日期都在 2026-08。

审计的独立性建立在跨组织，不在跨法律管辖¶

客户端要求的三份签名，分别由 Signal、Cloudflare 与 Trail of Bits 运营，三家都是美国实体。跨组织的分散做到了，跨法律管辖没有。一份强制令同时触及三个签名者，在美国境内是可以想像的路径，对身处与美国没有对等司法互助机制地区的用户，保证的实际强度目前没有先例可查。

Trail of Bits 照规格从头写了一套审计器，没有沿用 Signal 的参考实现，理由是独立实现才抓得到共病的错误，代码开源在 trailofbits/signal-auditor。他们也写明不向 Signal 或任何一方收费，两项选择让第三方审计不只是挂名。

现行设计把察觉日志分叉的责任交给少数几个审计方，学界对此有意见。2026 年的 MINGLE 提出让客户端在通讯时顺便交换彼此看到的日志状态，论文摘要直接点名现行部署把检测委托给少数第三方审计方，形成可被施压、被攻陷或无法持续审计的中心化瓶颈。Signal 目前没有客户端之间的交叉比对。

绿色对勾会被读成什么，空白又会被读成什么¶

安全指示器的既有研究显示，正面图示长期被读得比技术定义宽。工程团队写的是「标识符与密钥在日志里一致」，用户看到的是「这个人安全」。

2007 年一项针对网上银行的研究把用户原本设定的个人化安全图片拿掉，用自己账号操作的二十五人里有二十三人仍然输入了密码。预期中的正面提示消失，多数人不会提高警觉，多半根本没注意到。

自动密钥验证因为对方只有用户名或号码过期而不可用时，比较可能发生的是用户直接略过。空白不会自己变成警讯。

自动化研究反复观察到，手边有低成本渠道可以依赖时，需要主动投入的人工检查会系统性减少。验证变便宜之后，愿意约时间当面扫 QR code 的人只会越来越少，而当面核对正好涵盖自动验证覆盖不到的那一块，账号被完整接管的情境。

匿名查询的保护是双向的¶

查询日志的请求不带身份验证，设计目的是让服务器无法把查询绑回你的账号。同一个设计让查询你的人也享有一样的匿名。只要对方原本就知道你的电话号码，就能反复查询你的标识符在日志里的记录，观察你何时换机、换号或重新注册。过程不必碰你的设备，你也不会收到任何通知，原文没有描述任何会告知被查询者的机制。

前面「对方就在你身边时」那一则要再加一层：离开一段有控制关系的关系之后，对方手上通常还留着你的号码。换号码本身会在日志里留下一笔可被观察的变更，时间点对盯着看的人是有意义的讯号。

可验证性到你的手机就断了¶

审计方签的是服务器上那份日志的结构，签名不涵盖你手机里的 App 有没有诚实执行验证、画面上那个对勾有没有如实反映结果。那是另一条信任链。要核对手上的 App 与公开源代码一致，Android 版有可重现构建的流程与自动化检查，社群也有人持续重现 Play Store 的版本。iOS 版没有对应的构建说明，限制来自 App Store 的签署流程。

Cloudflare 在 2024 年为 WhatsApp 的审计做了一套任何人都能执行的复验工具，目前收录的仍是 WhatsApp 那组，没有 Signal 的对应项目。想自己复验 Signal 审计结果的研究者，现阶段需要从头做起。

查证来源（2026-08）：How Trail of Bits helps verify the integrity of your Signal chats - Trail of Bits，2026-08-11。三份签名、七天有效期、审计器开源与不收费均出自此文。
查证来源（2026-08）：Signal and Ready to MINGLE: In-Band Gossip for Key Transparency Split-View Detection in E2EE Messengers - IACR ePrint 2026/1010。
查证来源（2026-08）：The Emperor's New Security Indicators - Schechter、Dhamija、Ozment、Fischer，IEEE Symposium on Security and Privacy 2007，论文摘要记为 25 人中 23 人。
查证来源（2026-08）：trailofbits/signal-auditor 与 cloudflare/plexi，后者的说明文档目前只列 WhatsApp 的 namespace。
查证来源（2026-08）：Signal-Android 的 reproducible-builds 说明，Signal-iOS 仓库无对应目录。

常见问题¶

自动密钥验证要我自己去打开吗

不用。原文的写法是不想依赖任何第三方的人「可以在设置中关闭」，也就是默认就是开启的。开关在隐私、高级、自动密钥验证，是全局设置，不能逐一联系人控制。你自己标识符的检查由 App 在背景执行，不需要你操作。要验证某位联系人则要自己进去按，位置在对方个人数据页的「查看安全码」画面。原文没有提到最低版本需求，看不到按钮时先更新 App 再看一次。

打开自动密钥验证之后，还需要核对安全码吗

看对象。日常联系人可以只靠自动验证。面对高风险的对象，例如消息来源、律师、跨组织的敏感协作，当面扫 QR code 仍然是最强的一层，因为它不依赖 Signal 的服务器，也不依赖任何审计方。两种做法可以并存，自动验证负责日常的持续比对，手动核对负责一次性的高强度确认。

显示绿色对勾，代表对方一定是本人吗

不代表。绿色对勾说明你手上的标识符对应到的密钥，跟整个 Signal 生态系统看到的一致。对方的账号若已经被完整接管，攻击者用同一个号码重新注册生成的新密钥，同样会通过验证。判断对方是不是本人，仍要靠安全码变动通知、对话内容的异常，以及另一条可信渠道的追问。

群组聊天里的成员，可以用自动密钥验证吗

不行。Signal 设置里的说明写着「自动验证一对一聊天加密」，群组没有对应的入口。要确认群组成员的密钥，只能对每个人各自执行一次一对一验证，而且同样需要你握有对方的电话号码。人数多的群组不容易逐一做完，实际上建议只在核心的少数几人身上落实。

自动验证的按钮没有出现，是我操作错误吗

多半不是操作问题。最常见的原因是你手上没有对方的电话号码，例如你们是通过用户名建立联系的。另一种是你存的号码过期了，对方已经换号。Signal 在两种情况下一律让功能不可用，改请你使用安全码。

我验证了某位联系人，对方会知道吗

原文说所有向日志查询标识符的请求都不带身份验证，不会跟特定用户账号绑在一起。保证的范围到这里为止，查询不会被绑到你的账号，连接来源与时序仍然握在服务器手上，推不出服务器完全无从关联。原文也没有描述任何会通知对方的机制，同样没有正面交代，处境对此特别敏感的人，保守假设比较安全。

我换了新号码，为什么旧联系人验证不了我

因为对方的通讯录里留着你的旧号码，与日志中最新的号码记录对不上。限制是双向的，你验证不了持旧号码的人，持你旧号码的人也验证不了你。做法是通过另一条可信渠道告知新号码，等对方更新通讯录，或直接约时间扫 QR code 核对安全码。

我们是临时成军的团队，来得及用上吗

来得及。原文那句「随着时间累积」容易被读成关系要够久才有保障，但审计方审计整份日志，你与对方的自我检查各自绑在自己的账号上，都跟你们认识多久无关。第一次见面交换到电话号码就能验，比安全码更适合陌生人快速建立联系，因为不必另约时间。单次验证只是当下的快照，高风险窗口开始前记得再验一次。

时间有限，我该先验证谁

用影响范围排序。问自己「对方的账号若被接管，错误信息会扩散多远、敏感内容会外流多少」。指挥与协调窗口优先于一般成员，会转发现场汇报的节点优先于只接收的人，跨组织的单一联系窗口优先于同组织内已有其他确认渠道的人。排在所有人之前的仍然是你自己的账号，理由见「要验证别人，需先有对方的电话号码」那一则。

手机被查扣过再拿回来，看得出发生了什么事吗

看不出来。只要没有人用你的号码重新注册，身份密钥没换，画面就会照常显示绿色对勾。拿回设备之后要主动检查已关联设备清单与重要联系人的安全码变动。清单干净也只代表没有新设备挂进账号，不代表设备本身没被动过手脚。

号码是对方申请的、账单也是对方在缴，我还受保护吗

功能保护不到那一层。自动密钥验证确认密钥有没有被换掉，管不到号码的行政控制权在谁手上。对方若是合法的号码持有人，走电信商的正常渠道就能处理你的号码。号码的归属要另外处理，必要时先联系 113 保护专线评估风险，站上的家暴受害者的数字准备有进一步的准备方向。

验证联系人的时候，Signal 自己会不会知道我在查谁

原文说查询不带身份验证，不会跟特定用户账号绑在一起，只保证查询不会被绑到你的账号。服务器持有可验证随机函数的密钥，你要查某个标识符就得把它送过去，被查的标识符本身服务器看得到，审计方读不到明文则是另一层设计。

关掉自动密钥验证会有什么影响

你会回到原本的手动安全码流程，消息加密本身不受影响。关闭的理由通常是不想把任何信任放在 Signal 以外的第三方审计方身上。设置路径在隐私、高级、自动密钥验证。

Signal 的服务器被入侵，我会收到通知吗

不会有一则写着「服务器被入侵」的通知。你会看到安全码变动的提示，或是自动验证失败。密钥透明度的设计目标是让篡改留下无法抹除的证据，做不到即时警报。发现的时间点落在你或对方下一次检查的时候。

跟 WhatsApp、iMessage 的同类功能差在哪

三家处理同一个问题，选择的信任结构不同。WhatsApp 走第三方审计，由 Cloudflare 在外部盯着日志。Apple 的 iMessage Contact Key Verification 让用户的设备之间自行验证一致性。Signal 兼采两种做法，外部审计加上客户端对自己标识符的定期监测。使用门槛上，Signal 只有在你握有对方电话号码时才验证得了对方，纯用户名的联系人暂时用不到，WhatsApp 的账号本身就是电话号码，不会遇到同样的状况。

我该多久检查一次

没有标准答案，可以用事件驱动取代固定周期。收到安全码变动通知、对方换手机或换号码、你自己重新安装 Signal，以及任何一次感觉不对劲的对话，都是回去看一眼的时机。你自己的标识符由 App 定期检查，不需要你介入。

一段预告过的降速：8/13 用 OONI 记录台湾北部移动网络的 30 分钟

anoni.net 社区 — Tue, 11 Aug 2026 00:00:00 +0000

一段预告过的降速：8/13 用 OONI 记录台湾北部移动网络的 30 分钟¶

8 月 13 日周四 14:30 到 15:00，基隆、台北、新北、桃园、新竹市、新竹县、宜兰的移动网络会降速 30 分钟。降速属于「城镇韧性演习」的一部分，由三大电信运营商同时执行。官方公告写明语音通话、短信与小区广播照常，视频流、视频通话、移动支付、云端同步等高流量服务受影响¹。NCC 对演练时段的建议是预先为离线情境做准备²。

降速的幅度，官方对外说明过两次。防务部门负责人顾立雄 7 月 20 日在立法机构说明是「降速到 4G、5G 的百分之一」，行政院则在 8 月 10 日中部场结束后补充做法：由电信运营商透过核心网络限流，将移动网络下载速率调降至 256KB。两个说法的量级一致，测量时可以此为预期落点。

日期、时段、七个县市、三家运营商，降速的每个边界都在演练前公开。网络降速的研究少见如此明确的前提，多数案例由用户先察觉变慢，研究者事后回推，时间边界始终模糊。预告式的断网在其他国家并非首见，例如考试期间的全国性断网⁶。就公开可查的记录而言，预告式的降速较为少见，并且能切分到各家运营商的粒度。

8 月 10 日中部场的同一个时段，全台湾的 OONI 观测里没有任何一笔来自移动网络的性能测量。北部场是今年演习的最后一场，8 月 13 日过后不会再有相同的条件。

若你身在这七个县市，那半小时手机本来就会变慢。与其等它过去，不如顺手留下一笔记录。

为什么要演练移动网络降速，给不在台湾的读者

行政院对演练的说明是「模拟极端情境，验证政府在有限通讯环境下之应变能力」，设想的状况包含天灾、大规模网络攻击与复合式灾害，目标是提升整体通讯与社会防卫韧性¹。公告本身没有提到战时或军事演习，框架放在民防与备援。移动网络降速是参考日本、韩国、北欧等国经验后「首度加入」的项目¹，范围限于台湾首度，不是国际首例。

对台湾来说，通讯中断不是假设性的问题。台湾是岛屿，对外连接依赖海底电缆，数位发展部设有「海缆障碍状况」的公开页面，逐条列出故障位置、替代路由与预计修复时间⁷。以 2026 年 7 月 28 日的更新为例，当时有四条海缆处于故障状态，最近的一笔发生在 7 月 14 日，预计修复日期落在 8 月 14 日，也就是演习的同一周。想看这些缆线的实际走向，可以打开 Tor 中继地球仪，上面标了 228 条海缆线段与台湾周边的障碍状态。

真实事故的规模比演练大得多。演练只降速 30 分钟、限定十四个县市、语音与短信照常。海缆中断则可能持续数周，影响整个区域的对外连接。演练的用意在验证备援机制与宣导准备，不是重现事故。

8 月 13 日要做的三件事¶

全部时间为台湾时间（UTC+8）。演练时段是 14:30 到 15:00。

开始之前，8 月 13 日前先完成¶

安装 OONI Probe，App Store、Google Play 与 F-Droid 都可下载，开源免费。OONI 开发此工具的目的，是把网络封锁与连接质量变成可验证的公开数据，完整介绍见什么是 OONI。首次启动有一段设置流程，当天才安装会来不及。装好后先运行一次，确认能正常完成。

接着设一个 14:35 的闹钟，降速中的测量最重要。行有余力再加上 14:15 与 15:10。下午开会时很容易忘记，设闹钟比记忆可靠。真的错过也没关系，补做 15:10 那一次就好，只有一笔一样送得出去。

步骤一、关闭 Wi-Fi 与 VPN，改用移动数据¶

透过固网连接的 Wi-Fi 在演练中不受影响，测量若在固网的 Wi-Fi 上完成，结果等于零。手机常会自动回连办公室或住家的 Wi-Fi，运行前请先确认已切到移动数据。手机分享出来的热点虽然底层走移动网络，OONI 仍会把网络类型记成 Wi-Fi，一样不要用。

VPN 与 Tailscale 都要先关闭。一般 VPN 会把流量绕出去，测量结果只反映 VPN 运营商的线路，记录下来的 ASN 也会变成对方的。Tailscale 就算没有启用 exit node，在 iOS 与 Android 上仍是透过系统的 VPN 机制运作，OONI Probe 会把网络类型记成 vpn 而不是 mobile，测量数据就标不出是移动网络测到的。App 检测到 VPN 时会跳出提醒，看到提醒请先关掉再运行。测量结束后记得把 Tailscale 开回来，靠它连公司内网的人特别容易忘记。

测量完成后可在结果页看到网络名称与 ASN（自治网络的全域编号，运营商、企业、学校都有各自的号码），确认测量确实在移动网络上完成，名称为自己的运营商。

先确认你的移动数据额度

性能组里的连接速度测试（ndt）会量吞吐量，运行时尽量用满当下可用的带宽。App 在运行前就会标出预估值，画面上写的是 5 到 200 MB、约 1 分 30 秒，实际落点随连接速度而定。降速中的测量因为带宽被压低，用量最小。14:15 与 15:10 都在正常速度下运行，都会落在估计值的高端。

非无限流量的人建议做降速中的测量，再从 14:15 或 15:10 挑一次当对照，两次就有比较的基础。

步骤二、运行「性能」测试¶

开启 App 后点「测试」，选「性能」，勾选要运行的测项，再按下运行。性能组包含 ndt（连接速度）与 dash（模拟视频流的播放行为，估算可达成的位元速率）两个测项，正是测量降速所需，Android 与 iOS 都提供。

步骤三、至少在 14:35 到 14:55 之间做一次¶

最重要的是降速当下的测量。演练 14:30 开始、15:00 结束，前后各留五分钟避开启动与恢复的过渡，所以 14:35 到 14:55 之间开始都可以。ndt 约需 1 分 30 秒，最晚 14:55 开始还来得及在结束前完成。

只做一次也有价值，能跟其他参与者、跟隔日同时段互相参照。时间允许再加上前后两次，同一支手机自己的前后对照最为明确。

台湾时间（UTC+8）	UTC	用途	优先序
`14:35` 到 `14:55`	`06:35` 到 `06:55`	降速中	一定要
`14:15`	`06:15`	降速前的对照点	有空就做
`15:10`	`07:10`	恢复后	有空就做

每次都要用同一支手机、同一个号码，并且都在移动网络上完成。位置能固定会让数据更好比对，中途需要移动也不影响参与，只要确认没有切回 Wi-Fi 即可。

如果行有余力，8 月 12 日周三 14:35 也测一次。多一笔，隔日同时段的对照会强很多，成本一样是按一下。

14:30 之后才看到本文的人

只要还在 14:55 之前就直接做一次，时间过了就补做 15:10。手上只有一笔也送得出去。

降速中上传失败属于正常

测量结果需要上传，而演练期间带宽已被压低，上传可能延迟或失败。不需要重复运行，OONI Probe 会把结果排入队列，等网络恢复后自动补传。

想多做一点的人，降速期间可另外运行含 Tor 与 Psiphon 的测试（英文界面为 Circumvention），能看出降速对规避工具的影响。规避工具那组会做封锁判定，降速造成的连接失败会被记成 anomaly，成因是带宽而非审查，社区整理结果时会一并说明。

按下运行之前，该知道的隐私影响¶

一句话的版本：性能测试会把你当下的对外 IP 留在 M-Lab 的公开数据集，而移动网络的 IP 浮动、没有账号绑定，实务上难以对应到个人。不想留下记录的人，改运行网页连接测试（web_connectivity，英文界面为 Websites）即可，它不经过 M-Lab。以下是完整说明。

先分清楚两个数据库。OONI 自己发布的测量结果全部公开，内容包含所处的 ASN 与时间戳记，不包含个人 IP 地址。性能组的 ndt 另外会把数据送到 M-Lab，那是另一个机构、另一份数据集，规则不同。

M-Lab 的隐私政策载明测试数据会对外公开，公开内容包含你的 IP 地址与日期时间，并且以长期研究为由无限期保留，公开数据集里不做匿名化。政策提供的删除途径援引 GDPR 与 LGPD，主要对象是欧盟与巴西的数据主体。M-Lab 声明政策原则上适用于所有地区的用户，但条文没有处理台湾这类第三地的请求资格，实务上能不能受理并不明确。App 的性能页面本身也附了免责声明，说明测试透过第三方服务器进行，无法保证 IP 地址不被他人收集。

所以运行 ndt 等于把当下的对外 IP 地址写进一份公开且长期保存的数据集。M-Lab 不认证用户、不保存个人的测试历史，移动网络的 IP 又多为浮动，第三方研究者或一般查询者很难单独从一个 IP 对应回特定个人。上面说的是 M-Lab 与 OONI 这一侧的识别能力。你的运营商本来就能从连接记录对应到号码与 IP，那份记录与测不测量无关，也不会因为参与而增加。是否留下记录，请自行斟酌。

中部场那 30 分钟，移动网络一笔性能测量都没有¶

8 月 10 日 14:30 到 15:00，同样的降速在中部七县市执行过一次（UTC 时间 06:30 到 07:00）。演练结束后，我们查询 OONI 的公开数据库，看台湾在该时段留下了什么。

测项	该时段全台笔数	来源网络
`ndt`（连接速度）	1	`AS131584` 台湾智慧光网，固网
`dash`（串流位元速率）	1	同一个固网 ASN
`web_connectivity`（网站可达性）	803	几乎全在固网，HiNet 占 593 笔

中华电信移动的 AS17421 是 0 笔，远传的 AS9674 是 0 笔。

唯一的速度测量执行在固定光纤上，测量的网络并未降速。那 30 分钟全台湾共有 902 笔 OONI 观测，其中没有任何一笔是移动网络上的性能测量。演习依南部、中部、外离岛、东部、北部的顺序分区实施，北部场是最后一场³，同样条件的降速要再等到明年。

台湾的 OONI 观测，四成来自 HiNet¶

中部场的结果反映了台湾 OONI 数据长期的分布。2026 年 7 月 12 日到 8 月 11 日之间，全台湾有 645,039 笔 web_connectivity 测量，分布在 25 个 ASN：

网络	近 30 天笔数	占比
`AS3462` HiNet	253,546	39.3%
`AS131584` 台湾智慧光网	191,257	29.7%
三家移动运营商合计	23,010	3.6%
└ `AS24158` 台湾大哥大	20,099
└ `AS17421` 中华电信移动	2,342
└ `AS9674` 远传	569

剩下的也以固网为主，StarVerse 与 DaDa Broadband 各有数万笔，另有辅仁大学、TANet 与台大几个校园网络。

真正需要的性能测项，总量少得多。同一段期间全台湾只有 1,008 笔 ndt。移动端看起来占了一半以上，548 笔，但其中 528 笔来自台湾大哥大一家，中华电信移动只有 16 笔、远传 4 笔。缺口集中在中华电信移动与远传。

要说明台湾的网络环境，目前可引用的数据主要反映家用固定宽带的状况。依 NCC 统计，2026 年第 1 季全台移动号码约 2,833 万户，多数人一天里大半时间透过移动网络上网。

三家都是全国性运营商，OONI 上的测量分布却差了一到两个数量级。性能测项里台湾大哥大有 528 笔，中华电信移动只有 16 笔，差距显然不是用户规模造成的。

公开的 aggregation API 只提供测量笔数，不提供设备数，所以上表无法排除少数几台设备反复测量的可能。台湾大哥大同时经营移动与固网，中华电信也是，因此单看一笔 AS24158 的测量，判断不出它来自手机还是家用调制解调器。

为什么三家要一起测¶

上面那项辨识问题，正好说明为什么要挑演练时段。演练已公告时段与县市范围，在该时段内、在公告范围中，AS24158、AS17421、AS9674 出现的移动端测量有明确的情境可对应，ASN 至此才足以定位到运营商。平常散在各处的测量缺少对应的情境。

同一时段只消除了「时间」一个变因。地点、基站负载、手机型号、信号强度都仍然存在。三十支手机散在七个县市，得到的仍是一批条件互异的观测点，结论只能停在粗粒度的判断，例如三家是否都出现可观察的吞吐下降、下降的量级是否接近。任何精确的运营商排名都超出这批数据能支撑的范围。

即使如此，三家同时面对同一道指令、同一个 30 分钟，仍然是难得的对照时机。单独一家测得再密，也只能得到那一家的曲线。

降速的 30 分钟可以观察到什么¶

行政院说明的做法是核心网络限流加上固定的下载速率上限，属于无差别的带宽管制，ndt 应可测到。不过公告另外列的受影响服务类型（视频流、视频通话、移动支付、云端同步）读起来像依应用层分类，三家运营商对受影响范围的描述也各自不同。台湾大哥大把 LINE、WhatsApp、M+ 等通讯软件列进会出现连接延迟与不稳定的范围⁴，中华电信写的是「影音、视频连线、行动上网及部分物联网应用」⁵，行政院的版本则是文字传输正常¹。限流若落在带宽层，ndt 会直接反映。若偏向应用层分类，ndt 对 M-Lab 的流量特征未必被归进受限类别，可能测到接近平常的速度。测量结果本身就能分辨属于哪一种，也是降速期间最值得观察的一项。

带宽被压低时 Tor 与 Psiphon 能否建立连接，是社区长期关注的题目，周四下午正好是现成的测试场。降速结束后速度回复所需的时间，则由 15:10 那一笔回答。

有了平时与降速中的对照，台湾的移动网络也才会有一份基准。少了基准，未来发生非预期的网络劣化时，任何异常都只能停在「大家觉得变慢」。价值随参与量放大。几十支手机足以回答「三家是否都出现明显下降」，要谈到分布与信赖区间则需要数百支。

ndt 与 dash 只能涵盖高流量那一侧，公告称正常运作的语音、短信与小区广播不在两个测项的能力范围内。能观察到的只有界线的其中一边，仍然值得做。社区自己有能力描述网络当下的状态，本身就是韧性的一部分。

解读时须留意 ndt 的测量对端是 M-Lab 的服务器，数字里同时包含最后一哩与到 M-Lab 节点的国际线路，两者无法从单笔结果中分离。官方公布的 256KB 可作为预期落点，先掌握量级所在，判读时较有依据。

参与密度本身也是变因。ndt 会用满可用带宽，同一个基站底下若有多支手机在同一分钟运行，彼此会抢已经被压低的带宽，测到的低速就有一部分来自参与者之间的竞争。以每家电信十支、散在七个县市的规模来说不太会相互重叠，整理结果时仍要把同时段的参与数一并记录。

一起来¶

安装 OONI Probe 并运行一次。设一个 14:35 的闹钟。把本文转给住在北部七县市或在当地工作的朋友。特别欢迎中华电信与远传的用户，两家过去 30 天的性能测量分别只有 16 笔与 4 笔。以远传来说，10 支手机在周四下午各做三次，一个下午就会超过它整个月的累积量。

不在北部七县市的人也可以在同样的时间点测一次。降速范围外的测量构成对照组，能协助分辨哪些变化来自演练、哪些属于当天的一般波动。

测完之后，可在 OONI Explorer 用自己的 ASN 与时段查到记录。社区会在演练后把三个时段、各家运营商的结果整理成一篇后续文章。有问题或想一起整理结果的人，欢迎到社区的 Matrix Public Space 讨论。

常见问题¶

为什么只做性能测试，不把全部测项都运行一遍

性能组以外的测项都会做封锁判定，而降速会让它们产生假的封锁信号。

以 web_connectivity 为例，判定方式是拿手机端的结果跟 OONI 的测试辅助服务器比对。手机在限速下大量逾时，辅助服务器在数据中心运作一切正常，比对出来会被标成 tcp_ip 或 http-failure，也就是封锁的判定签名。几百人同时在限速下运行有封锁判定的测项，等于在台湾的公开数据里注入一批看起来像审查的记录。

性能组不会产生误判的封锁信号。ndt 与 dash 在后端没有实现封锁判定，全球近 90 天各 20 万笔测量的 anomaly 都是 0，只会留下吞吐量的数值。

时间也不允许。性能组约 1 分 30 秒，稳稳落在区间内。网站那组是一份网址清单，正常网络下就要数分钟才能完成，在限速下很可能跨过 15:00，把降速中与恢复后混进同一份报告。

会用掉多少移动数据

App 运行前会显示预估用量。降速期间带宽已被压低，用量最小，14:15 与 15:10 在正常速度下运行，会落在估计值的高端。非无限流量的人优先做降速期间的测量。实际数字见上方的额度提醒。

我的 IP 会被公开，风险有多大

性能测试会把你的 IP 留在 M-Lab 的公开数据集，长期保存且不做匿名化。改做网页连接测试就不会经过 M-Lab。判断风险高低所需的细节，见上方的隐私一节。

我不在北部七县市，还要测吗

可以，而且有参考价值。范围外的数据能当对照组，用来排除当天的一般网络波动。

开会中错过了 14:35 到 14:55 怎么办

补做 15:10。就算只补一笔，也能跟其他参与者或隔天同时段对照，无须凑满三次。

参与这次测量有法律风险吗

测量的动作是在自己的手机上测自己的连接速度，与一般测速 App 的操作无异，不干扰演练，也不影响其他人。OONI Probe 是全球长期使用的开源工具。若你所属的组织有自己的合规考量，可以只做网页连接测试，或选择不参与。

号召测量是为了查核官方公布的 256KB 吗

本文的出发点是演练当天难得的观测条件，时间、地点、运营商都预先公开。官方公布的数字在文中作为预期落点，让参与者知道数据会落在什么量级。测量的对象是网络状态，演习的成效与必要性不在讨论范围。

怎么确认我的测量成功了

完成后结果页会显示网络名称与 ASN，确认上面是自己的运营商，不是 Wi-Fi 也不是 VPN。测量送出后同样能在 OONI Explorer 查到自己的记录。

双卡手机要注意什么

先确认移动数据走的是哪一张卡。手机装了两张 SIM 卡的话，容易以为自己在测某一家，实际上数据从另一家出去。结果页显示的 ASN 是最后的确认。

数据与前提¶

文中的 OONI 数字分成三组，查询日皆为 2026-08-11，端点与参数如下，读者可自行重新查询。

中部场 30 分钟窗口（表格中的 902、803、593 与两笔性能测量）用 measurements 端点，probe_cc=TW、since=2026-08-10T06:30:00Z、until=2026-08-10T07:00:00Z，逐一查 test_name 为 ndt、dash、web_connectivity，返回的每笔都带 probe_asn。

30 天的 ASN 分布（645,039、253,546、191,257、23,010 与三家移动运营商的细项）用 aggregation 端点，probe_cc=TW、test_name=web_connectivity、axis_x=probe_asn、since=2026-07-12、until=2026-08-12。性能测项的 1,008、548、528、16、4 用同一组参数，test_name 换成 ndt。aggregation 的 until 不含当日，所以 until=2026-08-12 涵盖到 8 月 11 日。

性能测项的 anomaly 为 0 用 aggregation 端点，不带 probe_cc 代表全球，since=2026-05-13、until=2026-08-12，test_name 分别为 ndt 与 dash。同一组参数换成 tor 与 web_connectivity 可以看出对照，两者的 anomaly 分别是 13.95% 与 8.05%。

上列数字会随时间继续累积，之后重查会得到略高的值，分布的形状则稳定。

延伸：之后如何用 OONI 佐证研究¶

本次号召针对单一事件，方法本身可以重复使用。OONI 的数据有四个入口，用途各不相同：

OONI Explorer：网页界面，适合查单笔测量、看某个国家或 ASN 的趋势，无须写程序。
Aggregation API：https://api.ooni.org/api/v1/aggregation，免验证免密钥，可依国家、测项、ASN 切分做统计。本文的 30 天 ASN 分布与比率出自此端点。since 与 until 只接受日期，带上时间会回 date_from_datetime_inexact 错误，所以它适合看天级以上的趋势。
Measurements API：https://api.ooni.org/api/v1/measurements，同样免验证，接受精确到秒的时间窗，返回逐笔记录。本文中部场 30 分钟的表格出自此端点。
AWS S3 公开数据集：ooni-data-eu-fra，逐笔原始 JSON，适合需要检视测量细节或做大规模分析的研究。原始数据以整点批次上传，落地 S3 的延迟约在半小时到一两小时之间，取用方式与 CSV 输出格式写在 ASN 观测数据提取与分析，社区维护的提取程序也在该页。

以本次演练为例，30 分钟的时间窗要用 measurements 端点：probe_cc=TW、test_name=ndt（或 dash）、since=2026-08-13T06:00:00Z、until=2026-08-13T08:00:00Z，返回的每一笔都带 probe_asn，再自行归到 24158、17421、9674 三组。所有时间一律使用 UTC，台湾时间需减 8 小时。要判断某个问题该用哪个测项，OONI 测项速查表整理了每个测项测量什么、规格状态，以及台湾是否有数据。台湾的 ASN 覆盖现况见 ASN 自治网络观测数据分析。

最常见的误解是把异常（anomaly）当成封锁。OONI 的 anomaly 只代表测试未照预期完成，成因包含审查、网络不稳、ISP 暂时故障，以及测试程序本身的问题，将 anomaly 比率直接视为封锁率会产生假指控。以 tor 测项的实测为例，取 2026-07-12 到 2026-08-12 这 30 天，加拿大 16.3%（母数 14,042）、瑞士 22.1%（母数 3,231）、新西兰 20.1%（母数 562），皆为没有审查的国家。前一段 90 天的 ndt 与 dash 用的是另一个时间窗，复查三国的比率要换成 30 天的参数。中段数值属于噪声，只有比率极端高的少数国家与现实相符。

以上只适用于有做封锁判定的测项。性能测项的 anomaly 目前在后端几乎没有实现，全球近 90 天的 ndt 20 万笔与 dash 19.8 万笔，anomaly 都是 0。判断演练期间是否降速，要直接看吞吐量的数值，不能看 anomaly。

授权方面，OONI 发布的测量数据采 CC BY-NC-SA 4.0，禁止商业使用，衍生内容需以相同授权释出。引用数据时要标注来源，将 OONI 数据与其他来源合并产生新的数据档，会让整份成品都受同一授权拘束。

演习细节以行政院公告与各电信运营商公告为准，时间如有调整依官方最新信息。

数据来源：OONI aggregation 与 measurements API（查询条件见上方的数据与前提，测量数据授权 CC BY-NC-SA 4.0）、ASN 名称取自 RIPEstat、M-Lab 的数据处理方式取自 M-Lab 隐私政策。演习相关的官方与媒体来源见下方脚注。

2026城镇韧性（防空）演习：行动网络降速演练 - 行政院 ↩↩↩↩
韧性演习行动网络降速 NCC吁预先为离线情境做准备 - 中央社 ↩
2026城镇韧性（防空）演习期程规划表 - 全民防卫动员署 ↩
配合政府115年城镇韧性防空演习，中区、北区行动通讯网络降速说明 - 台湾大哥大 ↩
2026城镇韧性(防空)演习行动网络降速演练 - 中华电信 ↩
#KeepItOn - Access Now ↩
海缆障碍状况 - 数位发展部 ↩

撤回自己写过的话：近两周更正了哪些内容

anoni.net 社区 — Mon, 10 Aug 2026 00:00:00 +0000

撤回自己写过的话：近两周更正了哪些内容¶

近两周有几页的内容被改掉，改法多半是把先前写过的整段撤回。香港的入境查机风险由中升到高、日本境外 eSIM 的例外拿掉、推荐过的 2FA app 换了经营者、台湾封锁判定的分布从 40 笔抽样换成 22,105 笔全量重算。7/27 到 8/10 之间文档站并入 50 个 PR，相当比例花在这类更正上。以下按页介绍改了什么、依据在哪里，中段有一份清单，写给照着旧版做过准备的人。

出差与研讨会那页，撤回了三处叙述¶

出差与研讨会的数字准备在八月初做过一次全页查证，六个方向独立核对来源，结果撤回三处查不到实据的叙述。

香港自 3/30 起的边境解锁权「不以国安嫌疑为前提」。撤回的是「不以国安嫌疑为前提」这个范围描述。该说法只出现在旅游信息聚合网站，各家对生效日（3/28 或 3/30）与罚则（6 个月或 1 年）互相矛盾，政府宪报、律政司数据与第一线报导都查不到对应文本。3/23 的国安法修订（Legal Notice 27 of 2026）本身查得到，涉国安调查时可要求交出密码，拒绝即构成刑事罪，只在香港机场转机并通关的旅客同样适用。
日本境外购买的 eSIM 不受新规范。森・滨田松本法律事务所对此点明确标注「文書に明記されていません」，文档原本把它写成一条可以依赖的建议。页面现在写的是境外供应商是否纳管留待后续省令厘清，出发前不要把「境外买的 eSIM 一定不受规范」当成确定前提。
马来西亚 ONSA 首周处理 1,500 则以上贴文。原始来源的 1,583 是 2025/1/1 至 11/30 的仇恨内容下架请求总数，时间早于 ONSA 生效。错的是数字，法本身仍在运作，页面保留《线上安全法》2026 年 1 月生效、规范对象为平台业者、实际影响落在内容被移除速度变快的叙述。

同一次更新替换了南韩段落的来源。原本引用的 Cybernews 无署名、无引用，且该站与 VPN 联盟有利益冲突，改用 Lumen Database #73101162 与韩国时报，过期的「20 万件」也更新为 2024 年审议 356,945 件。

香港的入境查机风险层级由中升到高，依据就是上面那条查得到的国安装置解密义务。撤回一条被夸大的叙述与调升风险层级同时发生，方向看似相反，实际指向同一件事：解密义务为真，被夸大的只是它的适用范围。

照着旧版做过准备，要补的五件事¶

上面两节有五项会改变读者已经做过的准备，逐条列出现况与该补的动作。

香港行程。入境查机由中风险升到高风险，涉国安调查时拒绝交出密码本身就是刑事罪。照中风险准备过的人，准备等级要拉到干净机这一层，行程只是经香港转机同样适用。
日本的境外 eSIM。「境外买的一定不受规范」这个前提要拿掉。纳管纯数据 SIM 与 eSIM 的法律已经公布，施行日由政令另订、最迟 2027 年 5 月，境外供应商是否纳入尚未明确。
已经在用 Raivo。建议转到 Aegis 或 2FAS。TOTP 没有办法直接搬，需逐一到各服务的两阶段验证设定里重新绑定。过程中先留着旧 app，直到新 app 能产生正确验证码为止，并确认备援码还在手上。
预付卡。实名这一层避不掉，台湾的预付卡同样要实名登记。能做的是不要登记在跟主门号同一个人名下，再据此决定那支门号拿来做什么。
用虚拟门号注册过的帐号。值得逐一检查那些帐号的短信复原设定，把已经停用的号码移除，改用 TOTP 或备援码。

台湾的封锁判定改用全量数据重算¶

OONI 怎么判定一个网站被封锁引用的是 OONI（全球网络审查的公开量测计划，各地志愿者执行测试、结果全部公开）的观测数据，原本写着抽查 40 笔异常测量，dns 31 笔、tcp_ip 6 笔、http-failure 3 笔、http-diff 0 笔，并据此说台湾没有出现重导向到封锁告示页的样态。改用 2026-08-05 往前 24 小时的全量数据（22,105 笔）重算之后，那份分布与支撑它的抽样方法都不成立：

判定	笔数	占比
`false`	21,029	95.13%
`none`	512	2.32%
`tcp_ip`	312	1.41%
`dns`	150	0.68%
`http-failure`	67	0.30%
`http-diff`	35	0.16%

tcp_ip 是 dns 的两倍以上，http-diff 也确实存在 35 笔，问题出在那 40 笔的来源：它取自 measurements API 的异常清单，该清单有自己的排序，当成随机样本使用会失准。页面上补了一则警示记录这次更正，因为同样的陷阱其他人也可能遇到。

被推翻的是分布数字与抽样方法，「台湾没有封锁告示页」这个结论本身反而站得住。那 35 笔 http-diff 抽查了 4 小时内的 15 笔，body_proportion（Probe 取到的内容与对照组相符的比例）全部落在 0.004 到 0.21 之间，内容远短于对照组（control），与告示页逼近 1 的样态相反。成因需要逐笔查验证据层（evidence layer），文档因此只陈述观察到的样态，不下结论。

能重算的原因是栏位统计终于补上。OONI 测量数据结构导览上线时就写着，最小的一步是在逐行解析时多取 test_keys.blocking，统计就能从测量笔数延伸到各 ASN（自治系统编号，网络上一个业者或组织所管的一群 IP）的异常分布。程序一直没有做，是文档与程序之间唯一一处只写在纸上的规划，八月初补上之后，新数据一产出就推翻了上面那段叙述。

互动作品总览页的七处更正¶

互动与呈现区的总览页上线隔天就查核出七处问题，四处是事实错误，三处是写得过度绝对。

四处事实错误里有两处是文档与自身叙述矛盾。文中写地球仪画面上有流星，原始码里的 buildSky() 只画静态星空与银河带，搜索 meteor、流星、comet 都没有命中，带亮头的彗星属于另一件作品 onion-rendezvous，文档把两件混在一起写。另一处把「两条电路在中途某台中继相遇」当成 Tor 通则，该叙述只适用于连线 .onion 服务，而同一页的作品卡片写的是正确版本。

其余两处是文档与数据不一致，「每份数据档都带有四个栏位」的说法在 cables.json 上就不成立，该档没有 sourceUrl 与 licenseUrl，处理方式是把数据补齐，一并修改 tools/gen_cables.py，而非把文档说法改弱。另一处「tools/ 只使用 Python 标准库加上 curl」遗漏了 fix_trunk_land.mjs 是 Node、publish_games_data.sh 是 shell。

写得过度绝对的地方有三处：

「任何一步错位，匿名性就不成立」。匿名性会因为流量关联、出口监控这类与顺序无关的因素被打破，而 Tor 的顺序错乱通常只导致连线失败。原句把匿名性的失效条件窄化成顺序一项，已改为保守叙述。
ASN「由一家业者掌管」。该说法与同一个项目产生快照的脚本注释互相矛盾，注释写明 ASN 可能由个人申请。
「八十个国家」。直接写入精确整数，快照重新产生就会过时，改为约八十个并标明数字取自最近一次快照。

英文读者点进来，多半没读到文章¶

Cloudflare 近 90 天的数据（排除子网域与 bot）显示英文版占文档站流量 25.9%，440 次浏览里只有 70 次（16%）落在真正的文章，290 次落在分类目录页，80 次是 404。

追查后有三个成因，两个出在转址设定，一个出在更早的导览重构。转址设定里有四条规则，来源路径就是现存的英文页，建站工具遇到这种情形会在该网址产生一页只有转址动作的空壳（redirect stub），把真正的文章盖掉，线上实测那四页全部只剩转址画面。另有三条转址在英文内容存在的情况下指向目录页。最后是 2026-05-09 的导览重构，该次 commit 从 docs/en/ 删除 17 个文件、新增 0 个，约 11.5 万字元，设定档注释写明「dropped pages redirect to the nearest live section index」。

依实测流量还原了五篇，落在真正文章的比例由 16% 提升到 64%。被空壳盖掉的四页只占问题的一小块，目录页与 404 才是大宗，剩下 12 篇被删的英文内容与 18% 的 404 尚未处理。

写作规范多了六条自动检查¶

前面几节的错误有一个共同的上游，规范写了但没有工具挡着，内容就会持续偏离，直到有人读到为止。贡献者百科写着口语词改书面语，而 docs_style_lint.py 只针对其中一个字实现了规则。全站扫描出 605 处那个字以外的口语词，网站自己的工具对现况回报 0 error、0 warn。

七月底那次清扫连同原本就挡得到的那个字，总共处理 669 处、158 个文件，同时补上六条 linter 规则，全部列为 warn，因为替换词取决于语境，不该让机器直接替换。清扫过程中机械替换造成两处实质损害，都已修复并补进例外清单：

「主讲」被换成「主提到」，破坏了议程页两个语系共 20 处介绍。原因是排除清单只挡后面的字，没挡前面的「主」。
「没搞清楚」被换成「没处理清楚」，理解与处理属于两回事。

同一周另一支 PR 收尾时发现，比对规则只涵盖繁体字，简体对应字完全没有被检查，zh-CN 等于没有这条规则。扫过全站之后待处理的项目比预期少，需要检视的只有 3 处，查证之后都是正当用法。真正的收获是补上了首套回归测试，因为 linter 是全站写作规范唯一的自动检查点，却没有任何测试。覆盖不全的问题人工抽样无法察觉，抽到的样本恰好都在覆盖范围内。

更早一次的全站清理已经逐段改写过 99 个文件里的 266 段「这」字堆叠。八月初再补上密度标准，起因是校稿时实际使用的判准只留在 commit 消息里，下次写新页不会生效，于是把判准写进贡献者百科，并把可机器判断的部分实现成 zhe-repeat 规则。距离门槛 8 个字是对全站 429 篇校准而得，放宽到 10 会开始收进正当用法，全文密度需要语意判断，刻意留给人工。

两页的叙述已经对不上现况¶

个人隐私指引在 8/6 补上「相关文章」索引时，下方的进度段落没有跟着改，同一页出现两种说法。上面列了概念层八篇，下面写着「概念层五篇上线」并只列原本那五篇。各层索引也累积落后了一段时间，工具层实际 18 篇只列 7 篇、场景层 10 篇只列 5 篇、进阶层 5 篇只列 2 篇，这次补进 14 篇。

同一页的「常见误区整理」列了四项，读起来像整条还没动工。实际盘点后有两项早已写完，只是没被连到，「VPN ≠ 匿名」在 VPN 指南有整篇，「去中心化 ≠ 匿名」在被误认为匿名的技术完整涵盖 IPFS、Yggdrasil、DN42 与 I2P。另外两项确实还没动工，改后分别标明现况。

帮忙 pin 文档站的 IPFS 镜像有三处对不上现况，其中两处是读者实际操作后才发现的。

macOS 那段写着 brew install ipfs，Homebrew 的 formula 已经改名为 kubo。旧名仍然装得起来，可是 brew services 认的是实际名字，依旧文安装之后再设定常驻服务就会对不上。常驻做法原本只写「可以用 brew services 或 launchd」，没有给指令，实际上 formula 本身已定义 service，一行 brew services start kubo 就会常驻并在登录时自动启动。

第二处是有伙伴想把社群节点设成固定节点，把页面上的 IPNS 名称填进 kubo 的 Peering.Peers，工具直接报错。原因是页面只解释了 CID 与 IPNS 名称，没有提到节点自己的 Peer ID。三串标识符长相接近，节点 Peer ID 的 base36 形式与文档站 IPNS 名称前 12 个字符完全相同，两者都是公钥指纹、同一套编码，差别在一个指向会更新的内容，一个指向一台机器。页面补上三者的对照表，以及一节选用的 peering 设定。

第三处是导言写着「目前只有社群自己的节点在 pin」。查 DHT 时发现另有一个第三方节点也在提供文档站内容，可能是别人自架的镜像，也可能是公开 gateway 取得之后 announce，无论哪一种，原本那句都已经不成立，改为「目前提供文档站内容的节点很少，社群自己那台是主力」。没有写出确切数字，因为 findprovs 是尽力而为的查询，返回的是超时前找得到的节点，不保证穷举，写出「只有 N 个」会是另一种不准确。

窄屏幕的白边查到了语言切换菜单¶

读者回报置顶公告右边会出现一段空白。实际测量后，公告不是原因，把公告整个隐藏，documentElement.scrollWidth 仍然比窗口宽 14px。逐一隐藏候选元素后定位到 header 的语言切换菜单，三个语言标签的中文字面让收合状态的菜单有 177px 宽，窄屏幕时按钮贴近窗口右边缘，菜单就把版面往右顶出去。置顶公告的黑底与 header 的蓝底都只有窗口宽，往右滑就露出白边。断点正好落在 960px，也就是 header 换成桌面排版的那一刻。改法是在该断点以下让菜单靠按钮右边缘展开，桌面维持居中。同一次也提高了置顶公告链接在浅色主题的对比，原本只有 2.79:1，几乎融进黑底。

另外两个 GitHub Action 还停在 Node 20 runtime，runner 每次执行都会输出 deprecation 警告。actions/cache 由 v4 升到 v6、actions/setup-node 由 v4 升到 v7，升级前逐版读过 release notes，确认两者的破坏性变更都打不到本项目的用法。

两位社群伙伴的贡献¶

近两周的 50 个 PR 里有两个来自社群伙伴。

wu858430049 补上了 BECOME_ANONI 协议的简中版，正本放在 repo 根目录，位置比照 zh-TW，文档页用 snippets 嵌入以维持单一来源，同一个 PR 一并修正两个会让页面无法显示的设定问题。翻译是站上长期缺人的一条路线，简中与英文都还有大量页面没有对应版本。

ChihChengLiang 更新了 COSCUP 2026 隐私支付实现工作坊的介绍。原本写着不需自备电脑，在旁观看即可，有意参与实现的人依此准备会不足。实际上现场已备妥模拟网络与模拟链，鼓励参加者携带电脑实际操作。这一项不需要碰任何程序，需要的是知道现场实况并愿意把那段文字改掉。

两个 PR 都移除了会让读者做出错误判断的内容。最低的一步是开一个 issue，指出哪一句不对并附上你查到的来源。想直接修改内容，如何参与与认领主题说明怎么选题与认领，贡献者百科的「第一周的入门路径」则依写作、翻译、技术维运、活动筹备分成四条线。

你没有办法自己验证的那部分¶

网站的主题是隐私与安全，读者依照文档的建议调整自己的行为，一句错的叙述成本落在读者身上。更难处理的是读者没有办法自己验证，抽样得到的分布写成通则，读起来跟全量算出来的一模一样，读者无从分辨那是 40 笔还是 22,105 笔。更正的过程与依据因此一并写出来，包含被撤回叙述的原文与不予采信的理由。

同一段时间新增的内容包括互动与呈现区的台湾基础设施图层、四篇 OONI 技术文档，以及纳入 CI 的 .onion 版建置。若读到与事实不符的内容，欢迎到 GitHub 开一个 issue 或直接送 PR，我们会查证后更新。

Snowflake Volunteer：Tor Project 推出手机志愿者桥接 App

anoni.net 社区 — Wed, 05 Aug 2026 00:00:00 +0000

Snowflake Volunteer：Tor Project 推出手机志愿者桥接 App¶

以下内容改写自 Tor Project 官方博客文章，主语角色为 Tor Project 与文章作者 Pavel：

Snowflake Volunteer, an Android app to help people bypass censorship | August 3, 2026

图片来源：Tor Project Blog。

我们在伊朗封网后的那篇提过，Snowflake 是帮人连上 Tor 门槛最低的方式：开一个浏览器标签页放着不动，就是在帮忙转发流量。2026 年 8 月 3 日，Tor Project 发文介绍 4 月已经上架的 Snowflake Volunteer，把「贡献志愿者桥接」做成一支独立的 Android App，门槛又降了一阶。过去要贡献 Snowflake 桥接，需通过浏览器扩展、网站内嵌 widget、桌面版命令行工具，或 Android 上的 Orbot Kindness Mode。新 App 只做这一件事，界面与设置都只为此设计。

为什么需要一支独立的 App¶

Snowflake 的运作原理，是把用户的流量伪装成视频通话，再通过志愿者提供的临时连接转发，让审查者更难检测与封锁。机制要运作得好，需要大量稳定在线的志愿者桥接。2026 年上半年，Snowflake 的媒合服务器（broker）平均每天约有 146,000 个不重复志愿者桥接 IP 地址回报¹，其中约三分之一来自 Orbot 的 Kindness Mode，它会显示自己的设备协助过多少条连接，让贡献变得具体可见。

葡萄牙的 Android App 工作室 Bloco 先前参与 OONI（Open Observatory of Network Interference，网络干扰开放观测，拥有全球最大的网络审查开放数据集）的合作，看到 NGO 与行动者高度依赖反审查工具维持安全与连接。他们发现贡献 Snowflake 桥接的门槛不高，想以自身专业回馈这个开源项目，注意到 Kindness Mode 贡献的比重后，好奇一支「只做志愿者桥接」的独立 App 能不能吸引更多人参与，于是主动接洽 Tor 的反审查团队。对方本来就有类似计划，只是尚无余力着手，这个任务便交给了 Bloco。

App 的功能¶

Bloco 站在 Guardian Project 既有的移动端 Tor 生态基础上开发，特别是函数库 IPtProxy，它把移动 App 串接 Tor 所需的工具与 pluggable transport（可插拔传输，让流量伪装成其他外观以规避审查的技术模块）打包在一起。有了这些现成元件，Bloco 可以把心力放在后台稳定运作与省电、让用户看得懂并能照自己的网络状况正确设置，以及用统计数字持续呈现志愿者协助了多少连接。

成果是 Snowflake Volunteer：用户可以设置让它在后台执行、只在 Wi-Fi 等非计量网络下运作、只在充电时运作，也可以设置同时协助的连接数上限。启用后，App 会自动与需要 Snowflake 桥接的用户配对，协助把对方的连接导向 Tor 网络，过程中双方互不知道彼此身份。

浏览器标签页版本的 Snowflake 在手机上有已知限制：标签页进入后台后，Android 系统经常会直接中断 WebRTC 连接，长时间贡献一直都建议改用台式机或笔电。Snowflake Volunteer 是独立 App，用的是 Android 允许持续执行的后台服务，不受标签页被系统回收的限制，正是手机能长期贡献的关键差异。

App 的主画面、设置页与统计页截图。图片来源：Tor Project Blog。

上线后的成效¶

Snowflake Volunteer 经过一段社群测试与意见反馈后，于 4 月正式在 F-Droid 与 Google Play 上架。5 月平均每天约 1,300 个不重复志愿者桥接 IP，6 月成长到约 1,700 个，单月成长 29%，单日峰值曾超过 2,100 个桥接。相对于整体约 146,000 个桥接的规模，这批新增志愿者还只是一小块，但原本并不在池子里，多半是过去被浏览器标签页版本挡在门外的手机用户。

App 目前支持 8 种语言（英文、法文、德文、日文、葡萄牙文、土耳其文、越南文，以及简体中文），这些语言版本来自社群本地化志愿者的贡献。想协助支持更多语言，可以到 Weblate 项目页，或先读 Tor 的本地化流程说明。

什么情况下适合用这支 App¶

Tor Snowflake 桥接点页面已经说明过用浏览器贡献 Snowflake 桥接的风险，这支 App 改变的只是安装方式，判断原则不变。安装它，表示设备会替审查地区的用户转发 Tor 流量，实际运作上有几件事值得先知道：对外网站看到的是 Tor 出口节点，不是你的 IP，你自己也看不到流量内容，因为流量在转发前已经被 Tor 加密。默认设置下对日常网络使用几乎无感，勾选只在 Wi-Fi、只在充电时运作，就不会动用移动网络的流量或电量。在公司或校园网络上执行，等于把那个网络的 IP 用来转发第三方流量，信息政策严格的环境建议先问过信息部门。

如果你人在中国大陆，自身的网络本就受防火长城管控，能否稳定连上 Snowflake broker 完成注册是实际问题，让设备长期做这件事，风险与收益是否成比例，值得先想清楚。这支 App 更适合外部连接本身不受严格审查、又想帮上忙的华语读者：例如住在海外，或人在网络管制相对宽松地区的人。已经在用 Orbot Kindness Mode 的人不必重复安装，可以继续用它，Snowflake Volunteer 的差别在于只做桥接一件事，能单独设置只在 Wi-Fi、只在充电时运作，不必连着整个 Orbot 一起开。

如果你在香港，参与前请先读 Tor Snowflake 桥接点页里的风险提醒，把国安监控风险一并评估。

如何安装¶

Snowflake Volunteer 可以从 F-Droid、Google Play 下载，一般用户用 Google Play 即可，偏好开源商店的人可以用 F-Droid。源代码开源在 GitHub，可以自行编译，遇到问题也可以直接开 issue。iOS 目前没有对应的 App，iPhone 用户可以改用浏览器版桥接点。

把匿名网络画成一颗地球：互动区上线，以及我们在开放数据上撞到的墙

anoni.net 社区 — Tue, 28 Jul 2026 00:00:00 +0000

把匿名网络画成一颗地球：互动区上线，以及我们在开放数据上撞到的墙¶

文档站新增了互动与呈现区，目前放了三件作品，都以 Tor 为题。其中数据量最大的是 Tor 中继地球仪，把全球近万台运作中的中继标到球面上，超过六成集中在美国、德国、荷兰三个国家。

做这颗地球仪的过程中，我们查了二十几份公开数据，最后能用的只有六份。卡住的原因几乎都跟技术无关。API 大多打得通，数据格式也干净，挡下来的是条款不给我们把它再发出去。

为什么要做成画面¶

匿名网络的基础建设很难用文字描述清楚，难在两件事上：顺序，还有规模。

顺序的部分，Tor 是最好的例子。数据包在三个中继之间依序前进，每经过一跳剥除一层加密，到出口才还原成原本的请求。哪一层在哪一跳剥掉、每一站看得到什么，都由这个顺序决定。文字写得再仔细，读者脑中仍然要自行补上动起来的那一段，而每个人补出来的版本未必相同。

规模则更难传达。「近万台中继，高度集中在少数国家」是一句读过即忘的叙述。把每一台实际标记到地球上，北美与西欧连成一片光带，其余地区仅零星数点。同一份数字换成画面，读者不必信任我们的形容词，可以自己看。

地球仪用到的六份数据¶

最后进到画面上的有这几份：

数据	来源	许可
中继分布	Onionoo	CC0 1.0
用户与网桥人数	Tor Metrics	CC0 1.0
连线受阻的观测	OONI	CC BY-NC-SA 4.0
断网事件	Access Now KeepItOn	CC BY 4.0
海底电缆	OpenStreetMap 贡献者	ODbL 1.0
国界与海岸线	Natural Earth	public domain

Onionoo 的中继快照经过蒸馏，只保留国家层级的聚合，内容不含 fingerprint、nickname、IP 或联络信息。ASN 的登记名称另外过滤过，因为个人申请的 AS 在 RIR 上登记的就是持有人本名。对于在审查严格的地区运营中继的人来说，那等于把「这台中继是谁的」跟身份证上的名字绑在一起公开。

陆地亮度可以切换四种指标。中继台数最直观。共识权重（consensus weight）反映该国实际承担的流量比重，与台数常有明显落差。单一服务商集中度是最大一家托管商占该国的比例，数字愈高代表该国的匿名流量愈依赖同一个机房的存续与配合。用户估计则是需求端的数字，跟前三个供给端指标并列时，落差本身就是信息。

后记：2026-07-31 又补了三份

这篇发表之后地球仪又加了三份数据，过的是同一道许可关卡。

数据	来源	许可
上网人口比例	World Bank	CC BY 4.0
台湾的上网人口比例	数位发展部国家数位近用调查	政府数据开放授权条款-第1版
海底地形	Natural Earth	public domain

上网人口比例是拿来当分母的。画面原本只呈现一个数字，这一国有几人用 Tor，而那个数字很大一部分是在比人口大小。知道该国有多少比例的人上网，才判断得出两国的落差是不是单纯因为一边上网的人本来就少。

World Bank 那份有一个对这个站很尴尬的缺口：217 个经济体里没有台湾。所以台湾单独取自数位发展部的调查，两份的方法论不同，一份是 ITU 汇整各国通报，一份是对 12 岁以上人口的电话抽样，画面上标示了不宜直接比较。这也是一种数据政治，跟前面那些许可的墙不同类，但同样会落在下游的人身上。

海底地形跟国界同源，所以没有新的许可要处理。取的是 200、1000、3000、5000 公尺四层等深线，最浅那阶就是大陆棚。加了它之后海缆那层才有解释力：海缆几乎都沿着陆棚铺、避开深海盆，两层对照着看得出来为什么缆线走那些路径。

顺着海缆又查了登陆点，那是整条缆线最脆弱的几个点，台湾的那几个尤其受关注。结论是 OpenStreetMap 没有这份数据，不是抓不到。用 taginfo 查全球数量，man_made=cable_landing_point、seamark:type=landing_point 等五个候选标签全都是 0 笔。登陆点坐标跟缆线几何一样是 TeleGeography 商品的一部分，撞的是上面那面同样的墙。

数据的呈现刻意克制¶

OONI 的数据最能说明我们的取舍。它提供各国 Tor 测试的异常率（anomaly rate），数字看起来足以画一张全球审查地图，但中段是测量噪声。实测瑞士 22.2%、加拿大 21.2%、新西兰 41.1%，这些国家没有审查疑虑。把中段画成色阶，等于用噪声指控特定国家。

最后画面只标示异常率达 85% 以上且样本足够的少数国家，中段数值一律不上色，措辞也停在「没有照预期完成」。85% 这个门槛没有推导公式，是看过分布之后订的。噪声最高落在四成上下，拉到 85% 才有足够的距离，宁可漏掉几个真的受阻的国家，也不要把没问题的国家标红。

Access Now 的断网事件则相反，每一笔都经过人工查证，成因清楚，所以可以明确说明此处发生过人为断网。即使如此，武装冲突与族群冲突造成的中断未必出自政府决策，可能是战事破坏了基础设施，画面上与信息管制类分开说明。

同样的理由让我们放弃了 V-Dem 的数字社会指标。那份数据的许可技术上可用，我们仍然决定不碰。它是每个国家每年由约五位专家评分，经统计模型转成连续量表。把专家评分画成地图色块，等于用我们的画面替某个机构的政治判断背书。

撞到的墙¶

海底电缆¶

一开始想用 TeleGeography 的 Submarine Cable Map，那是这个领域最权威的数据集。查下去才发现他们现在把坐标数据当成正式商品在卖，License TeleGeography's Map Data 是年费授权，GeoJSON 经 Amazon S3 或 API 交付，每次更新自动推送。GeoJSON 就是他们的商品本体。

台湾的海缆动态地图的做法值得记下来，也是许可不明朗时最务实的选择：源代码采 MIT 开源，但几何数据放在另一个 repo，对外是 404。主 repo 的 README 直接写「You can leave the folder empty」。

那颗地球仪上的海缆最后取自 OpenStreetMap 贡献者标注的路径，228 段。覆盖以欧洲、地中海与大西洋较完整，太平洋中段几乎是空的。翻出 OSM 社群 2011 年的讨论串，当年有人提议把 TeleGeography 的数据并进 OSM，社群成员的判断是那份许可禁止商业使用与改作，跟 ODbL 不兼容，那则提议没有下文。十五年过去，太平洋还是空的。

网络基础建设¶

网络基础建设这一类查了一轮，几乎全军覆没，卡住的理由还很像。

RIPE Atlas 部署在各地的探针（probe）数据很漂亮，2026 年 7 月查询时全球有近六万个探针，含经纬度与 ASN，API 直接回得出来。但服务条款写明商业使用需另外取得 RIPE NCC 许可，没有开放许可声明。PeeringDB 的 API 一样打得通，但可接受使用政策写明不可整批转散布给第三方。Packet Clearing House 的 IXP 目录是 CC BY-NC-SA 3.0，Cloudflare Radar 是 CC BY-NC 4.0，两者的非商业条款都会传染到我们的内容上。

还有一类更麻烦：条款完全不存在。各 RIR 的 delegated stats 文件下载得到，开头只有免责声明，没有一个字提到许可。root-servers.org 的节点清单有 JSON 端点，整站找不到许可声明。沉默无法解读成允许，比明文禁止更难处理，因为连判断的依据都没有。这一节的每一份都是同样的组合，端点开放、数据拿得到、许可不给再散布。

指数类数据¶

Freedom House 的 Freedom on the Net 与无国界记者的新闻自由指数，这两份最常被引用，也都不能用。RSF 的许可是 CC BY-ND，禁止改作，把它转成 JSON 重新呈现就违反了。Freedom House 官方页面查不到许可声明，取得数据要写信申请。

我们没有写信去问¶

上面几个机构，开放数据圈的常规做法是读完条款之后再去信问一次，通常有机会取得非营利或研究用途的例外。我们刻意没有这么做。

整个项目想知道的正是一个下游再利用者实际会撞到什么。如果每一份卡住的数据都靠个别协商解决，我们得到的会是几封友善的回信，而不是「这个生态系对想接手的人有多友善」的答案。条款写成什么样子，就是绝大多数人实际会遇到的样子。没有人脉、没有机构背景、只是想做点东西的人，看到的就是那一页条款，所以这篇记录的是条款，不是协商结果。

我们学到的¶

最大的落差是开放 API 不等于开放数据。原本以为困难会在技术面，结果多数端点都打得通、数据格式也干净，卡住的全在条款。RIR、CAIDA、RIPE NCC、PeeringDB 这些机构的预设立场是可以看、可以研究，但不能整批搬走，那跟 Tor Metrics、OONI、Natural Earth 是完全不同的文化。连完全没写许可的沉默状态也算在内，那种数据集实务上等同不可用。业界确实有很多工具在用这类文件，风险由使用者各自承担，公开发布的文档站不能比照办理。

我们的架构也不容许「应该没问题」的侥幸。文档站是静态网站，数据文件会直接发出去，而且会推上 IPFS。内容定址意味着发出去就收不回来，镜像可能长期存在。

反过来看，地球仪能做出来，很大程度是因为 Tor Project 把 Onionoo 与 Tor Metrics 都放成 CC0，Natural Earth 放成公有领域。当年那可能只是一行设定，却让十几年后一个不相干的社群能够直接拿去用，不必写信谈许可，也不必担心哪天被要求下架。

有一个技术细节值得另外记下来。OONI 那份是 CC BY-NC-SA 4.0，其中的相同方式分享（ShareAlike）跟网站的 CC BY 4.0 互不兼容。处理方式是让 ooni.json 保持独立的一份，不把它的内容并进其他数据文件，画面上也只跟其他来源并列，让整体属于 CC 定义的「集合」，相同方式分享的范围停在那一份文件身上。前提已经写进 NOTICE，否则哪天有人把 OONI 的字段并进中继快照，整份衍生物就落入相同方式分享了。

其他两件作品¶

Tor 路由解谜让你自己挑三个中继组成 guard、middle、exit 路径，过程中要避开被监听的节点、把三跳分散到不同 ASN，遇到封锁改走网桥。看着电路因为三跳挤在同一个 ASN 而失败，比读十次「要分散」有效。

Tor 连线流量用发光粒子呈现两种路径的差异。连线 .onion 服务时双方各建一条三跳电路，在随机挑出的会合点相遇。连线明网网站则走三跳到出口后原路往返。

三件作品都以 three.js 在浏览器中运行，免安装，支持正体中文、简体中文与英文。源代码在 anoni-net/docs 的 docs/zh-TW/games/ 底下，没有构建流程，改完保存刷新就看得到。

有想法或想一起做，欢迎到社群找我们。

从肯尼亚高院到华语六地区：OONI 开放数据如何进到法庭、新闻室与公共纪录

anoni.net 社区 — Sun, 26 Jul 2026 00:00:00 +0000

从肯尼亚高院到华语六地区：OONI 开放数据如何进到法庭、新闻室与公共纪录¶

这篇文章是 Tor Project 博客「守护自由互联网」系列的其中一篇，介绍 OONI 在实际情境中如何运作。原文翻译如下：

Defending the public's right to know, pavel 2026-05-12

在原文之外，文末另外补一段华语六地区（中国大陆、香港、澳门、新加坡、马来西亚、台湾）的脉络，谈各地的 OONI 观测现况、可以对照肯尼亚案件的法律倡议切入点，以及一般读者可以如何把家用网络、移动网络接进这份公共纪录。

图片来源：Tor Project Blog。

网络自由已经连续 15 年下滑。除了监控、隐私与匿名性遭到侵蚀、各种信息操弄之外，各国政府也针对特定网站与服务实施封锁或限制，甚至直接攻击网络基础设施本身，造成网络关闭（shutdown）与蓄意中断。我们要怎么知道网络在什么时候被审查、又用了什么方式？

OONI（Open Observatory for Network Interference，网络干扰开放观测站）是 Tor Project 衍生出来的计划，提供自由及开源工具与开放数据。使用者用这些工具测量网络审查事件，把观测结果上传成可验证的纪录，后续也可以引用到报道、研究或法律行动。以下是几个实际的案例。

守护公共纪录¶

OONI 的观测数据是全球最大的网络审查开放数据集，自 2012 年以来已累积数十亿笔测量，涵盖 245 个国家与地区、数万个网络。这些数据能存在，是因为全球各地有人在使用 OONI Probe（一款免费的网络测量工具，桌面版与手机版都有，按一下就对你所在的网络执行一轮连线测试），把自己连线的网络状况回报上来。每一笔新的测量，都会加进这份公共纪录。

这份数据集之所以受到引用，原因同时来自规模与方法论。网络审查常常以「让干扰看不出来」的方式进行，被封锁的网站看起来像坏掉了、被限速的应用看起来不稳定、整段网络关闭看起来像是技术故障。在 OONI 采用的公开测量方法论、同行评审、专家反馈与对照组测量的基础上，这些手段可以在数据层面被识别出来，「网络被审查了」这类主张因此可以被检验、被挑战、被验证。

为了降低查数据的门槛，OONI Explorer 上线了主题式页面，聚焦在最常被审查的几个领域，包括社交媒体与即时通讯应用、新闻媒体、翻墙工具。每个页面都收录短篇报告、长篇研究报告，以及带最新 OONI 数据的图表。

2025 年新增的「新闻媒体封锁」页面就是一个例子，读者不必翻数十亿笔原始测量，就能直接看到这些发现。包括埃及封锁独立媒体 Zawia3、约旦封锁 12 个新闻媒体网站、印度在与巴基斯坦军事冲突期间封锁 The Wire。

网络审查事件通常发生的时间点，往往是选举、抗议、武装冲突、全国性大考、政局动荡期间，正是民众最需要取得信息的时候。在这些关键时刻，受影响的社群可以从 OONI 观测数据取得共同的事实基础，后续才有机会究责。

新闻工作者与媒体组织如何运用 OONI¶

OONI Explorer 的截图，显示 dw.com 在俄罗斯、中国、伊朗被封锁的情形。图片来源：Tor Project Blog。

2025 年，俄罗斯流亡媒体中相当知名的 Meduza 发表了一篇文章介绍 OONI 工具，邀请读者实际试用。从 Meduza 这个案例可以看到，新闻编辑室除了用网络审查测量来写报道，也可以把它当作公共教育的一环，让读者理解网络干扰是如何运作的、可以如何被记录下来、自己又能如何贡献到这份证据基础里。

新闻网站被封锁，影响从来不只是技术层面，代表的是大众失去取得报道的管道、社群失去即时信息、记者失去他们的读者。只有当这件事被记录成可以被引用、可以被分析的数据，后续行动才有立足点。

最具体的串接案例发生在肯尼亚。OONI 观测数据被当作证据，用在一场挑战「非法切断网络连线」的公益诉讼。这场诉讼由一个联盟提出，成员包括 BAKE、ICJ Kenya、Paradigm Initiative、肯尼亚记者工会（Kenya Union of Journalists）、Katiba Institute、肯尼亚律师协会（Law Society of Kenya）和 CIPESA。为了支持这份提交给肯尼亚高等法院（High Court of Kenya）的声请，OONI 以专家意见的形式产出了一份详细的研究报告，记录 Telegram 在肯尼亚 2023 与 2024 年 KCSE 全国性大考（肯尼亚的中学毕业会考，当局以防堵考题外泄为由，在考试期间限制社交与通讯软件）期间被封锁的情形。

在这个案子里，记者工会、数字人权组织、法律倡导者与技术研究者从同一份数据集出发，把「网络被中断」推升为公共利益议题。这也是区域上重要的先例，坦桑尼亚的律师后来主动联系 OONI 索取数据，用来支持当地挑战封锁 Twitter/X 的法律行动，OONI 也因此发表了一份记录这次封锁的研究报告。

为共同的互联网集体行动¶

从肯尼亚延伸到坦桑尼亚的这个涟漪效应里，可以看到网络审查如何跨地域运作，也可以看到大家可以如何回应。封锁一个即时通讯应用，从来不是一件孤立的事。记者可能失去与消息来源的联系管道，社运行动者可能失去组织动员的通道，翻墙工具开发者可能要重新调整，研究者可能要验证实际情况，律师可能需要证据。所有人都需要文件纪录。

OONI 的开放数据模型，正好对应这些关键时刻的需求。守护自由的互联网，需要把审查记录下来、把证据分享出去，并且一起累积回应这些事件的集体量能。

在地脉络：华语六地区如何接上这个工作流程¶

OONI 在肯尼亚、坦桑尼亚、约旦、印度、埃及的故事，地理位置上看起来离我们很远，但运作逻辑跟华语六地区（中国大陆、香港、澳门、新加坡、马来西亚、台湾）是同一套，靠的都是公开的测量数据和跨领域的协作。要把这套工作流程用起来，从观测覆盖、倡议路径到一般人的参与，有三件事可以往下看。

华语六地区的 OONI 观测覆盖现况¶

中国大陆有 OONI Probe 使用者持续上传测量数据，能看到防火长城对常见社交媒体、即时通讯应用、新闻媒体与翻墙工具的封锁情况。香港、澳门、新加坡、马来西亚与台湾的 ASN（自治系统编号，可粗略理解成每家 ISP 的网络编号）也都有不同程度的覆盖，但每个地区都存在没人在执行 OONI 的网络。其中，台湾的匿名网络社群长期维护一份 ASNs 自治网络观测数据分析，可以当作各华语地区检视自家 ASN 覆盖状况的参考做法。

OONI 全球数据集再庞大，每个地区仍然要靠在地使用者持续运行 OONI Probe 才能补上盲点。哪个 ASN 没人在执行 OONI，未来如果在那条路径上发生封锁或中断，就缺少能引用的证据。

从肯尼亚诉讼看华语六地区的倡议切入点¶

肯尼亚高等法院的诉讼示范了公民团体、媒体工会、法律倡导者、技术研究者如何从同一份开放数据出发，把网络中断的争议推到制度层级的问责程序。

报道中国大陆、香港、缅甸、越南等地的封锁事件时，华语地区的媒体与公民团体已经能引用 OONI 公开数据作为佐证。下一步值得思考的是，当华语地区某地自己遇到网络中断或服务阻断事件时，如何在法律倡议、人权报告、议会监督或国际仲裁层面，建立类似的证据链。

把家用网络、移动网络接进这份公共纪录¶

OONI Probe 桌面版与移动版都能在家用网络、移动网络、公共 Wi-Fi 上运行，每换一个连线环境就能多留下一笔纪录。对社群与民间组织来说，可以把它放进既有的工作节奏，例如在不同据点、活动现场、成员的移动网络上轮流测量，让覆盖从少数几家网络扩散到更多日常情境。这跟前面提到的盲点是同一件事的两面，一边是看出哪里还没被测到，一边是把那些网络一笔一笔补上来。

你可以做的事¶

不论你是想补观测、做研究，还是要把数据用在报道或倡议，都有可以着手的起点。

一般读者：安装 OONI Probe 执行一轮，让你这条网络出现在公共纪录里（运行前可先看 OONI 对潜在风险的说明）。如果有你常用、想纳入定期测量的网站，可以到 OONI 的测试列表编辑器提交，之后全球的 OONI Probe 就会把它排进测试。
研究者与技术社群：参考 ASNs 自治网络观测数据分析上的盲点分布做法，再评估自己这条网络或实验环境可以补上哪些测量，并把数据整理成可重复比对的图表。
记者、媒体编辑、人权律师：下次处理中国大陆、香港、缅甸等地封锁事件的报道时，OONI Explorer 上的测量截图、调查发现（findings）短篇报告、长篇研究报告都可以引用做公开佐证。要走到公益诉讼层级的案件，肯尼亚案示范了向 OONI 申请专家意见报告的流程。

COSCUP 2026 匿名网络社群议程轨征现场工作人员：三个岗位，8/08、8/09 两天

anoni.net 社区 — Sat, 25 Jul 2026 00:00:00 +0000

COSCUP 2026 匿名网络社群议程轨征现场工作人员：三个岗位，8/08、8/09 两天¶

议程排定了，十六场的讲者也都确认出席。8/08、8/09 两天在台湾科技大学 TR-510，从网络审查如何运作、浏览器指纹追踪，到台师大的校园 Tor 节点与健保数据库的个资权利，还有 8/08 下午与 ETHTaipei 合办的匿名支付场。现场执行的人力目前只有一位。

8/09 的换场休息只有五分钟，需要有人在讲者超时前举牌，也需要有人趁这五分钟把下一位讲者接上台、测好投影与音频。有几场的讲者要求不录影，需要有人全程盯住确实没有被录进去，这件事出错之后无法补救。8/08 上午还有受邀前来的公民团体与独立记者，需要有人在门口招呼、引导入座。

我们在找三位现场工作人员

岗位：录影 1 位、台前机动 1 位、场外机动 1 位
条件：不需要具备 Tor、匿名网络或任何隐私技术的背景
时间：两天都能到最好，只能到一天也欢迎，人多的话会排轮班
报名或询问：透过联系我们的任一管道告诉我们，注明想担任的岗位与可以到的日期

三个岗位在做什么¶

录影：确认大会的录影正常运作，盯住几场讲者要求不录影的议程确实没有被录到，远端讲者连线时顾一下画面。需要细心，不需要会操作专业摄影器材。
台前机动：举牌控时、提前接下一位讲者、测投影与转接头、问答时递麦克风。需要熟悉笔电接投影这类事，不需要理解议程内容。
场外机动：门口引导与人数计数、发放社群文件站的信息、处理餐点与物资。需要好相处，能简单说明这个社群在做什么。

三个岗位都是照着流程走，活动前一周会开一次线上说明会，把两天的流程、控时手势与突发状况的处理原则走过一遍。

时间与地点¶

8/08（六）：08:30 到 17:00。上午是三场社群导论加一场邀请议程，13:00 之后是与 ETHTaipei 合办的匿名支付场（TR-511），这段我们的人力较松。
8/09（日）：09:00 到 16:30。七场录取议程接连进行，是两天里最需要人的一天。
地点：国立台湾科技大学（NTUST），社群议程轨在 TR-510。

值勤之外可以自由听议程¶

不在岗位上的时段可以自由去听议程，8/08 下午几乎整段都是空的。值勤时段的餐点由社群准备。行前说明会与活动当天都能直接认识这一轨的讲者。

这一轨今年的内容涵盖网络与审查如何运作、OpenWRT 家用网络、台师大 Tor 节点创建实务、浏览器指纹追踪、健保数据库的停止利用权，以及从个人到组织的隐私指南 2026，完整议程与各场摘要放在活动页。

没有经验也可以¶

社群平常在做的事，是把 Tor、Tails、OONI 这些开源工具的界面翻译成正体中文、回报问题、协助在校园架设中继节点。这次的现场工作同样不需要事先具备专业背景，愿意花两天陪着把议程执行完就够了。没有参加过 COSCUP 也没有关系，说明会上会把该知道的细节都交代清楚。

看完整议程与各场摘要

报名方式

请透过联系我们的任一管道与社群联系，告诉我们想担任的岗位、可以到的日期，以及方便的联系方式。三个岗位额满之后仍然欢迎加入，会前宣传与会后整理同样需要人。

FISA 702 条款到期：美国无令状收集境外通信的授权，2026 年 6 月暂时失效

anoni.net 社区 — Thu, 23 Jul 2026 00:00:00 +0000

FISA 702 条款到期：美国无令状收集境外通信的授权，2026 年 6 月暂时失效¶

图片为 EFF 设计师 Hugh D'Andrade 绘制的「NSA eagle」，把 NSA 标志改画成老鹰用爪子接上电信线路，象征无令状的大规模监控。出自 EFF 的 NSA 监控专题，授权为 CC BY 4.0¹⁰。

你寄一封信到 Gmail、用 iMessage 跟在美国的朋友聊天、用 WhatsApp 联络海外的家人，这些通信只要有一端落在美国的服务或网络上，本来就可能被美国情报机构在不需令状的情况下收集。授权这件事的法律叫 FISA Section 702（《外国情报监控法》第 702 条）。2026 年 6 月 12 日午夜，这条授权在美国国会的僵局中到期¹。

EFF（电子前线基金会）把这件事称为一场胜利。要理解为什么，需先知道 702 是什么、它跟 2013 年斯诺登（Edward Snowden）揭露的监控计划是什么关系，以及为什么华语地区使用者长期就是这套监控的合法对象，而「暂时失效」又改变了什么。

Section 702 是什么¶

Section 702 由美国 2008 年的《FISA Amendments Act》（外国情报监控法修正案）设立³。它允许美国情报机构在认定某位境外人士握有外国情报价值时，不经个别令状就收集这个人的通信，包含电子邮件、消息与通话。

关键在「境外人士」这四个字。702 的设计对象是美国境外的所有人，所以美国境外的每一个人，包含华语地区的使用者，在法律上本来就是这套收集的合法目标。美国公民受美国宪法第四修正案保护，需要令状，境外人士没有这层保护。

实务上，702 还会大量「附带收集」（incidental collection）到美国人的通信。只要美国人跟被锁定的境外目标有来往，他的邮件、消息、通话就会一并被收进数据库。这是后面争议的起点。

702 授权之下有两种具体的收集方式，名字许多人听过：

下游收集（Downstream，旧称 PRISM）：政府要求 Google、Microsoft、Apple、Facebook、Yahoo 等科技公司，交出符合条件的使用者通信²。
上游收集（Upstream）：NSA（国家安全局）直接从互联网骨干的缆线与交换器上截取流量²。

PRISM 与 Upstream 不是传说中的代号。它们是 702 这条法律授权底下，实际运作的两个程序。

跟斯诺登事件的关联¶

斯诺登在 2013 年揭露的监控计划，法律基础正是 Section 702。当年 6 月，这位前 NSA 合同人员把一批内部简报交给记者，PRISM 与 Upstream 这两个名字就是从那批文件流入公众视野的²。全世界第一次看到「原来美国可以这样收集全球的网络通信」，看到的就是 702 在运作的样子。

斯诺登揭露的是「如何收集」，Section 702 则是「凭什么能收集」的法律授权。

从立法到暂时失效，这套授权的几个主要时间点：

2008 年：《FISA Amendments Act》通过，设立 Section 702，让原本游走在灰色地带的无令状收集有了明文授权。
2013 年：斯诺登揭露 PRISM 与 Upstream，702 第一次成为全球公共议题，各国才意识到自己是这套收集的对象。
之后十多年：702 经 2012、2017、2024 多次重新授权，每一次都伴随改革派与情报机构的拉锯，EFF 等团体持续要求加上令状门槛。2024 年的 RISAA 把授权延到 2026 年 4 月，之后再靠临时延长撑到 6 月。
2026 年 6 月 12 日：在一场国会僵局中暂时到期。

斯诺登当年揭露的计划，过了十三年，它的法律授权第一次出现空窗。

后门搜索（backdoor searches）为什么是争议核心¶

702 名义上锁定境外人士，真正在美国国内引发宪法争议的是后门搜索（backdoor searches），官方称为「美国人查询」（US person queries）。

702 收集进来的庞大通信数据库里，因为附带收集而塞满了美国人的通信。FBI（美国联邦调查局）、CIA（中央情报局）、NSA 之后可以用美国人的姓名、电子邮件、电话这类识别码去查询数据库，不需要另外申请令状。等于绕过了第四修正案对美国人的保护，从后门取得数据。

规模不小，违规也不少：

FBI 在 2019 到 2022 年间，对美国人做了将近 500 万次查询，这些查询程序上多属合法，争议在于大多缺乏个案的合理说明⁴。
政府在 2022 年 3 月通报，光是对 Section 702 数据库的搜索，就有超过 278,000 次不符规定⁴。
2024 年国会通过《Reforming Intelligence and Securing America Act》（RISAA，情报改革与保障美国法），加了一些改革，但没有解决无令状查询这个根本问题。到 2024 年 8 月，已经有报道指出 FBI 用了一个查询工具绕过 RISAA 的限制⁴。

EFF 长期主张，FBI 要查询美国人在 702 之下被收集的通信，应该先取得令状。如果做不到这个门槛，那就让整个方案到期，不要再续¹。

2026 年 6 月发生什么¶

702 这次到期，导火线跟一桩人事任命有关。特朗普提名 Bill Pulte（时任联邦住房金融局局长）暂代国家情报总监（DNI），接替宣布请辞的 Tulsi Gabbard¹⁵。DNI 监督的正是执行 702 的情报机构，把这个位子交给一位没有情报资历、又曾以房贷诈欺名义追查特朗普政敌的人选，让参议院民主党不愿在这个时间点放行。他们以 Pulte 缺乏情报、军事与国会经历为由，拒绝推进自家版本的重新授权法案，众议院则否决了短期续延¹⁵。国会几次靠临时延长把期限往后推，最后在 6 月 12 日午夜停在到期¹。

到期不等于监控当天就停。依现有报道，外国情报监控法院（FISC）对既有方案的重新认证效力延续到 2027 年 3 月，为这段期间的收集留下法律依据。有法律专家直言「702 不会就此停摆（go dark），那是迷思」⁵。这次到期更接近一个法律与政治上的转折点，而非开关被立刻关掉。

为什么 EFF 把暂时失效也当成胜利¶

EFF 点出，这套权力的滥用风险从来不系于某一个人或某一届政府。如果国会担心的是「某个人可能取得美国人的敏感信息」，负责任的做法是去强化制度层面的透明、究责与监督机制，而不是把希望寄托在换掉某个人选¹。

2026 年一整年，国会两党对改革的胃口都在变大，愈来愈多人反对在没有令状门槛的前提下重新授权 702¹。一条运作了十多年、斯诺登揭露过、改革多次卡关的监控授权，能走到暂时失效这一步，本身就说明持续倡议是有用的。

回到华语地区：你本来就是境外监控的合法对象¶

702 的失效对美国的倡议者是一场胜利，对华语地区的使用者能保护到的范围却很有限。702 这几年的争议重点是保护美国人，后门搜索争的是美国人受第四修正案保护、却被绕过去查。无论你在台湾、香港、澳门、新马还是其他华语环境，本来就不在第四修正案的保护范围内，要查询你在 702 之下被收集的通信，对美国政府而言连后门都算不上，是正门。

你仍然是合法收集对象¶

有些人觉得反正自己不是美国政府针对的目标，因此对 702 无感。隐私防护设防的对象是能力，不是当下的善意或意图。一个机构今天没盯上你，不代表它握有的收集能力会跟着缩手，收集的对象与用途也会随政治情势改变。把任何握有大规模收集能力的行为者放进同一套威胁模型，比依赖「现在应该查不到我」可靠。

就算 702 真的消失，收集境外人士的手段也不只这一条。NSA 海外信号情报的主要法源是第 12333 号行政命令（Executive Order 12333，EO 12333，1981 年签署），它没有 FISC 的司法监督，国会监督也有限，而且完全不受这次 702 到期影响⁶。对华语地区使用者这种境外人士的收集，702 在不在都能继续。所以这场胜利对华语读者该庆祝的成分有限，隐私还是需仰赖自己用加密守住，不能寄望某一条法律。

真正的防线是端对端加密¶

华语地区大量依赖美国的云端与通信服务，Google Workspace、Microsoft 365、iCloud、AWS、Meta 旗下的 WhatsApp 与 Instagram 都在其中（其中部分在中国大陆需要绕过封锁才能使用，但在港澳、新马与海外华人社群是日常工具）。很多人以为数据放在本地机房就安全，但只要服务商总部在美国，美国的 CLOUD Act（2018 年通过）就能要求它交出所掌控的数据，服务器放哪里不影响⁷。欧盟为了同样的问题跟美国周旋多年、打过好几轮官司，华语地区连对等的数据保护协定都没有，处境更被动。真正有效的防线是端对端加密（E2EE），密钥不在服务商手上，就算数据被交出、或在传输途中被截取，没有密钥也读不到内容，对附带收集与后门搜索都挡得住。

端对端加密保护的是通信内容，Tor 进一步遮住连接本身。Upstream 从网络骨干截取流量，取得的是你连去哪、跟谁往来这类连接信息。台湾、香港这类地方对外连接高度依赖国际海缆⁸，通往美西、美东的跨太平洋缆线是重要干道之一，连接只要目的地或路由经过美国骨干，封包就落在 Upstream 的截取范围内。Tor 把流量加密后经多个中继转送，骨干上只看得到一段加密的 Tor 流量，服务商那边也对不出真正的使用者，等于打断 PRISM 与 Upstream 所仰赖的连接对应关系。Tor 挡得住这种大规模被动收集，但挡不了针对个人的主动入侵，例如利用浏览器漏洞去匿名化，斯诺登文件里 NSA 的 Tor Stinks 简报就坦承，只能去匿名化一小部分使用者⁹。运作原理见什么是 Tor。

谁的风险更高，社群能一起做什么¶

需要跟海外编辑室、国际组织、消息来源往来的记者与公民团体，跨境通信本来就多，附带收集碰到他们的机率比一般人高，这些角色值得把防护等级拉高，敏感协作走 Tor、不要把消息来源名单放在美国企业的云端，延伸的角色指南见记者如何保护消息来源与社运行动者的数字准备。匿名网络社群 anoni.net 把力气放在去中心、自架与加密这些靠自己的能力上，而不是等哪条法律来保障，正是因为 702 到期当天收集照常进行、EO 12333 不受影响这个现实。对许多华语地区使用者来说，本地的监控往往是更切身的威胁，从中国大陆的网络审查与实名制，到各地不同的通信监察制度，加密与 Tor 对这些同样是防线。台湾的个资法、揭弊者保护法是其中一组本地脉络的例子，相关讨论见台湾个资法 2025 修法与揭弊者保护法的技术观察。

702 暂时失效不会让监控立刻消失，跨境通信的隐私风险也不会因此归零。对每一个身在美国境外的人，真正要盯紧的是授权监控的法律结构，先确认自己在这套结构里的位置。今天就能做的第一步，是把日常联络换成默认端对端加密的工具，敏感的对外连接走 Tor。

测量网络审查：挑战、趋势与影响

anoni.net 社区 — Tue, 21 Jul 2026 00:00:00 +0000

测量网络审查：挑战、趋势与影响¶

翻译说明：这篇文章由 OONI 的 Maria Xynou 撰写，原刊于 Internet Society 的 Pulse blog，后由 OONI 转贴。OONI 是目前全球规模最大的网络审查观测公开数据集，本文整理了测量网络审查的方法挑战、近年观察到的审查趋势，以及这些数据如何被用在数字人权的倡议行动。对简体中文使用者来说，这份脉络有助于理解为什么「网络看起来能用」不等于「没有被审查」，也有助于评估自己所在地区的网络层介入形态。

以下内容原文翻译来自：

Measuring Internet Censorship: Challenges, Trends, and Impact, Maria Xynou 2026-05-05
原始版本刊载于 Internet Society Pulse blog

重点摘要：

网络审查正在变得更精细、更具针对性，也更难被检测。
OONI 以众包方式收集的网络观测数据，能支持研究、倡议行动，以及对网络审查事件的快速响应。
OONI 的长期数据揭示了几项全球网络审查的关键走向，包括短期针对性的间歇封锁，以及长期、系统性的压制。

网络审查正在变得更精细、更难被检测，「透明度」这件事比以往更迫切。

俄罗斯、哈萨克斯坦等国家正在封锁大量独立新闻媒体，选举与抗议期间针对社交媒体的限制在全球各地也越来越常见。连民主国家也在扩张审查做法。举例来说，阿尔巴尼亚去年封锁了 TikTok，西班牙则间歇性封锁了部分网络，做法是针对 LaLiga 直播站点所使用的 Cloudflare 基础设施下手。

这些案例都由 Open Observatory of Network Interference（OONI）记录下来。OONI 是一个非营利组织，维护全球最大的网络审查公开数据集，数据来自众包测量。本文简要讨论测量网络审查的挑战、正在浮现的审查趋势，以及网络观测如何推动人权倡议。

测量网络审查的挑战¶

要判断一件事算不算网络审查，很少能用「能不能连」、「有没有被封锁」这种二分结果就说明清楚。

许多因素都可能让服务看起来无法访问，即使没有任何人刻意限制。架在不稳定服务器上的网站可能短暂失效，跟政府毫无关系。网络质量不佳时，用户也可能难以打开网站或 App。连 DNS 设置错误都可能造成访问失败，但跟审查无关。

误报（false positives）很常见。挑战更进一步来自审查做法的多样性，从 DNS 操纵、IP 封锁，到更隐蔽的流量限速或注入伪造响应都有。同一个网站可能在某个网络能用、在另一个网络被挡，因此需要广泛、去中心化的测试才有机会做出可靠判断。

OONI 用几个方式来面对这些挑战。一是开发公开的测量方法论并鼓励同行评议与专家反馈，并利用对照测量（control measurements）作为基准。OONI 也使用一套概率式指标估计某个资源在特定网络与时间区间内被限制的可能性。这套方法在 OONI Pipeline v5 上实现，会比对测量结果并套用启发式规则，把结果分类为「blocked」、「down」或「OK」，并附上一定信心度的估计。

直接从本地网络收集到的测量，比远程测试更有价值，因为它反映了用户真实的审查体验。当志愿者根据他们实际遇到的封锁内容、在自己所在的脉络下执行测试时，这些数据比较有机会捕捉到突发、情境特定的审查事件。

OONI 正是依此运作。世界各地的人们运行 OONI Probe，从他们所连的网络上贡献测量。数据的取得仰赖志愿者选择测什么、何时、何地，因此各国的覆盖率差异很大，同一个国家的不同网络之间也会有落差。覆盖率不均是一项重要挑战，要可靠地检测（并确认）审查，需要持续的数据来累积信心。

审查事件常发生在高风险情境，例如反政府抗议期间。在这些时刻进行测试，会让贡献者承担实际的风险，这也让测量与审查检测变得更困难。在 OONI，用户安全是优先事项，所有贡献测量的人都会经过知情同意的程序，在 OONI Probe App 中以小测验的形式确认。

浮现中的网络审查趋势¶

OONI 的长期数据揭示了几项全球网络审查正在演变的关键趋势：

网络审查的全球化与常态化¶

网络层级的审查已经不只发生在中国或伊朗这类国家。今日几乎每个国家都有某种形式的审查，封锁的内容与影响范围差异很大。多数国家现在同时具备技术基础设施与法律框架，能执行网络层的限制。

短期控制的针对性、间歇性封锁¶

许多政府会在政治敏感事件期间部署临时性审查，例如选举、抗议或冲突。这类封锁通常针对特定网站或 App，举例来说，乌干达在 2026 年大选后封锁了 WhatsApp 与 Facebook。短期封锁通常持续几小时到几周，这种做法能降低政治与经济成本，又能让当局在关键时刻控制公共讨论、限制信息流通。

系统性压制的长期封锁¶

长期封锁会持续数年，目的是在网络上强制执行某种意识形态、政策或法律。相较于针对特定站点或 App 的短期封锁，长期封锁往往限制整个被视为「在法律或社会上不可接受」的内容类别。这类审查经常压抑边缘群体、强化既有体制。例子包括封锁 LGBTQI 权益相关网站、族群或宗教少数团体相关内容，以及生育权相关网站。以坦桑尼亚为例，在多年针对 LGBTQI 社群的打压之后，针对 LGBTQI 相关内容的大规模封锁陆续被观察到。

加密化网络中越来越不透明的审查¶

随着越来越多网站采用 HTTPS 与加密标准，审查反而变得更不可见。传统的封锁页面（block page）会告知用户「这个站点被刻意限制」，但这类页面如今已经少见。政府改采直接干扰 TLS（Transport Layer Security）协议本身的手段，通常使用 DPI（Deep Packet Inspection，深度包检测）这类进阶设备。OONI 的数据显示，TLS 层级的干扰在许多国家被记录下来，这也反映出全球审查技术产业正在扩张。遇到 TLS 干扰时，用户通常只会看到一般的连接错误，而非封锁页面，因此很难分辨这是刻意的审查、还是网络故障或其他技术问题。加密化原本是要保护用户，反过来却让审查变得更不透明。

流量限速与服务劣化¶

各国政府越来越常用带宽限速作为一种较隐蔽的控制手段，限制特定服务的可用性而不直接封锁。这会让通讯 App 或其他平台变慢，让人不想再使用，但连接在技术上仍然「成立」。为了调查这类案例，OONI 开发了一套针对性流量限速的测量方法论，并在哈萨克斯坦、俄罗斯与土耳其的真实案例中应用与验证。

审查与隐私技术的拉锯¶

当局也把目标放在新兴的隐私技术上。例如伊朗从至少 2020 年起就封锁加密 DNS，而俄罗斯在 2024 年 11 月封锁了 ECH（Encrypted Client Hello）。这些手段让用户更难绕过审查，同时也压缩了在线隐私的空间。对此，OONI 开发了新的实验来测量 ECH 与加密 DNS。这些测试已整合进 OONI Probe，世界各地的测量数据以公开数据形式即时发布。

国家内网与「允许清单」做法的兴起¶

部分政府正朝向高度管控的国家网络演进。在伊朗、俄罗斯、缅甸等国家，当局正在实验「允许清单（allowlisting）」做法，把可访问的范围限缩在被核准的服务或网站，实质上建立出互联网的围墙区。

这些趋势都显示审查手法越来越精细、针对性越来越强，也越来越难被检测。要守护在线访问权与数字人权，持续的测量与倡议因此格外重要。

从测量到倡议¶

对网络进行测量，能让我们观察到网络流量在实务上是如何被处理的。审查经常在网络层被实现，这类测量可以揭示「什么」被封锁、「如何」被封锁、「何时」被封锁，以及是「哪一个网络」执行的。这个层级的洞察可以提供审查的证据，使得网络测量成为捍卫开放网络的有力倡议工具。

也因为这个理由，OONI 从 2016 年起就是全球 #KeepItOn 行动的活跃成员，协助全世界数百个人权组织用 OONI 数据去倡议反对网络关闭。OONI 数据因此支持了多国挑战社交媒体封锁的倡议行动，包括加蓬、坦桑尼亚、尼泊尔、多哥与莫桑比克，也用在政策与法律介入上，例如巴基斯坦与肯尼亚的高等法院申请案。

OONI 数据集的规模也强化了倡议价值。自 2012 年起，已从 245 个国家与地区、30,000 个网络收集到超过 30 亿笔测量，OONI 数据是同类型中全球最大的网络审查公开数据集。每个月都有数千万笔新的测量从约 180 个国家收进来，每天则持续以即时方式发布来自世界各地的新测量。

OONI 数据是一份等待被探索的丰富数据集。它的广度与深度能支持研究，即时发布的特性则能支持倡议与快速响应行动。它也定期被收进 ISOC 的 Pulse Shutdown 项目用来记录全球的社交媒体封锁。你也可以使用这份数据，加入社群，一起捍卫自由开放的网络。

简体中文使用者地区的观察¶

文章描述的多数现象在中国大陆是长期常态¶

本文整理的多项手段，包括 DNS 操纵、IP 封锁、TLS 干扰、加密 DNS 与 ECH 封锁，以及走向白名单式国家内网的做法，在中国大陆是长期存在的网络治理实践。OONI 在大陆的长期测量数据，是研究人员理解这套体系如何演变的重要数据。对身在大陆的读者，本文也是「为什么常见的工具会突然失效」这件事的技术背景。

港澳、新马等地区的网络层介入呈现不同形态¶

简体中文使用者所在的不同地区，网络层介入的形态差异很大。香港在 2020 年之后开始出现新的网络层封锁案例，OONI 数据可以追踪相关变化。澳门规模较小但有类似迹象。新加坡、马来西亚则以法定下架与平台合规为主，网络层干扰相对少见。这些差异可以透过 OONI Explorer 直接比对，本文描述的趋势在不同地区呈现出不同强度。

使用 OONI Probe 时的风险评估¶

OONI Probe 的测量本身会产生可被网络侧观察到的流量。在网络监控较严格的环境下运行 OONI Probe，请务必先阅读 OONI 的风险说明，理解可能的后果。对身在中国大陆的读者，建议优先以阅读 OONI Explorer 上的现有数据为主，再评估是否进一步参与测量贡献。对身在网络较开放地区的读者，参与测量可以帮助补上简体中文使用者地区的数据覆盖率。

Android 17 上线后的 GrapheneOS：谁决定手机上能执行什么系统

anoni.net 社区 — Mon, 20 Jul 2026 00:00:00 +0000

Android 17 上线后的 GrapheneOS：谁决定手机上能执行什么系统¶

图片：智能手机被锁链缠绕，象征装置被外部规则锁住。摄影 Towfiqu barbhuiya，来源 Pexels（Pexels License）。

手机是你花钱买的，但它能装什么、能执行什么系统，越来越不是你能决定的。这个问题平常不会浮上台面，直到你想换一套更保护隐私的系统，却发现某些 app 因为「检测到非原厂系统」而拒绝执行，或是你信任的开源系统因为得不到硬件数据而越来越难维护。Android 17 在 2026 年 6 月 16 日上线¹，把这个问题又往前推了一步。

对隐私使用者来说，首当其冲的是 GrapheneOS，一套把 Android 安全强化、移除 Google 绑定的行动作业系统。它几乎只能运作于 Google Pixel 上，而 Google 正一步步调整 Android 与 Pixel 的开放程度，维持一套干净、由使用者掌握的手机系统，成本也随之升高。

Google 两步收紧：开发移入内部分支、Pixel device tree 移出 AOSP¶

GrapheneOS 这类系统，必须仰赖 Google 公开的 Android 原始码与 Pixel 硬件数据才能开发。Google 接下来的两个动作，收紧的正是这两项来源。

第一步在 2025 年 3 月。Google 把 Android 的主线开发移进内部分支，只在版本正式发布时才把原始码一次推上 AOSP（Android Open Source Project，Android 的开源核心），开发过程不再公开可追²。Android 仍然是开源项目，外部开发者能取得最终的代码，但看不到中间的演进，也更难即时跟上。

第二步在 2025 年 6 月，冲击更直接。Google 发布 Android 16 时，不再把 Pixel 的 device tree 放进 AOSP³。device tree 是描述某款手机硬件配置、让系统能正确驱动它的一组设定档，对要把系统移植到该机型的人来说是地基。Google 同时把 AOSP 的官方参考装置，从实体的 Pixel 换成虚拟机 Cuttlefish。少了 Pixel 的 device tree 与驱动原始码，第三方系统开发者只能从 Pixel 出厂的成品文件回头猜它每个月的硬件改动，费时又容易出错。

这两步加起来，把第三方系统的开发成本垫高了一截。LineageOS（另一套知名的第三方 Android 系统）的贡献者形容，现在等于要「盲猜，从预编译的二进位档逆向工程 Pixel 每月的变更」³。

GrapheneOS 如期完成移植，但开发成本持续升高¶

即使如此，GrapheneOS 在 Android 17 发布当天（2026 年 6 月 16 日）就完成移植⁴。过程中遇到 Android 17 本身一个影响 recovery 侧载的上游 bug，第一版 build 因此没有直接推送，修正后的版本 2026061800 在 6 月 18 日进入 Alpha 测试通道⁴。

移植速度没有变慢，这是 GrapheneOS 工程能力的展示。但每一代要付出的逆向工程成本都在增加，而这个成本是 Google 的政策单方面加上去的。一个原本可以靠公开数据顺畅进行的工作，现在需仰赖逆向工程填补缺口。GrapheneOS 能维持这样的移植速度多久，取决于 Google 后续是否继续缩减公开数据的范围。

另一种压力：attestation 将非官方系统判为不合格¶

除了开发端，GrapheneOS 还面对使用端的压力，来源是 attestation（装置认证，由 app 在背景检查你的手机是不是「原厂认可」的状态）。

Google 的 Play Integrity API 会把非 Google 认证的系统判为不合格。GrapheneOS 在安全上比原厂 Android 更严格，却因为不是 GMS（Google 行动服务）授权的系统，常被当成被 root（取得最高权限、绕过系统限制）的手机一并拒绝执行。越安全的系统，反而越容易被这套机制排除在外。

attestation 的压力在 2026 年明显增强，下面三件事几乎同时推进：

Microsoft Authenticator：2026 年 2 月底起，开始对 Android 装置做 root 检测，GrapheneOS 因为被 Play Integrity 标记而受影响。Microsoft 分三阶段推行（先警告、再挡新增账号、最后清除既有凭证），计画在 2026 年 7 月完成最后阶段，清除受影响账号的 Entra 凭证⁵。截至本文撰写的 6 月，这个期限还没到、是否如期执行未知。Microsoft 也公开表示不支持 GrapheneOS。
欧盟 Unified Attestation：欧盟版的统一装置认证提案，GrapheneOS 认为这是 Play Integrity 的欧洲翻版，会把非授权系统一样挡在 app 生态圈外，已公开呼吁隐私导向的 app 开发者抵制⁶。
Android 17 的侧载限制：Android 17 新增应用程序侧载的「开发者验证」流程，2026 年先在巴西、印尼、新加坡、泰国试行，2027 年扩大到更多地区⁷。

这些机制各有各的理由（防诈骗、防滥用、青少年保护），但效果相互叠加，使未获官方认可的系统越来越难用于日常。

Motorola 合作与 Pixel 的不确定未来¶

面对 Pixel 的不确定，GrapheneOS 开始找替代硬件。2026 年 3 月 1 日的 MWC 2026，GrapheneOS 与 Motorola 宣布长期合作，计画推出预载 GrapheneOS、支持 bootloader 解锁与重锁的机型⁸。这是 GrapheneOS 第一次把硬件出路铺到 Pixel 以外，具体机型与上市时间官方都还没公布。

回头看这次合作的起因，GrapheneOS 表示，正是 Google 停止公开 Pixel 共用的驱动程序原始码，才促成 Motorola 主动接洽⁹。Google 想把 Android 收得更紧，反而把一个原本绑在自家硬件上的项目推向了竞争对手。

至于 Pixel 本身，GrapheneOS 的说法是「不确定之后还会不会替新推出的 Pixel 加上支持」¹⁰。媒体据此推测 Pixel 11 可能是最后一款受官方支持的新 Pixel，但这是媒体的推论，GrapheneOS 官方并没有做出这个承诺，Pixel 11 之后的机型是否支持仍在未定之天。

谁决定手机上能执行什么系统¶

Google 收紧 AOSP、用 Play Integrity 决定哪些系统合格，Microsoft 跟着把不合格的系统排除，欧盟研议自己的认证框架，Android 17 要求侧载先过验证。这些机制累加下来，你手机上能执行什么系统、能装什么 app，能自己决定的部分越来越少。

这跟我们在从 Discord 年龄验证谈起：我们为什么自架 Matrix 与金融公司当起审查者谈过的是同一类问题。当关键的基础设施掌握在少数平台手中，规则由它们单方面决定，一般使用者难以参与，也难以脱离。手机作业系统是其中最贴身的一层，定位、通讯、相簿与身分都存在这一层上。

GrapheneOS 的价值，就在于它让使用者在原厂系统之外仍然有选择。它不完美，依赖 Pixel、可能被部分 app 拒绝执行、需要一定的学习成本，但它证明了这件事在技术上可行。

对华语区读者的意义¶

上述变化看似都在美国的 Google 与欧盟法规层面，但离华语区读者并不远。

Android 17 的侧载验证，2026 年第一批试验场就包含印尼、新加坡、泰国，APAC 是最早被纳入的地区之一⁷，这类政策后续往邻近地区扩大并不意外。另一个更切身的压力是 attestation。各地的网银、行动支付、政府服务 app 越来越常检查装置是不是原厂状态。在中国大陆，本地 app 早已普遍要求装置认证与实名，非官方系统一样容易被挡。对把手机当主要上网工具的人，选用 GrapheneOS 这类系统前，要先确认自己每天必用的 app 是否仍能正常执行。

如果你关心能不能拥有一台真正由自己掌握的手机，GrapheneOS 是现在最成熟的选项，也是观察 Google 后续动向最直接的视角。Google 接下来的每一步，都会影响 GrapheneOS 作为可行选项还能维持多久。

进一步了解 GrapheneOS¶

这篇谈的是处境与脉络。GrapheneOS 本身是什么、有哪些隐私与安全设计、为什么只支持 Pixel、跟匿名工具的界线在哪，整理在 GrapheneOS：高度隐私的行动作业系统。操作前也建议先读威胁模型如何建立与匿名与隐私的差别，厘清自己真正的需求，再评估 GrapheneOS 是否适合自己。

Android 17 release | Android Open Source Project - Android Open Source Project ↩
Google will develop the Android OS fully in private going forward - 9to5Google ↩
AOSP isn't dead, but Google just landed a huge blow to custom ROM developers - Android Authority ↩↩
GrapheneOS has been ported to Android 17 and official releases are coming soon - GrapheneOS Discussion Forum ↩↩
Microsoft tightens Authenticator checks on Android and iOS - The Register ↩
GrapheneOS calls on privacy-focused app developers to boycott European Unified Attestation - PiunikaWeb ↩
Android sideloading changes: here's the full timeline - Android Authority ↩↩
Motorola confirms GrapheneOS partnership for a future smartphone - 9to5Google ↩
GrapheneOS explains Motorola partnership origin & the uncertain future of Pixels - PiunikaWeb ↩
Pixel 11 could be the last new Pixel to gain GrapheneOS support - PiunikaWeb ↩

OONI 如何分辨坏掉的测量数据：从启发式规则到匿名凭证

anoni.net 社区 — Fri, 17 Jul 2026 00:00:00 +0000

OONI 如何分辨坏掉的测量数据：从启发式规则到匿名凭证¶

本文是 anoni.net 对下面这篇 OONI 工程文章的导读与摘要，带你逐节看懂原文在做什么，不是逐字翻译。原文另有约 20 张统计图与多份完整数据表，想看数据细节请直接读原文：

From Heuristics to Anonymous Credentials: Assessing OONI's Approach to Bad Measurements, OONI 2026-07-06

很多人靠 OONI 的公开数据集，判断「某个网站在某个国家连不连得上」，anoni.net 自己的 ASN 涵盖观测也建立在同一份数据上。只要有人往里面灌假数据，或设备设置错误产生误导性的纪录，这份数据的可信度就会被稀释。OONI 在最近一篇工程文章¹里完整说明，他们如何找出这些坏掉的测量，以及新上线的匿名凭证（anonymous credentials）系统如何在不保存个人数据的前提下挡掉滥用。这套「不留个人数据也能评估谁值得信任」的做法，本身就是一个值得社区参考的隐私工程范例，后面第五节会回到这点。

OONI（Open Observatory of Network Interference，开放网络干扰观测站）是一个全球的网络审查观测项目，手机 app OONI Probe 会连上一份网站清单，回报每个网站在当地连不连得上，结果一律进到公开数据集。任何人都能下载这份数据做分析，好处是开放，代价是任何人也都能往里面送数据。这篇文章要回答的问题，就是在开放投稿的前提下，如何辨认并过滤掉品质有问题的测量。

这篇文章想解决的问题¶

OONI 想先用手上已经有的数据，建立一套辨认坏测量的基准，再看新的匿名凭证系统能把这个基准往上推多少。这里说的启发式（heuristic）是一组简单、成本低的判断规则，不追求百分之百准确，先用几条经验法则把可疑的测量筛出来。全文分成三大块：先用这些简单规则检查既有数据能揪出多少问题（既有启发式与四类发现），再想能补上哪些更高级的规则（新启发式），最后处理找到坏数据之后要用什么机制应对（缓解策略与匿名凭证）。

一、既有的指针与启发式（Existing metrics and heuristics｜Approach & Methodology）¶

这一节先不动用任何新技术，只问一件事：光靠 OONI 现在就收得到的数据，能不能认出坏掉的测量？他们挑了四个不需要牺牲用户隐私的检查角度：IP 地理位置对不上、测量数量暴增、时间戳记兜不拢、操作系统与版本信息互相矛盾。每个角度原文都附了但书（caveat），说明什么情况下这个信号会误判。例如探针（probe）内置的 GeoIP 数据库可能过期，导致 probe_cc（探针回报的国码）本来就会跟真实 IP 对不上，分析时要先把这种正常误差滤掉。这一节是后面所有发现的方法论基础。

二、四类异常的实际发现（Assessment & Findings）¶

把上面四个角度实际套到数据上，得到四组发现。

IP 地理位置对不上¶

OONI 在 2025 年 3 月 19 到 21 日，于探针调用 /api/v1/check-in 端点时记录 log，比对探针自己回报的国码、ASN（自治系统编号）跟收集端看到的真实出口 IP。16,139 笔样本里有 1,196 笔对不上，约 7.41%。原文列出最常见的 10 组国码错配（回报国码对照真实 IP 所在国码）：

回报国码	真实 IP 国码	笔数
US 美国	CA 加拿大	89
CA 加拿大	RU 俄罗斯	49
CZ 捷克	US 美国	43
BS 巴哈马	US 美国	36
CA 加拿大	US 美国	30
CA 加拿大	SG 新加坡	30
CZ 捷克	GB 英国	25
CA 加拿大	KH 柬埔寨	18
AU 澳洲	KH 柬埔寨	18
US 美国	DE 德国	16

追下去发现绝大多数对不上的来源是 VPN。出现最多的供应商是 Datacamp、Cloudflare、M247 这些已知的 VPN 机房，其中「回报加拿大、真实 IP 在俄罗斯」那 49 笔全部来自 Cloudflare，对应的是用 WARP 这类 VPN 的用户。表格里多数组合都是同一个道理，探针以为自己在 A 国，真实流量却从 B 国的 VPN 出口冒出来。结论是这些不一致几乎都跟 VPN 有关，没有看到明显可归因于恶意窜改或探针设置错误的量。

测量数量暴增¶

他们看每个探针在 1 分钟内产出多少笔测量，正常的平均是 8 笔，99 百分位是 54 笔。筛出每分钟超过 200 笔的极端案例后，发现一个自称 ooniprobe-react-os、并非 OONI 官方发行版本的客户端。它只针对 probe_cc = CN（中国）送数据，以每分钟 200 笔（相当于每秒 3 笔）的速度送出 web_connectivity 测量，速率远超正常范围。更反常的是，这个来源送出测量的速度比同地区其他探针还快，量这么大却没有出现对应的网络瓶颈。另一个案例是缅甸在 2025 年 1 月 6 日出现的阵发性暴增。

时间戳记兜不拢¶

比对测量开始时间 measurement_start_time 跟 measurement_uid 里内含的时间戳，看有没有「太晚上传」或「时间来自未来」的纪录。2025 年 3 月 2 日到 4 月 1 日这段，3,440 多万笔测量里只有 0.82% 有时间异常，多数是过去、集中在 Linux。原文依平台拆解如下，Linux 的异常率 2.16% 明显高于其他平台：

平台	过去异常（>1h）	未来异常（>1h）	异常合计	该平台总量	异常率
ios	2,375	0	2,375	240,843	0.99%
windows	34,192	24,938	59,130	10,503,040	0.56%
android	21,132	5,509	26,641	10,389,320	0.26%
macos	906	0	906	3,103,961	0.03%
linux	185,322	7,908	193,230	8,947,716	2.16%

这里有一个很具体的例子：大量异常来自委内瑞拉同一个 ASN，OONI 联系上当地伙伴后发现，是那批设备的时区被设错了。把委内瑞拉排除后，Linux 的异常数字大幅下降，其他平台几乎不变。设置错误就足以产生误导性的纪录，不必然是恶意。

操作系统与版本信息互相矛盾¶

检查软件名称跟平台兜不兜得起来，例如 software_name = ooniprobe-android 却标成 iOS。找到 718 笔 Android 软件运作于非 Android 平台上，其中一部分追出来是 OONI 团队成员自己开发用的机器，另一部分又是前面那个中国来源的 ooniprobe-react-os。他们也列出几个没见过的软件名称（Vladhog、murakami-ooniprobe、MySorgenia、Dismantle 等），逐一查证是什么来路。很多看起来可疑的数据，多半来自开发过程或第三方 fork，跟攻击无关。

四类发现合起来给出一个让人安心的结论：OONI 目前没有在数据里找到大量恶意污染，绝大多数异常来自 VPN、设置错误、开发机器或非官方分支。防御机制要做，但威胁目前不是迫在眉睫的大规模攻击。

这个结论对我们有直接意义。anoni.net 的 ASN 涵盖分析、Tor Relay 观测点都建立在 OONI 公开数据上，看到源头没有被大量污染，用起来可以比较放心。同时这四类发现也提醒我们，读 ASN 数据时 probe_cc 不等于当地实际的连接状况（ground truth）。VPN 造成的地理错配、时区设错这类噪声本来就存在，做分析时要记得先滤掉。

三、想再补上的新启发式（New heuristics）¶

既有规则之外，OONI 想再加几种更高级的检测。定位一直是最大的难题，因为 GeoIP 数据库由探针自己查、又会过期。他们考虑的补强包括：向手机操作系统取得移动网络的国码与运营商代码（MCC/MNC）、询问操作系统的定位服务、或改在服务器端做 IP 到地点的对照。每种做法原文都附了限制，例如服务器端对照会被翻墙工具挡在中间、看不到真实 IP，问定位权限则可能引起用户疑虑。另外还想加上网络层与协定层的异常检测，例如从 TLS 交握的指纹认出中间人设备（像是改写流量的杀毒软件）。

四、找到坏数据之后如何处理（Strategies for mitigating faulty measurements）¶

检测只是第一步，接下来是处置。OONI 定了两条原则。第一，最终判定一笔测量是不是坏数据，要有人类审查介入，避免自动化把好数据误杀。第二，除非牵涉用户隐私，否则绝不回头修改已经送进来的数据。因为要有人类把关，处置只能在坏数据已经进入数据管线之后才做。可用的手段包括封锁行为异常的假名（pseudonym）、对投稿做限流、动态调整某地区某时段能接受的投稿量、或轮换签发密钥。这里的假名是匿名凭证系统给「同一个网络里的一台探针」的识别，同一网络内固定、跨网络无法被串连，也对应不到某个人的真实身分，第五节会说明它如何做到。文章也诚实点出两难：如果规定「只有半年以上的探针才能投稿」来挡 sybil 攻击（大量假身分灌数据），也会连带影响到正常新探针的投稿。

五、匿名凭证系统如何运作（Assessing the effectiveness of the solution）¶

匿名凭证系统是整篇的重点。先看「土法炼钢」的做法会遇到什么坑：给每个探针一个 ID、服务器端做白名单。问题是就算随机 ID，只要固定不变就足以辨识出单一探针，本身就是隐私灾难，而且探针换一个新 ID 就能绕过，变成打地鼠。如何在不长期保存个人数据的前提下，同时做到访问控制与信任评分，就成了这套系统要解决的核心矛盾。

这套机制用一个生活化的比喻就好懂。像酒吧门口只要你出示一张「证明我已成年」的证件，店员确认过关就好，不需要知道你叫什么、住哪里、生日是哪天。OONI 的凭证则用来证明另一组事情，这台探针的资历够老、投稿数量够多。

凭证由服务器签发，只存在探针本地、不存在服务器，也不会再次外传。它用密码学把探针的资历（age）与投稿数（msm_count）编码进去，而且只证明落在某个「区间」，例如「投稿超过 1000 笔」、「存在超过一周」，不透露精确值。用区间而非精确数字是刻意的设计，因为精确的投稿数几乎是独一无二的指纹，会反过来让探针被认出来，粗略的区间才不会泄漏身分。

投稿时，探针用凭证产生一段零知识证明（一种只证明某件事为真、但不透露细节的密码学方法），服务器只看到证明本身、看不到底下的真实数值，就能判断这笔测量符不符合访问规则，例如「某个国家、某个 ASN 的探针，要投稿满 1000 笔才收」。信任分数还会锁定在特定的国码与 ASN 组合，一台探针在某个网络累积的信誉，不能跨到另一个网络使用，这正是为了防止有人在低门槛网络先养好凭证、再拿去攻击别的网络。

具体走一遍会像这样：一台全新的探针一开始资历浅、投稿数低，很多严格规则都还进不去，只能先老实执行测量。每投一笔，服务器在验证通过后回一张更新过的凭证，把投稿数往上加一。日子久了、量累积够了，这台探针跨过「满一周」、「满 1000 笔」的门槛，之后送的测量就能被标成 verified。整个过程里，OONI 从头到尾没取得这台探针的固定 ID，也没存下它的任何个人数据。

那有人会问，既然凭证只存在探针本地，拷贝一百份不就能假装成一百台各有信誉的探针？关键在前面说的网络内固定这个性质。同一个网络里，同一份凭证推导出来的假名是同一个，拷贝再多份，在同一个网络里仍然被看成同一台探针，不会变成一百个各自独立的可信身分。OONI 也很坦白，光靠凭证不能完全解决 sybil 攻击，彻底的防御要靠应用层的手段，例如限制新帐号注册速率、对每个区域的投稿量设上限。凭证的作用是提高攻击成本，逼对手先养出一批够老、送过够多测量的探针，没那么容易。

每笔测量最后会被标成 verified、unverified 或 failed 三种状态，数据用户可以自己决定要采信到什么程度。这套系统上线后，有些效果要长期观察才看得出来。OONI 会持续追踪 verified、unverified、failed 三类测量的比例变化，用来诊断是不是某次客户端更新让协定实现出现错误、或老探针没更新。他们也会统计各协定版本的探针数量，以及在服务器端执行一笔验证要花多少时间，及早抓出性能退化。

回到社区的角度，这套系统对 anoni.net 读者的价值不只在 OONI 自己。「如何在不保存个人数据的前提下做访问控制与信任评分」是很多系统都会遇到的难题，OONI 用区间揭露、凭证只存本地、放弃精准封锁来换取匿名性，这套取舍思路对关心隐私设计的人是很好的教材，也呼应我们社区个人隐私指引的主题。

小结：这份数据能不能放心用¶

OONI 的公开数据目前没有被大量恶意污染，看到的异常多半来自 VPN、时区设错、开发机器这类无心之过，可以放心继续用它来理解各地（包括你所在地区）的封锁状况。想更深入匿名凭证背后的密码学，OONI 另有两篇姊妹篇可以接着读：一篇谈这套系统的设计需求²，一篇宣布系统上线³。

原文十个大节回顾¶

看完全文，这张表把原文十个大节的重点与关键数字收在一起，方便日后回查或跳读。

原文大节	重点	关键数字或结论
Existing metrics and heuristics｜Approach	用既有数据建立检测基准	四个不牺牲隐私的检查角度
IP geolocation mismatches	探针回报位置对照真实 IP	7.41% 对不上，多数是 VPN
Measurement volume anomalies	单一探针投稿速率暴增	中国 `ooniprobe-react-os` 每秒 3 笔
Timestamp inconsistencies	测量时间戳前后兜不拢	0.82% 异常，委内瑞拉时区设错
Probe OS, version metadata	软件名称与平台互相矛盾	718 笔，含团队开发机
New heuristics	想再补上的高级检测	MCC/MNC、服务器端 GeoIP、TLS 指纹
Mitigation strategies	找到坏数据之后的处置	人类把关、不回改、限流、挡 sybil
Naive solution	土法炼钢会踩的坑	固定 ID 就能去匿名，还会变打地鼠
Anonymous credentials solution	凭证式信任评分	区间揭露、只存本地、没有固定 ID
Future validation	长期验证指针	追踪 verified/unverified/failed 比例

名词对照¶

原文用了不少 OONI 专有字段名词，这里整理一份对照，方便对照原文阅读。

名词	说明
启发式（heuristic）	一组简单、成本低的判断规则，不追求完美，先把可疑的测量筛出来
OONI Probe	OONI 的手机与桌面 app，会去连一份网站清单、回报每个网站在当地连不连得上
probe（探针）	运行测量的设备或程序
`probe_cc`	探针回报的国码（country code）
`probe_asn`	探针回报的 ASN
ASN	自治系统编号（Autonomous System Number），一段 IP 地址的管理单位，通常对应一家 ISP 或机构
`msm_count`	该探针累积投稿的测量数（measurement count）
check-in 端点	探针开始测量前调用的 API，会回报自己的国码与 ASN
`web_connectivity`	OONI 最常见的测试，测某个网站在当地连不连得上
ground truth	当地实际的连接状况，拿来跟探针回报的数据对照的「真实答案」
sybil 攻击	用大量假身分灌数据、扭曲观测结果的攻击
pseudonym（假名）	匿名凭证下代表「同区域、同 IP」一群探针的识别，不是个人身分 ID
verified、unverified、failed	匿名凭证系统给每笔测量的三种信任标记

COSCUP 2026 匿名网络社群议程轨：8/08、8/09 两天，免费入场、走进教室就能参加

anoni.net 社区 — Mon, 13 Jul 2026 00:00:00 +0000

COSCUP 2026 匿名网络社群议程轨：8/08、8/09 两天，免费入场、走进教室就能参加¶

记者要保护消息来源、公民团体要守住成员名单与捐款人数据的安全、开发者想确认手上的工具真的挡得住监控，也有被诈骗短信吓过、被广告一路持续追踪而想拿回一点主导权的一般人。在审查与监控扩散的环境里，这些需求落在同一组风险上，通信可能被拦截、身份可能被追踪，一笔转账的时间与金额就足以反推出整张关系网。

匿名网络社群把这一年在 Tor、Tails、OONI 这些开源隐私与反审查工具，以及个人隐私、匿名支付上累积的实现经验，带进 COSCUP 2026 的开源社群现场。8/08、8/09 两天，我们在台湾科技大学开了一整条社群议程轨，从网络与审查如何运作谈起，一路到现实世界的开源隐私工具、校园 Tor 节点、浏览器追踪、健保数据库的个资权利，以及和 ETHTaipei（台北以太坊社群）合办的匿名支付场。不论你是来找马上能用的工具，还是想一起贡献开源项目，都能挑到对应的场次。

活动信息

日期：2026/08/08（六）、2026/08/09（日）
地点：国立台湾科技大学（NTUST），社群议程轨在 TR-510，8/08 下午与 ETHTaipei 合办场在 TR-511
入场：COSCUP 免费入场，社群议程轨不需另外报名，当天到场即可参与
参加方式：当天可自由选听场次、中途进出，不需全程参与。交通与教室位置以 COSCUP 官方场地信息为准，议程时间到活动前仍可能微调，以 COSCUP 官方议程为准

看完整议程与各场摘要

走进教室就好，可以「匿名」来参加

一个推广匿名的社群，参加方式本身也可以匿名，你不必为了听议程留下任何个人信息。如果你正在为隐私、匿名的需求找解法，非常欢迎直接走进 TR-510（8/08 下午的匿名支付场在 TR-511），从这次的议程里挑到适合自己的场次，中场也欢迎来跟讲者和社群成员聊聊。

两天议程重点¶

议程刻意做成从入门到协议层（偏底层的技术实现）都有，可以照自己的背景挑场次，完整的十六场议程与各场摘要都放在活动页。

8/08 上午，四场开源匿名网络导论（TR-510）。前三场由社群成员担纲，第四场是邀请议程。四场都特别适合公民团体、新闻媒体与独立记者，也适合第一次接触这些主题的人。四场从入门角度切入，扣着开源主轴，介绍匿名网络社群在做什么、如何用威胁模型（先想清楚要防的是谁）与 Metadata（谁在什么时间联系了谁的纪录）判断自己该防谁、记者与 NGO 现实中在用哪些开源工具，以及如何以开放标准的可验证凭证证明资格，而不必揭露身分。

8/08 下午，和 ETHTaipei 合办的匿名支付场（TR-511）。五场议程把技术含量拉到协议层，从零知识证明结合自然人凭证、KYC 的隐私保护流程、链上隐匿地址，一路到隐私加密金流与实现工作坊。这几场偏技术，没有区块链背景的读者可以先听上午谈匿名资格验证的那场，下午前两场正好是它在协议层的实现，再决定要不要进来。上午社群导论谈「为什么要用」，下午接续展开「如何实现」，NGO 与记者能了解捐款金流的隐私风险，开发者能看到协议层的实现，欢迎在两个议程轨之间跨场。

8/09 全天，七场录取议程（TR-510）。题材从网络与审查如何运作的基础，到 OpenWRT（开源路由器系统）家用网络、台师大 Tor 节点创建实务、浏览器指纹追踪、健保数据库的停止利用权（不同意个资被挪作其他用途的权利），再到涵盖个人到组织的隐私指南 2026。技术场与贴近生活的场交错，开发者、记者、公民团体都找得到适合自己的场。

依你的身份，从这几场开始¶

新闻媒体、独立记者：先听 8/08 上午「现实世界的开源隐私工具」与「威胁模型与 Metadata 入门」，8/09 下午的「浏览器追踪技术、反追踪策略」会拆解你每天用的浏览器如何泄漏你联系过谁，可延伸看记者保护消息来源。
公民团体、NGO：8/08 上午四场导论最贴近组织处境，想评估匿名捐款管道，下午 ETHTaipei 合办场的「我不洗钱，为何要理解匿名支付？」是白话入门，不需要加密货币背景。
开源、科技社群：8/09 技术含量最高，OpenWRT、台师大 Tor 节点、浏览器指纹研究都能实际操作，8/08 下午的零知识证明与隐匿地址是协议层最扎实的内容。想一起贡献见如何参与。
想拿回上网主导权的一般人：8/09 下午「浏览器追踪技术、反追踪策略」拆解你每天用的浏览器如何被追踪，「隐私指南 2026」给出从个人到设备的实用防护。8/09 上午「The Workings of the Internet」用寄明信片的比喻，说清楚你连上网站时路上有谁能偷看，英文进行、但不预设技术背景。

八月，台科大见¶

不用等到活动当天才认识我们。想先了解社群、或想一起把 Tor、OONI、翻译与节点架设做起来，都可以先从如何参与与认领主题开始。活动当天，带着同事、伙伴一起走进 TR-510 就好。

COSCUP 2026 匿名网络社群议程轨：两天完整议程、各场摘要与讲者简介
COSCUP 2026 公开征稿：征稿主题、跨社群合作与投稿说明
延续 2025，走向 2026：个人隐私指引、Tor Relay 校园创建竞赛、匿名支付探索
关于我们

活动更新与联系

议程细节与时间到活动前仍可能调整，最新时间请以 COSCUP 官方议程为准。想收到社群活动通知，欢迎持续关注我们的电子报与联系管道。

出国前数字安全：把该问的问题，带回去问你自己的 AI

anoni.net 社区 — Wed, 10 Jun 2026 00:00:00 +0000

出国前数字安全：把该问的问题，带回去问你自己的 AI¶

出国前大家都会查签证、插头、换汇，却很少有人查「我要去的地方，网络被怎么管？我的工作在那里合不合法？出事打给谁？」对记者、人权工作者、NGO 成员与研究者来说，这些才是真正影响安全的问题，难的是出发前你根本不知道该问什么。

这些答案散在各种审查测量、各国外交部公告与新闻里，平常没人会一条一条去翻。AI 助理很适合把这种数据收拢成一份，但真正派得上用场的问题，自己不一定想得到，像是「入境时海关会不会搜你的手机、要不要你交出密码」，或「落地后哪些 VPN 还能用、Signal 连不连得上」。问错问题，AI 只会给你观光客视角的答案。

所以我们新做了一页，把这些「该问的问题」整理成一包可以直接复制的 prompt。你复制后带回去问你自己信任的 AI（你平常用的 ChatGPT、Claude，或自行架设的本地模型都行），让它帮你把目的地的审查、法律、SIM 与紧急联络整理成一份行前概况。

这样分工下，你的目的地和身分这种敏感信息不会送到我们的服务器。要问什么是公开、固定的，谁都能检查。同一包问题对任何国家都适用，换一个目的地不用重来。

完整的开场 prompt 与十几个调查问题都在出国前数字安全：用 AI 自助生成目的地概况，照着复制就能开始。如果你的目的地在东亚、东南亚，我们另外整理了一份预先填好十四地的对照表出差与研讨会的数字准备，两页可以互相对照。

有特定目的地的实地经验想分享，欢迎到 Matrix 公开 room 讨论，或匿名寄到 whisper@anoni.net。

我们普查了 336 条 OONI Run v2 清单，3 条就占了全网 72% 的检测量

anoni.net 社区 — Tue, 02 Jun 2026 00:00:00 +0000

我们普查了 336 条 OONI Run v2 清单，3 条就占了全网 72% 的检测量¶

全世界的 OONI Run v2 累积产出 1,417 万笔检测，其中 3 条清单就占了 72%。占比最高的几条清单用了同一种作法，每条只针对一个特定的审查或封锁现象，再用一个持续运行的测量后端定期运行、长期累积数据。我们对全部 Run v2 做了一次普查，量出集中的程度，也整理出这套作法对想做本地连接观测的社区有什么参考价值。

OONI（Open Observatory of Network Interference，开放网络干扰观测站）是一个全球的网络审查观测项目，它的手机 app OONI Probe 会去连一份网站清单，回报每个网站在当地连不连得上。OONI Run v2 则让任何人都能自己编一份想观测的网站清单、产生一条链接，别人用 OONI Probe 点开链接就能照这份清单测一轮，结果一律进到 OONI 的公开数据集。这个功能不必写程序就能定义自己的观测目标，但知道、用过的人并不多，这也是我们想盘点它实际如何被使用的原因。

我们做了什么普查¶

我们以 2026-06-01 为快照，盘点了 OONI Run v2 上全部存活的 336 条检测链接，逐条用 OONI 的 aggregation API¹ 取得每条检测链接的生涯检测量，再依清单主题分群。下面的数字都以这个快照为准，数据源与前提整理在文末。

母体有多大：337 条，两年¶

OONI Run v2 从 2024-04-24 第一条检测链接上线到现在约 26 个月，全世界总共只创建过 337 条检测链接（其中 1 条已被删除，现存 336 条）。创建数在 2024 年 10 到 12 月冲高，之后稳定在每月 10 到 19 条之间。157 个不重复作者参与，332 条走网络连接测试（Web Connectivity），几乎清一色在测网站可达性。

每月新建的 Run v2 检测链接数量 {"description":"OONI Run v2 links created per month","data":{"values":[{"m":"2024-04","n":4},{"m":"2024-06","n":1},{"m":"2024-07","n":1},{"m":"2024-09","n":3},{"m":"2024-10","n":23},{"m":"2024-11","n":54},{"m":"2024-12","n":28},{"m":"2025-01","n":14},{"m":"2025-02","n":9},{"m":"2025-03","n":19},{"m":"2025-04","n":16},{"m":"2025-05","n":11},{"m":"2025-06","n":9},{"m":"2025-07","n":18},{"m":"2025-08","n":14},{"m":"2025-09","n":17},{"m":"2025-10","n":8},{"m":"2025-11","n":8},{"m":"2025-12","n":19},{"m":"2026-01","n":10},{"m":"2026-02","n":12},{"m":"2026-03","n":14},{"m":"2026-04","n":10},{"m":"2026-05","n":14}]},"mark":{"type":"bar","tooltip":true,"color":"#00aeff"},"encoding":{"x":{"field":"m","type":"ordinal","title":"月份","axis":{"labelAngle":-45}},"y":{"field":"n","type":"quantitative","title":"新建检测链接数"}}}

对一个全球性的审查观测工具来说，两年 337 条是个不大的数字。只看创建数，很容易得到「Run v2 没什么人用」的结论，下一段的使用量数据会推翻它。

使用量极度集中：基尼系数 0.981¶

把 336 条检测链接的生涯检测量加起来是 14,171,627 笔。总量不算少，问题在分布极不平均。以检测量计算的基尼系数（Gini coefficient）是 0.981，几乎逼近完全不均的 1.0。

为什么用基尼系数

基尼系数原本用来衡量所得分配的不平均，数值介于 0 到 1，把整个分布的集中程度浓缩成一个数字。0 代表完全平均，每条检测链接产出一样多的检测。1 代表完全集中，所有检测都来自同一条检测链接。

用在这里很合适，因为每条检测链接的检测量都是非负的数量，要回答的问题刚好是全网检测量有多集中在少数检测链接上。基尼系数在数学上等于洛伦兹曲线（Lorenz curve）与对角线之间的面积（再除以对角线下方的总面积），所以下面那张洛伦兹曲线越贴着底边，基尼系数就越接近 1。0.981 代表分布已经很接近「少数检测链接占掉几乎全部检测」的极端。

单一数字看不出是哪几条检测链接、长尾长什么样，所以这里同时附上洛伦兹曲线与分级分布两张图，把集中的形状也摊出来。

检测量的洛伦兹曲线（虚线为完全平均的对角线） {"description":"Lorenz curve of measurement volume across Run v2 links","layer":[{"data":{"values":[{"x":0,"y":0},{"x":100,"y":100}]},"mark":{"type":"line","color":"#546e7a","strokeDash":[4,4]},"encoding":{"x":{"field":"x","type":"quantitative"},"y":{"field":"y","type":"quantitative"}}},{"data":{"values":[{"x":0.0,"y":0.0},{"x":0.3,"y":0.0},{"x":0.6,"y":0.0},{"x":0.89,"y":0.0},{"x":1.19,"y":0.0},{"x":1.49,"y":0.0},{"x":1.79,"y":0.0},{"x":2.08,"y":0.0},{"x":2.38,"y":0.0},{"x":2.68,"y":0.0},{"x":2.98,"y":0.0},{"x":3.27,"y":0.0},{"x":3.57,"y":0.0},{"x":3.87,"y":0.0},{"x":4.17,"y":0.0},{"x":4.46,"y":0.0},{"x":4.76,"y":0.0},{"x":5.06,"y":0.0},{"x":5.36,"y":0.0},{"x":5.65,"y":0.0},{"x":5.95,"y":0.0},{"x":6.25,"y":0.0},{"x":6.55,"y":0.0},{"x":6.85,"y":0.0},{"x":7.14,"y":0.0},{"x":7.44,"y":0.0},{"x":7.74,"y":0.0},{"x":8.04,"y":0.0},{"x":8.33,"y":0.0},{"x":8.63,"y":0.0},{"x":8.93,"y":0.0},{"x":9.23,"y":0.0},{"x":9.52,"y":0.0},{"x":9.82,"y":0.0},{"x":10.12,"y":0.0},{"x":10.42,"y":0.0},{"x":10.71,"y":0.0},{"x":11.01,"y":0.0},{"x":11.31,"y":0.0},{"x":11.61,"y":0.0},{"x":11.9,"y":0.0},{"x":12.2,"y":0.0},{"x":12.5,"y":0.0},{"x":12.8,"y":0.0},{"x":13.1,"y":0.0},{"x":13.39,"y":0.0},{"x":13.69,"y":0.0},{"x":13.99,"y":0.0},{"x":14.29,"y":0.0},{"x":14.58,"y":0.0},{"x":14.88,"y":0.0},{"x":15.18,"y":0.0},{"x":15.48,"y":0.0},{"x":15.77,"y":0.0},{"x":16.07,"y":0.0},{"x":16.37,"y":0.0},{"x":16.67,"y":0.0},{"x":16.96,"y":0.0},{"x":17.26,"y":0.0},{"x":17.56,"y":0.0},{"x":17.86,"y":0.0},{"x":18.15,"y":0.0},{"x":18.45,"y":0.0},{"x":18.75,"y":0.0},{"x":19.05,"y":0.0},{"x":19.35,"y":0.0},{"x":19.64,"y":0.0},{"x":19.94,"y":0.0},{"x":20.24,"y":0.0},{"x":20.54,"y":0.0},{"x":20.83,"y":0.0},{"x":21.13,"y":0.0},{"x":21.43,"y":0.0},{"x":21.73,"y":0.0},{"x":22.02,"y":0.0},{"x":22.32,"y":0.0},{"x":22.62,"y":0.0},{"x":22.92,"y":0.0},{"x":23.21,"y":0.0},{"x":23.51,"y":0.0},{"x":23.81,"y":0.0},{"x":24.11,"y":0.0},{"x":24.4,"y":0.0},{"x":24.7,"y":0.0},{"x":25.0,"y":0.0},{"x":25.3,"y":0.0},{"x":25.6,"y":0.0},{"x":25.89,"y":0.0},{"x":26.19,"y":0.0},{"x":26.49,"y":0.0},{"x":26.79,"y":0.0},{"x":27.08,"y":0.0},{"x":27.38,"y":0.0},{"x":27.68,"y":0.0},{"x":27.98,"y":0.0},{"x":28.27,"y":0.0},{"x":28.57,"y":0.0},{"x":28.87,"y":0.0},{"x":29.17,"y":0.0},{"x":29.46,"y":0.0},{"x":29.76,"y":0.0},{"x":30.06,"y":0.0},{"x":30.36,"y":0.0},{"x":30.65,"y":0.0},{"x":30.95,"y":0.0},{"x":31.25,"y":0.0},{"x":31.55,"y":0.0},{"x":31.85,"y":0.0},{"x":32.14,"y":0.0},{"x":32.44,"y":0.0},{"x":32.74,"y":0.0},{"x":33.04,"y":0.0},{"x":33.33,"y":0.0},{"x":33.63,"y":0.0},{"x":33.93,"y":0.0},{"x":34.23,"y":0.0},{"x":34.52,"y":0.0},{"x":34.82,"y":0.0},{"x":35.12,"y":0.0},{"x":35.42,"y":0.0},{"x":35.71,"y":0.0},{"x":36.01,"y":0.0},{"x":36.31,"y":0.0},{"x":36.61,"y":0.0},{"x":36.9,"y":0.0},{"x":37.2,"y":0.0},{"x":37.5,"y":0.0},{"x":37.8,"y":0.0},{"x":38.1,"y":0.0},{"x":38.39,"y":0.0},{"x":38.69,"y":0.0},{"x":38.99,"y":0.0},{"x":39.29,"y":0.0},{"x":39.58,"y":0.0},{"x":39.88,"y":0.0},{"x":40.18,"y":0.0},{"x":40.48,"y":0.0},{"x":40.77,"y":0.0},{"x":41.07,"y":0.0},{"x":41.37,"y":0.0},{"x":41.67,"y":0.0},{"x":41.96,"y":0.0},{"x":42.26,"y":0.001},{"x":42.56,"y":0.001},{"x":42.86,"y":0.001},{"x":43.15,"y":0.001},{"x":43.45,"y":0.001},{"x":43.75,"y":0.001},{"x":44.05,"y":0.001},{"x":44.35,"y":0.001},{"x":44.64,"y":0.001},{"x":44.94,"y":0.001},{"x":45.24,"y":0.001},{"x":45.54,"y":0.001},{"x":45.83,"y":0.001},{"x":46.13,"y":0.001},{"x":46.43,"y":0.002},{"x":46.73,"y":0.002},{"x":47.02,"y":0.002},{"x":47.32,"y":0.002},{"x":47.62,"y":0.002},{"x":47.92,"y":0.002},{"x":48.21,"y":0.002},{"x":48.51,"y":0.003},{"x":48.81,"y":0.003},{"x":49.11,"y":0.003},{"x":49.4,"y":0.003},{"x":49.7,"y":0.003},{"x":50.0,"y":0.003},{"x":50.3,"y":0.004},{"x":50.6,"y":0.004},{"x":50.89,"y":0.004},{"x":51.19,"y":0.004},{"x":51.49,"y":0.004},{"x":51.79,"y":0.005},{"x":52.08,"y":0.005},{"x":52.38,"y":0.005},{"x":52.68,"y":0.006},{"x":52.98,"y":0.006},{"x":53.27,"y":0.006},{"x":53.57,"y":0.007},{"x":53.87,"y":0.007},{"x":54.17,"y":0.007},{"x":54.46,"y":0.008},{"x":54.76,"y":0.008},{"x":55.06,"y":0.009},{"x":55.36,"y":0.009},{"x":55.65,"y":0.01},{"x":55.95,"y":0.01},{"x":56.25,"y":0.011},{"x":56.55,"y":0.011},{"x":56.85,"y":0.012},{"x":57.14,"y":0.013},{"x":57.44,"y":0.013},{"x":57.74,"y":0.014},{"x":58.04,"y":0.015},{"x":58.33,"y":0.016},{"x":58.63,"y":0.016},{"x":58.93,"y":0.017},{"x":59.23,"y":0.018},{"x":59.52,"y":0.019},{"x":59.82,"y":0.02},{"x":60.12,"y":0.021},{"x":60.42,"y":0.022},{"x":60.71,"y":0.024},{"x":61.01,"y":0.025},{"x":61.31,"y":0.026},{"x":61.61,"y":0.027},{"x":61.9,"y":0.028},{"x":62.2,"y":0.03},{"x":62.5,"y":0.031},{"x":62.8,"y":0.033},{"x":63.1,"y":0.034},{"x":63.39,"y":0.036},{"x":63.69,"y":0.038},{"x":63.99,"y":0.04},{"x":64.29,"y":0.042},{"x":64.58,"y":0.044},{"x":64.88,"y":0.046},{"x":65.18,"y":0.048},{"x":65.48,"y":0.05},{"x":65.77,"y":0.052},{"x":66.07,"y":0.054},{"x":66.37,"y":0.057},{"x":66.67,"y":0.059},{"x":66.96,"y":0.061},{"x":67.26,"y":0.064},{"x":67.56,"y":0.066},{"x":67.86,"y":0.069},{"x":68.15,"y":0.071},{"x":68.45,"y":0.074},{"x":68.75,"y":0.077},{"x":69.05,"y":0.079},{"x":69.35,"y":0.082},{"x":69.64,"y":0.085},{"x":69.94,"y":0.089},{"x":70.24,"y":0.092},{"x":70.54,"y":0.095},{"x":70.83,"y":0.099},{"x":71.13,"y":0.102},{"x":71.43,"y":0.106},{"x":71.73,"y":0.109},{"x":72.02,"y":0.113},{"x":72.32,"y":0.116},{"x":72.62,"y":0.12},{"x":72.92,"y":0.123},{"x":73.21,"y":0.127},{"x":73.51,"y":0.13},{"x":73.81,"y":0.134},{"x":74.11,"y":0.138},{"x":74.4,"y":0.142},{"x":74.7,"y":0.146},{"x":75.0,"y":0.15},{"x":75.3,"y":0.155},{"x":75.6,"y":0.159},{"x":75.89,"y":0.164},{"x":76.19,"y":0.168},{"x":76.49,"y":0.173},{"x":76.79,"y":0.178},{"x":77.08,"y":0.183},{"x":77.38,"y":0.189},{"x":77.68,"y":0.194},{"x":77.98,"y":0.2},{"x":78.27,"y":0.206},{"x":78.57,"y":0.212},{"x":78.87,"y":0.218},{"x":79.17,"y":0.225},{"x":79.46,"y":0.232},{"x":79.76,"y":0.239},{"x":80.06,"y":0.247},{"x":80.36,"y":0.255},{"x":80.65,"y":0.263},{"x":80.95,"y":0.27},{"x":81.25,"y":0.279},{"x":81.55,"y":0.287},{"x":81.85,"y":0.297},{"x":82.14,"y":0.307},{"x":82.44,"y":0.318},{"x":82.74,"y":0.33},{"x":83.04,"y":0.342},{"x":83.33,"y":0.355},{"x":83.63,"y":0.369},{"x":83.93,"y":0.384},{"x":84.23,"y":0.4},{"x":84.52,"y":0.415},{"x":84.82,"y":0.432},{"x":85.12,"y":0.449},{"x":85.42,"y":0.466},{"x":85.71,"y":0.484},{"x":86.01,"y":0.501},{"x":86.31,"y":0.526},{"x":86.61,"y":0.551},{"x":86.9,"y":0.577},{"x":87.2,"y":0.603},{"x":87.5,"y":0.631},{"x":87.8,"y":0.659},{"x":88.1,"y":0.688},{"x":88.39,"y":0.718},{"x":88.69,"y":0.751},{"x":88.99,"y":0.787},{"x":89.29,"y":0.831},{"x":89.58,"y":0.88},{"x":89.88,"y":0.929},{"x":90.18,"y":0.979},{"x":90.48,"y":1.031},{"x":90.77,"y":1.084},{"x":91.07,"y":1.139},{"x":91.37,"y":1.205},{"x":91.67,"y":1.277},{"x":91.96,"y":1.348},{"x":92.26,"y":1.428},{"x":92.56,"y":1.512},{"x":92.86,"y":1.602},{"x":93.15,"y":1.701},{"x":93.45,"y":1.808},{"x":93.75,"y":1.93},{"x":94.05,"y":2.061},{"x":94.35,"y":2.194},{"x":94.64,"y":2.357},{"x":94.94,"y":2.584},{"x":95.24,"y":2.845},{"x":95.54,"y":3.226},{"x":95.83,"y":3.625},{"x":96.13,"y":4.345},{"x":96.43,"y":5.089},{"x":96.73,"y":5.86},{"x":97.02,"y":6.696},{"x":97.32,"y":7.642},{"x":97.62,"y":9.124},{"x":97.92,"y":10.954},{"x":98.21,"y":13.384},{"x":98.51,"y":16.34},{"x":98.81,"y":20.45},{"x":99.11,"y":25.634},{"x":99.4,"y":31.675},{"x":99.7,"y":53.505},{"x":100.0,"y":100.0}]},"mark":{"type":"line","color":"#00aeff","tooltip":true},"encoding":{"x":{"field":"x","type":"quantitative","title":"累积检测链接百分比（由检测量最少排到最多）","scale":{"domain":[0,100]}},"y":{"field":"y","type":"quantitative","title":"累积检测量百分比","scale":{"domain":[0,100]}}}}]}

洛伦兹曲线几乎贴着底边走，到最后一段才垂直拉起。检测量最少的 90% 检测链接加起来只占全网的 0.93%，最少的 99% 也只占 20.45%。排在最前面的 4 条检测链接就占约 79.5%，单单第一名（DW 的 Global media，编号 10006）占 46.5%。

每条检测链接的生涯检测量落在哪个级距 {"description":"Distribution of lifetime measurement counts per link","data":{"values":[{"bucket":"= 0","links":112,"share":0.0,"order":0},{"bucket":"1–99","links":81,"share":0.0,"order":1},{"bucket":"100–999","links":73,"share":0.2,"order":2},{"bucket":"1k–9999","links":41,"share":1.0,"order":3},{"bucket":"1万–9.9万","links":15,"share":2.4,"order":4},{"bucket":"10万–99万","links":12,"share":28.0,"order":5},{"bucket":"100万+","links":2,"share":68.3,"order":6}]},"mark":{"type":"bar","tooltip":true,"color":"#0089bf"},"encoding":{"x":{"field":"bucket","type":"ordinal","sort":{"field":"order"},"title":"生涯检测量级距","axis":{"labelAngle":-30}},"y":{"field":"links","type":"quantitative","title":"检测链接数"},"tooltip":[{"field":"bucket","title":"级距"},{"field":"links","title":"检测链接数"},{"field":"share","title":"占总检测量 %"}]}}

长尾的另一头，336 条检测链接里有 112 条（33%）生涯检测量是 0，建好后几乎没被执行过。有 193 条（57%）不到 100 笔，整体中位数只有 27 笔。多数 Run v2 检测链接被建出来、执行几次就停下。

数据集中在哪些使用情境¶

上一段的集中只描述了分布的形状，还没说明数据实际落在哪些用途上。把检测链接按清单主题分群后，观测最密集的几群呈现出一个共通的使用方式。

各使用情境占全网检测量的比重（橘色为 anoni.net 社区） {"description":"Share of all measurements by use-case cohort","data":{"values":[{"group":"DW 国际媒体监测","share":72.4,"links":3,"measurements":10265315},{"group":"西班牙 LaLiga 封锁观测","share":10.8,"links":13,"measurements":1529544},{"group":"委内瑞拉 VSF 封锁观测","share":6.5,"links":4,"measurements":925351},{"group":"乌拉圭 UCU 研究团队","share":6.1,"links":49,"measurements":863016},{"group":"其他长尾","share":2.1,"links":199,"measurements":300815},{"group":"泰国政府网站监测","share":1.7,"links":2,"measurements":239430},{"group":"OONI 官方","share":0.3,"links":59,"measurements":43385},{"group":"anoni.net 台湾","share":0.0,"links":7,"measurements":4771}]},"mark":{"type":"bar","tooltip":true},"encoding":{"y":{"field":"group","type":"nominal","sort":"-x","title":null},"x":{"field":"share","type":"quantitative","title":"占全网检测量百分比"},"color":{"condition":{"test":"datum.group == 'anoni.net 台湾'","value":"#ef6c00"},"value":"#00aeff"},"tooltip":[{"field":"group","title":"使用情境"},{"field":"links","title":"检测链接数"},{"field":"measurements","title":"检测量"},{"field":"share","title":"占比 %"}]}}

德国之声（DW）用 3 条清单长期监测国际媒体在各地的可达性，占 72.4%。西班牙的 conexionsegura 用 13 条清单观测 LaLiga 足球联盟发动的盗版封锁，占 10.8%。委内瑞拉的 vesinfiltro 用 4 条清单追踪当地的封锁，占 6.5%。再加上乌拉圭 UCU 研究团队与一个长期测泰国政府网站的观测者。观测最密集的几群共同点很清楚，每条清单针对一个明确的审查或封锁现象，再配一个持续运行的测量后端，日复一日盯着它。被低估的用法就是如此。

把检测量前 15 名的检测链接列出来，同一种样态看得更具体。

检测链接 id	生涯检测量	清单大小	创建日	作者	清单名称
`10006`	6,589,070	223	2024-07-03	dw.com	Global media
`10005`	3,093,765	91	2024-06-13	dw.com	Selected (inter)national media
`10236`	856,036	167	2026-05-14	conexionsegura	La Liga bloqueos.es
`10158`	734,627	4635	2025-04-03	ucu (UY)	lista global final
`10004`	582,480	15	2024-12-11	dw.com	Trusted International Media
`10154`	418,978	131	2025-03-26	vesinfiltro	MagisTV y FlujoTV
`10135`	344,268	819	2025-04-16	conexionsegura	Test Bloqueos LaLiga
`10153`	259,331	102	2025-03-24	vesinfiltro	PriorityList
`10143`	210,078	134	2025-03-05	vesinfiltro	VSF News y otros
`10298`	133,991	72	2026-05-04	泰国观测者	Test Thai gov websites
`10226`	118,509	170	2025-09-15	conexionsegura	Bloqueos LaLiga - Dominios
`10235`	109,276	293	2025-09-20	conexionsegura	VE media http+https check
`10214`	105,439	67	2025-10-04	泰国观测者	Test Thai gov websites
`10114`	102,096	256	2026-05-05	jiyul.org	revi
`10118`	56,541	3044	2025-03-26	ucu (UY)	LISTA GLOBAL

长期观测靠的是持续运行的后端，清单大小几乎无关¶

一个直觉的猜测是，清单收越多网站、产出的数据就越多。数据不支持这个猜测。把每条检测链接的清单大小（input 数）对生涯检测量画成散点图，两者几乎没有关系。

清单大小与生涯检测量（橘色为 anoni.net 的两条检测链接，2 条 input 为 0 的检测链接因 log 轴略去） {"description":"List size (inputs) vs lifetime measurements per link","data":{"values":[{"id":10000,"inputs":3,"measurements":0,"group":"OONI 官方"},{"id":10001,"inputs":3,"measurements":0,"group":"其他长尾"},{"id":10002,"inputs":3,"measurements":0,"group":"其他长尾"},{"id":10003,"inputs":2,"measurements":0,"group":"其他长尾"},{"id":10004,"inputs":15,"measurements":582480,"group":"DW 国际媒体监测"},{"id":10005,"inputs":91,"measurements":3093765,"group":"DW 国际媒体监测"},{"id":10006,"inputs":223,"measurements":6589070,"group":"DW 国际媒体监测"},{"id":10007,"inputs":10,"measurements":32,"group":"OONI 官方"},{"id":10008,"inputs":1,"measurements":2,"group":"OONI 官方"},{"id":10010,"inputs":3332,"measurements":0,"group":"其他长尾"},{"id":10012,"inputs":3,"measurements":6,"group":"OONI 官方"},{"id":10013,"inputs":6,"measurements":333,"group":"OONI 官方"},{"id":10014,"inputs":5,"measurements":79,"group":"OONI 官方"},{"id":10015,"inputs":5,"measurements":230,"group":"OONI 官方"},{"id":10016,"inputs":1,"measurements":0,"group":"OONI 官方"},{"id":10017,"inputs":3,"measurements":150,"group":"其他长尾"},{"id":10018,"inputs":8,"measurements":16,"group":"其他长尾"},{"id":10019,"inputs":6,"measurements":0,"group":"其他长尾"},{"id":10020,"inputs":46,"measurements":0,"group":"其他长尾"},{"id":10021,"inputs":2,"measurements":0,"group":"anoni.net 台湾"},{"id":10022,"inputs":3,"measurements":0,"group":"OONI 官方"},{"id":10023,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10024,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10025,"inputs":1,"measurements":71,"group":"OONI 官方"},{"id":10026,"inputs":28,"measurements":2520,"group":"OONI 官方"},{"id":10027,"inputs":2,"measurements":0,"group":"其他长尾"},{"id":10028,"inputs":27,"measurements":180,"group":"其他长尾"},{"id":10029,"inputs":4,"measurements":0,"group":"其他长尾"},{"id":10030,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10031,"inputs":5,"measurements":495,"group":"OONI 官方"},{"id":10032,"inputs":4,"measurements":296,"group":"其他长尾"},{"id":10033,"inputs":1,"measurements":15,"group":"其他长尾"},{"id":10034,"inputs":7,"measurements":0,"group":"OONI 官方"},{"id":10035,"inputs":7,"measurements":0,"group":"OONI 官方"},{"id":10036,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10037,"inputs":1,"measurements":4,"group":"其他长尾"},{"id":10038,"inputs":10,"measurements":0,"group":"其他长尾"},{"id":10039,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10040,"inputs":10,"measurements":0,"group":"其他长尾"},{"id":10041,"inputs":50,"measurements":4214,"group":"其他长尾"},{"id":10042,"inputs":13,"measurements":0,"group":"其他长尾"},{"id":10043,"inputs":45,"measurements":0,"group":"其他长尾"},{"id":10044,"inputs":7,"measurements":464,"group":"OONI 官方"},{"id":10045,"inputs":549,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10046,"inputs":56,"measurements":56,"group":"乌拉圭 UCU 研究团队"},{"id":10047,"inputs":7,"measurements":154,"group":"乌拉圭 UCU 研究团队"},{"id":10048,"inputs":7,"measurements":21,"group":"其他长尾"},{"id":10049,"inputs":3338,"measurements":14058,"group":"其他长尾"},{"id":10050,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10051,"inputs":18,"measurements":3861,"group":"OONI 官方"},{"id":10052,"inputs":48,"measurements":0,"group":"OONI 官方"},{"id":10053,"inputs":21,"measurements":0,"group":"OONI 官方"},{"id":10054,"inputs":28,"measurements":0,"group":"OONI 官方"},{"id":10055,"inputs":27,"measurements":0,"group":"OONI 官方"},{"id":10056,"inputs":20,"measurements":0,"group":"OONI 官方"},{"id":10057,"inputs":26,"measurements":0,"group":"OONI 官方"},{"id":10058,"inputs":4,"measurements":0,"group":"OONI 官方"},{"id":10059,"inputs":38,"measurements":0,"group":"OONI 官方"},{"id":10060,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10061,"inputs":204,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10062,"inputs":204,"measurements":204,"group":"乌拉圭 UCU 研究团队"},{"id":10063,"inputs":1264,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10064,"inputs":1250,"measurements":1264,"group":"乌拉圭 UCU 研究团队"},{"id":10065,"inputs":1063,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10066,"inputs":638,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10067,"inputs":618,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10068,"inputs":2,"measurements":54,"group":"OONI 官方"},{"id":10069,"inputs":3,"measurements":0,"group":"OONI 官方"},{"id":10070,"inputs":3,"measurements":0,"group":"OONI 官方"},{"id":10071,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10072,"inputs":1,"measurements":2,"group":"其他长尾"},{"id":10073,"inputs":1098,"measurements":1098,"group":"乌拉圭 UCU 研究团队"},{"id":10074,"inputs":611,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10075,"inputs":390,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10076,"inputs":1410,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10077,"inputs":441,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10078,"inputs":473,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10079,"inputs":829,"measurements":507,"group":"乌拉圭 UCU 研究团队"},{"id":10080,"inputs":6,"measurements":0,"group":"其他长尾"},{"id":10081,"inputs":1069,"measurements":1150,"group":"乌拉圭 UCU 研究团队"},{"id":10082,"inputs":640,"measurements":640,"group":"乌拉圭 UCU 研究团队"},{"id":10083,"inputs":833,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10084,"inputs":670,"measurements":670,"group":"乌拉圭 UCU 研究团队"},{"id":10085,"inputs":425,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10086,"inputs":316,"measurements":632,"group":"乌拉圭 UCU 研究团队"},{"id":10087,"inputs":370,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10088,"inputs":171,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10089,"inputs":831,"measurements":1662,"group":"乌拉圭 UCU 研究团队"},{"id":10090,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10091,"inputs":1433,"measurements":7039,"group":"乌拉圭 UCU 研究团队"},{"id":10092,"inputs":2217,"measurements":10137,"group":"乌拉圭 UCU 研究团队"},{"id":10093,"inputs":1062,"measurements":1062,"group":"乌拉圭 UCU 研究团队"},{"id":10094,"inputs":1686,"measurements":32171,"group":"乌拉圭 UCU 研究团队"},{"id":10095,"inputs":780,"measurements":780,"group":"乌拉圭 UCU 研究团队"},{"id":10096,"inputs":992,"measurements":3561,"group":"乌拉圭 UCU 研究团队"},{"id":10097,"inputs":433,"measurements":0,"group":"乌拉圭 UCU 研究团队"},{"id":10098,"inputs":412,"measurements":441,"group":"乌拉圭 UCU 研究团队"},{"id":10099,"inputs":838,"measurements":1676,"group":"乌拉圭 UCU 研究团队"},{"id":10100,"inputs":4,"measurements":0,"group":"其他长尾"},{"id":10101,"inputs":1,"measurements":130,"group":"其他长尾"},{"id":10102,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10103,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10104,"inputs":821,"measurements":821,"group":"乌拉圭 UCU 研究团队"},{"id":10105,"inputs":7,"measurements":98,"group":"其他长尾"},{"id":10106,"inputs":1,"measurements":1,"group":"其他长尾"},{"id":10107,"inputs":3,"measurements":1305,"group":"OONI 官方"},{"id":10108,"inputs":5,"measurements":13,"group":"OONI 官方"},{"id":10109,"inputs":9,"measurements":9,"group":"其他长尾"},{"id":10110,"inputs":4,"measurements":6,"group":"OONI 官方"},{"id":10111,"inputs":2,"measurements":2,"group":"其他长尾"},{"id":10112,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10113,"inputs":1,"measurements":1,"group":"其他长尾"},{"id":10114,"inputs":256,"measurements":102096,"group":"其他长尾"},{"id":10115,"inputs":2,"measurements":1,"group":"其他长尾"},{"id":10116,"inputs":1,"measurements":103,"group":"西班牙 LaLiga 封锁观测"},{"id":10117,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10118,"inputs":3044,"measurements":56541,"group":"乌拉圭 UCU 研究团队"},{"id":10119,"inputs":24,"measurements":2424,"group":"其他长尾"},{"id":10120,"inputs":2,"measurements":0,"group":"其他长尾"},{"id":10121,"inputs":4,"measurements":0,"group":"其他长尾"},{"id":10122,"inputs":14,"measurements":36964,"group":"委内瑞拉 VSF 封锁观测"},{"id":10123,"inputs":5,"measurements":5,"group":"其他长尾"},{"id":10124,"inputs":3,"measurements":129,"group":"OONI 官方"},{"id":10125,"inputs":1,"measurements":0,"group":"OONI 官方"},{"id":10126,"inputs":1,"measurements":1,"group":"其他长尾"},{"id":10127,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10128,"inputs":4,"measurements":20,"group":"其他长尾"},{"id":10129,"inputs":1,"measurements":1,"group":"其他长尾"},{"id":10130,"inputs":1,"measurements":1,"group":"其他长尾"},{"id":10131,"inputs":42,"measurements":0,"group":"其他长尾"},{"id":10132,"inputs":3,"measurements":3,"group":"OONI 官方"},{"id":10133,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10134,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10135,"inputs":819,"measurements":344268,"group":"西班牙 LaLiga 封锁观测"},{"id":10136,"inputs":9,"measurements":9,"group":"其他长尾"},{"id":10137,"inputs":5,"measurements":185,"group":"OONI 官方"},{"id":10138,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10139,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10140,"inputs":1,"measurements":0,"group":"西班牙 LaLiga 封锁观测"},{"id":10141,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10142,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10143,"inputs":134,"measurements":210078,"group":"委内瑞拉 VSF 封锁观测"},{"id":10144,"inputs":4,"measurements":0,"group":"其他长尾"},{"id":10145,"inputs":2,"measurements":6,"group":"其他长尾"},{"id":10146,"inputs":2,"measurements":2,"group":"其他长尾"},{"id":10147,"inputs":25,"measurements":1029,"group":"OONI 官方"},{"id":10148,"inputs":23,"measurements":6182,"group":"西班牙 LaLiga 封锁观测"},{"id":10149,"inputs":5,"measurements":110,"group":"OONI 官方"},{"id":10150,"inputs":1,"measurements":7,"group":"其他长尾"},{"id":10151,"inputs":14,"measurements":27,"group":"其他长尾"},{"id":10152,"inputs":1,"measurements":8,"group":"西班牙 LaLiga 封锁观测"},{"id":10153,"inputs":102,"measurements":259331,"group":"委内瑞拉 VSF 封锁观测"},{"id":10154,"inputs":131,"measurements":418978,"group":"委内瑞拉 VSF 封锁观测"},{"id":10155,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10156,"inputs":4,"measurements":316,"group":"其他长尾"},{"id":10157,"inputs":1,"measurements":1,"group":"OONI 官方"},{"id":10158,"inputs":4635,"measurements":734627,"group":"乌拉圭 UCU 研究团队"},{"id":10159,"inputs":3,"measurements":0,"group":"其他长尾"},{"id":10160,"inputs":500,"measurements":1501,"group":"乌拉圭 UCU 研究团队"},{"id":10161,"inputs":500,"measurements":505,"group":"乌拉圭 UCU 研究团队"},{"id":10162,"inputs":500,"measurements":501,"group":"乌拉圭 UCU 研究团队"},{"id":10163,"inputs":500,"measurements":502,"group":"乌拉圭 UCU 研究团队"},{"id":10164,"inputs":500,"measurements":500,"group":"乌拉圭 UCU 研究团队"},{"id":10165,"inputs":500,"measurements":502,"group":"乌拉圭 UCU 研究团队"},{"id":10166,"inputs":500,"measurements":506,"group":"乌拉圭 UCU 研究团队"},{"id":10167,"inputs":500,"measurements":505,"group":"乌拉圭 UCU 研究团队"},{"id":10168,"inputs":500,"measurements":500,"group":"乌拉圭 UCU 研究团队"},{"id":10169,"inputs":134,"measurements":268,"group":"乌拉圭 UCU 研究团队"},{"id":10170,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10171,"inputs":22,"measurements":44,"group":"其他长尾"},{"id":10172,"inputs":11,"measurements":0,"group":"其他长尾"},{"id":10173,"inputs":3,"measurements":7379,"group":"其他长尾"},{"id":10174,"inputs":2,"measurements":4,"group":"其他长尾"},{"id":10175,"inputs":15,"measurements":700,"group":"其他长尾"},{"id":10176,"inputs":214,"measurements":0,"group":"其他长尾"},{"id":10177,"inputs":2,"measurements":0,"group":"其他长尾"},{"id":10178,"inputs":2,"measurements":0,"group":"OONI 官方"},{"id":10179,"inputs":3,"measurements":75,"group":"其他长尾"},{"id":10180,"inputs":3,"measurements":246,"group":"OONI 官方"},{"id":10181,"inputs":20,"measurements":2240,"group":"其他长尾"},{"id":10182,"inputs":3,"measurements":60,"group":"anoni.net 台湾"},{"id":10183,"inputs":166,"measurements":333,"group":"乌拉圭 UCU 研究团队"},{"id":10184,"inputs":2,"measurements":4,"group":"其他长尾"},{"id":10185,"inputs":22,"measurements":20,"group":"其他长尾"},{"id":10186,"inputs":2,"measurements":2,"group":"其他长尾"},{"id":10187,"inputs":2,"measurements":2,"group":"其他长尾"},{"id":10188,"inputs":2,"measurements":2,"group":"其他长尾"},{"id":10189,"inputs":4,"measurements":17,"group":"anoni.net 台湾"},{"id":10190,"inputs":2,"measurements":0,"group":"OONI 官方"},{"id":10191,"inputs":3,"measurements":0,"group":"OONI 官方"},{"id":10192,"inputs":13,"measurements":82,"group":"OONI 官方"},{"id":10193,"inputs":3,"measurements":3,"group":"anoni.net 台湾"},{"id":10194,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10195,"inputs":5,"measurements":27,"group":"OONI 官方"},{"id":10196,"inputs":610,"measurements":610,"group":"其他长尾"},{"id":10197,"inputs":490,"measurements":490,"group":"其他长尾"},{"id":10198,"inputs":673,"measurements":673,"group":"其他长尾"},{"id":10199,"inputs":1363,"measurements":2036,"group":"其他长尾"},{"id":10200,"inputs":1,"measurements":141,"group":"其他长尾"},{"id":10201,"inputs":298,"measurements":298,"group":"其他长尾"},{"id":10202,"inputs":1124,"measurements":267,"group":"其他长尾"},{"id":10203,"inputs":974,"measurements":974,"group":"其他长尾"},{"id":10204,"inputs":303,"measurements":303,"group":"其他长尾"},{"id":10205,"inputs":600,"measurements":0,"group":"其他长尾"},{"id":10206,"inputs":600,"measurements":600,"group":"其他长尾"},{"id":10207,"inputs":199,"measurements":398,"group":"其他长尾"},{"id":10208,"inputs":654,"measurements":654,"group":"其他长尾"},{"id":10209,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10210,"inputs":30,"measurements":30,"group":"其他长尾"},{"id":10211,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10212,"inputs":30,"measurements":150,"group":"其他长尾"},{"id":10213,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10214,"inputs":67,"measurements":105439,"group":"泰国政府网站监测"},{"id":10215,"inputs":41,"measurements":2378,"group":"其他长尾"},{"id":10216,"inputs":2,"measurements":0,"group":"其他长尾"},{"id":10217,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10218,"inputs":1,"measurements":4,"group":"其他长尾"},{"id":10219,"inputs":2,"measurements":2,"group":"其他长尾"},{"id":10220,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10221,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10222,"inputs":1,"measurements":9,"group":"其他长尾"},{"id":10223,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10224,"inputs":7,"measurements":364,"group":"其他长尾"},{"id":10225,"inputs":30,"measurements":349,"group":"其他长尾"},{"id":10226,"inputs":170,"measurements":118509,"group":"西班牙 LaLiga 封锁观测"},{"id":10227,"inputs":35,"measurements":0,"group":"OONI 官方"},{"id":10228,"inputs":1,"measurements":4,"group":"其他长尾"},{"id":10229,"inputs":2,"measurements":60,"group":"其他长尾"},{"id":10230,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10231,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10232,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10233,"inputs":2,"measurements":0,"group":"OONI 官方"},{"id":10234,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10235,"inputs":293,"measurements":109276,"group":"西班牙 LaLiga 封锁观测"},{"id":10236,"inputs":167,"measurements":856036,"group":"西班牙 LaLiga 封锁观测"},{"id":10237,"inputs":9,"measurements":18,"group":"anoni.net 台湾"},{"id":10238,"inputs":7,"measurements":14,"group":"anoni.net 台湾"},{"id":10239,"inputs":20,"measurements":11260,"group":"其他长尾"},{"id":10240,"inputs":5,"measurements":80,"group":"OONI 官方"},{"id":10241,"inputs":5,"measurements":50,"group":"OONI 官方"},{"id":10242,"inputs":5,"measurements":10,"group":"OONI 官方"},{"id":10243,"inputs":5,"measurements":0,"group":"OONI 官方"},{"id":10244,"inputs":1,"measurements":42,"group":"其他长尾"},{"id":10245,"inputs":10,"measurements":18577,"group":"其他长尾"},{"id":10246,"inputs":4,"measurements":1820,"group":"其他长尾"},{"id":10247,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10248,"inputs":2,"measurements":0,"group":"其他长尾"},{"id":10249,"inputs":33,"measurements":99,"group":"其他长尾"},{"id":10250,"inputs":24,"measurements":9464,"group":"OONI 官方"},{"id":10251,"inputs":269,"measurements":18828,"group":"西班牙 LaLiga 封锁观测"},{"id":10252,"inputs":8,"measurements":17288,"group":"OONI 官方"},{"id":10253,"inputs":1,"measurements":0,"group":"OONI 官方"},{"id":10254,"inputs":2,"measurements":0,"group":"其他长尾"},{"id":10255,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10256,"inputs":10,"measurements":8,"group":"其他长尾"},{"id":10257,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10258,"inputs":12,"measurements":420,"group":"其他长尾"},{"id":10259,"inputs":4,"measurements":1550,"group":"其他长尾"},{"id":10260,"inputs":104,"measurements":15120,"group":"其他长尾"},{"id":10261,"inputs":4,"measurements":258,"group":"其他长尾"},{"id":10262,"inputs":66,"measurements":0,"group":"其他长尾"},{"id":10263,"inputs":1,"measurements":37,"group":"其他长尾"},{"id":10264,"inputs":22,"measurements":2127,"group":"其他长尾"},{"id":10265,"inputs":7,"measurements":5226,"group":"其他长尾"},{"id":10266,"inputs":214,"measurements":7672,"group":"其他长尾"},{"id":10267,"inputs":1,"measurements":35,"group":"其他长尾"},{"id":10268,"inputs":3,"measurements":3,"group":"其他长尾"},{"id":10269,"inputs":1,"measurements":34,"group":"其他长尾"},{"id":10270,"inputs":214,"measurements":7082,"group":"其他长尾"},{"id":10271,"inputs":214,"measurements":3671,"group":"其他长尾"},{"id":10272,"inputs":16,"measurements":353,"group":"其他长尾"},{"id":10273,"inputs":10,"measurements":200,"group":"其他长尾"},{"id":10274,"inputs":19,"measurements":380,"group":"其他长尾"},{"id":10275,"inputs":1,"measurements":20,"group":"其他长尾"},{"id":10276,"inputs":20,"measurements":384,"group":"其他长尾"},{"id":10277,"inputs":36,"measurements":756,"group":"其他长尾"},{"id":10278,"inputs":55,"measurements":1107,"group":"其他长尾"},{"id":10280,"inputs":37,"measurements":789,"group":"其他长尾"},{"id":10281,"inputs":42,"measurements":1051,"group":"其他长尾"},{"id":10282,"inputs":38,"measurements":883,"group":"其他长尾"},{"id":10283,"inputs":27,"measurements":567,"group":"其他长尾"},{"id":10284,"inputs":6,"measurements":10104,"group":"西班牙 LaLiga 封锁观测"},{"id":10285,"inputs":22,"measurements":54022,"group":"西班牙 LaLiga 封锁观测"},{"id":10286,"inputs":31,"measurements":746,"group":"其他长尾"},{"id":10287,"inputs":3,"measurements":2358,"group":"其他长尾"},{"id":10288,"inputs":20,"measurements":473,"group":"其他长尾"},{"id":10289,"inputs":1,"measurements":1,"group":"其他长尾"},{"id":10290,"inputs":1,"measurements":24,"group":"OONI 官方"},{"id":10291,"inputs":61,"measurements":2501,"group":"其他长尾"},{"id":10292,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10293,"inputs":154,"measurements":11938,"group":"西班牙 LaLiga 封锁观测"},{"id":10294,"inputs":3,"measurements":72,"group":"OONI 官方"},{"id":10295,"inputs":1,"measurements":24,"group":"OONI 官方"},{"id":10296,"inputs":17,"measurements":459,"group":"OONI 官方"},{"id":10297,"inputs":22,"measurements":4122,"group":"其他长尾"},{"id":10298,"inputs":72,"measurements":133991,"group":"泰国政府网站监测"},{"id":10299,"inputs":9,"measurements":216,"group":"其他长尾"},{"id":10300,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10301,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10302,"inputs":1,"measurements":24,"group":"其他长尾"},{"id":10303,"inputs":53,"measurements":318,"group":"其他长尾"},{"id":10304,"inputs":756,"measurements":23102,"group":"其他长尾"},{"id":10305,"inputs":54,"measurements":2215,"group":"其他长尾"},{"id":10306,"inputs":8,"measurements":304,"group":"其他长尾"},{"id":10307,"inputs":4,"measurements":148,"group":"其他长尾"},{"id":10308,"inputs":3,"measurements":105,"group":"其他长尾"},{"id":10309,"inputs":8,"measurements":327,"group":"其他长尾"},{"id":10310,"inputs":14,"measurements":3988,"group":"OONI 官方"},{"id":10311,"inputs":47,"measurements":6887,"group":"其他长尾"},{"id":10312,"inputs":25,"measurements":7523,"group":"其他长尾"},{"id":10313,"inputs":1082,"measurements":3729,"group":"其他长尾"},{"id":10314,"inputs":1,"measurements":2,"group":"其他长尾"},{"id":10315,"inputs":1,"measurements":8,"group":"其他长尾"},{"id":10316,"inputs":4,"measurements":128,"group":"其他长尾"},{"id":10317,"inputs":1,"measurements":16,"group":"其他长尾"},{"id":10318,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10319,"inputs":12,"measurements":870,"group":"其他长尾"},{"id":10320,"inputs":1,"measurements":2,"group":"其他长尾"},{"id":10321,"inputs":1,"measurements":2,"group":"其他长尾"},{"id":10322,"inputs":3,"measurements":166,"group":"其他长尾"},{"id":10323,"inputs":5,"measurements":33,"group":"其他长尾"},{"id":10324,"inputs":1082,"measurements":31,"group":"其他长尾"},{"id":10325,"inputs":2,"measurements":51,"group":"其他长尾"},{"id":10326,"inputs":3,"measurements":0,"group":"其他长尾"},{"id":10327,"inputs":25,"measurements":3510,"group":"其他长尾"},{"id":10328,"inputs":10,"measurements":4659,"group":"anoni.net 台湾"},{"id":10329,"inputs":12,"measurements":76,"group":"其他长尾"},{"id":10330,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10331,"inputs":2,"measurements":24,"group":"其他长尾"},{"id":10332,"inputs":2,"measurements":270,"group":"西班牙 LaLiga 封锁观测"},{"id":10333,"inputs":1,"measurements":0,"group":"其他长尾"},{"id":10334,"inputs":33,"measurements":12759,"group":"其他长尾"},{"id":10335,"inputs":3,"measurements":18,"group":"其他长尾"},{"id":10336,"inputs":29,"measurements":1110,"group":"其他长尾"}]},"mark":{"type":"point","filled":true,"opacity":0.55,"tooltip":true},"encoding":{"x":{"field":"inputs","type":"quantitative","scale":{"type":"log"},"title":"清单大小（input 数，log 轴）"},"y":{"field":"measurements","type":"quantitative","scale":{"type":"symlog"},"title":"生涯检测量（symlog 轴，含 0）"},"color":{"condition":{"test":"datum.id == 10238 || datum.id == 10328","value":"#ef6c00"},"value":"#80d1ff"},"size":{"condition":{"test":"datum.id == 10238 || datum.id == 10328","value":120},"value":45},"tooltip":[{"field":"id","title":"检测链接 id"},{"field":"inputs","title":"清单大小"},{"field":"measurements","title":"检测量"},{"field":"group","title":"使用情境"}]}}

两个极端的对照最清楚。UCU 的编号 10158 清单塞了 4,635 个 input（全网最大），生涯 734,627 笔。DW 的编号 10004 只有 15 个 input，却有 582,480 笔。清单堆得再大，没有持续运行的后端去执行，检测量一样趋近 0，等于没在观测。真正让观测累积下来的是有没有一个每天把清单执行起来的测量基础设施，收多少网站反而是其次。

anoni.net 的座标：社区自己就是一组对照实验¶

anoni.net 社区先后建了两条 Run v2 检测链接，刚好示范前面提到的两种样态，两条都摊开，不只挑表现好的那条。

第一条编号 10238，建于 2025-09-15，收了 7 个 input（anoni.net 与 im、matrix、form、pad、search、cinny 等自家服务），生涯只累积 14 笔。它落在「建了没持续运作」的多数人那一类。第二条编号 10328，建于 2026-05-15，清单扩成 10 个 input，这次配上自营节点持续运作。半个月就累积 4,659 笔，在 336 条检测链接里排到第 39 名，进到前 12%。

同一个社区、同一份 anoni.net 自家服务清单雏形，两条检测链接的差别只在有没有持续运行的后端。另一面同样不回避，10328 占全网比重仍然趋近 0%。在如此长尾的分布里，光是持续运作半个月就赢过 297 条检测链接，可见「持续运行」这个门槛被多数人错过。从 10238 到 10328，就是社区自己跨过门槛的纪录。

对社区与 OONI 的意义¶

对想做本地连接观测的社区，普查结果指出一个明确方向。Run v2 的价值来自「一份针对特定现象的策展清单，加上一个持续运行的测量后端」，两者缺一就会掉进长尾。多开几条检测链接本身不会带来数据。

同一套模式可以套用在很多题目上。文章前面的 DW、conexionsegura、vesinfiltro，分别是国际媒体可达性、体育盗版封锁、本地封锁三种已经在运转的例子。想开始的人可以从几个方向发想。

选举观察：从选前到选后，持续追踪新闻媒体、候选人与选务机关网站在特定地区的可达性，把投票期间的封锁或干扰记录下来，给选举观察员与研究者一份可佐证的时间串行。
重大事件实时观测：抗议、罢工、灾害或断网期间，持续测独立媒体、实时通信服务（Signal、Telegram）与求助信息网站，第一时间看出哪些被挡、什么时候被挡。
特定族群与议题：LGBTQ+、宗教少数、女性权益、人权组织这类在某些地区容易被封锁的网站，做长期纵贯观测，累积可被研究引用的证据。
规避工具可用性：追踪 VPN、Tor、桥接与其他 circumvention 工具的官网与下载点，在某地是否还连得上、何时开始被挡，对协助当地人维持连接的团体特别实用。
跨境媒体与离散社区：离散社区依赖的境外媒体（中文读者熟悉的例如 RFA、端传媒），观测它们在不同 ASN 的可达性差异与长期变化。
平台级封锁事件：某个 app 或服务在某国突然被挡时，快速建一条清单跨 ASN 观测，量出封锁的范围与起讫时间，把单一事件变成可分析的数据。

挑一个你最关心的题目，列出十来个相关网站，再让一个节点每天执行，几周后就有自己的可达性时间串行可以分析。对 OONI 与做数据分析的伙伴，aggregation API 支持用 ooni_run_link_id 筛选，针对 Run v2 生态本身做 meta 分析因此变得可行，本篇报告即依此产出。 anoni.net 社区把这套做法整理在 issue #78 的测量模式提案里，征询仍然开放，欢迎社区与 OONI 团队一起讨论。

issue #78 的测量模式提案摘要

issue #78 提出一套 civic-internet-watch 测量模式，把系统拆成两层。

名单治理：社区自己维护一份公民团体网站名单，single source of truth 放在社区的 git repo，收录标准、征询状态与敏感分级都由社区依本地脉络决定，git 历史本身就是清单治理纪录。
测量与数据：用标准网络连接测试方法，从名单产生一条 OONI Run v2 链接来检测。志工手机与自营节点消费同一条链接、带同一个 Run Link ID，结果全部进 OONI 公开数据集，可用 OONI API 与 Explorer 查找、研究员可引用，没有数据锁定。

名单治理不去更动共享的 Citizen Lab tw.csv，避免反复改动造成长期测量时间串行断层。tw.csv 从必要路径降为可选的 additive 回馈，成熟非敏感的组织才以只添加的方式回馈换取全平台基线，敏感组织只留在社区自管名单与 Run v2，不进公开的 PR。

数据与前提¶

本篇数据以 2026-06-01 为快照，逐条取自 OONI 公开的 aggregation API¹（以 ooni_run_link_id 筛选）。检测量会随时间继续累积，之后重查会得到略高的数字，集中的形状则稳定。解读前有几个前提要先说明。

检测量来自 aggregation API 的 measurement_count，是 2026-06-01 当下的查找结果，之后还会继续长。
生涯查找涵盖 2024-01-01 到 2026-06-30，跨过 Run v2 的整段历史。
检测量为 0 的检测链接可能是测试或草稿用途，不全等于「失败」。
一条检测链接可以被任何国家的 probe 执行，使用情境分群按清单主题推断，不是 OONI 的官方标注。
完整揭露：社区自己的两条检测链接（10238、10328）都列进分析与讨论，没有只挑表现好的 10328。

Unredacted 如何帮受审查地区的人连上开放网络

anoni.net 社区 — Mon, 01 Jun 2026 00:00:00 +0000

Unredacted 如何帮受审查地区的人连上开放网络¶

以下是 Unredacted 在 Tor Blog 的客座文章全文翻译，文中的「我们」都指 Unredacted：

Keeping the doors open, Tor Blog, by Unredacted.org, 2026-05-15

文末附三段来自 anoni.net 社群的补充（台湾的对照、GreenWare 在自由连接地区的可行性、你能做什么）。

这篇客座文章是「捍卫自由网络的组织」系列报导的一篇。

有位中国用户曾经这样描述我们的工作：

「你们帮了很多很多人翻过防火长城。如果没有你们的帮助，我会被困在完全的黑暗里，被洗脑。」

我们很少听到使用我们服务的人发声。他们大多没有办法、或不觉得自己能安全地传消息出来。每当有一条消息穿越过来，就提醒我们这件事真正关系到什么。

我们是 Unredacted，一个注册在美国的 501(c)(3) 非营利组织（美国的免税公益组织）。我们建造并运维网络基础设施，协助大家连上开放的网络、捍卫使用网络的隐私权。具体做法是在全球运行一个超过 300 台服务器的网络。当前门被锁住时，我们是另一条穿越的路径。当公共广场不再安全时，我们是还能说话的地方。

这份工作大部分都是看不见的，包括数据中心作业、硬件、自动化、开源软件、带宽、滥用通报处理、监控警报，以及为了让这一切持续运作而熬过的深夜。

我们做的事情分成三个方向。Censorship Evasion（绕过审查）这一块是 Unredacted Door，我们把所有用来绕过封锁的服务都收在这个名字底下。Secure Infrastructure（安全基础设施）承载的是像 XMPP.is、自家的 Matrix 家用服务器，还有其他以安全与隐私为前提的免费服务。Unredacted Education 是写作与文件的部分，给想理解这份工作、想自己复制一遍的人读的指南与说明。在这三块之外，Unredacted Labs 是实验区，运作还没到正式上线等级的基础设施想法。GreenWare 就是其中一项，目的是用不太耗电的硬件扛起真实的网络容量。

Unredacted Door¶

名字就是字面的意思。当通往开放网络的入口被墙封起来，人们就需要另一条进入的路径。

Unredacted Door 把好几项绕行审查的服务收在一起：FreeSocks、Signal 与 Telegram 的消息代理、Tor bridges、Snowflake 代理。在最近的 30 天里，这些服务替数万名在自己国家绕行审查的用户承载了将近 300 TiB 的流量，大约相当于播好几万小时 4K 视频所需的带宽。需求没有减缓，我们得持续架更多。每一条新过滤规则、每一条新法律、每一波打着「为了你的安全」名号的措施，都会把更多人推向尚未被审查者发现的路。

Unredacted Door 里最大的一块是 FreeSocks，给审查严重地区的用户用的免费代理。如果你没接触过，代理就是一个转接点：你的应用程序连的是这台转接的服务器，由它把连接带过你跟外面网络之间那层过滤，再接到你真正想连的被封锁服务。

FreeSocks 的设计重点是让这个转接点看起来低调无奇，这恰好是一般 VPN 缺乏的特质。VPN 在连接上很显眼，有清楚的端点、清楚的握手、在线路上看得出来的数据包形状。审查者非常擅长阻挡他们认得出来的东西。

没有单一工具能涵盖所有情境。Tor Browser 提供强度足够的浏览隐私与匿名性。Snowflake 在 Tor 网络本身被封时，帮用户绕回 Tor 上。FreeSocks 代理则把特定流量推上一条较难被察觉的路径。住在审查环境里的人通常手边得备上好几种工具，因为没有任何一扇门能一直开着。

这也是我们为什么把心力投在 FreeSocks 第二版（v2）的开发上。它使用 Xray，一个强大且弹性的流量路由引擎，可以把代理流量做得更像一般网页流量。

什么是 Xray

Xray 是一个流量路由与伪装工具，源自 V2Ray 项目，被中国、伊朗等审查严重地区的用户广泛采用。它提供 VLESS、Trojan、Reality 等协议，把代理流量伪装成一般 HTTPS / TLS 流量，让系统难以从连接特征认出它是代理。传统 VPN 一眼能认出的握手与数据包样态，Xray 把这些指纹抹平，是抗审查工具圈里近年的主力选择。详细可参考 Xray-core 项目。

我们把 Xray 与自家的开源控制平面绑在一起，这样当审查者找到并封锁某台服务器时，系统就能自动轮替端点。用户已经在压力底下了，能少花一分力气去调设置就少一分风险。

GreenWare：用更省电的硬件撑起 Tor 容量¶

Tor 中继、桥接、代理等等，这些都运作于数据中心的硬件上，而硬件有实际的成本，财务、运营、环境都有。如果我们希望隐私基础设施能长期撑下去，就得问什么样的运维才是真的可持续。

GreenWare 是我们试着缩小这个成本、同时保住承载量的尝试。大多数 Tor 中继的流量，并不需要一台耗电像暖风机的服务器。一台中继需要的是稳定的网络、可预测的 CPU，以及足够存放状态的内存。这种规模的工作量，一台单板电脑就能处理，前提是外壳够扎实。

我们从 Raspberry Pi 5 主板开始，通过 PoE（网络供电）让电与数据都靠一条网线喂进去。这个想法行得通。数据中心的典型服务器吃的电大约相当于一台小型暖风机，而一台 Pi 连一颗灯泡都不到。但是第一代有它的天花板，密度不够，部分配套元件也撑不了我们的长时间使用。

所以我们现在同时采用两种部署方式。第一种是一个 1U 机箱里塞 20 个 ComputeBlade 模组，全部 20 个都部署在我们的数据中心，把一部分 Tor exit relays 搬到上面运作。这个机箱在满载时大约吃 100W 多一点，大约等于一颗旧式白炽灯泡。第二种是我们自己设计的定制 Raspberry Pi 机箱。会做这个，是因为 ComputeBlade 的经验让我们更清楚现场到底需要什么。两种都已经上线，截至撰文时，我们全部 123 个 Tor exit relay 都运作于这套合并后的基础设施上，总耗电大约 400W。随着时间推进，等项目更成熟，我们会再分享更多机箱设计与整体进展。

Tor 网络靠愿意替它运维基础设施的人与组织撑起。Exit 是这份工作里最难的一块，需要带宽、维护、处理滥用通报、法律上的承担，还需要钱。如果我们能把产出有意义的 exit 容量所需的成本与电力都压低，就有更多人能扛起其中一块，让网络的节点更多元、规模更大。

更长远的目标是继续推动高效硬件、碳排追踪，乃至于以再生能源驱动的小型节点。我们很乐意跟想看到这件事持续做大的组织与公司合作。

开放的网络之所以保持开放，是因为有许多人与组织投入心力、时间与精神。包括测量审查的研究者、提供带宽的中继运维者，以及不肯把彼此丢下的社群。Unredacted 负责的这一块，就是建造与维护那些路径，在那些明显好走的路被切断时，给人们另一条能走的路。

来自 anoni.net 社群：台湾的对照¶

Unredacted 文章里那位中国用户的话格外少见，因为身处审查环境的人多半没有管道、也难以安全地对外发声。anoni.net 是一个台湾的匿名网络社群，写这篇补充的视角来自这里。台湾的网络环境相对自由，没有 GFW、没有强制 VPN 注册、ISP 也没有国家审查命令。也因为如此，台湾这类对外连接自由的地区，有条件替被封锁地区架设 Tor 中继与桥接，分担一部分抗审查基础建设的工作。在中国大陆、伊朗这类重度审查地区的人，正是这些基础设施服务的对象。在新加坡、马来西亚、海外华人所在地这些对外连接同样自由的地方，也都适合成为架设来源地。

匿名网络社群 anoni.net 一直通过 Pulse 即时观测追踪台湾 Tor 中继节点的数量与分布。截至 2026-05-31，台湾境内 Onionoo（Tor 官方的中继数据查询服务）看得到的、运作中的中继节点是 12 个，其中具有 Exit 旗标的只有 3 个（initramfs、GuruKopi、jerryrelay）。对照 Unredacted 一个组织就执行 123 个 exit relay、30 天承载近 300 TiB 流量，台湾的全国 exit 规模还不到他们的 3%。我们在 Tor Relays 观测点持续更新这个数字，并在 ASN 观测数据分析补上 OONI 对台湾与邻近地区的审查观测。

香港、澳门以及使用中文的东南亚华语用户，在 2020 年后实际的翻墙需求增加，而简体与正体中文的抗审查资源相对稀缺。anoni.net 的工作之一是把这套中文资源补起来，包括什么是 Tor、Tor Snowflake 桥接点、什么是 OONI 等基础文件，跟 Unredacted 的 Unredacted Education 走在同一条路上。

来自 anoni.net 社群：GreenWare 在自由连接地区的可行性¶

Unredacted 把 123 个 exit relays 运作于 400W 上，这个数字换算成运营成本相当友好。以台湾一般工商业用电费约 NT$ 3.5 至 6 / 度（约人民币 0.8 至 1.4 元 / 度）估算¹，400W 全年运转约 3,500 度电，一年大约 NT$ 12,000 至 21,000，对学校信息中心或社群协作空间而言是可以负担的运营成本。读者在其他地区可以换算当地电价，量级通常落在同一个区间。

关键在硬件规模化的设计。Raspberry Pi 5 对各地 maker 社群都不陌生，PoE+ HAT 与 PoE 交换机在常见零售管道都能买到（台湾如 Cytron、群创、PChome，其他地区可循当地电子零售管道）。ComputeBlade（20 模组 1U 机箱）目前零售管道较少，可以通过官方海外订购或社群代购取得。机构机房比家用网络更适合做这件事，原因有三：固定 IP、机构网络带宽、有人巡检机器。

Tor Relay 校园建立是 anoni.net 2026 的三大主题之一，社群正在把校园架设的经验整理成一份 SOP（见 Tor Relay 校园建立研究专题与在台师大架设 Tor Relay：一段与学校沟通、留下可能性的实现经验）。Unredacted 在 GreenWare 上的工程做法，可以做为下一所学校评估架设方案时的参考点，先用 PoE 喂电的 Raspberry Pi 5 试做一台 middle relay，等运作稳定后再考虑 exit 与机箱密度。

对想参与的个人或小团体，从 Snowflake proxy 开始（浏览器扩展或 Docker）几乎没有电费负担，是进入抗审查基础建设最低门槛的入口（见 Tor Snowflake 桥接点）。

你能做什么¶

读完 Unredacted 的工作，如果你也想替审查地区的人多撑住一条连外的路，这里有几个入口：

了解 Unredacted：到 unredacted.org 看他们的服务与透明度信息，再决定是否通过官方管道支持服务器、带宽与人力成本。
自架 Snowflake：最低门槛的抗审查贡献，用浏览器扩展或 Docker 就能执行（见 Tor Snowflake 桥接点）。
架设 Tor relay 或 bridge：需要稳定网络与一点运维心力，社群整理了如何搭建 Tor Relay 的步骤与经验。
校园 Tor Relay：在大专院校工作或就读的人，可以从 Tor Relay 校园建立研究专题开始评估。
加入 anoni.net 社群讨论：通过 Matrix 跟其他社群成员交换经验，入口在社群参与。

匿名网络社群 anoni.net/Docs

文档站新增八个小工具，全部在读者自己的浏览器里执行

文档站新增八个小工具，全部在读者自己的浏览器里执行¶

起点是照片的 metadata¶

八个工具共同的四条规则¶

用 Tor Browser 的话有一个冲突¶

开始之前，先答三题¶

要交给别人的东西¶

密语与密码生成器¶

QR code 生成器¶

收到来路不明的东西时¶

QR code 读取器¶

隐形字符检测¶

送出去之前先清一次¶

文件 metadata 清除器¶

网址清理器¶

想知道自己的浏览器透露什么¶

视频与 PDF 各有一个限制¶

整份文档站可以存进设备¶

用了谁的程序¶

想一起做的话¶

接下来¶

匿名网络社区前往 Global Gathering 2026

匿名网络社区前往 Global Gathering 2026¶

Global Gathering 是什么¶

我们参与的原因¶

展位上要谈匿名支付¶

另一组来自台湾的团队也在现场¶

议程上与我们相关的讨论¶

会前往交流的展位¶

将到现场的伙伴¶

无法到场的参与方式¶

欢迎协助传递¶

活动结束之后¶

联系方式¶

Brave 用两种相反的手法抹平 GPU 指纹

Brave 用两种相反的手法抹平 GPU 指纹¶

显卡为什么是一组好用的指纹¶

一致化与随机化，各自处理哪一种数据¶

farbling 的种子怎么运作¶

为什么不全部一致化¶

Tor Browser 把一致化做到底¶

读者可以怎么选¶

还没做完的部分¶

延伸阅读¶

在田间学的两场数字安全线上课，8/26 这场还能报名

在田间学的两场数字安全线上课，8/26 这场还能报名¶

《田间》与「在田间学」¶

第一场，个人隐私与你手上的消息来源（已结束）¶

第二场，平台中介者如何成为保护独立记者的屏障（8/26）¶

为什么推荐这一场¶

其他资源¶

从 OONI 公开数据看 8/13 台湾北部移动网络降速的 30 分钟

从 OONI 公开数据看 8/13 台湾北部移动网络降速的 30 分钟¶

先看当天数据的整体形态¶

放大到一部手机的 30 分钟¶

没有降速信号的测量撑起了对照¶

体感怎么对应到字段¶

视频转圈圈¶

发消息、传照片出去反而顺畅¶

点下去要等一下才有反应¶

网页还是打得开，只是慢¶

降速与断网在数据上是两种形态¶

结论怎么从公开数据得出¶

第一步，把时间区间内的测量捞出来¶

第二步，取原始 JSON 拿数值¶

第三步，剔除非移动网络的测量¶

第四步，用设备标识符串起同一部手机¶

第五步，排除误判¶

第六步，建立对照组¶

超出本批数据范围的问题¶

位置¶

跨运营商的数据覆盖度¶

恢复所需的时间¶

单一设备的代表性¶

一起来研究 OONI 的公开数据¶

数据与前提¶

介绍 Signal 自动密钥验证

介绍 Signal 自动密钥验证¶

公钥与私钥入门¶