匿名网络社群 anoni.net/Docs

匿名网络社区前往 Global Gathering 2026

anoni.net 社区 — Mon, 24 Aug 2026 20:53:34 +0000

匿名网络社区前往 Global Gathering 2026¶

Team CommUNITY 主办的 Global Gathering 2026 于 9 月 4 日到 6 日在葡萄牙 Estoril 举行，我们申请到一个展位，时段已经排定。

日期时间：9 月 6 日 13:00 到 15:00 WEST（UTC+1，活动期间的葡萄牙当地时间，北京时间减 7 小时）
位置：Regional Perspectives Village 的 6 号展位，大小 3 x 3 米
展位名称：anoni.net Hub: Sinophone Asia-Pacific Networked Freedom

活动信息见 Global Gathering 2026。

Global Gathering 是什么¶

Global Gathering 是 Team CommUNITY 主办的年度聚会，参加者来自世界各地，工作范围涵盖数字权利、网络自由，以及协助民间社会抵御数字攻击。

整场活动没有主舞台的主题演讲，三天的议程由讨论圈（Circles）、依地区或主题聚集的 Meetups，以及开放走动的展位（Booths）组成。村落（Villages）再把这些活动依主题分类，例如规避审查技术、数字安全、区域观点。我们的展位位于区域观点村（Regional Perspectives Village）。

我们参与的原因¶

我们第一次参加 Global Gathering，主要希望认识更多人，包含开发匿名网络与规避审查工具的技术工作者，以及同在亚洲区域的伙伴。

我们是一群关心匿名网络与网络自由的志愿者，目前从台湾出发，长期投入的工作涵盖保护记者的消息来源、让行动者在组织过程中不留下痕迹、让人在不暴露身份的前提下支持敏感议题。三者共同的基础都是一个可用的匿名网络。我们运维 Matrix 家服务器 im.anoni.net 与这个文档站，观测与讨论的记录都留在可以查验的地方。

社区从 2025 年 8 月举办的匿名网络工作坊起算，第一批伙伴在那场活动认识。2026 年的工作分成三个方向，个人隐私指引依日常、敏感工作与高风险三种情境整理可操作的做法，校园 Tor relay 与 EFF 和 Tor Project 合作推动，国立台湾师范大学已有实际运行的案例，第三个方向是这次要带到展位的匿名支付。

同样的题目在亚太地区其他地方也有人处理，彼此还不知道对方存在。华语使用者分散在台湾、香港、中国、日本与东南亚各地，遇到的状况彼此关联，能够互相对照经验的机会很少。

另一个目的是参与区域之间的协作，网络自由的题目很少能靠单一社区完成，能够观测与维护的范围有限，多数需要跨地区协作才能完整处理。先建立联系，后续才有共同投入的可能。

8 月 13 日台湾北部移动网络降速的那 30 分钟，我们用 OONI 公开数据整理成一份数据导览，当天全台 238 笔连接速度测试来自 47 台设备，其中一台的下载中位数由 132,096 kbit/s 降到 1,223 kbit/s，文章里的每个查询都免验证免密钥，读者可自行重新执行一次。记录会一并带往现场，若有人正在处理断网或降速，可以提供对照。

展位上要谈匿名支付¶

议程在 8 月下旬公布，三天的场次涵盖断网应变、规避审查工具、平台问责、AI 治理与记者安全。把 Circles、Villages 与 Booths 逐项看过之后，没有任何一场以资金流隐私为题。捐款者匿名、跨境拨款、制裁与外汇管制对公民社会的影响，这几件事没有出现在任何一个场次的标题或说明里。有几场以筹款策略与资助申请为题，重点在把钱找进来。款项怎么在不暴露收款人的前提下送达，议程上没有着墨。

制裁名单、银行拒绝往来、捐款记录被调阅，是许多组织每天在处理的事，在议程上却找不到对应的讨论。

匿名支付会是展位上的主要话题，我们还在研究阶段，正在收集实际的使用情境，包含谁在什么处境下需要匿名的资金流、现行做法卡在哪一段、法规与合规要求造成哪些限制。

特别想找这几种人聊：

有跨境拨款经验的运营者：特别是收款方在高风险或受制裁地区。
处理过捐款者匿名的组织：知道现行工具在哪里不够用。
被资金流管制挡住的项目：因为银行拒绝往来或外汇限制而无法收受支持。
在研究或倡导层面关注这个题目的人：包含法规面。

展位时段欢迎直接走过来，不用预约也不用准备话题，匿名支付以外的题目一样可以聊。展位的用意是当一个区域的会面点，让在场的人彼此找得到。

另一组来自台湾的团队也在现场¶

Cofacts 也到了 Estoril，展位是 Booth 10，9 月 6 日 13:00 到 15:00 WEST，与我们同一个时段。他们这次展示 Cofacts.ai，一套建立在多年协作查核社群与聊天机器人之上的多代理（multi-agent）AI 框架。

两边关心的事情会在同一个地方交会。公共讨论需要可以查证的信息，也需要一个承载信息却不会让传递者曝光的网络。两个展位开放同一个下午，欢迎两边都来。

议程上与我们相关的讨论¶

匿名与规避审查的部分：

技术工作者聚会（Technologist Meetup，9 月 4 日 13:30 到 14:30）是各地投入数字权利与公共利益技术的人互相认识的场合，排在规避审查技术村，我们想找有维护测量工具或自建服务经验的人。
跨境叙事的设备检查与 metadata（Cross-Borders Storytelling: Device Searches, Metadata, and Collective Preparation）比较各地在过境时遭遇设备检查与 metadata 审视的经验，并讨论数字、法律、实体与心理层面的准备。华语记者往返不同司法管辖区的频率高，别人的准备方式我们用得上。
Signal 能否抵抗钓鱼（Can Signal Become Phishing-Resistant?）处理针对记者与行动者的钓鱼，攻击者滥用 Signal 账号救援与设备连接的正常流程，不需要软件漏洞。账号救援的风险要怎么写进隐私指引，我们想在这场找答案。
VPN 透明度的问责框架（Lights in the Tunnel: Co-Creating an Accountability Framework for VPN Transparency）着手草拟评估 VPN 透明度与问责的方法论，并选定要评估的服务商。社区常被问哪一家 VPN 可信，我们想知道这套方法怎么变成使用者看得懂的建议。
年龄验证与数字身份系统（Age Verification and Digital Identity Systems）分成两场，盘点各国的推行状况与背后的行动者，并讨论民间社会可以推动的减害路径。

观测与区域协作的部分：

审查事件的快速应对（Strengthening Rapid Response Efforts to Censorship Events）讨论各地在审查事件发生时如何协作应对，并介绍 OONI 用于快速应对的工具与方法。我们长期使用 OONI 公开数据，8 月那份降速观测即为同一套方法的实现。
亚洲聚会（Asia Meetup，9 月 4 日 12:00 到 13:00）是亚洲区域工作者的连接场合，我们想在这场认识同区域正在处理相近题目的人。
断网应对计划服务台（Internet Shutdown Contingency Planning Help Desk）以 BRACE 框架协助组织依自身的威胁模型拟定断网时的应对计划。台湾每年有演习情境可以对照，框架能接上哪些部分是我们要理清的。
数字证据的保存（We See, We Archive, We Remember）以香港、中国、伊朗、巴勒斯坦的档案工作为基础，讨论公共利益信息在遭到抹除时如何保存。

会前往交流的展位¶

The Onion Odyssey Cryptographic Universe 由 Tor Project 与 Guardian Project（Orbot、Onion Browser）共同设置，位于规避审查技术村的 22 号展位，三天都开放，我们想了解华语使用者在 Orbot 与 Onion Browser 上遇到的门槛。
Lockdown Systems 带着 OnionShare，通过 Tor 网络匿名分享文件、搭建网站与聊天，另有备份与删除社交媒体记录的 Cyd。消息来源第一次使用时容易卡在哪里，隐私指引正需要这类细节。
Air Messenger 以 MLS 协议为基础，结合端到端加密、低 metadata 与联邦式架构，我们自己运维 Matrix 家服务器，想知道联邦式架构能把 metadata 压到什么程度。
Amnezia VPN 展示 VPN 封锁与 DPI 过滤的研究，以及追踪断网的 Amnezia Pulse，我们想用 8 月那份降速观测与他们的断网判定方法对照。
LEAP 的 MANTA 测量规避通道在受审查环境中的健康程度，我们想了解同一套测量方法是否适用于台湾的连接环境。他们的展位（Booth 21）只在 9 月 4 日 15:30 到 17:30 开放，同一天 15:00 到 16:00 在规避审查技术村另有一场 MANTA 的讨论。
po1ytech 的 polymorphic 是自动镜像系统，让遭到封锁的独立媒体维持可达，我们想问维持这套系统需要多少人力，志愿者社区的规模有限，可持续性是选工具时的前提。

完整议程见 Global Gathering 2026，场次数量远多于此处列出的部分。

将到现场的伙伴¶

我们的展位排在最后一天，前两天没有固定据点，以下几种方式都可以找到我们。

活动专用的 Matrix room 最可靠，地址是 #gg2026:im.anoni.net，在里面留言即可约定时间与地点，不需要交换电话号码，活动期间我们会尽快回复。任何 Matrix 账号都能加入，没有账号的人申请一个 matrix.org 账号，几分钟就好。房间里的时间若没有特别注明，一律指 WEST。im.anoni.net 的账号由人工开通，需要一到两天，现场找人来不及等，不需要为了进这个房间去申请。
9 月 4 日有两场我们会参加的场次，亚洲聚会（12:00 到 13:00 WEST）与技术工作者聚会（13:30 到 14:30 WEST），直接在现场会合即可。
每天 12:00 到 13:00 WEST 的 Networking Hour 我们多半会出现，行程仍有变动，出发前可先在该 room 确认。9 月 4 日的这个小时就是上面那场亚洲聚会，两者是同一个时段。
三天大多数时间我们都在会场，名牌上会写 anoni.net 与昵称，看到请直接打招呼。
9 月 6 日 13:00 到 15:00 WEST 的展位时段最容易找到人，到展位时报上昵称即可。

无法到场的参与方式¶

多数人不会前往葡萄牙，仍然有两件事可以一起做。

欢迎把你遇到的协作缺口写下来寄给我们，我们会带到现场，与其他地区伙伴的记录对照。台湾的观察在国际场合出现的次数不多，具体写出一个情境，比一段抽象的简介更有用。

我们也想听匿名支付的实际经验，若你或你认识的组织处理过跨境的小额支持、捐款收据与身份披露之间的取舍、收款人因为资金流向遭到辨识而承担风险的情况，这些经验是现场最需要的素材。不方便具名的部分，可寄到下方的匿名信箱。活动的三天内我们会在几小时内查看，其余时间是一到两天回复。

活动之外，三个方向都需要更多人参与，个人隐私指引需要有人整理情境与校对，校园 Tor relay 需要有人在自己的学校里询问可行性，匿名支付需要更多实际案例。若你比对过 8 月那份降速观测与原始的 OONI 数据，有想补充或指正的地方也欢迎提出。想认领哪一项，在 Matrix room 提出即可。

欢迎协助传递¶

展位只有一个时段，是否遇到对的人，很大一部分取决于信息传得多远。若你认识可能会到 Estoril 的人，或身边有记者、开源社区的伙伴在处理相关的题目，欢迎把这篇转给他们，转传不需要事先告知我们。转出去之后若有人回应，欢迎在 Matrix room 分享，我们可以在出发前先接上。

活动结束之后¶

展位收集到的内容会整理成一份记录，在后续的电子报与这个文档站发布。我们会了解案例发生的情境，涉及的对象与所在区域不会出现在对外的内容里。协作缺口的清单与匿名支付的案例，两者都会去标识化之后才呈现。

联系方式¶

活动期间联系：Matrix room #gg2026:im.anoni.net，供 Global Gathering 三天使用
即时讨论：Matrix 公开 room（家服务器 im.anoni.net）
匿名线索：whisper@anoni.net（GPG 公钥），活动期间几小时内查看

文档站新增八个小工具，全部在读者自己的浏览器里执行

anoni.net 社区 — Mon, 24 Aug 2026 20:38:02 +0000

文档站新增八个小工具，全部在读者自己的浏览器里执行¶

我们是一群关心匿名网络与网络自由的志工，从台湾出发，维运文档站，把个人隐私与匿名的做法依日常、敏感工作与高风险三种情境整理成可以照着操作的指引。

站上的文章说明怎么保护自己，小工具区放的是可以直接按的东西。八个工具都在读者的浏览器里完成运算，不送出任何数据，存进设备之后没有网络也能用。

起点是照片的 metadata¶

Metadata 是什么那篇提到，照片里带着拍摄时间、相机型号与 GPS 坐标，而上传照片前先去 EXIF 是任何人现在就能做的低成本防护。

在线的清除工具几乎都需要先把文件传上去，而需要清除 metadata 的人，正是最不该把原始文件交出去的人。密码生成器、QR code 读取器与网址清理器都有同样的矛盾，要用的东西本身就是不该外流的东西。

把运算放回读者自己的浏览器可以解决矛盾，代价是功能受限于浏览器能做到的范围。需要连到外部服务才能运作的功能不会放进来，网络测量请用 OONI Probe，那是专门为测量设计的工具，数据的处理方式也公开。

八个工具看起来各做各的，收进来的判准只有一条：处理的东西本身就不该外流。照片里的坐标、刚生成的主密码、还没确认过的 QR code、可能被标记过的文件、答完就显示你在防谁的清单，交给任何一台服务器都说不过去。威胁模型清单与隐形字符检测离清除 metadata 这个起点比较远，收进来的理由相同。

八个工具共同的四条规则¶

在你的设备上运算：所有工具都在浏览器中完成计算，不送出任何数据
断网可用：存进设备之后没有网络也能用，域名被封锁、连接被切断或身处没有信号的地方都可以打开
源代码公开：程序放在 anoni-net/docs 仓库，具备能力的人可以自行验证
需要 JavaScript：运算在读者的设备上进行，浏览器关掉 JavaScript 时整页不会有反应

想自己确认第一条，最直接的做法是打开浏览器开发者工具的网络面板，用任何一个工具处理一次数据，看有没有请求送出去。整个过程不到一分钟，比读完源代码快得多。

用 Tor Browser 的话有一个冲突¶

Tor Browser 的安全等级调到 Safest 会关掉 JavaScript，八个工具都无法使用。冲突在于，安全等级页的指引写的是在遇到来路不明的钓鱼链接与不熟悉的域名时把等级调高，而收到可疑链接正是最需要用隐形字符检测或 QR code 读取器检查一次的时候。

可疑的网站用高安全等级打开，把要检查的文字或图片复制出来之后切回 Standard，检查完再调回去。工具不连外，在 Standard 等级下打开不会增加你在可疑网站上的暴露。

开始之前，先答三题¶

威胁模型清单把「要保护什么、要防谁、愿意付出多少」三题答成一份可复制的纯文本摘要，并列出建议先读的页面。分级与威胁模型如何建立一文完全一样，资产四类、对手六级、成本三级。

三题各自看都合理，凑在一起未必，清单会把凑不起来的组合标出来。对手选到执法或国家级而成本填最低、要防亲密关系的人却没把设备列进要保护的东西、只防随意路人却打算大改工作流程，都在标记的范围里。

答案只留在该标签页里，不写进 localStorage、不写进 IndexedDB、不写进 cookie，刷新就回到空白。「我要防的是亲密关系的人」写在设备上正好是最不该留的记录，而设备很可能就在对方的接触范围内。要保存一份就按复制摘要，贴到自己选的地方。tools/test_threatmodel.mjs 有一项测试守着不落地这件事，避免日后有人为了体验方便顺手加上存储。

刚加入一个团体、被交代注意安全却不知道从哪开始的时候，最适合打开清单。换工作、换城市、开始参与新议题，或经历一次安全事件之后，回头再答一次。

要交给别人的东西¶

密语与密码生成器¶

密语与密码生成器从 asian-diceware 的 7776 字词表抽密语，或从勾选的字符集抽随机密码。两个模式的随机数都来自 crypto.getRandomValues，取样时将无法整除的部分舍弃重抽，让每个字被抽中的概率完全相同。抽六个字的熵约为 77.5 位，画面会直接显示熵值。

怀疑手边的电脑被人动过的话，切到实体骰子模式。词表的顺序本身就是编码，第一个字是 11111，最后一个是 66666。掷五颗骰子按下画面上的数字即可查出一个字，随机性来自你自己的手，程序只剩查表的工作。按下载完整对照表会得到一份 7776 行的纯文本文件，印出来之后不必再打开工具。

申请密码管理器要设主密码、加密磁盘等长期不换的密码，都适合在此生成。复制之后记得用一段无关的文字覆盖剪贴板，手机上的剪贴板常常跨 App 共用。

QR code 生成器¶

QR code 生成器将很长又容易打错的字符串转成 QR code，让眼前的人用相机读取。活动报名链接、讲义的下载网址、临时的联系方式都适用，56 个字符的 onion 网址与一行含 IP 与指纹的 Tor bridge 也在其中，中间不经过任何服务器，也不留下消息记录。

QR code 里面是明文，任何拍到图的人都能读出内容，包括墙上的摄像头与你身后的人。真正需要保密的内容应该用端对端加密的通信工具传送。要印在纸上时将容错度调到 Q 或 H，纸会折也会脏。

现场要把一个链接交给眼前的人，而网络不方便使用的时候最适合。带工作坊把一行 bridge 交给参加者是典型的例子，念出来两边都不确定刚才是大写 O 还是数字 0，改用 QR code 让对方扫描，一次就对。

收到来路不明的东西时¶

QR code 读取器¶

QR code 读取器在浏览器中解出图片里的内容，图片不离开设备。解出来是网址时会将主机名独立标出，并且刻意不提供打开按钮，确认主机之后再自行贴进浏览器。

Wi-Fi 设置、两步验证绑定、预先写好的邮件与短信、地理坐标、电子名片都能识别，字段会拆开来标记，密码默认遮蔽。扫到 nopass 的 Wi-Fi、含 secret 的 otpauth:、javascript: 开头的内容都会另外提醒，那几种按下去的后果与扫到一个普通网址差很多。

停车缴费机上贴着一张看起来没有异状的 QR code，或刚认识的人递来印着 QR code 的名片，都适合先确认内容再决定要不要照做。

隐形字符检测¶

隐形字符检测找出文字里的零宽字符、方向控制、标签字符与混在拉丁字母里的同形字，标出位置并说明每一类是什么。

机构发文件给二十个人、每一份在不同位置插入不同组合的零宽字符，内容看起来完全一样，外流之后比对即可知道是哪一份。记者取得文件向机构求证时出示原件或复制粘贴其中一段，等于把消息来源交给正在找他的人。完整的场景见记者保护消息来源。

不可见字符的另一个用途是把整段指令藏进看起来正常的文件里。人读不到，模型读得到，把一段来路不明的文字贴给 AI 助手之前扫描一次，成本十秒。

检测结果能证明「有」，不能证明「没有」，零宽字符是最粗糙的一种标记方式，同义词替换、段落空白行数、标点微调、PDF 里的字符间距都不会被检测到，彩色激光打印机还会在每张纸上留下编码序号与时间的黄点阵列。处理真正敏感的文件时，正确的做法是重新打字或转述内容，不要传递原始文件。

社区的立场是教检测、不教植入，同一组零宽字符，机构用来保护内部文件是合理需求，用来找出举报人就是压迫工具，所以工具不提供生成带标记副本的功能，示范文字也固定，无法换成自己的文字。

送出去之前先清一次¶

文件 metadata 清除器¶

文件 metadata 清除器移除 EXIF、XMP、IPTC、制作软件与注释字段，文件不离开设备，清完的是新的一份，原始文件不会被改动。处理范围是 JPEG、PNG、WebP、GIF、MP4、MOV 与 PDF，遇到认不出来的文件，画面上会直接标示，不会安静地交回一份没有处理过的东西。

照片与视频的压缩数据从文件里的固定位置一路照抄到文件尾，一个比特都没有变动，清完的文件解出来与原文件完全相同。重新编码的工具做不到无损，每一次重新压缩都会损失画质，而且会在输出里留下自己的处理痕迹，用 mat2 清过的文件可以辨识出是 mat2 清的。

EXIF 里还有一张没有被裁切过的缩略图。照片裁掉一半再传出去，缩略图可能仍是原本的完整画面。画面上会逐项列出移除与保留的内容，含各自占几个字节，以及文件格式里对应的段落代号。

iPhone 默认拍出来的 HEIC 还无法处理，可以在「设置 → 相机 → 格式」选「最兼容」，之后拍的就是 JPEG。TIFF、RAW、MKV、WebM、AVI 与 Office 文档目前也不在范围内。工具不做人脸模糊，画面里的门牌、路标、制服与窗外景色都在图像本身，分享之前自行检视一次。

网址清理器¶

网址清理器挑出网址里的跟踪参数并移除，每一个都说明是谁在跟踪，同时拆掉 Google 与 Facebook 的跳转包装。

移除的逻辑是白名单，只处理清单里能识别的参数，其余一律保留。反过来做的话，YouTube 的视频 ID 与分页参数会一起被删除，读者会得到一个打不开或指向错误内容的网址，而且不会联想到是清理工具改坏的，只会觉得对方给错了链接。

从 Facebook 点开文章再复制出来的网址带着 fbclid，贴进群组之后，每个点进去的人都会带着同一个 ID 回到 Meta，同一个 ID 将整串点击记录串了起来。邮件通讯的 utm_source 转发出去等于告诉收件人你订了哪份通讯，mc_eid 更直接，属于 Mailchimp 的收件人识别码，对得回电子邮件地址。

短网址刻意不展开，因为展开的动作会把想清理的网址送到第三方服务器上，正好是工具要避免的事。

想知道自己的浏览器透露什么¶

你的浏览器透露了什么列出任何网站在打开页面的那一刻就能取得的信息，没有问过使用者，也不需要同意。每一项下面标出 Tor Browser 会显示什么，例如时区直接写「Tor Browser 会显示：UTC」，换一个浏览器打开同一页就可以对照。

最上面的八位短码是将稳定的值揉在一起算出来的，换设备或换浏览器再打开一次，只要比对短码就知道有没有变。十五项值加起来足以认出一个人，短码把整组值浓缩成一个可以直接比对的识别码。原理见浏览器指纹是什么。

列出的十五项里，在自己设备上真正能够关闭的只有三项，位置权限、语言偏好与 Do Not Track 信号。其余没有开关可以关，因为它们本来就是网页平台提供给网站的能力。单一动作能处理最多项目的是改用有内建防护的浏览器。

工具刻意没有导出按钮，导出的文件本身就是一份完整的指纹，留在设备上比不留更糟。也没有独特性百分比，计算独特性需要一个母体数据库，社区不打算为此开始收集访客数据。想看那种统计可以用 EFF 的 Cover Your Tracks。

视频与 PDF 各有一个限制¶

编码器会把自己的版本写进压缩数据本身，与画面内容混在一起，不属于描述字段，要移除只能重新编码，而重新编码会损失画质，也只是把旧编码器的痕迹换成新的。工具不做重新编码，改成把扫到的字符串列出来，避免使用者误以为已经清干净。

照片与视频可以把描述那一段直接剪掉，PDF 不行。PDF 的每个对象在交叉引用表里记着自己的位置，剪掉一段之后后面全部位移，整张表要重算，而 1.5 版之后常见的做法还会把好几个对象压进同一段压缩数据，从外面连内容都看不到。所以工具是把整份文件重写，无损的保证在 PDF 上不成立。实测页面内容不会重新排版，渲染出来与原文件逐像素相同，但表单、数字签名或特殊交互元素重写之后不一定完全保留，重要的文件先留一份原始文件。

XMP 另有一个陷阱，把文档目录里指向 XMP 的引用删掉、重新保存之后，内容仍然完整留在文件里，只是没有人指向它，用文本搜索工具打开还是找得到作者与地点，所以工具是把对象本身移除，tools/test_stripmeta.mjs 有一项测试专门守着。

整份文档站可以存进设备¶

用一般浏览器打开过文档站之后，目前语言的核心章节（概念、工具、进阶、在地）会在后台保存到设备的缓存里，不需要另外安装任何东西。切换语言时才会下载该语言的章节，所以设备上只会有实际读过的语言。

记者、行动者、LGBTQ、家暴等场景页不在预先下载的范围内，只有自行点开过才会保存。场景页留在设备上本身可能就是敏感信号，所以是否留存交给读者决定。要离线带着走的话，在离线阅读页的清单里自行勾选。

自动保存的章节默认只存文字，离线打开会缺图。页面上有一个选项可以连同核心章节的正文图一起保存，大约多 7 MB。默认关着是因为多数人在移动网络上，而缺图仍然读得懂大部分内容。自行勾选的页面不受该选项影响，一律连正文图一起保存。

文档站也可以安装成离线 App，Android、桌面浏览器与 iOS 的逐步操作写在离线阅读页。Tor Browser 以及 onion、IPFS 版基于隐私考量不注册后台的 Service Worker，需要离线备援时用一般浏览器在 anoni.net 安装，平时的匿名浏览再回到 Tor Browser。

用了谁的程序¶

小工具区大部分的程序是社区自己写的。有四样东西来自别人，原封不动放进来，不做任何修改：

组件	用在	许可证
qrcode-generator 1.4.4	QR code 生成器	MIT
jsQR 1.4.0	QR code 读取器	Apache-2.0
pdf-lib 1.17.1	metadata 清除器的 PDF 部分	MIT
asian-diceware 的 7776 字词表	密语与密码生成器	词表 CC-BY-4.0，程序 MIT

不做修改是刻意的，改过就失去「这是上游那一份」的可审性，读者要验的时候只能相信我们的说法。文件都在 utils/vendor/ 底下，可以自己跟上游的版本比对。共通的理由是组件写错不会崩溃，只会产生看起来正常但实际上错的结果，那比坏掉更难发现。

想一起做的话¶

工具是纯前端，没有构建流程，程序在 anoni-net/docs 的 docs/zh-TW/js/ 底下，一个工具一支 JS。改完要在本机看效果，执行 cd docs && uv sync && mkdocs serve 即可。

八个工具各有一支测试，执行方式是 node tools/test_<名称>.mjs，不需要安装任何包，每一支都在 CI 里执行。测试守的是画面看起来正常、结果却是错的那几种情况：取样有没有偏差、生成的 QR code 扫回来内容对不对、指纹示范页有没有偷偷送出数据、网址清理有没有误删必要参数、威胁模型的答案有没有被写进存储。

目前缺的东西列在各工具页的不支持清单里，HEIC、TIFF、RAW、MKV、WebM、AVI 与 Office 文档都还没有人做。着手之前先开一个 issue 或到 Matrix room 说一声，避免两个人做同一件事。流程见 CONTRIBUTING 与如何参与与认领主题。

接下来¶

社区想往的方向是让文档站成为一份存在读者自己设备上的隐私与匿名指引。域名被封锁、连接被切断、身处没有网络的环境，正是最需要打开文档的时候，能否打开取决于之前有没有先保存下来。

几件现在就可以协助的事：

希望能离线带着走的页面：预先下载的范围目前依核心章节划分，实际需求可能不同
工具在你的情境下缺了什么：某个字段没有被识别、某种文件格式无法打开、说明看不懂都算
视频或 PDF 的实际案例：手上有无法清除 metadata 的文件，或清完之后无法打开的文件，都欢迎回报

回报渠道是 Matrix 公开 room（家服务器 im.anoni.net，链接见社区工具页），或 anoni-net/docs 的 issue。不方便具名的部分可寄到 whisper@anoni.net（GPG 公钥）。

网络自由小聚 2025/10：数字威权主义商品化 - 网络政变报告分享会

anoni.net 社区 — Mon, 24 Aug 2026 17:55:52 +0000

网络自由小聚 2025/10：数字威权主义商品化 - 网络政变报告分享会¶

图片引用自网络自由小聚 10 月：https://ocftw.kktix.cc/events/internetfreedom-oct2025 活动。

在「网络自由小聚」上，分享了 InterSecLab 针对中国防火长城数据泄露的报告后，活动当天后半段展开了许多讨论。大家关注的问题主要是，当我们面对国家级的监控手段与能力时，还有什么是我们可以做的？过往提供的网络安全防护建议是否也需要重新检视与调整。

以下是我们根据当天讨论的内容为大家进行的文字回顾，同时建议大家花时间阅读这份报告，它将更清晰地勾勒出我们所面临的风险与挑战。

开源软件的滥用¶

在报告中发现，防火长城的一系列软件部分是基于现有的开源软件建立或修改而成，这带来一个问题：许多工程师对其专业领域的开源贡献被某些组织滥用，完全忽视开源授权的规范。或许这些规范本身没有实质的强制约束力，但当开源贡献的成果被用于隐私监控领域时，我们目前缺乏相应的抵制措施和应对策略。当开源软件的滥用升级到国家规模时，我们有什么办法可以制衡与问责呢？

这个问题在当晚的讨论中没有得到答案。当追求网络自由、民主自由的时候，我们可能只能暂时归因于工具的中立性，这或许与 Tor、洋葱网络的使用也存在类似的情况。

防火长城验证难以有效阻挡的 WebTunnel¶

报告中提到，目前常见的 VPN 协议都可以被识别和阻挡，但 Tor 桥接类型中的 WebTunnel 目前尚无法有效阻挡。由于数据泄露的时间在 2024 年 12 月左右，经过 10 个月后，不确定防火长城的技术是否仍然无法阻挡。此外，与 WebTunnel 类似通过流量伪装 Tor 连接的 Snowflake 也可以规避封包检测。

在当晚的活动中，我们快速向大家介绍了 Snowflake。只需通过浏览器插件，开启后建立一个类似视频会议流的连接，就可以通过浏览器搭建一个 Tor 桥接点，帮助无法使用 Tor 的地区通过你的桥接中继点连接到洋葱网络。对于有技术能力的参与者，我们建议可以通过 Tor 官方打包的 WebTunnel（Docker），建立一个类似浏览网页的行为，提供一个桥接中继点。

采取行动¶

在当晚的讨论中，我们探讨是否要采取 “主动” 的行动。既然已知一些极端政府对人民进行监控和压制，我们是否应直接采取主动姿态来改变现状。当然，情绪激昂过后，我们也意识到所面临的问题可能不是像代码部署错误重新上传、主机故障重启那么简单。当捍卫人权纳入考虑，我们可能需要面对现实世界中的真实危险甚至生命问题。此时我们稍作停顿，现场的参与者也在思考面对这种风险，我们还有多少决心愿意采取行动。

为了缓解一下沉重的氛围，我们传达了 InterSecLab 的下一个计划，他们希望招募对代码分析和研究感兴趣的伙伴。报告中提到，目前泄露的数据中有一大部分尚未被挖掘和分析，而在防火长城技术输出的国家中，一个代号为 A24 的项目尚未被识别。或许不同专业领域的努力都可以成为对抗极端政权的有力反击！

以上是 “网络自由小聚” 当晚的快速回顾，也感谢开放文化基金会的邀请，给予 “匿名网络社群” 一个分享的机会。如果您还未阅读我们已翻译的报告，请通过这里阅读！我们也计划针对报告中的发现，尝试建立一套大众可以掌握的抵御能力，或许会先从隐私保护开始。有兴趣的伙伴可以通过这个频道来讨论。

当然，也可以直接给我们发邮件！

Unredacted 如何帮受审查地区的人连上开放网络

anoni.net 社区 — Mon, 24 Aug 2026 17:55:52 +0000

Unredacted 如何帮受审查地区的人连上开放网络¶

以下是 Unredacted 在 Tor Blog 的客座文章全文翻译，文中的「我们」都指 Unredacted：

Keeping the doors open, Tor Blog, by Unredacted.org, 2026-05-15

文末附三段来自 anoni.net 社群的补充（台湾的对照、GreenWare 在自由连接地区的可行性、你能做什么）。

这篇客座文章是「捍卫自由网络的组织」系列报导的一篇。

有位中国用户曾经这样描述我们的工作：

「你们帮了很多很多人翻过防火长城。如果没有你们的帮助，我会被困在完全的黑暗里，被洗脑。」

我们很少听到使用我们服务的人发声。他们大多没有办法、或不觉得自己能安全地传消息出来。每当有一条消息穿越过来，就提醒我们这件事真正关系到什么。

我们是 Unredacted，一个注册在美国的 501(c)(3) 非营利组织（美国的免税公益组织）。我们建造并运维网络基础设施，协助大家连上开放的网络、捍卫使用网络的隐私权。具体做法是在全球运行一个超过 300 台服务器的网络。当前门被锁住时，我们是另一条穿越的路径。当公共广场不再安全时，我们是还能说话的地方。

这份工作大部分都是看不见的，包括数据中心作业、硬件、自动化、开源软件、带宽、滥用通报处理、监控警报，以及为了让这一切持续运作而熬过的深夜。

我们做的事情分成三个方向。Censorship Evasion（绕过审查）这一块是 Unredacted Door，我们把所有用来绕过封锁的服务都收在这个名字底下。Secure Infrastructure（安全基础设施）承载的是像 XMPP.is、自家的 Matrix 家用服务器，还有其他以安全与隐私为前提的免费服务。Unredacted Education 是写作与文件的部分，给想理解这份工作、想自己复制一遍的人读的指南与说明。在这三块之外，Unredacted Labs 是实验区，运作还没到正式上线等级的基础设施想法。GreenWare 就是其中一项，目的是用不太耗电的硬件扛起真实的网络容量。

Unredacted Door¶

名字就是字面的意思。当通往开放网络的入口被墙封起来，人们就需要另一条进入的路径。

Unredacted Door 把好几项绕行审查的服务收在一起：FreeSocks、Signal 与 Telegram 的消息代理、Tor bridges、Snowflake 代理。在最近的 30 天里，这些服务替数万名在自己国家绕行审查的用户承载了将近 300 TiB 的流量，大约相当于播好几万小时 4K 视频所需的带宽。需求没有减缓，我们得持续架更多。每一条新过滤规则、每一条新法律、每一波打着「为了你的安全」名号的措施，都会把更多人推向尚未被审查者发现的路。

Unredacted Door 里最大的一块是 FreeSocks，给审查严重地区的用户用的免费代理。如果你没接触过，代理就是一个转接点：你的应用程序连的是这台转接的服务器，由它把连接带过你跟外面网络之间那层过滤，再接到你真正想连的被封锁服务。

FreeSocks 的设计重点是让这个转接点看起来低调无奇，这恰好是一般 VPN 缺乏的特质。VPN 在连接上很显眼，有清楚的端点、清楚的握手、在线路上看得出来的数据包形状。审查者非常擅长阻挡他们认得出来的东西。

没有单一工具能涵盖所有情境。Tor Browser 提供强度足够的浏览隐私与匿名性。Snowflake 在 Tor 网络本身被封时，帮用户绕回 Tor 上。FreeSocks 代理则把特定流量推上一条较难被察觉的路径。住在审查环境里的人通常手边得备上好几种工具，因为没有任何一扇门能一直开着。

这也是我们为什么把心力投在 FreeSocks 第二版（v2）的开发上。它使用 Xray，一个强大且弹性的流量路由引擎，可以把代理流量做得更像一般网页流量。

什么是 Xray

Xray 是一个流量路由与伪装工具，源自 V2Ray 项目，被中国、伊朗等审查严重地区的用户广泛采用。它提供 VLESS、Trojan、Reality 等协议，把代理流量伪装成一般 HTTPS / TLS 流量，让系统难以从连接特征认出它是代理。传统 VPN 一眼能认出的握手与数据包样态，Xray 把这些指纹抹平，是抗审查工具圈里近年的主力选择。详细可参考 Xray-core 项目。

我们把 Xray 与自家的开源控制平面绑在一起，这样当审查者找到并封锁某台服务器时，系统就能自动轮替端点。用户已经在压力底下了，能少花一分力气去调设置就少一分风险。

GreenWare：用更省电的硬件撑起 Tor 容量¶

Tor 中继、桥接、代理等等，这些都运作于数据中心的硬件上，而硬件有实际的成本，财务、运营、环境都有。如果我们希望隐私基础设施能长期撑下去，就得问什么样的运维才是真的可持续。

GreenWare 是我们试着缩小这个成本、同时保住承载量的尝试。大多数 Tor 中继的流量，并不需要一台耗电像暖风机的服务器。一台中继需要的是稳定的网络、可预测的 CPU，以及足够存放状态的内存。这种规模的工作量，一台单板电脑就能处理，前提是外壳够扎实。

我们从 Raspberry Pi 5 主板开始，通过 PoE（网络供电）让电与数据都靠一条网线喂进去。这个想法行得通。数据中心的典型服务器吃的电大约相当于一台小型暖风机，而一台 Pi 连一颗灯泡都不到。但是第一代有它的天花板，密度不够，部分配套元件也撑不了我们的长时间使用。

所以我们现在同时采用两种部署方式。第一种是一个 1U 机箱里塞 20 个 ComputeBlade 模组，全部 20 个都部署在我们的数据中心，把一部分 Tor exit relays 搬到上面运作。这个机箱在满载时大约吃 100W 多一点，大约等于一颗旧式白炽灯泡。第二种是我们自己设计的定制 Raspberry Pi 机箱。会做这个，是因为 ComputeBlade 的经验让我们更清楚现场到底需要什么。两种都已经上线，截至撰文时，我们全部 123 个 Tor exit relay 都运作于这套合并后的基础设施上，总耗电大约 400W。随着时间推进，等项目更成熟，我们会再分享更多机箱设计与整体进展。

Tor 网络靠愿意替它运维基础设施的人与组织撑起。Exit 是这份工作里最难的一块，需要带宽、维护、处理滥用通报、法律上的承担，还需要钱。如果我们能把产出有意义的 exit 容量所需的成本与电力都压低，就有更多人能扛起其中一块，让网络的节点更多元、规模更大。

更长远的目标是继续推动高效硬件、碳排追踪，乃至于以再生能源驱动的小型节点。我们很乐意跟想看到这件事持续做大的组织与公司合作。

开放的网络之所以保持开放，是因为有许多人与组织投入心力、时间与精神。包括测量审查的研究者、提供带宽的中继运维者，以及不肯把彼此丢下的社群。Unredacted 负责的这一块，就是建造与维护那些路径，在那些明显好走的路被切断时，给人们另一条能走的路。

来自 anoni.net 社群：台湾的对照¶

Unredacted 文章里那位中国用户的话格外少见，因为身处审查环境的人多半没有管道、也难以安全地对外发声。anoni.net 是一个台湾的匿名网络社群，写这篇补充的视角来自这里。台湾的网络环境相对自由，没有 GFW、没有强制 VPN 注册、ISP 也没有国家审查命令。也因为如此，台湾这类对外连接自由的地区，有条件替被封锁地区架设 Tor 中继与桥接，分担一部分抗审查基础建设的工作。在中国大陆、伊朗这类重度审查地区的人，正是这些基础设施服务的对象。在新加坡、马来西亚、海外华人所在地这些对外连接同样自由的地方，也都适合成为架设来源地。

匿名网络社群 anoni.net 一直通过 Pulse 即时观测追踪台湾 Tor 中继节点的数量与分布。截至 2026-05-31，台湾境内 Onionoo（Tor 官方的中继数据查询服务）看得到的、运作中的中继节点是 12 个，其中具有 Exit 旗标的只有 3 个（initramfs、GuruKopi、jerryrelay）。对照 Unredacted 一个组织就执行 123 个 exit relay、30 天承载近 300 TiB 流量，台湾的全国 exit 规模还不到他们的 3%。我们在 Tor Relays 观测点持续更新这个数字，并在 ASN 观测数据分析补上 OONI 对台湾与邻近地区的审查观测。

香港、澳门以及使用中文的东南亚华语用户，在 2020 年后实际的翻墙需求增加，而简体与正体中文的抗审查资源相对稀缺。anoni.net 的工作之一是把这套中文资源补起来，包括什么是 Tor、Tor Snowflake 桥接点、什么是 OONI 等基础文件，跟 Unredacted 的 Unredacted Education 走在同一条路上。

来自 anoni.net 社群：GreenWare 在自由连接地区的可行性¶

Unredacted 把 123 个 exit relays 运作于 400W 上，这个数字换算成运营成本相当友好。以台湾一般工商业用电费约 NT$ 3.5 至 6 / 度（约人民币 0.8 至 1.4 元 / 度）估算¹，400W 全年运转约 3,500 度电，一年大约 NT$ 12,000 至 21,000，对学校信息中心或社群协作空间而言是可以负担的运营成本。读者在其他地区可以换算当地电价，量级通常落在同一个区间。

关键在硬件规模化的设计。Raspberry Pi 5 对各地 maker 社群都不陌生，PoE+ HAT 与 PoE 交换机在常见零售管道都能买到（台湾如 Cytron、群创、PChome，其他地区可循当地电子零售管道）。ComputeBlade（20 模组 1U 机箱）目前零售管道较少，可以通过官方海外订购或社群代购取得。机构机房比家用网络更适合做这件事，原因有三：固定 IP、机构网络带宽、有人巡检机器。

Tor Relay 校园建立是 anoni.net 2026 的三大主题之一，社群正在把校园架设的经验整理成一份 SOP（见 Tor Relay 校园建立研究专题与在台师大架设 Tor Relay：一段与学校沟通、留下可能性的实现经验）。Unredacted 在 GreenWare 上的工程做法，可以做为下一所学校评估架设方案时的参考点，先用 PoE 喂电的 Raspberry Pi 5 试做一台 middle relay，等运作稳定后再考虑 exit 与机箱密度。

对想参与的个人或小团体，从 Snowflake proxy 开始（浏览器扩展或 Docker）几乎没有电费负担，是进入抗审查基础建设最低门槛的入口（见 Tor Snowflake 桥接点）。

你能做什么¶

读完 Unredacted 的工作，如果你也想替审查地区的人多撑住一条连外的路，这里有几个入口：

了解 Unredacted：到 unredacted.org 看他们的服务与透明度信息，再决定是否通过官方管道支持服务器、带宽与人力成本。
自架 Snowflake：最低门槛的抗审查贡献，用浏览器扩展或 Docker 就能执行（见 Tor Snowflake 桥接点）。
架设 Tor relay 或 bridge：需要稳定网络与一点运维心力，社群整理了如何搭建 Tor Relay 的步骤与经验。
校园 Tor Relay：在大专院校工作或就读的人，可以从 Tor Relay 校园建立研究专题开始评估。
加入 anoni.net 社群讨论：通过 Matrix 跟其他社群成员交换经验，入口在社群参与。

OMG！第三届 Open Measurement Gathering（OMG）的有问必答（AMA）活动总结

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

OMG！第三届 Open Measurement Gathering（OMG）的有问必答（AMA）活动总结¶

以下内容原文翻译来自以下文章，主语角色为 Open Measurement Gathering (OMG)：

OMG! Summary of the 3rd Open Measurement Gathering (OMG) Ask Me Anything (AMA) event, Open Measurement Gathering (OMG) 2025-08-04

2025 年 6 月 25 日，Open Measurement Gathering（OMG）举办了一场公开活动，名为 “Open Measurement Gathering 有问必答会议”，参与者包括 Censored Planet、IODA、OONI 和 Measurement Lab。这次活动是 OMG 小组分享项目更新、未来计划，以及收集网络自由社群问题和意见反馈的机会。每个参与小组做了30分钟的简报，随后进行问答环节。

这场公开的线上活动受到先前两次 OMG 会议（公开报告 1 和 2）的启发，在这些会议上，OMG 小组分享了他们在平台、工具、数据集的令人兴奋的更新，然后再与更广大的网络自由社群分享。在第三次 OMG 会议中，各小组决定公开分享最新的更新信息，以鼓励社群的反馈。

活动期间，OMG 小组直接收集了来自网络自由社群的反馈建议并回答了问题。在本文的结尾，您可以看到一些来自社群的重要问题以及我们的回答。您还可以观看每个环节的简报并聆听完整的问答内容。

OMG 有问必答活动特别针对倡议型组织、数字人权研究人员、反审查工具开发者、记者、律师、行动人士、政策制定者和资助者。在活动高峰期，我们有大约 60 位来自世界各地的参与者。OMG 小组非常感谢到场的人士，我们希望未来能主办更多联合活动！

完整的 OMG 有问必答播放列表

简报摘要¶

Censored Planet 的工作内容¶

幻灯片与录像

Censored Planet 是密歇根大学的一个研究团队，专注于建立可扩展的系统和新颖的方法，以保护用户免受网络审查、监控和数字鸿沟的影响。我们的工作位于网络、安全与隐私以及网络测量的交叉点。我们采用数据驱动的方法来检测和防御强大的网络中介者和政府威胁者。我们的观测站每天进行远程测量，以监测超过200个国家中哪些域名被封锁，并收集长时间且符合伦理的数据。

🆕 最近和即将推出的功能¶

Censored Planet 分析流程 v2：我们发布了新的分析流程，这表示从 Google Cloud 的批次云端处理重大转变为自我托管的实时基础设施。先前，所有的全球测量数据皆以每日批次处理，这在数据收集和可用性之间引入了一个延迟。新的流程会在每次测量完成后立即处理结果，使我们能够实时掌握正在进行中的审查事件。这种架构不仅提升了性能，也通过去除对商业云服务的依赖，改善了可持续性和数据控制。因此，我们现在能够更好地支持实时研究和快速反应行动。
Censored Planet API：随着基础设施升级，我们推出了首个公共 API，可在 data.censoredplanet.org 访问。此 API 使用 GraphQL 构建，提供以下功能：
- 一个用于互动式探索和查询数据集的图形界面。
- 提供给研究人员和开发者使用的 /query 程序端点
- 访问自 2018 年以来收集的每项测量数据，包括所有测试的协议、域名和国家。

这个 API 是我们使命中的一个重要里程碑，旨在使 Censored Planet 的数据公开、易于访问且可付诸行动。它使社群能够建立自定义的仪表板，执行时间序列分析，并自动化审查检测流程。

Censored Planet Dashboard v2：我们还推出了一款全新设计的自我托管仪表板，目前可在 dashboard.censoredplanet.org 使用。与我们之前的仪表板不同，新版本由内部全权维护，并为长期扩展和定制化而构建。早期版本为了减少云服务托管成本，只展示最近6个月的测量数据，而 Dashboard v2 现在提供自 2018 年至今的完整数据集。让用户能直接通过仪表板进行历史性、纵向的审查模式分析。新仪表板的首页显示了一个全球 3D 可视化互动地球仪，呈现过去 30 天各国干扰率。为了确保这些统计数据的精确性和公平性，特别是在测量覆盖较少的国家，我们应用了先验的贝叶斯推断。对每个国家，我们结合最近的测量数据和精心选择的先验，计算干预概率的后验分布。这种方法有助于避免在测量数据有限的国家过高或过低估计干扰率。贝叶斯模型通过结合统计不确定性来平滑估计值，让在测量充分的国家中获得高可信度的干扰率，并与在覆盖较少地区中所做的谨慎预测保持平衡。

这种统计公平性对于负责任地呈现全球审查模式相当重要，特别是在测量覆盖仍然有限的地区。

新的仪表板还有一个“探索”页面，让用户可以直接控制他们想分析的数据。仪表板的首页会引导用户进入“探索”页面，这让用户有机会以互动方式分析数据。用户可以选择特定的国家、设置时间范围（最多 6 个月）、选择感兴趣的协议，并选择最多 10 个要关注的域名。然后，仪表板会从我们的 GraphQL API 获取相关的汇总数据，并呈现一系列针对该选择产生的详细可视化图表。

探索页面的一个核心部分是一个表格，显示每个域名及其类别、测试的网络和子网络、进行的探针数量，以及意外率，也就是遇到某种形式干扰的探测百分比。为了提供时间上的背景，仪表板还包括一个结果时间线，这个时间线直观地展示了探测结果随时间的变化。在选定的时间范围内的每一天，用户可以看到有多少次测量正常成功、多少次被中断，以及所检测到的特定干扰类型的详细细节。

仪表板还提供了一个网络层级的视图，按 ASN 和子网分解探测结果，帮助揭露审查是否在不同供应商间一致或针对特定 ISP。最后，我们加入了一个旭日图，以可视化方式总结测量结果在各个结果中的比例分布。

审查早期预警系统：我们正在建立一个新的预警系统，利用 Google 趋势数据检测新兴审查事件的早期征兆。通过分析大众对 VPN 和其他规避工具的搜索兴趣激增，系统可显示用户困扰和潜在访问中断的信号，这在传统报道渠道有限、受限或受威胁的国家尤为宝贵。该系统对每日搜索数据应用国家特定的异常检测算法，并为每个检测到的突波分配一个影响因子，量化大众对规避的需求强度和紧迫性。这种以影响力驱动的方法有助于优先考虑应集中精力和资源的地方。在对 76 个国家进行的多年评估（2011-2024）中，该系统确认了149宗审查事件，包括62起未被网络自由社群报道过的事件。这些事件大多在出现后24小时内即被检测到，这使得该工具非常适合实时监控和快速反应。我们计划在未来几个月内公开发布，包括 API 和互动式仪表板界面。
启动自定义测量功能：我们正在开发一个新界面，将允许外部研究人员和数字人权组织使用我们的基础设施来请求自定义的审查测量。
参考文献：
- 我们最近的研究重点在于巩固审查检测和规避的技术基础。在我们的研究『CenPush: 抗封锁通讯与推送通知』中，我们探索了推送通知服务作为审查规避工具的韧性控制通道的潜力。通过利用其间接的服务器到用户端的通讯模式，以及封锁后所带来的高附带损害，推送通知提供了一个强健且可持续的通道，自动传送用户端设置配置的更新，例如用来替换被阻挡的新代理 IP 地址，而不需要用户介入。经过基于测量的分析，我们证实这些系统即便在 IP 层级封锁下，仍然具备强大的可用性和抗指纹能力。我们已将基于推送通知的控制通道整合到 Android 的 Tor 客户端 Orbot 中。
- 在我们的 FOCI 2025 论文『自定义拥塞控制是否是规避工具的一个坏主意？』中，我们探讨了主动式的拥塞控制算法（例如用于 Hysteria 和 TCP-Brutal 的算法）如何在性能和可检测性之间进行权衡。虽然这些自定义 CCAs 设计来在跨境连接不稳定的情况下提供更好的性能，但它们与标准的 TCP/QUIC 行为明显不同，使其容易被审查者分类和检测。通过控制实验和两阶段的基于门槛的分类器，我们展示了这些协议即便在不同网络条件下仍可被可靠地指纹化。我们的研究结果强调了保持规避工具行为与标准化协议一致的重要性，以维持流量的不可辨识性并避免被检测。
- 在我们的论文『跨层 RTT 在代理流量指纹识别中的鉴别力』中，我们介绍了一种技术，通过它可以根据中间盒子（Middlebox）引入的往返时间（RTT）开销来远程识别审查中间盒。通过从数以千计的观测点测量微小的 RTT 变化，我们展示了此方法如何在不透明或恶劣的网络环境中识别特定的审查设备及其行为。这种方法使我们可以推断中间盒干预的存在、类型和范围，而无需特权访问或国内基础设施，提供了一种在大规模远程分析审查的新视角。

文献原文名称

本段落所提及的文献原始标题如下：

『CenPush: 抗封锁通讯与推送通知』："CenPush: Blocking-Resistant Communication Using Push Notifications"
『自定义拥塞控制是否是规避工具的一个坏主意？』："Is Custom Congestion Control a Bad Idea for Circumvention Tools?"
『跨层 RTT 在代理流量指纹识别中的鉴别力』："The Discriminative Power of Cross-layer RTTs in Fingerprinting Proxy Traffic"

Measurement Lab (M-Lab) 的工作内容¶

幻灯片与录像

M-Lab 测量互联网、保存数据，并使其网络普遍可访问且有用。

M-Lab 的平台由遍布全球超过 40 个国家的 500 多台服务器组成。
M-Lab 支持一套开源工具和实验，用于测量互联网速度和性能（NDT）、路由路径和应用层性能。
M-Lab 将测量结果以开放数据形式提供于 BigQuery 中。

🆕 最近和即将推出的功能¶

Giga / UNICEF 案例使用：Giga 利用 M-Lab 平台来监测全球学校的连接情况。Giga Meter 定期进行测试以监测互联网性能，自 2024 年起已在 27 个国家与超过 1 万所学校进行了超过 150 万次测量。所有数据都在Giga 地图中提供。
IP Route Survey（IPRS）：由巴黎索邦大学的 Dioptra 研究组发布的一个新数据集，由 M-Lab 出版。该数据集包含从 10 个观测点至所有可路由IPv4 前缀的常规路由追踪测量。详细信息可在我们的博客文章中了解。
主机管理部署：M-Lab 通过启用新类型的服务器来发展其平台，旨在从新的网络位置测量更多的互联网，分散平台服务器和成本，以及扩大地理覆盖范围。
互联网质量观测表（IQB）：M-Lab 设计了 IQB 框架，旨在重新定义超越「速度」的互联网质量。IQB 考虑互联网中的多个使用情境和多个数据集来描述互联网质量。详细信息可在我们的博客文章中了解。

OONI 的工作内容🐙¶

幻灯片与录像

网络干扰开放观测站（OONI）是一个非营利组织，开发免费且开源的网络测量工具，任何人都可以使用这些工具来测量和检测各种形式的网络审查。OONI 即时发布来自全球的网络测量数据作为公开数据。

🆕 最近和即將推出的功能¶

新软件发布：
- 推出 OONI Run v2：在 2024 年 10 月，OONI 推出了 OONI Run v2：面向社群驱动审查测试的新一代版本。OONI Run v2 是一次重大革新，旨在满足社群的关键反馈和需求。
- 推出 OONI Probe 多平台应用程序（适用于 Android 和 iOS）：在 2025 年 3 月，OONI 发布了适用于 Android 和 iOS 的 OONI Probe 多平台应用程序。这对 OONI Probe 应用程序的长期可持续性而言是一个重要里程碑，因为这将使 OONI 能够确保功能一致性，并更快速有效地在各平台上推出新功能。
- 推出 iOS 版新闻媒体扫描应用程序：在 2024 年，OONI 发布了 iOS 版新闻媒体扫描应用程序（他们推出的首个跨平台应用程序）。这是一款基于 OONI Probe 的应用程序，与德国之声（DW）合作开发，用来测量新闻媒体网站的封锁情况。与 OONI Probe 类似，OONI 实时发布新闻媒体扫描应用程序的测试结果作为公开数据。OONI 于 2023 年 10 月之前推出了新闻媒体扫描应用的 Android 版本。
- 推出新的 OONI Explorer 主题审查页面：在 2025 年 4 月，OONI 推出了新的 OONI Explorer 主题审查页面。这些新页面包括图表和报告，记录了根据 OONI 数据在全球范围内对社交媒体、新闻媒体和规避工具的封锁。
实验和数据分析：
- 限速方法学：在过去几年中，OONI 建立了一种测量针对性限速情况的方法学。作为该方法学的一部分，OONI 通过分析 OONI Web Connectivity 数据（通过 OONI Probe 测试 URL 来收集）来检测对特定线上服务（如 Twitter/X 的限速）的极端限速情况。具体而言，OONI 测量针对性限速案例的方法学涉及分析 Web Connectivity 数据中 HTTPS 请求的时间信息。这一方法学已成功测量了各种限速案例，如其研究报告中记录的哈萨克、俄罗斯和土耳其的限速案例。2024 年，OONI 发布了一份有关其限速方法学的设计文件，以支持相关研究和未来工作。
- OpenVPN 实验：作为其与 OONI 的 OTF 信息控制研究计划的一部分，Ain Ghazal 向 OONI Probe 增加了一个新的 OpenVPN 实验。2024 年，OONI 将此实验纳入 OONI Probe 应用中，并开始将 OpenVPN 测量数据作为公开数据实时发布。
- 加密客户端 Hello (ECH) 实验：2024 年 11 月，俄罗斯封锁了 ECH。为回应这一封锁，并考量到接下来几年可能会有更多国家开始封锁 ECH，OONI 设计了一个新的「ECH 检查」实验，这个实验测量是否因在 TLS 握手中存在加密客户端 Hello (ECH) 扩展而触发封锁。OONI 将新的 ECH 检查实验作为 OONI Probe 应用的一部分发布，并开始将 ECH 测量数据作为公开数据实时发布。
- OONI Pipeline v5：在过去两年中，OONI 通过其最新数据处理管道 OONI Pipeline v5 推进其数据分析方法。通过此管道，OONI 超越「异常」的概念，将测试的服务分类为「被封锁」、「故障」或「正常」。该管道具体说明封锁的细节，完全特征化其实施的所有方法。新 OONI Pipeline v5 的数据分析功能支持了所有 OONI 最新的研究报告，例如有关哈萨克、俄罗斯、坦桑尼亚、约旦、塞内加尔、巴西和阿塞拜疆网络审查的报告。OONI Pipeline v5 还使 OONI 能够分析 TLS 握手，并运用其限速方法学调查哈萨克、俄罗斯和土耳其的针对性限速案例。由于任何人都可以运行 OONI Pipeline v5，第三方研究人员已经使用其数据分析功能。例如，Sinar Project 使用 OONI Pipeline v5 支持其 2024 年在 9 个亚洲国家的 iMAP 网络审查研究报告。
关于网络审查的研究和报告：
- 网络审查研究：在过去一年中，OONI 基于 OONI 数据分析发布了多份研究报告。其中包括记录坦桑尼亚在线 LGBTQI 网站封锁激增、哈萨克的 TLS 中间人（MITM）攻击及新闻媒体封锁、俄罗斯广泛的新闻媒体审查，以及肯尼亚在 2023 年和 2024 年 KCSE 全国考试期间对 Telegram 的封锁。俄罗斯开始封锁 OONI Explorer，这一情况由 OONI 基于其数据进行了记录。
- 第三方使用 OONI 数据：与前几年类似，OONI 数据继续支持第三方研究工作。其中包括一篇 FOCI 论文，这篇论文应用了监督和非监督模型于 OONI 全球 DNS 测量数据。一篇 USENIX 论文则涉及大规模测量中国防火墙的网络审查。德黑兰电子商务协会报告关于“伊朗的互联网质量”的分析。还有 Cloudflare 发表的一篇博客文章，通过将 Cloudflare TCP 连接异常与 OONI 的连接篡改报告进行比较，提供了第三方连接篡改的全球评估。尤为引人注目的是，iMAP 项目基于 OONI 数据发布了 9 份有关柬埔寨、香港（中国）、印度、印尼、马来西亚、缅甸、菲律宾、泰国和越南的网络审查研究报告。更多 2024 年使用 OONI 数据的第三方例子可以在这里找到。
- 迅速報导网络审查：为应对全球出现的审查事件，OONI 在其 OONI Explorer 审查发现页面上，基于 OONI 数据发布了多篇简短报告记录封锁情况。2024 年，OONI 发布了 12 份新的审查报告。在 2025 年的前六个月内，OONI 已经发布了 18 份新的审查报告。
全球社群参与网络审查研究：
- 新合作伙伴：在过去的一年中，OONI 建立了 6 个新合作伙伴关系，分别是与数字人权基金会（巴基斯坦）、SAFEnet（印尼）、数字人权尼泊尔、CyberHUB 亚美尼亚、EngageMedia（菲律宾），以及 7amleh - 阿拉伯社交媒体发展中心（巴勒斯坦）。如今，OONI 的全球合作伙伴包括 55 家数字人权组织！
- OONI 合作伙伴聚会 2024 在马来西亚：2024 年 5 月，OONI 在马来西亚吉隆坡举办了一次面对面的 OONI 合作伙伴聚会。作为这项为期两天活动的一部分，他们将来自亚洲和中东地区的 OONI 合作伙伴聚集在一起，分享关于网络审查研究的技能和知识。该活动的目标是加强全球和地区间的审查测量研究与倡议合作。你可以通过 OONI 的报告和动画全面了解这次活动。
- 新的 OONI 社群访谈视频：为了突显社群的重要工作，以及社群成员利用 OONI 工具和数据的有趣方式，几年前 OONI 开始在其 YouTube 频道上推出「OONI 社群访谈」视频系列。2024 年，OONI 发布了两个新的 OONI 社群访谈，分别是与来自本地化实验室（Localization Lab）的 Chido Musodza 和非洲数字社会（DSA）的 Tawanda Mugari 对谈。
- OONI 工具和资源的本地化：多亏了本地化实验室，OONI 工具和资源已提供多种语言版本。过去一年的本地化亮点包括发布 9 种语言版本的测试列表编辑器，以及阿拉伯语和波斯语的 OONI 倡议懒人包。
- OONI 讲习会：在 2024 年，OONI 团队为来自世界各地的 484 名参与者举办了多次（线上和线下）的 OONI 讲习会。他们的合作伙伴和更广泛的社群还在其他地方（例如巴基斯坦、苏丹、塞内加尔和坦桑尼亚）举办了更多的 OONI 讲习会。

🔄 开发中 / 未来计划¶

软件开发：
- 发布 OONI Probe 桌面多平台应用程序
- 重构并精简 OONI 测量引擎
- 改进 OONI Pipeline v5
- 发布社交媒体审查预警系统
- 为 OONI Probe 建立匿名凭证系统
研究：
- 发布更多基于 OONI 数据分析的全球网络审查研究报告
- 持续在 OONI Explorer 上发布更多审查发现
社群：
- 扩展并加强 OONI 合作伙伴网
- 举办 OONI 讲习会，让社群能够独立使用 OONI 数据
- 协调持续的本地化和快速应对审查的努力

IODA 的工作内容¶

幻灯片与录像

IODA 提供了一个公开仪表板，展示网络连接测量，用来监控网络基础设施的连接情况并检测网络中断。IODA 由乔治亚理工学院的网络智慧实验室负责托管。全球的用户通过 IODA 来追踪和监控网络连接。IODA 也为技术研究社群提供了一个有价值的开放数据来源，激励合作并促使研究人员在网络测量领域发表科学文献。

🆕 最近和即将推出的功能¶

数据信号的更高细微度：IODA 发布了一项更新，提供更高的数据细微度。具体而言，ASN/ISP 信号现在被本地化到其所运营的国家或地区，提供更本地化的连接图示。在这次简报中，我们展示了乌克兰苏梅和巴拿马博卡斯德尔托罗的范例。此更新特别有助于识别跨地区运营的 ASN/ISP 内的中断情况。更多详情请查看我们的博客文章。
主动探测、延迟和损失信号：新信号可检测主动探测中的探测/响应损失和延迟峰值，以推断广义限速或性能下降。来自加沙的一个例子显示出与近期光纤网络电缆被切割相对应的探测/响应损失。这一新数据将于 2025 年 7 月发布。
新手资源中心：包含教程、研究论文、词汇表和数据库。我们旨在使这些工具更易于理解和使用。未来将有更多内容添加。更多详情请查看我们的博客文章。
仪表板重新设计：基于用户反馈和以用户为中心的设计进行改进。重新设计后更易于访问先前隐藏在按钮后的可视化和信号。
上游延迟/路由追踪分析：使用路由追踪数据来追踪路径变化和测量倒数第二或最后一跳的 ASN/ISP 的延迟。这对于识别上游网络很有帮助，范例显示在卢旺达 (MTN)和委内瑞拉（选后动荡）。这仅在 IODA 的 ASN/ISP 层次中可用，将于 2025 年 7 月发布。

🔄 开发中 / 未来计划¶

整合 Mozilla 遥测数据。
正在编辑全球电力中断数据集。
本地化支持（超越仅通过浏览器翻译）。
半自动化系统用于记录中断（以提高人工验证的效率）。
动画解说视频以阐明测量方法。

社群提出的重要问题¶

问：是否有尝试测量互联网干扰更广泛在其他领域的影响（经济、社会、政治）？
- 答：关于经济影响，我们推荐您参考布鲁金斯学会这项研究中实施的方法。虽然有兴趣在现有工作基础上进行扩展，但更深入的分析可能需要与其他领域的专家合作。

问： AI 如何应用于互联网测量工作？
- IODA：乔治亚理工学院的网络智慧实验室正在利用 AI 来对网络进行分类（例如，识别政府或住宅的 ASN）。未来，在我们的仪表板上可能会使用 AI 代理，让用户能够直接查询和交互测量数据。我们也考虑过使用大型语言模型（LLMs）来帮助识别网络中断的潜在原因。
- M-Lab： AI 的一个潜在用途是帮助非技术用户更好地访问和分析互联网测量数据。我们有兴趣与合作伙伴一起探索这一领域。

问：为了资金，有没有可能转为营利性组织以减少对特定政府支持的依赖？
- 答： OMG 团体保持非营利地位非常重要，无论是作为更大实体的一部分还是独立运作，这是因为他们的工作性质是使数据公开、值得信赖且保有弹性，尤其适用于互联网自由社群。此外，一些开放的网络测量工具依赖其社群来收集数据，我们不希望用户社群担心数据会被商业化。然而，OMG 团体有其他选项可以寻求变现可能，例如数据分析服务。

捐款链接：

捐款给运行并维护 IODA 的乔治亚理工学院网络智慧实验室
支持 Measurement Lab 平台
捐款给 OONI 或成为 OONI 的支持者

问：预测互联网中断/审查事件是否可行？
- CP：不太可行，提前预测中断或审查仍然无法实现。然而，Censored Planet 正在开发一个早期审查预警系统，利用 Google 趋势中 VPN 搜索词的激增来标记在事件发生一天内出现的审查，尽管它无法提前预测事件。
- IODA：在我们最近的论文《Destination Unreachable》中，我们对比了关闭与中断事件，进行了一项纵向和跨学科的研究，并识别出政治和技术上的特征。这些发现可能用于提供中断早期指标，以示范关闭事件与自发性中断的特征。阅读更多关于该研究的内容请点击这里。

问：用户可以订阅更新吗？
- 答：可以加入 Keep It On 和 OTF-Talk 邮件列表，获取网络自由社群的更新。要加入 OTF-Talk，请访问 https://www.opentech.fund/ 并滚动至网站底部进行请求。要加入 Keep It On，请通过电子邮件发送请求至 keepiton-request@lists.riseup.net
- OONI：您可以订阅 ooni-talk 邮件列表，将收到 OONI 的最新更新。
- M-Lab：加入我们的 Google 邮件群组讨论，可以访问 M-Lab 数据、接收更新，并参与 M-Lab 社群讨论。

问：用户可以自定义网络中断或审查事件的警报吗？
- 答：可以的。
- IODA：IODA 有一个中断检测系统，会针对连接信号的异常下降发出警报。您可以在我们的用户资源中心了解更多关于此中断系统的信息。这些警报和中断摘要可在我们的仪表板上查看并可通过 API 访问。

翻译说明

本篇文章的内容与信息量很多，一些用语可能会使用得不精准，如果您发现翻译上的错误，请不吝啬给予我们修正，感谢！

发布：新 OONI Explorer 专题审查页面

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

发布：新 OONI Explorer 专题审查页面¶

以下内容原文翻译来自以下文章，主词角色为 OONI：

Launch: New OONI Explorer thematic censorship pages, Maria Xynou 2025-04-02

图片来源：OONI Explorer thematic censorship pages

我们很高兴地宣布，全新的 OONI Explorer 专题审查页面于 2025 年 4 月 2 日发布！这些新页面提供了基于 OONI 观测数据的全球社交媒体、新闻媒体和翻墙工具封锁情况的图表和报告。在这篇博客文章中，我们分享了关于新 OONI Explorer 专题审查页面的信息。

关于 OONI Explorer
- 为什么要有新的专题审查页面？
新的 OONI Explorer 专题审查页面
- 社交媒体和即时通讯应用程序的封锁
- 新闻媒体的封锁
- 翻墙工具的可达性
感谢

关于 OONI Explorer¶

OONI Explorer 是全球最大的互联网审查开放数据库。这些观测数据由全球 OONI Probe 的用户贡献，他们在所在网络上进行审查测试，并将测试结果实时上传到开放数据库中。自 2012 年以来，OONI Probe 的用户已经贡献了来自 242 个国家和地区、28000 个网络，以及超过 20 亿笔测量数据，所有这些数据都可以在 OONI Explorer 上公开获取。随着 OONI Probe 用户持续进行测试，每天都有新的测量数据实时发布。您也可以通过协助运行 OONI Probe 来贡献 OONI 的观测数据。

为了让研究人员和人权捍卫者能够监测和响应全球的审查事件，我们建立了 OONI Explorer：一个网络平台，其中包含一个测量数据的搜索工具，以及一个测量数据汇整工具包，用于根据 OONI 观测数据生成可视化的图表。OONI Explorer 还包括以域名为中心的页面，让您查看与 OONI Probe 测试特定域名相关的数据。以网络为中心的页面，通过这些页面您可以了解特定自治网络（AS）上的 OONI Probe 测试，以及提供每个国家 OONI 测量覆盖详情的国家专属页面。我们还在 OONI Explorer 的「审查发现」页面上发布简短报告，记录新出现的审查事件。

为什么要有新的专题审查页面？¶

在很大程度上，使用 OONI Explorer 需要深入研究 OONI 测量数据以发现审查事件，而探索和解释 OONI 测量数据对于不熟悉 OONI 工具和方法的用户可能是一项挑战。因此，我们建立了新的 OONI Explorer 页面，来展示专题式的审查结果，以便网络自由社区能够更轻松地发现并响应影响公共利益（如新闻媒体）平台的新审查事件，而不必深入挖掘 OONI 测量数据。多年来，这项需求在社区反馈中多次被提及。

为了确定在 OONI Explorer 上呈现哪些审查结果最有用，我们通过一项调查和与网络自由社区成员的访谈进行了广泛的用户研究。该用户研究的目标是更好地了解网络自由社区如何使用 OONI Explorer，以及他们在通过该平台发现审查结果时遇到的挑战。

根据该用户研究中收集的社区建议反馈，我们得出结论：OONI Explorer 上的新专题审查结果页面将聚焦于以下主题：社交媒体、新闻媒体和翻墙工具。社区的意见反馈也帮助我们确定了在这些专题页面上呈现信息的方式。

新的 OONI Explorer 专题审查页面¶

为了让网络自由社区更容易地发现和反应审查事件，我们建立了新的 OONI Explorer 页面，提供以下主题的 OONI 数据和观测：

每个新的 OONI Explorer 专题页面均包括：

基于 OONI 观测数据记录相关封锁的简短报告
基于 OONI 观测数据记录相关封锁的长篇研究报告
覆盖每个主题（社交媒体、新闻媒体、翻墙工具）的最新 OONI 数据图表

这些图表默认是根据三个国家筛选的：中国、伊朗和俄罗斯。我们选择这些国家是因为它们拥有稳定的 OONI 测量覆盖和高水平的网络审查，相较于其他国家提供了呈现更具意义图表的机会。大多数国家都有 OONI 测量覆盖，您可以通过更改国家和日期范围（默认设置为过去一个月）来调整这些页面上的图表。若要更好地理解这些图表，请参阅我们的 OONI 观测数据解读文件。

这三个主题（社交媒体、新闻媒体、翻墙工具）是根据用户研究中收集的社区反馈，以及社交媒体、新闻媒体和翻墙工具在全球经常被封锁的事实所决定的，这也影响到人权。因此我们希望这些新页面能呼应全球的 #KeepItOn 运动和其他全球倡议。

社交媒体和即时通讯应用程序的封锁¶

图片来源：OONI Explorer Social Media page

社交媒体平台在全球各地经常被封锁，特别是在选举期间和大型抗议活动中。通过新的 OONI Explorer 社交媒体页面，我们根据 OONI 观测数据分享全球社交媒体和即时通讯应用程序封锁的（短篇和长篇）报告。我们还分享包含最新 OONI 观测数据的图表，这些数据与受测的热门社交网站及以下即时通讯应用程序有关：WhatsApp、Facebook Messenger、Telegram 和 Signal（这些是我们唯一特别进行的 OONI Probe 实验即时通讯应用程序）。

我们选择特定社交媒体域名是基于其全球相关性、使用情况、全球 OONI 测量覆盖，以及它们是否被封锁（或可能被封锁）。我们避免在新的社交媒体页面中包括所有被测社交媒体域名的图表，以提高其易用性。如果您有兴趣查看社交媒体页面上未列出的其他社交媒体域名的 OONI 观测数据，您可以通过 OONI Explorer 搜索工具或测量数据汇整工具包（MAT）来进行。

我们鼓励您了解全球 #KeepItOn 运动的倡议工作，该运动正在对抗全球社交媒体封锁。

新闻媒体的封锁¶

图片来源：OONI Explorer Social Media page

新闻自由在全球各地面临越来越大的威胁，因为许多国家的新闻媒体网站遭到封锁。通过新的 OONI Explorer 新闻媒体页面，我们根据 OONI 观测数据分享全球新闻媒体网站封锁的（短篇和长篇）报告。我们还分享含有最新 OONI 观测数据的图表，这些数据与受测的多个新闻媒体网站有关。我们选择特定的新闻媒体域名是基于其全球相关性、全球 OONI 测量覆盖，以及它们是否被封锁（或可能被封锁）。

我们避免在新的新闻媒体页面中包括所有被测新闻媒体域名的图表，以提高易用性。如果您有兴趣查看新闻媒体页面上未列出的其他新闻媒体域名的 OONI 数据，您可以通过 OONI Explorer 搜索工具或测量数据汇整工具包（MAT）来进行。不过请注意，OONI 观测数据的可用性取决于那些域名是否已被该国的 OONI Probe 用户测试。您可以通过我们的测试列表编辑器上传网站以供测试。

翻墙工具的可达性¶

图片来源：OONI Explorer Circumvention Tools page

由于翻墙工具（如 VPN）能够让用户绕过互联网审查，一些政府封锁了这些工具的使用。事实上，OONI 观测数据多年来显示，翻墙工具的封锁经常与社交媒体的封锁有关联。

通过 OONI Explorer 翻墙工具页面，我们分享根据 OONI 观测数据记录的全球翻墙工具网站封锁的（短篇和长篇）报告。我们还分享含有最新 OONI 观测数据的图表，这些数据与 Tor、Tor Snowflake 和 Psiphon（目前我们以特定的 OONI Probe 实验功能来检测主要翻墙工具）的可达性测试，以及多个翻墙工具网站的测试相关。

我们选择这些特定翻墙工具域名是基于其全球相关性、使用情况、全球 OONI 测量覆盖，以及它们是否被封锁（或可能被封锁）。我们避免在新的翻墙工具页面中包括所有被测翻墙工具域名的图表，以提高易用性。如果您有兴趣查看翻墙工具页面上未列出的其他翻墙工具网站的 OONI 观测数据，您可以通过 OONI Explorer 搜索工具或测量数据汇整工具包（MAT）来进行。

检视图表时，请注意异常测量的存在并不总是意味着封锁，因为可能会出现误判。此外，翻墙工具通常内建规避审查的技术。因此，我们建议参考 Tor Metrics 和 Psiphon Data Engine 以查看使用情况统计数据，并更全面地了解这些工具在各国的有效性。

感谢¶

感谢每一位自 2012 年以来贡献测量数据的 OONI Probe 用户，使得网络自由社区能够监测和响应全球的审查事件。

去识别化的观测数据安全

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

去识别化的观测数据安全¶

以下内容原文翻译自以下文章，主词角色为 OONI：

Probe Security Without Identification, Michele Orrù 2025-02-20

在他那篇具有开创性的论文《没有身份识别的安全性：使老大哥过时的交易系统》中，Chaum 构想了一个用户可以使用单一数字钱包匿名与多个组织互动的未来，即使这些组织互相勾结。

为了提升 OONI 观测数据的可信度，并防止故意或无意上传的错误测量结果对 OONI 数据库的影响，我们正在考虑在 OONI Probe 中设计和实施匿名凭证。在这篇文章中，我们提供了匿名凭证的现有文献回顾。这是为了让对密码学领域不太熟悉但又好奇的读者能够深入了解其所依据的协议。

为什么要为 OONI 建立匿名凭证系统？¶

OONI 的运作依赖于全球志愿者社区，他们进行测试以检测和记录世界各地的网络审查状况，从而提高关于数字人权侵犯的透明度。随着 OONI Probe 网络的扩展，部分用户（无论是自愿或非自愿）可能会通过向服务器提供错误观测数据数据来污染测量结果的风险也随之增加。这可能源于刻意攻击，通过上传假测量数据来诋毁 OONI 平台，又或者是由于 OONI Probe 安装错误所导致。

例如，恶意行为者可能会在相同网络上、对仅仅少数网站、并在短时间内上传虚假测量数据，伪造的测量因此相对容易识别。一名更高级的行为者可能会通过多个网络上传涉及多个 URL 的少量虚假数据，并且分散在很长一段时间内进行，这样更难以检测到他们的活动。在这些情况下，攻击者的目标可能是用虚假数据来污染 OONI 数据库，使平台的可信度受到质疑。他们也可能感兴趣于利用 OONI 观测数据来散布特定国家或地区的审查误导信息，例如声称某些被封锁的网站并没有被封锁，或反之亦然。

常见的缓解错误测量污染风险的方法包括实施基于 IP 的封锁、用户账户（需要注册和登录）以及设备认证。这些解决方案对 OONI 来说都不太理想，因为这可能会暴露我们的社区（甚至使其处于危险之中）。因此，我们一直在研究可能的密码学解决方案，以便在不追踪用户或妥协用户匿名性的情况下建立信任。

OONI 的基础设施相当特殊：用户上传的隐私在网络层级和应用层级都被优先考虑。而且，用户也可以通过使用绕过或匿名工具（例如 Tor）来上传测量数据，从而维持更强的匿名性。此外，OONI 负责接收和维护用户上传的数据。主要的数据流结构如 OONI 的后端文件中所示：

理想情况下，我们希望能够导入并建立对上传观测数据的信任。我们特别想在 checkIn(ProbeMeta) 和 upload(Measurements) 流程中建立信任，并能在不增加流程复杂性或对用户或服务器造成负担的情况下，阻止错误（或恶意）的观测结果。

简单来说，我们正在寻找一个具备以下特性的匿名身份验证系统：

能够扩展到每秒数百次的验证
不识别化用户
允许 OONI 实施政策以缓解潜在攻击或错误数据上传
能够融入 OONI 的测量数据上传系统
给长期贡献于系统的用户分配更高的信任等级
惩罚上传不良数据的用户

近年来，一些大型 VPN 供应商和内容交付网络（CDN）采取了一种方法，我们也一直密切关注：匿名凭证。

匿名凭证是一种签名，但签名持有者不会直接揭示它，而是在零知识的情况下证明这些属性满足某个特定条件。展示凭证可以证明用户具备特定属性，但不会揭露过多的信息。我们称这个过程为展示凭证。发行凭证的实体称为「发行者」。接收到凭证的实体称为「证明者」。验证凭证的实体称为「验证者」。在 OONI 的语境中，OONI Probe 是用户，而 OONI 后端则同时是发行者和验证者。

文献回顾：匿名凭证¶

在匿名凭证的领域中，可以区分两条研究路线：

键控验证凭证（Keyed-verification credentials, KVAC）：其中发行者和使用者是同一个实体，并且都持有相同的签名密钥。这些方案通常依赖于较轻量的密码学技术，例如，今天的 Signal 就采用了这些方案。
公开验证凭证（Public-verification credentials）：其中发行者和使用者可以是不同的实体。在这种情况下，发行者持有签名密钥，而使用者则持有相应的验证密钥。如你所料，在此情况下，验证者无法生成新的凭证。这是大型身份项目，如 Idemix 的案例。

翻译补充

在中国大陆的语境下，键控验证凭证（Keyed-verification credentials, KVAC）和公开验证凭证（Public-verification credentials）可以关联到以下几个服务与应用： - Keyed-verification credentials (KVAC): - 金融交易验证：例如使用手机 APP 进行移动支付时，通过银行的数字凭证和多重身份验证机制来确认交易安全性。 - 企业内部系统：大型公司内部使用的验证系统，如利用企业专属密钥来确保只有授权员工可以访问敏感数据或系统。 - Public-verification credentials: - 居民身份证电子证书：中国政府发行的证书，用于验证个人在网络上的身份，例如办理各类政务服务时的线上验证。 - SSL 证书：用于网页加密，确保用户浏览的网站是安全的，并且网站身份可被公众验证，例如政府机构或大型企业的网站通常会使用这种证书。

凭证还可以从另一个角度进行观察：

单次使用凭证：这类凭证在用户出示一次后便不可再次使用。它们的处理速度非常快，甚至可以简单到只需使用盲签名方案（例如20世纪80年代由 David Chaum [Chaum82] 发明的方案）。单次使用的键控验证凭证（KVAC）有时被称为「匿名令牌（anonymous tokens）」，通常受到可验证随机函数 [RFC9497] 的启发，它依赖于由Jarecki等人 [JarKiaKra14] 用于 IETF 隐私通行证标准的 VOPRF，或是 Chaum [Chaum82] 的盲 RSA 签名方案。此处一些应用例子包括：
- Google 的 BoringSSL 实现了匿名令牌 [KLOR20]。
- 盲 RSA 签名也被 Apple Cloud Relay 和 Google One 的 VPN 服务所使用。
多次使用凭证：此类凭证允许用户多次出示同一凭证。它们由 Anna Lysyanskaya 和 Jan Camenisch 于 2002 年引入（用于公开验证），由 Melissa Chase、Sarah Meiklejohn 和 Greg Zaverucha 于 2014 年引入 [CMZ14]（用于键控验证）。例子包括：
- 基于 Camenisch–Lysyanskaya [CamLys01, CamLys02]：这包括由 Open Wallet Foundation 赞助的 Bifold 和 Aries RFC。
- 基于 Chase–Meiklejohn–Zaverucha [ChaMeiZav14, PoiSan16]：用于 Signal 的私人群组系统 [ChaPerZav20]，NYM Technologies，以及 Tor 用于桥接节点的分发 [TulGol23]。
- 基于 BBS 签名 [BonBoySha04, TesZhu23b]：这种方案是在公开验证环境中历史最悠久且使用最广泛的。BBS 正在被 W3C 和 IETF 考虑：W3C 在分散身份和可验证凭证方面进行多项努力，并在这些努力中提到 BBS。IETF 目前对 BBS 凭证有一个正在进行中的提案。此外，BBS 被建议作为欧洲数字身份的解决方案，并被 Idemix 用于其 DLOG 凭证（Idemix 也由 IRMA 实现），以及提供可重复使用数字身份和可验证凭证的区块链网络 Dock 所采用。

为什么有人需要多次出示一个凭证呢？想想纸质的身份文件：它们也会被多次出示（但它们在隐私保护方面很差）。在 OONI 中，我们预期用户会多次上传观测报告，虽然我们可以发送一批单次使用的凭证（这在过去被 Cloudflare 用于 Internet Challenge Bypass Privacy Pass），但这样的方式效率不高。

当然，可以想象一个应用程序发放 1,000 个一次性令牌，然后每次「烧掉」其中一个来替代多次使用凭证。然而，这样会在应用层面增加负担，必须调整凭证发放的数量并确定何时检查、更新可用令牌的库存。因此专门为多次使用情境设计的方案就更有效率。

除了基本的凭证系统中，允许用户仅表示他们已被系统「信任」之外，还有许多非必要的功能可以匿名地向服务器证明。这些密码学扩展功能包括：

有效期限：实施基于时间的凭证有效期限。
网络相关身份：在不同网络中保持用户不可关联性，但在相同网络中保持一致的临时标记。
发行门槛：设定一些受信任的权威机构负责发行凭证，并集体决定谁不应该拥有访问权。
撤销：允许移除被破坏或过期的凭证。
发行者盲视：防止发行者了解他们所签署凭证的内容。
范围证明：证明数值属性需位于特定范围内。
凭证对接：在不同系统间连接凭证，同时保持隐私。

这些功能可以独立于基础凭证系统实现 [Orru24]，允许根据特定需求进行灵活部署。虽然每个功能会带来其特有的运算和存储成本，但这些权衡可以与核心凭证协议分开评估。

匿名凭证在理论密码学中的全貌，以及 OONI 的定位。

在文献之外，观察当前部署凭证的生态系统，从成熟的老牌公司到新兴的早期区块链项目，可以看到以下三种类型：

基于通用盲签章的凭证：这些凭证非常轻量，但在效率和可用性之间进行了取舍，对支持的功能和使用次数加以限制。在过去几年中出现了多种一次性凭证，尤其是在键控验证环境中，Verifiable Oblivious Pseudorandom Functions 已经成为主要方案。尽管这些签章很简单，但在离散对数环境中发行这些签章需要超过一次的交互。
基于支持零知识的签名方案和消息验证码的凭证：这种方法选择具有优良「代数」属性的签名方案。若这些「代数」属性与零知识证明系统中的代数运算兼容，就能得到一个匿名凭证，用户可以证明任何基于底层零知识证明系统所支持的内容。例如，这些签名不需要依赖哈希函数，通常是基于离散对数问题难以解决的群。这些数据结构的一个优势是可以在一次互动中完成：在发行时，用户可以请求凭证，服务器会立即回应。
基于零知识证明的凭证：这一广泛类别的凭证通常依赖于 SNARKs 和递归 SNARKs，通常集中在为一个标准化的通用签名方案证明签名验证，或完全去除签名，建立用户所拥有的秘密密钥的哈希树，然后通过证明成员资格和非成员资格用于身份验证。这种类别通常缺乏公开的可验证安全性形式化。在区块链等难以确认有签名权的单一实体或小群体的情境中，这是常见的状况。但在理论上很难见到这种方法的形式化。以下是两个例子：
- Semaphore 库和来自 [Privacy Scaling Explorations (PSE)] 的 Anon Aadhaar 协议是一套用于在以太坊区块链上构建匿名通信应用程序的工具，依赖于通用的零知识简洁证明（zk-SNARKs）。
- Zupass 是基于证明数据记载的身份验证系统。

基于签章的方案与高效率的协议似乎能够提供我们所需的一切：一次互动、可靠的安全证明，可扩展的空间，同时保持实时高效和可延展。

匿名凭证似乎是用户登录和基于位置封锁的极佳替代方案。对我们来说，它们可以在不影响最重要因素的情况下加强我们的测量平台：那些优秀的志愿者社区的隐私和安全，这将使得 OONI 的审查观测成为可能。

我们已经在尝试一个原型，迫不及待想与您分享我们的进展。

什么是差分隐私？

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

什么是差分隐私？¶

以下内容翻译自 Privacy Guides 的文章：

What is Differential Privacy?, fria, 2025-09-30

是否有可能从大量人群中收集数据，同时又保护每个个体的隐私？在这篇关于隐私增强技术（Privacy-Enhancing Technologies）系列的文章中，我们要讨论差分隐私（Differential Privacy），以及它如何做到这一点。

写给关心匿名网络的读者

差分隐私和 Tor 等匿名通信工具处理的是不同层次的隐私问题。Tor 保护的是你"传输过程"，让观察者无法得知你在跟谁通信。差分隐私处理的是"数据发布时"，让统计数据在公开后无法被还原成对个人的识别。两者并不替代彼此，而是完整威胁模型中的不同切面。

如果你关心个人数据在各种服务、平台或政府数据集中的去向，差分隐私值得理解的理由在于：即便是"去识别化"或"匿名统计"形式的数据，也可能在与其他数据交叉比对后被还原。学会识别哪些隐私声明是可被验证的、哪些只是营销话术，是这篇文章希望提供给你的视角。

问题所在¶

从大规模人群中收集数据确实有其价值，可以看出群体中的趋势。但这需要大量个人交出个人识别信息（PII）。即使是看似无害的性别信息，也能协助识别出你的身份。

Latanya Sweeney 在 2000 年的一篇论文中，尝试仅凭美国人口普查数据中的可用指标来重新识别个人。她发现，87% 的美国人仅凭三项指标就能被识别出来：邮政编码、出生日期和性别。能够根据公开数据识别个人，显然是一个严重的隐私问题。

差分隐私之前的历史¶

收集汇总数据对研究至关重要，美国人口普查每十年就进行一次。通常我们对整体数据更感兴趣，而非个人数据，因为整体数据能呈现群体的趋势与模式。然而，为了获取这些数据，仍必须从个人处收集。

起初，人们以为只要移除姓名等明显的识别信息就足以防止再识别，但 Sweeney 在 1997 年便已证明，即便没有姓名，通过与外部数据交叉比对，仍可再识别出相当比例的个人。早期的去识别化手段，事后都被证明极易遭受再识别攻击。

AOL 搜索记录泄露事件¶

一个著名的案例是 AOL 搜索记录泄露。AOL 长期记录用户的搜索行为供研究用途，在发布数据时，他们只将用户真实姓名替换为识别码。然而，研究人员仍能依据用户 4417749 的搜索内容细节，识别出她是 Thelma Arnold。

Strava 热力图事件¶

2018 年，运动 app Strava 发布了更新版本的热力图，显示 Fitbit 等运动追踪器用户的运动模式。分析师 Nathan Ruser 发现，这些模式可以揭露军事基地和部队移动路线，对行动安全构成严重威胁，甚至可能危及士兵生命。在某些情况下，个别用户也能被去匿名化。

Strava 并未故意揭露任何人，但大量个人路线数据在聚合后，自然呈现出"只有特定人才会反覆出现在这个位置"的模式。这正是差分隐私要解决的核心问题：聚合后的统计数据，仍然可以泄露个体的行为模式。

随机响应法（Randomized Response）¶

最早的数据匿名化想法之一是随机响应法，早在 1965 年便由 Stanley L. Warner 的论文引入。其背后的逻辑相当聪明：对于"你有没有逃税？"这类问题，受访者可能不愿意如实现答。解决方案是让受访者抛一枚硬币，若正面就回答"是"，若反面则如实现答。

受访者	回答	硬币结果（仅供说明）
1	是	正面（答是）
2	否	反面（如实现答）
3	是	正面（答是）
4	是	正面（答是）
5	否	反面（如实现答）

由于我们知道"是"的假答案占 50%，可以扣除后粗估真正回答"是"的比例。随机响应法奠定了差分隐私的基础，但要真正实现，还得等几十年。

无关问题随机响应法（Unrelated Question Randomized Response）

后来 Greenberg 等人在论文中提出了变体：向每位受访者呈现一个敏感问题，或是一个无关的普通问题（例如"你的生日是一月吗？"），以提高如实现答的可能性，因为研究者不知道被抽到的是哪个问题。

受访者	问题（研究者不可见）	回答
1	你有没有逃税？	否
2	你的生日是一月吗？	是
3	你的生日是一月吗？	否
4	你有没有逃税？	是
5	你有没有逃税？	否

k-匿名（k-Anonymity）¶

Latanya Sweeney 与 Pierangela Samarati 在 1998 年提出了 k-匿名。有趣的是，早在 1998 年，人们便已意识到持续性数据收集的隐私问题：日常生活中的许多行为都被某处的计算机所记录，这些信息往往被分享、交换与出售。不当披露医疗、财务信息或国家安全事务，后果可能相当严重。

在数据集中，即便移除了姓名等明显识别信息，仍可能保留生日、邮政编码等其他数据，这些数据在数据集中可能是某人独有的。若与外部数据交叉比对，就可能对个人去匿名化。k-匿名的意思是，数据集中每一行，都至少有 k-1 行是完全相同的。

泛化（Generalization）

其中一种实现方式是泛化：降低数据的精确度，使其不那么独特。例如，不记录确切年龄，而是给出 20–30 岁这样的范围。这类无法直接识别个人但可能用于再识别的数据，称为准标识符（quasi-identifiers）。

抑制（Suppression）

有时即使泛化后，仍有不符合 k-匿名要求的离群值，此时可以直接移除该行。

k-匿名的攻击

k-匿名已被证明无法完全防止再识别。研究人员通过与 LinkedIn 数据交叉比对，成功从哈佛和 MIT EdX 平台的 k-匿名化数据集中，对 3 名学生去匿名化，使数千名学生面临再识别风险。他们的方法是找出数据集中难以泛化的准标识符组合（特定课程的选修记录），再对应 LinkedIn 上公开的学历与职业信息，逐步缩小候选名单。k-匿名无法防御这种外部数据交叉比对，正是其核心缺陷。

差分隐私的诞生¶

我撰写的大多数概念都源自 1970–80 年代，但差分隐私是相对较新的概念。它首先出现在 2006 年的论文《Calibrating Noise to Sensitivity in Private Data Analysis》中，提出了向数据加入噪声（noise）来达成隐私保护的想法，类似于随机响应法，但数学上更为严谨、可被证明。

ε（隐私预算）

向数据集加入噪声会降低其准确度。ε（epsilon）定义了加入噪声的数量，ε 越小表示隐私保护越强，但数据准确度也越低，反之亦然。ε 也被称为"隐私损耗参数"或"隐私预算"。

中央差分隐私（Central Differential Privacy）

早期的差分隐私依赖在数据收集后才加入噪声，也就是说，你仍需信任中央机构持有原始数据。对于关心政府或企业滥用数据的人来说，这是个关键缺陷：即便最终发布的统计结果受到保护，原始数据在送达服务器之前，已完整暴露在数据收集者面前，加噪的是输出，不是输入。

Google RAPPOR¶

2014 年，Google 推出了 RAPPOR（Randomized Aggregatable Privacy-Preserving Ordinal Response），这是他们的开源差分隐私实现。RAPPOR 建立在随机响应法等先前技术之上，并加入了重大改进。

本地差分隐私（Local Differential Privacy）¶

在 Google 的实现中，噪声在数据传送至任何服务器前就已在设备端加入。这消除了对中央机构处理原始数据的信任需求，是实现真正匿名数据收集的重要一步。

布隆过滤器（Bloom Filters）¶

RAPPOR 使用了一种称为布隆过滤器的巧妙技术，以节省空间并提升隐私。布隆过滤器从一组全为 0 的数组开始：

[0, 0, 0, 0, 0, 0, 0, 0, 0]

然后将"apple"这样的数据通过哈希算法，在特定位置（例如第 1、3、5 位）设为 1：

[0, 1, 0, 1, 0, 1, 0, 0, 0]

要确认某项数据是否存在时，将数据通过哈希算法，检查对应位置是否为 1。如果都是 1，则数据可能存在（其他数据也可能翻转了这些位）。如果任何一个 1 对应到 0，则可确定数据不在集合中。

永久性随机响应（Permanent Randomized Response）¶

对部分比特进行随机翻转，这个结果会被"记忆化（memoize）"，供未来的上报使用相同的随机值，以防止"平均化攻击"（攻击者多次查询同一用户以推测真实值）。

即时随机响应（Instantaneous Randomized Response）¶

在永久性响应的基础上，每次上报时再进行额外的随机化，提供进一步的保护。

Chrome、Maps、Google Fi¶

RAPPOR 被 Google Chrome 用于追踪用户最常访问的网站（以改善推荐功能）、Google Maps 的位置数据，以及 Google Fi 的移动数据使用模式。

OpenDP¶

哈佛大学建立了 OpenDP，一套开源的差分隐私工具库，让研究人员与组织能更容易地在自己的数据集中应用差分隐私技术。

Apple¶

Apple 也将差分隐私整合至 iOS 的数据收集流程中。

Sketch（计数最小值草图）

Apple 使用计数最小值草图（count-min sketch）数据结构，搭配本地差分隐私，收集表情符号使用频率、键盘输入等本地数据。

Matrix

Matrix 机制识别设备设置中的使用模式（例如用户添加至词典的词汇），在本地加入噪声后才传输。

See What's Sent

Apple 维护了一份透明度页面，说明他们从用户设备收集哪些差分隐私数据，以及其目的。

Google 和 Apple 在公开文件中都没有揭露所使用的 ε 值。"使用本地差分隐私"这个声明可以从技术论文与程序代码中部分验证，但隐私保护的实际强度，仍是用户无法独立核实的部分。

美国人口普查¶

起因（Impetus）¶

2020 年美国人口普查采用了差分隐私技术（称为 DAS，Disclosure Avoidance System），取代了原本存在已知再识别漏洞的旧有系统。由于人口普查数据用于分配国会席次与联邦资金，准确性至关重要。

差分隐私的引入引发了一些争议，特别是在如何设定 ε 值上：较小的 ε 可保护隐私，但会使小型社区的数据准确度降低。

DPrio（Mozilla Prio）¶

Mozilla 开发了 Prio，一套用于分布式统计汇总的协议，使用差分隐私收集 Firefox 的遥测数据，同时保护用户隐私。

差分隐私的未来¶

差分隐私仍是一个活跃的研究领域，核心挑战在于如何在隐私与数据效用之间取得平衡。ε 的设定至今仍是开放性问题：应由谁决定？应设多大？如何审计？

AI 训练数据的隐私问题，让差分隐私的重要性在近年急速提升。研究人员已证明，机器学习模型在训练完成后，仍可能通过"成员推断攻击（membership inference attack）"泄露训练数据中的个人信息：攻击者可以系统性地探测模型，判断某条特定数据是否曾出现在训练集中。这对使用大规模个人数据训练 AI 的机构来说，构成了可被量化的隐私风险。在训练过程中导入差分隐私，是目前已知最具理论保证的防御手段之一，也是评估 AI 系统隐私承诺时的具体技术指标。

中国地区与简体中文地区观点¶

政府数据与个人信息保护¶

中国《个人信息保护法》（PIPL）自 2021 年施行以来，对数据匿名化和去识别化均有明确要求。然而，法规层面的"匿名化"标准与差分隐私所提供的可证明隐私保护之间，仍存在相当大的落差。文中美国人口普查导入差分隐私的案例，为讨论中国人口普查及政府大数据平台应采用何种技术标准提供了参照。

科技企业与本地差分隐私¶

国内主要科技平台（如微信、支付宝、百度）在用户遥测数据的处理方式上鲜少公开技术细节。Google RAPPOR 和 Apple 本地差分隐私的实践，展示了"在设备端加噪后再上传"的可行性，为中国科技企业提供了可以参考的技术路径，也为监管机构制定更具可操作性的隐私标准提供了依据。

研究与公民数据¶

中国在医疗大数据、智慧城市和学术研究数据共享方面积累了大量数据资产。差分隐私作为一种可被数学证明的隐私保护技术，为研究人员在利用这些数据的同时保护个人隐私提供了有效工具。相关学术社群（如中国密码学会、隐私计算领域研究者）已开始关注差分隐私的实际部署，这一趋势值得持续关注。

延伸阅读¶

台湾数位发展部推动的《隐私强化技术应用指引》，以繁体中文系统梳理了包括差分隐私在内的五项核心 PETs 技术，并提供应用情境与实践案例。对于希望以中文参考技术实践的读者，该指引是一份有助于理解差分隐私政策落地路径的公开资源。

参考资源：隐私强化技术应用指引

延续 2025，走向 2026：个人隐私指引、Tor Relay 校园建设竞赛、匿名支付探索

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

延续 2025，走向 2026：个人隐私指引、Tor Relay 校园建设竞赛、匿名支付探索¶

2025¶

RightsCon Taipei¶

2025 年，关注人权议题的国际会议 RightsCon 在台北举办。我们得知 Tor、Tails 与 OONI 团队也将来台参与，便提前数个月发起并筹备相关的工作坊活动。该次活动吸引了超过 300 人次参与，并特别邀请新闻媒体与公民团体的伙伴一同交流。活动结束后，我们也整理并发表了一篇完整的回顾文章，记录这次难得的交流经验。

也正因为这次活动的举办，我们募集到许多热心的志愿者伙伴，并与大家一同投入后续筹备，为 2025 年 8 月举办的相关活动奠定基础。

社群成立¶

2025/07，我们决定将原本以项目为主的运作方式，转型为以社群为核心的模式。随着参与的志愿者人数逐渐增加，来自不同背景的伙伴也为社群带来更多元的观点与能力，让我们得以展开更多新的议题讨论。「匿名网络社群」正是在这样的时机下正式成立。

社群成立后的第一步，是注册一个简单好记的域名：anoni.net，并将原有的项目文件与教材全面迁移至新网站。同时，我们也部署了 onion 连接方式，让关心匿名网络的朋友，能够通过 Tor 进行匿名连接，持续关注并参与我们的行动。

文件网站¶

文件网站是我们今年推广「匿名网络」的核心工具之一。面对多数大众仍需要时间理解其重要性与参与动机的现况，我们持续通过文件网站整理并推出隐私、网络自由等相关议题的基础内容，协助社群成员建立背景知识。通过这些内容，我们希望引导更多人重新思考，如何在实际使用网络时，有意识地运用「匿名网络」来强化个人隐私，并守护自身的网络自由权利。

在语言推广方面，网站初期仅提供正体中文与英文版本。随着后台数据显示，来自简体中文用户的流量已达约 30%，我们进一步以正体中文内容为基础，完成简体中文版本的翻译与调整。目前网站已提供正体中文、简体中文与英文三种语言，让更多有需要的用户能够顺利阅读与使用。

社群媒体¶

目前我们仍在摸索社群媒体的使用方式与定位。虽然已在 Bluesky 上建立账号，但暂时还不是主要的对外信息渠道。如果你对社群媒体运营有任何想法或建议，也非常欢迎与我们分享，一起讨论更适合社群的沟通方式。

工作坊活动¶

延续在 RightsCon Taipei 期间与 Tor/Tails、OONI 团队合办的工作坊经验，我们将当时的活动内容与教材转化为华语版本，并通过 COSCUP 年会申请了一轨社群活动，让有兴趣参与工作坊的与会者，能够在大型年会的场域中低调、自在地加入讨论。活动虽需事前报名，但当天不设报到流程，参与者可依自身状况随时加入或离开。

在这次工作坊中，除了延续 Tor/Tails、OONI 相关的实务内容，我们也加入了关于「在台湾推广匿名网络」的想象与讨论。为期两天的交流，对我们后续推广方向的制定带来了相当大的帮助。同时，在活动筹备的过程中，也凝聚了更多志愿者伙伴加入，并在活动结束后持续参与社群行动。

报告翻译：中国网络长城¶

2025/09，InterSecLab 发布了一份关于中国「网络长城」技术输出的研究报告。该报告内容相当深入，不仅勾勒出其背后运作的技术团队与相关政府单位的轮廓，也进一步探讨了开源软件的滥用与容器化部署等技术手法，其运作模式甚至与一般软件初创团队无异。

我们约花了两周时间完成了该报告的翻译，并在一场「网络自由小聚」中分享了对报告内容的重点观察，也同步反思现行的个人与组织网络安全指引，是否需要因应这类技术发展而进行更新与调整。

同一时间，其他团队也针对相同泄露素材，从不同面向进行分析。有兴趣的读者，也可进一步阅读〈Internet Censorship Tools Exported Along Belt and Road〉（Athena Tong、Yun-Ting Cai，2025.12.06）这份报告，作为延伸参考。

2026¶

新的一年，我们将持续以「匿名网络」为核心主题推进行动。除了既有的 Tor/Tails、OONI 在地推广外，2026 年也将聚焦三个主要推进项目：个人隐私指引、Tor Relay 校园建立竞赛，以及匿名支付的应用与探索。

### 个人隐私指引

这是一个延伸并补足现有推广内容的重要计划。在推广 Tor/Tails、OONI 的过程中，我们发现，当一般大众理解匿名网络的重要性后，常会接着询问：「接下来该如何实际调整，才能让自己的网络使用状态更安全？」然而，目前我们仍缺乏一套完整、可实际操作的指引材料。

因此，在接下来的一年中，我们将逐步展开「隐私」相关主题，整理实务操作与情境说明，协助个人一步步强化自身的隐私保护能力。

### Tor Relay 校园建立竞赛

这项计划源自 EFF 与 Tor 合作推动的校园 Tor Relay 中继节点建设行动，期望在各大专院校中建立更多稳定的中继节点。2025 年，我们已协助完成项目网站的正体中文翻译，并计划于 2026 年实际走入校园，推动 Tor Relay 节点的建立。

，台湾已经有成功的案例了！目前在国立台湾师范大学信息工程学系的信息中心，已有一个 Tor Relay 中继节点顺利运作（在英文版网页的学校列表中：National Taiwan Normal University）。这个节点是由社群伙伴 NZ 通过向教授与教职员提案、协调后完成建设的。关于更多在台师大建立节点的过程，非常推荐阅读这次的访谈企划。

### 匿名支付

作为「匿名」议题中不可或缺的一块拼图，如何在日常支付情境中实现匿名性，是我们接下来想深入探索的方向。事实上，现金本身就是最成熟的匿名支付方式，但在某些情境下（例如：跨境流动、线上使用或资金调度）仍存在明显限制。

因此，我们将针对这类需求情境，探索可能的替代方案，包括区块链、加密货币或稳定币等技术应用。同时，也会审慎讨论是否符合当地法规、如何避免引发洗钱疑虑，以及零知识身份验证、多重签名等在组织与个人层面的实务操作方式。

这是一个仍在起步阶段的领域，目前尚未看到完整且系统性的分享内容，但它却是匿名实践中相当关键的一环。在接下来的一年，我们将逐步构建「匿名支付」的实现指引，也诚挚邀请对这一议题有研究或实务经验的朋友，一起加入讨论与建设。

最后：为什么现在更需要你一起加入¶

回顾 2025，我们从项目走向社群，从单点行动走向长期积累。展望 2026，我们则希望把「匿名网络」从技术讨论，逐步落实为更多人能够实际使用、理解与选择的日常工具。而这一切之所以重要，并不只是因为遥远的威权国家或抽象的风险，而是因为网络自由正在以更隐晦、更技术化的方式，逐渐贴近我们的生活。

近年来，随着资安、防诈与平台治理需求的提升，台湾的网络使用环境也持续调整中。部分技术性或平台层级的访问管理措施，让我们有机会重新思考：在安全、便利与用户自主之间，是否还能保留更多弹性与选择。

匿名网络是一种在不确定环境中，保留选择权与行动空间的基础设施，并不是为了做坏事而存在。它让使用者不必事前证明自己的「清白」，也不需要在每一次连接时，交出过量的个人信息。当网络环境开始改变，这样的工具与知识，只会变得越来越重要。

如果你关心：

台湾的网络是否仍能保持开放与可验证
当封锁与审查发生时，我们是否还有替代路径
如何在合法前提下，强化个人与社群的隐私与韧

，我们诚挚邀请你加入「匿名网络社群」。

无论你是技术背景、研究者、学生、创作者，或只是想多了解一种可能性的人，都非常欢迎你一起参与讨论、翻译、文档整理、活动筹备，或单纯成为一个持续关注、愿意思考的使用者。

网络的样子，不会一夕之间改变，但它一定是由一群愿意投入的人，一点一滴塑造出来的。2026 年，期待与你一起，继续把「匿名」这件事，留在台湾的网络未来之中。

COSCUP 2026 匿名网络社群议程轨：公开征稿

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

COSCUP 2026 匿名网络社群议程轨：公开征稿¶

匿名网络社群现正公开征稿，邀请你投稿 COSCUP 2026 匿名网络社群议程轨。这是社群第二年在 COSCUP 推动相关议程。我们希望通过公开征稿，让更多关注或实践「匿名」的伙伴加入分享。议程轨为期两天，涵盖演讲、工作坊、Demo 与实务分享。

阅读完整征稿信息与投稿说明

重要时程¶

活动日期：2026 年 8 月 8 日、8 月 9 日，台湾科技大学（NTUST）
征稿截止：2026/05/09（AoE）
录取公告：2026/06/09
议程排程：2026/06/23 前完成

征稿主题¶

个人隐私：聚焦在现实情境采用的个人隐私经验与方法，包含跨境移动、设备检查、账号与数据管理等情境。
匿名网络与网络自由：聚焦监控、封锁或差别路由环境下的匿名连线与安全沟通，内容可涵盖 Tor、Tails、OONI 与抗审查实务。
匿名支付：聚焦合法前提下的匿名支付与匿名捐款实现，包含支付路径数据暴露风险、工具限制、法遵与稽核经验。
国际参与：聚焦本地社群与国际组织协作，内容可涵盖 Tor Project、Tails、OONI、EFF 等跨国合作与本地落地经验。
其他相关主题：可涵盖吹哨者保护、匿名举报、安全通讯、去识别化与 metadata、开源授权、可重现构建等延伸方向。

详细范围与提案方向，请以征稿页说明为准。

主题聚焦¶

个人隐私是基本人权，也是数字安全与数字生活的基础。
网络应保持开放与自由，任何人都应可使用匿名网络。
匿名支付讨论以合法、可稽核、保护弱势与成员安全为前提。
本地行动需要接上全球协作，并带回可重复的实务经验。

若你的议题与上述主题聚焦呼应，也欢迎投稿。

跨社群合作：匿名网络社群 × ETHTaipei¶

今年我们与 ETHTaipei（台北以太坊社群）展开议程合作。两个社群在匿名支付主题上各有不同的切入角度，为让投稿者的稿件能到最合适的听众面前，我们将联合审稿：

应用导向、科普类稿件：优先安排至匿名网络社群议程轨
技术、协议层稿件：可能调整至 ETHTaipei 区块链议程轨

投稿时不需要自行判断要投哪一轨，审稿阶段我们会与讲者沟通确认。两边时程与议程安排也会互相宣传，参与者可以在两个 track 之间跨场听相关主题。

活动第二天（8/9），两个社群预计联合筹办「匿名支付」主题议程，欢迎对此主题有兴趣的讲者与参与者特别关注。若你有相关提案，也欢迎直接在投稿说明中备注希望列入跨社群场次。

投稿方式（请先看这里）¶

请先阅读完整征稿信息与投稿链接，再进行投稿。
提案主题务必选择「匿名网络社群 anoni.net」，稿件才会进入本议程轨审查。
提案内容请明确写出：议题方向、预计形式、听众背景、时间需求（30 或 50 分钟）、Demo 需求（若有）。

如有疑问，欢迎通过联系方式与我们联系。

伦理与开源授权提醒¶

本议程以合法用途为前提，不协助洗钱、逃漏税或其他违法行为。
涉及匿名工具、加密资产或混币议题，请以教育与风险理解为主，并提醒各地法规差异。
可公开的教材与示范素材，请依 COSCUP 规范采用开放授权。

关于 COSCUP¶

COSCUP 是台湾开源社群年度大会，强调开放源代码与社群协作，并以免费入场为原则。本议程轨希望连结科技社群与公民团体，让匿名、隐私、网络自由的实务交流与本地协作持续扩大，也让希望以较低调或较少个资揭露方式与会的参与者更容易加入讨论。

从肯尼亚高院到华语六地区：OONI 开放数据如何进到法庭、新闻室与公共纪录

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

从肯尼亚高院到华语六地区：OONI 开放数据如何进到法庭、新闻室与公共纪录¶

这篇文章是 Tor Project 博客「守护自由互联网」系列的其中一篇，介绍 OONI 在实际情境中如何运作。原文翻译如下：

Defending the public's right to know, pavel 2026-05-12

在原文之外，文末另外补一段华语六地区（中国大陆、香港、澳门、新加坡、马来西亚、台湾）的脉络，谈各地的 OONI 观测现况、可以对照肯尼亚案件的法律倡议切入点，以及一般读者可以如何把家用网络、移动网络接进这份公共纪录。

图片来源：Tor Project Blog。

网络自由已经连续 15 年下滑。除了监控、隐私与匿名性遭到侵蚀、各种信息操弄之外，各国政府也针对特定网站与服务实施封锁或限制，甚至直接攻击网络基础设施本身，造成网络关闭（shutdown）与蓄意中断。我们要怎么知道网络在什么时候被审查、又用了什么方式？

OONI（Open Observatory for Network Interference，网络干扰开放观测站）是 Tor Project 衍生出来的计划，提供自由及开源工具与开放数据。使用者用这些工具测量网络审查事件，把观测结果上传成可验证的纪录，后续也可以引用到报道、研究或法律行动。以下是几个实际的案例。

守护公共纪录¶

OONI 的观测数据是全球最大的网络审查开放数据集，自 2012 年以来已累积数十亿笔测量，涵盖 245 个国家与地区、数万个网络。这些数据能存在，是因为全球各地有人在使用 OONI Probe（一款免费的网络测量工具，桌面版与手机版都有，按一下就对你所在的网络执行一轮连线测试），把自己连线的网络状况回报上来。每一笔新的测量，都会加进这份公共纪录。

这份数据集之所以受到引用，原因同时来自规模与方法论。网络审查常常以「让干扰看不出来」的方式进行，被封锁的网站看起来像坏掉了、被限速的应用看起来不稳定、整段网络关闭看起来像是技术故障。在 OONI 采用的公开测量方法论、同行评审、专家反馈与对照组测量的基础上，这些手段可以在数据层面被识别出来，「网络被审查了」这类主张因此可以被检验、被挑战、被验证。

为了降低查数据的门槛，OONI Explorer 上线了主题式页面，聚焦在最常被审查的几个领域，包括社交媒体与即时通讯应用、新闻媒体、翻墙工具。每个页面都收录短篇报告、长篇研究报告，以及带最新 OONI 数据的图表。

2025 年新增的「新闻媒体封锁」页面就是一个例子，读者不必翻数十亿笔原始测量，就能直接看到这些发现。包括埃及封锁独立媒体 Zawia3、约旦封锁 12 个新闻媒体网站、印度在与巴基斯坦军事冲突期间封锁 The Wire。

网络审查事件通常发生的时间点，往往是选举、抗议、武装冲突、全国性大考、政局动荡期间，正是民众最需要取得信息的时候。在这些关键时刻，受影响的社群可以从 OONI 观测数据取得共同的事实基础，后续才有机会究责。

新闻工作者与媒体组织如何运用 OONI¶

OONI Explorer 的截图，显示 dw.com 在俄罗斯、中国、伊朗被封锁的情形。图片来源：Tor Project Blog。

2025 年，俄罗斯流亡媒体中相当知名的 Meduza 发表了一篇文章介绍 OONI 工具，邀请读者实际试用。从 Meduza 这个案例可以看到，新闻编辑室除了用网络审查测量来写报道，也可以把它当作公共教育的一环，让读者理解网络干扰是如何运作的、可以如何被记录下来、自己又能如何贡献到这份证据基础里。

新闻网站被封锁，影响从来不只是技术层面，代表的是大众失去取得报道的管道、社群失去即时信息、记者失去他们的读者。只有当这件事被记录成可以被引用、可以被分析的数据，后续行动才有立足点。

最具体的串接案例发生在肯尼亚。OONI 观测数据被当作证据，用在一场挑战「非法切断网络连线」的公益诉讼。这场诉讼由一个联盟提出，成员包括 BAKE、ICJ Kenya、Paradigm Initiative、肯尼亚记者工会（Kenya Union of Journalists）、Katiba Institute、肯尼亚律师协会（Law Society of Kenya）和 CIPESA。为了支持这份提交给肯尼亚高等法院（High Court of Kenya）的声请，OONI 以专家意见的形式产出了一份详细的研究报告，记录 Telegram 在肯尼亚 2023 与 2024 年 KCSE 全国性大考（肯尼亚的中学毕业会考，当局以防堵考题外泄为由，在考试期间限制社交与通讯软件）期间被封锁的情形。

在这个案子里，记者工会、数字人权组织、法律倡导者与技术研究者从同一份数据集出发，把「网络被中断」推升为公共利益议题。这也是区域上重要的先例，坦桑尼亚的律师后来主动联系 OONI 索取数据，用来支持当地挑战封锁 Twitter/X 的法律行动，OONI 也因此发表了一份记录这次封锁的研究报告。

为共同的互联网集体行动¶

从肯尼亚延伸到坦桑尼亚的这个涟漪效应里，可以看到网络审查如何跨地域运作，也可以看到大家可以如何回应。封锁一个即时通讯应用，从来不是一件孤立的事。记者可能失去与消息来源的联系管道，社运行动者可能失去组织动员的通道，翻墙工具开发者可能要重新调整，研究者可能要验证实际情况，律师可能需要证据。所有人都需要文件纪录。

OONI 的开放数据模型，正好对应这些关键时刻的需求。守护自由的互联网，需要把审查记录下来、把证据分享出去，并且一起累积回应这些事件的集体量能。

在地脉络：华语六地区如何接上这个工作流程¶

OONI 在肯尼亚、坦桑尼亚、约旦、印度、埃及的故事，地理位置上看起来离我们很远，但运作逻辑跟华语六地区（中国大陆、香港、澳门、新加坡、马来西亚、台湾）是同一套，靠的都是公开的测量数据和跨领域的协作。要把这套工作流程用起来，从观测覆盖、倡议路径到一般人的参与，有三件事可以往下看。

华语六地区的 OONI 观测覆盖现况¶

中国大陆有 OONI Probe 使用者持续上传测量数据，能看到防火长城对常见社交媒体、即时通讯应用、新闻媒体与翻墙工具的封锁情况。香港、澳门、新加坡、马来西亚与台湾的 ASN（自治系统编号，可粗略理解成每家 ISP 的网络编号）也都有不同程度的覆盖，但每个地区都存在没人在执行 OONI 的网络。其中，台湾的匿名网络社群长期维护一份 ASNs 自治网络观测数据分析，可以当作各华语地区检视自家 ASN 覆盖状况的参考做法。

OONI 全球数据集再庞大，每个地区仍然要靠在地使用者持续运行 OONI Probe 才能补上盲点。哪个 ASN 没人在执行 OONI，未来如果在那条路径上发生封锁或中断，就缺少能引用的证据。

从肯尼亚诉讼看华语六地区的倡议切入点¶

肯尼亚高等法院的诉讼示范了公民团体、媒体工会、法律倡导者、技术研究者如何从同一份开放数据出发，把网络中断的争议推到制度层级的问责程序。

报道中国大陆、香港、缅甸、越南等地的封锁事件时，华语地区的媒体与公民团体已经能引用 OONI 公开数据作为佐证。下一步值得思考的是，当华语地区某地自己遇到网络中断或服务阻断事件时，如何在法律倡议、人权报告、议会监督或国际仲裁层面，建立类似的证据链。

把家用网络、移动网络接进这份公共纪录¶

OONI Probe 桌面版与移动版都能在家用网络、移动网络、公共 Wi-Fi 上运行，每换一个连线环境就能多留下一笔纪录。对社群与民间组织来说，可以把它放进既有的工作节奏，例如在不同据点、活动现场、成员的移动网络上轮流测量，让覆盖从少数几家网络扩散到更多日常情境。这跟前面提到的盲点是同一件事的两面，一边是看出哪里还没被测到，一边是把那些网络一笔一笔补上来。

你可以做的事¶

不论你是想补观测、做研究，还是要把数据用在报道或倡议，都有可以着手的起点。

一般读者：安装 OONI Probe 执行一轮，让你这条网络出现在公共纪录里（运行前可先看 OONI 对潜在风险的说明）。如果有你常用、想纳入定期测量的网站，可以到 OONI 的测试列表编辑器提交，之后全球的 OONI Probe 就会把它排进测试。
研究者与技术社群：参考 ASNs 自治网络观测数据分析上的盲点分布做法，再评估自己这条网络或实验环境可以补上哪些测量，并把数据整理成可重复比对的图表。
记者、媒体编辑、人权律师：下次处理中国大陆、香港、缅甸等地封锁事件的报道时，OONI Explorer 上的测量截图、调查发现（findings）短篇报告、长篇研究报告都可以引用做公开佐证。要走到公益诉讼层级的案件，肯尼亚案示范了向 OONI 申请专家意见报告的流程。

从 Discord 年龄验证谈起：我们为什么自架 Matrix

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

从 Discord 年龄验证谈起：我们为什么自架 Matrix¶

2026/02/09，Discord 宣布在全球推出「teen-by-default」设定，并强化年龄验证机制（台湾报导（繁体中文）见巴哈姆特 GNN：Discord 宣布 3 月起全球实施「青少年保护」措施）。新用户与既有用户将默认进入以青少年为考量的体验，若要解除部分内容过滤或访问年龄分级空间，需透过脸部年龄估计或提交证件等方式完成验证。Discord 强调这是为了青少年安全与 Safer Internet Day 的承诺，也提到会引入「年龄推论模型」在背景协助判断帐号是否属于成人。

我们无意批评 Discord 的初衷，青少年保护与合规是严肃议题。但这类机制也代表一件事：大型平台会需要更多个人数据与行为消息来「分类」使用者。不论是脸部影像、证件、或是算法推论，最终都是把「你是谁、你几岁、你在哪里」交给平台与其合作厂商。对许多只想安心聊天、玩游戏、或参与专案的人来说，这可能是可接受的取舍。对另一群人来说，却会开始思考：有没有别的路？

我们真正在意的是：谁决定规则、谁拿走数据¶

商业聊天平台有其游戏规则：服务条款、产品方向、哪些数据被保留、算法如何运作，多半由公司与股东决策驱动，一般使用者难以参与，也难以完全掌握自己的数据如何被使用。这个问题的核心是谁有权决定，并非「谁比较坏」。

匿名网络社群 anoni.net 选择的是另一条路：自架 Matrix 主服务器（homeserver）。我们使用 tuwunel 这套以 Rust 撰写、高效能且符合 Matrix 规范的 homeserver，在 im.anoni.net 上承载社群讨论与 2026 主题协作。服务器设定、纪录保存策略、频道规则，由维运者与社群成员一起决定，范围小、可预期、也相对透明。我们的核心很明确：围绕网络自由、匿名网络、隐私实践，而不是「任何人进来随便聊什么都好」。这里是一个有主题、有共识的工作空间。

为什么我们选择自架 Matrix（tuwunel + im.anoni.net）¶

Matrix 是一种开放、去中心化的即时通讯协定和生态系，让全球不同的平台能彼此安全沟通、互相串联。每个人都可以自架属于自己的 Matrix homeserver（主服务器），自行决定服务器规则、纪录保存方式与验证政策。因此，我们选择自架 im.anoni.net，并以 tuwunel（一套以 Rust 开发的高效能 Matrix homeserver）来服务社群协作。

目前「匿名网络社群」在帐号申请上，采注册码注册制度，你需要来信 whisper@anoni.net 或透过其他可信任的管道取得注册码，再以注册码在 Matrix 上完成注册。注册当下不会要求你提供信箱、帐号名称可自选，服务器端也不保存可辨识身份的注册纪录。注册码非一次性（可多次共用），无法从注册码反推是谁在何时注册。也就是说，取得注册码时会有一次来信联络，但在系统内注册与使用时不绑定信箱或实名，我们尽量把「谁是谁」的资讯压在营运所需的最小范围。

选择自架与这样的注册流程，最直接的好处是：

纪录最少、追踪最少：我们尽量压缩「谁在什么时候做了什么」的保存范围，能删就删。
完全不要求实名或验证：不会强制上传证件、也不用手机、信箱，只需使用注册码即可注册。
为敏感议题、匿名研究而设计的弹性政策：无论你是参与匿名网络、审查观测或其他高敏感度范畴，都不用担心帐号曝光风险，我们会因应社群需要逐步调整相关政策。

所以，我们选择 Matrix 的核心理由，是社群需要一个能自己决定规则、对用户最小化资讯收集、并高度重视匿名性与隐私的空间，并不是单纯因为 Discord 不够好。大型平台的政策必须服膺于商业与普罗大众，跟社群所需的方向不一致。

在隐私与社群品质之间：为什么目前采「申请制」帐号¶

因此，Matrix（im.anoni.net）与 Cryptpad 帐号都需来信 whisper@anoni.net 或透过其他可信任的管道申请注册码，由我们回复注册方式或注册码后，你再于客户端完成注册。我们不开放任何人一键注册，以兼顾滥用防护与上述「注册阶段不存个资」的设计。

这里也简单说明什么是 Cryptpad：Cryptpad 是一个强调端到端加密、隐私保护的线上协作平台，可用于多人共笔、即时笔记、文件协作、待办列表、白板等，内容全程加密，只有参与的成员才能访问与查看。不像 Google Docs 等主流云端工具，Cryptpad 没有服务器端解密权限，也无需信任平台营运者，特别适合有机密、隐私需求的协作场景。「匿名网络社群」自架 Cryptpad 服务，就是为了让社群在讨论、共笔、协作时，能最大限度确保资讯不被第三方蒐集或监控。

这样采用申请制的原因很务实：

避免系统被恶意利用：如果让大家自由注册，很容易就会有自动化垃圾帐号或不怀好意的人涌入，对我们这种小规模自架的服务来说，管理和维护的压力会变得很大。
让每个进来的人都了解这里的定位：申请的人知道，社群空间专门讨论「个人隐私指引」、「Tor 中继节点在校园的推动」、「匿名支付」这几个主题，不是那种什么都可以闲聊的地方。会主动写信申请的朋友，也多半对这些议题已经有一定的兴趣和认识。
我们这样做是为了维护品质，而不是为了排除谁：我们不会要求你真实姓名，也不会要你上传证件数据，只是需要你多花一点时间写信申请注册码、简单说明你有兴趣参与什么。只要你对这些主题有兴趣，都很欢迎联络我们加入这个空间。

帐号申请与使用方式请见本站沟通与协作工具。

对正在使用 Discord 的朋友说的话¶

我们不希望大家觉得「非得二选一」：很多人需要留在 Discord 上的社群、游戏、专案，这完全可以理解。我们想说的是：当你需要谈敏感议题、需要更高隐私与可预期的环境时，这里有一个小而稳定的 Matrix 空间可以使用。

如果你想深入参与 2026 三个主题（个人隐私指引、Tor Relay 校园建立、匿名支付），或是实现匿名网络相关的实验，欢迎优先在 Matrix、Cryptpad 参与。
若你只是关心消息、偶尔旁听，维持原本的平台也没关系。我们会持续在文件网站与活动中分享进度，你随时可以再决定要不要参与我们。

anoni.net 的社群参与大门一直开着，差别只在于，我们选择用「谁有权决定规则、谁拿走数据」来思考这条路，并用自架 Matrix 与申请制帐号，在隐私与品质之间取得我们能接受的平衡。

PayPal 关闭台湾境内交易、Stripe 至今未开放：EFF 新书 Transaction Denied 整理十多年金融审查案例

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

PayPal 关闭台湾境内交易、Stripe 至今未开放：EFF 新书 Transaction Denied 整理十多年金融审查案例¶

图片来自 EFF Deeplinks 文章 Former EFF Activism Director's New Book, Transaction Denied, Explores What Happens When Financial Companies Act like Censors 的社交卡片（EFF Financial Censorship banner 图库），授权为 CC BY 4.0。

2017 年 5 月 9 日，美国的跨境电子支付服务 PayPal 全数关闭台湾境内交易功能，两个 PayPal Taiwan 账号之间不能再收付款，跨境收付款则维持运作。受冲击最大的是刚起步的实况产业，Twitch Cheer、YouTube Super Chat、StreamLabs、NightDev 这些依赖 PayPal 处理本地观众赞助的工具集体中断，小型组织与独立媒体的本地金流也跟着受影响⁹。

法源是 2015 年通过的《电子支付机构管理条例》第三条第一项，PayPal 选择不申请许可，关闭台湾境内交易功能¹⁰。八年过去，美国的线上金流处理服务 Stripe 至今未开放台湾使用者注册。Stripe 是 Substack、许多订阅制 SaaS、许多开源专案赞助页面背后的信用卡收款层，台湾的个人创作者要先绕道注册一间美国 LLC 才用得上¹¹。

这两件事在台湾的支付讨论里，过去多半被归到「合规取舍」或「市场规模」。前 EFF Activism Director Rainey Reitman 2026 年 4 月出版的新书《Transaction Denied》¹² 整理了 2012 年起在美国、中东陆续发生的同类事件，这些案例累积起来，呈现出一个跨地区、跨议题的长期模式。台湾的两件事可以放进这组案例一起对照，香港、中国大陆、澳门、新加坡、马来西亚的同样故事也是。

Reitman 整理过去十多年的金融审查案例¶

Rainey Reitman 在 EFF 任职 11 年，先后担任 Activism Director 与 Chief Program Officer，2022 年离开。她也是新闻自由基金会 Freedom of the Press Foundation 的共同创办人与现任董事会主席³，这本书的作者版税有半数捐给该基金会。EFF 执行长 Cindy Cohn 在介绍这本书的 Deeplinks 文章写道¹：「Rainey 既是说故事的人，也是倡议者。她揭露隐藏的权力系统，这些系统形塑我们的选择、我们的言论，最终形塑我们的社会。」

书中花最多篇幅在整理过去十多年实际发生过的案例。EFF 在 2012 年领衔的反书籍审查联盟，逼使 PayPal 收回对自出版小说平台 Smashwords 强加的书籍内容限制⁴。同一年的 Nifty Archive Alliance 案，Stripe 一开始切断这个从 1992 年运作至今的 LGBTQ 色情书写社群的支付管道，倡议行动之后改了决定⁵。

2021 年的 Larry Brandt 案没有这样的反转。Brandt 是美国一位个人捐款人，近 20 年用 PayPal 持续发小额赞助给世界各地的 Tor 中继维护者，2021 年某天 PayPal 账号被无预警关停，没有申诉管道，也没人能解释原因⁶。Tor 是匿名网络社群长期介绍、许多读者实际在用的匿名网络工具，全球各地的 Tor 中继维护者本来就是靠这类个人赞助维持运作。换到华语读者熟悉的情境，如果你长期用境外金流定期支持港媒、缅甸独立记者、乌克兰基层或某个跨国人权专案，被切断的情形是一样的，不会因为金额小、用途明确、捐了很多年就豁免。

当一位长年小额赞助者连发起一笔赞助都被当作可疑交易切断账号，「金融机构不算言论审查者」这个说法就难以继续成立。同类案例还能再列，教波斯诗歌的美国公民被 PayPal 与 Venmo 冻结账号、纽约穆斯林市议员转账备注写了孟加拉餐厅名字被挡下交易、Palestinians PayPal 案被挡的整个区域使用者⁷。

Reitman 在书里点出，这个模式之所以能长期运作，靠的是「金融机构是中性管道」这份既有认知。实际运作起来，合规导向的过度避险、模糊到不可预测的服务条款、自动化决策但没有人类审查界面、被切断的人没有可运作的申诉管道，这几个元素加在一起的效果跟内容被删除一样⁸。EFF 过去十多年发过数十篇文章追踪这些案例，累积速度比修法快得多。

从账号封锁到平台内容政策：2025-2026 的新案例链¶

Reitman 书里收的案例多半围绕「金融机构切断个人或组织账号」这个型态。2025 年起的几起事件呈现出另一种施压型态，金流公司透过合约条款与罚款威胁，要求平台自己修改内容政策，施压对象从个别账号扩大到整个平台层面。

2025 年 2 月，Mastercard 与 Visa 对日本多家文化产业平台施压，受影响的服务被迫调整贩售品项。日本还有自家的 JCB 与点数卡机制可以挡一些冲击，勉强撑过去¹³。同年 7 月，Steam（Valve）证实在金流公司压力下，从商店移除部分成人游戏¹⁴。2026 年 3 月，美国 FTC 主席 Andrew N. Ferguson 发出警告函给 PayPal、Stripe、Visa、Mastercard，谈「debanking American consumers」议题，这是美国联邦监管者公开把这个模式列为议题的第一次¹⁵。2026 年 5 月，Kickstarter 修改内容指引、禁止几类 NSFW 内容，Stripe 被认为是这次政策变动背后的压力来源¹⁶。

从个人账号被切断、整个市场被排除、到平台内容政策被间接改写，金流中介能施加的影响在十多年间持续扩大。

回到台湾：PayPal 关闭境内交易、Stripe 从未开放，都是金融中介的单方面决定¶

把 PayPal 2017 关闭台湾境内交易跟 Stripe 至今不开放放在 Reitman 的框架下看，两件事都是金融中介单方面决定谁能在自己的网络上收钱。

PayPal 是「依当地合规取舍而关闭台湾境内交易功能」。2015 年《电子支付机构管理条例》上路后，PayPal 选择不申请许可，关闭境内收付款功能，跨境功能继续运作。境内留下的空间由绿界、蓝新、Pay2Go 等本土第三方支付填补。事后看，这让台湾的本地支付基础建设更在地化，但原本依赖 PayPal 在台湾处理本地金流的应用，当天就要找替代方案⁹。

Stripe 是「从一开始就不接这个市场」。台湾的个人或公司不能直接申请 Stripe 账号，常见的绕道是注册美国 LLC、申请 EIN、开美国银行账户，再以美国公司名义使用 Stripe¹¹。这条路自己有合规成本（IRS Form 5472 未申报最低罚款 25,000 美元），对个人创作者来说门槛不低。2025 年 10 月 Stripe Tax 开始支持台湾远端销售的税务登记¹²，但 Stripe Tax 只处理税务登记，台湾使用者仍然开不了 Stripe 收款账号。

两者跟传统意义的「审查」不一样，但对倡议组织、独立媒体、创作者来说，效果跟被审查很像。依赖境外金流时，主要收款管道随时可能消失，或者从没存在过。境内第三方支付能补一部分，但跨境收款、KYC 国际趋同、《虚拟资产服务法》逐步上路，这几股压力同时收紧。相关的制度面讨论可以接上台湾 VASP 法 2026，组织端的应对可以接上倡议组织的匿名捐款管道。

华语六地区都有同样故事：中国大陆、香港、澳门、新加坡、马来西亚¶

Reitman 在书里没有展开亚洲案例，但她整理出的四个元素「合规导向的过度避险、模糊服务条款、自动化决策、申诉管道缺位」，在华语六地区都能直接对应到具体事件，差别在主导切断的是谁、动机是什么。

中国大陆：WeChat Pay、Alipay 强制实名后账号被冻结的情况长期存在，涉敏感话题转账、跨境收款，或外部金流送入境内时，账号会被「保护性冻结」。国家审查与平台合规叠加的产物，跟 Reitman 整理的美国案例机制相同，多了一层政策驱动。
香港：2019–2020 反送中后，HSBC、Stripe、PayPal 等业者面对国际尽职审查与本地合规压力，对民主派组织、独立媒体、海外港人募款平台的账号有过多次冻结或终止合作。同一段期间境内监管与境外尽职审查同时收紧。
澳门：博弈业的反洗钱合规压力外溢到一般用户，跨境小额转账容易被列入 EDD（强化尽职审查），独立媒体或人权工作者的境外收款管道因此变薄。
新加坡：金管局（MAS）的《支付服务法》（PSA Act）与 2023 起对 Crypto/DPT 的牌照收紧，新创、独立创作者、跨境 NGO 在境内难以取得稳定的收款基础设施，部分境外业者直接停止接受新加坡使用者注册。
马来西亚：央行（BNM）的 e-wallet KYC 趋同与外汇管制让境内用户难以收受跨境小额捐款，独立媒体、人权 NGO 的境外金流需要走更长的路。

台湾被 PayPal 2017 关闭、Stripe 至今未开放的处境也属于同一套机制，只是台湾的支付讨论习惯归到「合规取舍」，比较少被识别成金融审查。

接下来社群想推进什么¶

社群把 2026 年的三大主题之一定在匿名支付，原本想说的是「个人金流是 metadata 的独立维度」。Reitman 这本书让我们看到金流还会被主动拿来当审查工具，这个风险对倡议组织、独立媒体、创作者不是抽象议题。既有的为什么匿名支付重要处理的是金流被动被观察的问题，这篇处理的是金流主动被切断的问题，两篇对照看比较完整。

下一步预计推进的方向，包括在《台湾 VASP 法 2026》补一段「跨境制裁与过度合规副作用」的观察，以及从 EFF 过去十多年 Financial Censorship 系列文章选 5 到 8 篇做策展性翻译。替代金流系统的进展也值得追踪，欧洲 European Payments Initiative、巴西 Pix 是两个现有实现¹⁷¹⁸，但金流在各国都是高度管制行业，规模化替代系统的建立成本不低。如果你关心这个主题，欢迎透过匿名支付研究专题加入社群讨论。

Android 17 上线后的 GrapheneOS：谁决定手机上能执行什么系统

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

Android 17 上线后的 GrapheneOS：谁决定手机上能执行什么系统¶

图片：智能手机被锁链缠绕，象征装置被外部规则锁住。摄影 Towfiqu barbhuiya，来源 Pexels（Pexels License）。

手机是你花钱买的，但它能装什么、能执行什么系统，越来越不是你能决定的。这个问题平常不会浮上台面，直到你想换一套更保护隐私的系统，却发现某些 app 因为「检测到非原厂系统」而拒绝执行，或是你信任的开源系统因为得不到硬件数据而越来越难维护。Android 17 在 2026 年 6 月 16 日上线¹，把这个问题又往前推了一步。

对隐私使用者来说，首当其冲的是 GrapheneOS，一套把 Android 安全强化、移除 Google 绑定的行动作业系统。它几乎只能运作于 Google Pixel 上，而 Google 正一步步调整 Android 与 Pixel 的开放程度，维持一套干净、由使用者掌握的手机系统，成本也随之升高。

Google 两步收紧：开发移入内部分支、Pixel device tree 移出 AOSP¶

GrapheneOS 这类系统，必须仰赖 Google 公开的 Android 原始码与 Pixel 硬件数据才能开发。Google 接下来的两个动作，收紧的正是这两项来源。

第一步在 2025 年 3 月。Google 把 Android 的主线开发移进内部分支，只在版本正式发布时才把原始码一次推上 AOSP（Android Open Source Project，Android 的开源核心），开发过程不再公开可追²。Android 仍然是开源项目，外部开发者能取得最终的代码，但看不到中间的演进，也更难即时跟上。

第二步在 2025 年 6 月，冲击更直接。Google 发布 Android 16 时，不再把 Pixel 的 device tree 放进 AOSP³。device tree 是描述某款手机硬件配置、让系统能正确驱动它的一组设定档，对要把系统移植到该机型的人来说是地基。Google 同时把 AOSP 的官方参考装置，从实体的 Pixel 换成虚拟机 Cuttlefish。少了 Pixel 的 device tree 与驱动原始码，第三方系统开发者只能从 Pixel 出厂的成品文件回头猜它每个月的硬件改动，费时又容易出错。

这两步加起来，把第三方系统的开发成本垫高了一截。LineageOS（另一套知名的第三方 Android 系统）的贡献者形容，现在等于要「盲猜，从预编译的二进位档逆向工程 Pixel 每月的变更」³。

GrapheneOS 如期完成移植，但开发成本持续升高¶

即使如此，GrapheneOS 在 Android 17 发布当天（2026 年 6 月 16 日）就完成移植⁴。过程中遇到 Android 17 本身一个影响 recovery 侧载的上游 bug，第一版 build 因此没有直接推送，修正后的版本 2026061800 在 6 月 18 日进入 Alpha 测试通道⁴。

移植速度没有变慢，这是 GrapheneOS 工程能力的展示。但每一代要付出的逆向工程成本都在增加，而这个成本是 Google 的政策单方面加上去的。一个原本可以靠公开数据顺畅进行的工作，现在需仰赖逆向工程填补缺口。GrapheneOS 能维持这样的移植速度多久，取决于 Google 后续是否继续缩减公开数据的范围。

另一种压力：attestation 将非官方系统判为不合格¶

除了开发端，GrapheneOS 还面对使用端的压力，来源是 attestation（装置认证，由 app 在背景检查你的手机是不是「原厂认可」的状态）。

Google 的 Play Integrity API 会把非 Google 认证的系统判为不合格。GrapheneOS 在安全上比原厂 Android 更严格，却因为不是 GMS（Google 行动服务）授权的系统，常被当成被 root（取得最高权限、绕过系统限制）的手机一并拒绝执行。越安全的系统，反而越容易被这套机制排除在外。

attestation 的压力在 2026 年明显增强，下面三件事几乎同时推进：

Microsoft Authenticator：2026 年 2 月底起，开始对 Android 装置做 root 检测，GrapheneOS 因为被 Play Integrity 标记而受影响。Microsoft 分三阶段推行（先警告、再挡新增账号、最后清除既有凭证），计画在 2026 年 7 月完成最后阶段，清除受影响账号的 Entra 凭证⁵。截至本文撰写的 6 月，这个期限还没到、是否如期执行未知。Microsoft 也公开表示不支持 GrapheneOS。
欧盟 Unified Attestation：欧盟版的统一装置认证提案，GrapheneOS 认为这是 Play Integrity 的欧洲翻版，会把非授权系统一样挡在 app 生态圈外，已公开呼吁隐私导向的 app 开发者抵制⁶。
Android 17 的侧载限制：Android 17 新增应用程序侧载的「开发者验证」流程，2026 年先在巴西、印尼、新加坡、泰国试行，2027 年扩大到更多地区⁷。

这些机制各有各的理由（防诈骗、防滥用、青少年保护），但效果相互叠加，使未获官方认可的系统越来越难用于日常。

Motorola 合作与 Pixel 的不确定未来¶

面对 Pixel 的不确定，GrapheneOS 开始找替代硬件。2026 年 3 月 1 日的 MWC 2026，GrapheneOS 与 Motorola 宣布长期合作，计画推出预载 GrapheneOS、支持 bootloader 解锁与重锁的机型⁸。这是 GrapheneOS 第一次把硬件出路铺到 Pixel 以外，具体机型与上市时间官方都还没公布。

回头看这次合作的起因，GrapheneOS 表示，正是 Google 停止公开 Pixel 共用的驱动程序原始码，才促成 Motorola 主动接洽⁹。Google 想把 Android 收得更紧，反而把一个原本绑在自家硬件上的项目推向了竞争对手。

至于 Pixel 本身，GrapheneOS 的说法是「不确定之后还会不会替新推出的 Pixel 加上支持」¹⁰。媒体据此推测 Pixel 11 可能是最后一款受官方支持的新 Pixel，但这是媒体的推论，GrapheneOS 官方并没有做出这个承诺，Pixel 11 之后的机型是否支持仍在未定之天。

谁决定手机上能执行什么系统¶

Google 收紧 AOSP、用 Play Integrity 决定哪些系统合格，Microsoft 跟着把不合格的系统排除，欧盟研议自己的认证框架，Android 17 要求侧载先过验证。这些机制累加下来，你手机上能执行什么系统、能装什么 app，能自己决定的部分越来越少。

这跟我们在从 Discord 年龄验证谈起：我们为什么自架 Matrix 与金融公司当起审查者谈过的是同一类问题。当关键的基础设施掌握在少数平台手中，规则由它们单方面决定，一般使用者难以参与，也难以脱离。手机作业系统是其中最贴身的一层，定位、通讯、相簿与身分都存在这一层上。

GrapheneOS 的价值，就在于它让使用者在原厂系统之外仍然有选择。它不完美，依赖 Pixel、可能被部分 app 拒绝执行、需要一定的学习成本，但它证明了这件事在技术上可行。

对华语区读者的意义¶

上述变化看似都在美国的 Google 与欧盟法规层面，但离华语区读者并不远。

Android 17 的侧载验证，2026 年第一批试验场就包含印尼、新加坡、泰国，APAC 是最早被纳入的地区之一⁷，这类政策后续往邻近地区扩大并不意外。另一个更切身的压力是 attestation。各地的网银、行动支付、政府服务 app 越来越常检查装置是不是原厂状态。在中国大陆，本地 app 早已普遍要求装置认证与实名，非官方系统一样容易被挡。对把手机当主要上网工具的人，选用 GrapheneOS 这类系统前，要先确认自己每天必用的 app 是否仍能正常执行。

如果你关心能不能拥有一台真正由自己掌握的手机，GrapheneOS 是现在最成熟的选项，也是观察 Google 后续动向最直接的视角。Google 接下来的每一步，都会影响 GrapheneOS 作为可行选项还能维持多久。

进一步了解 GrapheneOS¶

这篇谈的是处境与脉络。GrapheneOS 本身是什么、有哪些隐私与安全设计、为什么只支持 Pixel、跟匿名工具的界线在哪，整理在 GrapheneOS：高度隐私的行动作业系统。操作前也建议先读威胁模型如何建立与匿名与隐私的差别，厘清自己真正的需求，再评估 GrapheneOS 是否适合自己。

Android 17 release | Android Open Source Project - Android Open Source Project ↩
Google will develop the Android OS fully in private going forward - 9to5Google ↩
AOSP isn't dead, but Google just landed a huge blow to custom ROM developers - Android Authority ↩↩
GrapheneOS has been ported to Android 17 and official releases are coming soon - GrapheneOS Discussion Forum ↩↩
Microsoft tightens Authenticator checks on Android and iOS - The Register ↩
GrapheneOS calls on privacy-focused app developers to boycott European Unified Attestation - PiunikaWeb ↩
Android sideloading changes: here's the full timeline - Android Authority ↩↩
Motorola confirms GrapheneOS partnership for a future smartphone - 9to5Google ↩
GrapheneOS explains Motorola partnership origin & the uncertain future of Pixels - PiunikaWeb ↩
Pixel 11 could be the last new Pixel to gain GrapheneOS support - PiunikaWeb ↩

测量网络审查：挑战、趋势与影响

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

测量网络审查：挑战、趋势与影响¶

翻译说明：这篇文章由 OONI 的 Maria Xynou 撰写，原刊于 Internet Society 的 Pulse blog，后由 OONI 转贴。OONI 是目前全球规模最大的网络审查观测公开数据集，本文整理了测量网络审查的方法挑战、近年观察到的审查趋势，以及这些数据如何被用在数字人权的倡议行动。对简体中文使用者来说，这份脉络有助于理解为什么「网络看起来能用」不等于「没有被审查」，也有助于评估自己所在地区的网络层介入形态。

以下内容原文翻译来自：

Measuring Internet Censorship: Challenges, Trends, and Impact, Maria Xynou 2026-05-05
原始版本刊载于 Internet Society Pulse blog

重点摘要：

网络审查正在变得更精细、更具针对性，也更难被检测。
OONI 以众包方式收集的网络观测数据，能支持研究、倡议行动，以及对网络审查事件的快速响应。
OONI 的长期数据揭示了几项全球网络审查的关键走向，包括短期针对性的间歇封锁，以及长期、系统性的压制。

网络审查正在变得更精细、更难被检测，「透明度」这件事比以往更迫切。

俄罗斯、哈萨克斯坦等国家正在封锁大量独立新闻媒体，选举与抗议期间针对社交媒体的限制在全球各地也越来越常见。连民主国家也在扩张审查做法。举例来说，阿尔巴尼亚去年封锁了 TikTok，西班牙则间歇性封锁了部分网络，做法是针对 LaLiga 直播站点所使用的 Cloudflare 基础设施下手。

这些案例都由 Open Observatory of Network Interference（OONI）记录下来。OONI 是一个非营利组织，维护全球最大的网络审查公开数据集，数据来自众包测量。本文简要讨论测量网络审查的挑战、正在浮现的审查趋势，以及网络观测如何推动人权倡议。

测量网络审查的挑战¶

要判断一件事算不算网络审查，很少能用「能不能连」、「有没有被封锁」这种二分结果就说明清楚。

许多因素都可能让服务看起来无法访问，即使没有任何人刻意限制。架在不稳定服务器上的网站可能短暂失效，跟政府毫无关系。网络质量不佳时，用户也可能难以打开网站或 App。连 DNS 设置错误都可能造成访问失败，但跟审查无关。

误报（false positives）很常见。挑战更进一步来自审查做法的多样性，从 DNS 操纵、IP 封锁，到更隐蔽的流量限速或注入伪造响应都有。同一个网站可能在某个网络能用、在另一个网络被挡，因此需要广泛、去中心化的测试才有机会做出可靠判断。

OONI 用几个方式来面对这些挑战。一是开发公开的测量方法论并鼓励同行评议与专家反馈，并利用对照测量（control measurements）作为基准。OONI 也使用一套概率式指标估计某个资源在特定网络与时间区间内被限制的可能性。这套方法在 OONI Pipeline v5 上实现，会比对测量结果并套用启发式规则，把结果分类为「blocked」、「down」或「OK」，并附上一定信心度的估计。

直接从本地网络收集到的测量，比远程测试更有价值，因为它反映了用户真实的审查体验。当志愿者根据他们实际遇到的封锁内容、在自己所在的脉络下执行测试时，这些数据比较有机会捕捉到突发、情境特定的审查事件。

OONI 正是依此运作。世界各地的人们运行 OONI Probe，从他们所连的网络上贡献测量。数据的取得仰赖志愿者选择测什么、何时、何地，因此各国的覆盖率差异很大，同一个国家的不同网络之间也会有落差。覆盖率不均是一项重要挑战，要可靠地检测（并确认）审查，需要持续的数据来累积信心。

审查事件常发生在高风险情境，例如反政府抗议期间。在这些时刻进行测试，会让贡献者承担实际的风险，这也让测量与审查检测变得更困难。在 OONI，用户安全是优先事项，所有贡献测量的人都会经过知情同意的程序，在 OONI Probe App 中以小测验的形式确认。

浮现中的网络审查趋势¶

OONI 的长期数据揭示了几项全球网络审查正在演变的关键趋势：

网络审查的全球化与常态化¶

网络层级的审查已经不只发生在中国或伊朗这类国家。今日几乎每个国家都有某种形式的审查，封锁的内容与影响范围差异很大。多数国家现在同时具备技术基础设施与法律框架，能执行网络层的限制。

短期控制的针对性、间歇性封锁¶

许多政府会在政治敏感事件期间部署临时性审查，例如选举、抗议或冲突。这类封锁通常针对特定网站或 App，举例来说，乌干达在 2026 年大选后封锁了 WhatsApp 与 Facebook。短期封锁通常持续几小时到几周，这种做法能降低政治与经济成本，又能让当局在关键时刻控制公共讨论、限制信息流通。

系统性压制的长期封锁¶

长期封锁会持续数年，目的是在网络上强制执行某种意识形态、政策或法律。相较于针对特定站点或 App 的短期封锁，长期封锁往往限制整个被视为「在法律或社会上不可接受」的内容类别。这类审查经常压抑边缘群体、强化既有体制。例子包括封锁 LGBTQI 权益相关网站、族群或宗教少数团体相关内容，以及生育权相关网站。以坦桑尼亚为例，在多年针对 LGBTQI 社群的打压之后，针对 LGBTQI 相关内容的大规模封锁陆续被观察到。

加密化网络中越来越不透明的审查¶

随着越来越多网站采用 HTTPS 与加密标准，审查反而变得更不可见。传统的封锁页面（block page）会告知用户「这个站点被刻意限制」，但这类页面如今已经少见。政府改采直接干扰 TLS（Transport Layer Security）协议本身的手段，通常使用 DPI（Deep Packet Inspection，深度包检测）这类进阶设备。OONI 的数据显示，TLS 层级的干扰在许多国家被记录下来，这也反映出全球审查技术产业正在扩张。遇到 TLS 干扰时，用户通常只会看到一般的连接错误，而非封锁页面，因此很难分辨这是刻意的审查、还是网络故障或其他技术问题。加密化原本是要保护用户，反过来却让审查变得更不透明。

流量限速与服务劣化¶

各国政府越来越常用带宽限速作为一种较隐蔽的控制手段，限制特定服务的可用性而不直接封锁。这会让通讯 App 或其他平台变慢，让人不想再使用，但连接在技术上仍然「成立」。为了调查这类案例，OONI 开发了一套针对性流量限速的测量方法论，并在哈萨克斯坦、俄罗斯与土耳其的真实案例中应用与验证。

审查与隐私技术的拉锯¶

当局也把目标放在新兴的隐私技术上。例如伊朗从至少 2020 年起就封锁加密 DNS，而俄罗斯在 2024 年 11 月封锁了 ECH（Encrypted Client Hello）。这些手段让用户更难绕过审查，同时也压缩了在线隐私的空间。对此，OONI 开发了新的实验来测量 ECH 与加密 DNS。这些测试已整合进 OONI Probe，世界各地的测量数据以公开数据形式即时发布。

国家内网与「允许清单」做法的兴起¶

部分政府正朝向高度管控的国家网络演进。在伊朗、俄罗斯、缅甸等国家，当局正在实验「允许清单（allowlisting）」做法，把可访问的范围限缩在被核准的服务或网站，实质上建立出互联网的围墙区。

这些趋势都显示审查手法越来越精细、针对性越来越强，也越来越难被检测。要守护在线访问权与数字人权，持续的测量与倡议因此格外重要。

从测量到倡议¶

对网络进行测量，能让我们观察到网络流量在实务上是如何被处理的。审查经常在网络层被实现，这类测量可以揭示「什么」被封锁、「如何」被封锁、「何时」被封锁，以及是「哪一个网络」执行的。这个层级的洞察可以提供审查的证据，使得网络测量成为捍卫开放网络的有力倡议工具。

也因为这个理由，OONI 从 2016 年起就是全球 #KeepItOn 行动的活跃成员，协助全世界数百个人权组织用 OONI 数据去倡议反对网络关闭。OONI 数据因此支持了多国挑战社交媒体封锁的倡议行动，包括加蓬、坦桑尼亚、尼泊尔、多哥与莫桑比克，也用在政策与法律介入上，例如巴基斯坦与肯尼亚的高等法院申请案。

OONI 数据集的规模也强化了倡议价值。自 2012 年起，已从 245 个国家与地区、30,000 个网络收集到超过 30 亿笔测量，OONI 数据是同类型中全球最大的网络审查公开数据集。每个月都有数千万笔新的测量从约 180 个国家收进来，每天则持续以即时方式发布来自世界各地的新测量。

OONI 数据是一份等待被探索的丰富数据集。它的广度与深度能支持研究，即时发布的特性则能支持倡议与快速响应行动。它也定期被收进 ISOC 的 Pulse Shutdown 项目用来记录全球的社交媒体封锁。你也可以使用这份数据，加入社群，一起捍卫自由开放的网络。

简体中文使用者地区的观察¶

文章描述的多数现象在中国大陆是长期常态¶

本文整理的多项手段，包括 DNS 操纵、IP 封锁、TLS 干扰、加密 DNS 与 ECH 封锁，以及走向白名单式国家内网的做法，在中国大陆是长期存在的网络治理实践。OONI 在大陆的长期测量数据，是研究人员理解这套体系如何演变的重要数据。对身在大陆的读者，本文也是「为什么常见的工具会突然失效」这件事的技术背景。

港澳、新马等地区的网络层介入呈现不同形态¶

简体中文使用者所在的不同地区，网络层介入的形态差异很大。香港在 2020 年之后开始出现新的网络层封锁案例，OONI 数据可以追踪相关变化。澳门规模较小但有类似迹象。新加坡、马来西亚则以法定下架与平台合规为主，网络层干扰相对少见。这些差异可以透过 OONI Explorer 直接比对，本文描述的趋势在不同地区呈现出不同强度。

使用 OONI Probe 时的风险评估¶

OONI Probe 的测量本身会产生可被网络侧观察到的流量。在网络监控较严格的环境下运行 OONI Probe，请务必先阅读 OONI 的风险说明，理解可能的后果。对身在中国大陆的读者，建议优先以阅读 OONI Explorer 上的现有数据为主，再评估是否进一步参与测量贡献。对身在网络较开放地区的读者，参与测量可以帮助补上简体中文使用者地区的数据覆盖率。

onionoo MCP 上线：用一句中文问 Tor 中继节点现况

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

onionoo MCP 上线：用一句中文问 Tor 中继节点现况¶

匿名网络社区自架的 onionoo-fastapi 服务以 v1.0.0 对外公开，站点位于 https://onionoo.anoni.net。它把 Tor Project 官方的 Onionoo API 包成两种接口，一个是补上 OpenAPI 规范的语义化 HTTP API，一个是 Model Context Protocol（MCP）server。

接上 Claude Desktop、Cursor、Claude Code 等支持 MCP 的客户端后，用一句中文就能问「台湾目前有几个 Tor 中继节点，总带宽多少，前五大 ASN 是哪些」。AI 代理会自己拆问题、选工具、查数据、整理出可读报告，不必先学 Onionoo 的字段定义才能开始研究。

为什么要包这一层¶

Onionoo 的规范本身完整，但对 AI 代理来说有三个门槛。

没有 OpenAPI 描述，无法被 Swagger UI、Postman、code generator 自动消化。
字段短码（如 r、f、n、a）为了传输效率而设计，对语言模型不够语义化，模型容易误解 r 是 relay 还是 running。
一次查询常要组合多个端点（details、uptime、bandwidth），AI 代理重复拼凑容易出错。

onionoo-fastapi 把这些事情做掉。短码还原成 nickname、fingerprint、addresses、running 等语义名称，补上完整 OpenAPI 规范，并把几个常见任务包成单一 MCP 工具调用。想看某中继节点的健康状况时，调用一次就能取得合并好的 details、uptime、bandwidth 快照，不必自己组三个端点。

服务本身不储存任何 Onionoo 数据，只负责转发与重新包装回应。上游数据来自 https://onionoo.torproject.org。

可以拿来问什么¶

接上 MCP 后，下面这几类问题都可以直接用自然语言丢给 AI 代理处理。

盘点某个国家的 Tor 贡献：「整理一份台湾 Tor 中继节点现况，running 数量、总带宽、consensus weight、前五大 ASN，再挑出 consensus weight 最高的三个 relay。」
某个 ASN 底下的状况：「列出 TANet（AS1659）目前所有 running 的 Tor 中继节点，回报旗标、带宽与在线时间。」
比对指纹：「比较 9695DFC35FFEB861329B9F1AB04C46397020CE31 与 847B1F850344D7876491A54892F904934E4EB85D 这两个 relay 的版本、旗标、所在国家与 AS。」
单一中继节点健康度：「告诉我 moria1 这个 relay 目前的状态、所在国家、最近一周的带宽走势与在线时间。」

Claude Desktop 接上 onionoo MCP 后，请模型「整理台湾 Tor 中继节点现况」回出的汇整报告。底层数值来自上游 Onionoo，这是某一时点的 snapshot。

这类查询以往要先翻 Onionoo 文件、写脚本、合并 JSON、再整理表格，现在一句话就能取得初步结果。盘点完再决定下一步要往哪钻，研究启动的成本差很多。

如何接上¶

给 AI 客户端用户¶

在 Claude Desktop、Cursor 或其他支持 MCP 的客户端，在配置文件的 mcpServers 区块加上：

{  "mcpServers": {  "onionoo": {  "type": "http",  "url": "https://onionoo.anoni.net/mcp"  }  } }

存档、重启客户端，工具列表中就会出现 onionoo 这组工具，可以直接用自然语言要求代理查询。本机 stdio transport 安装方式、完整工具一览、权限调整、自架（Docker）等细节，完整使用文件都有写。

阅读完整 onionoo MCP 使用文件

给写程序直接调用的用户¶

每个端点都会返回语义化 JSON，可以直接用 curl 调用。

# 列出台湾的 relay，依 consensus weight 排序前 5 名 curl -s 'https://onionoo.anoni.net/v1/details?country=tw&running=true&order=-consensus_weight&limit=5' | jq . # 按国家汇整目前 running 的中继节点数量 curl -s 'https://onionoo.anoni.net/v1/aggregate/countries?running=true' | jq .

完整端点与参数见 Swagger UI，查询参数沿用 Onionoo 的官方规范。

与既有观测工具的分工¶

anoni.net 目前在 Tor 观测这条线上有三个入口，可以依任务挑。

Tor Relays 观测点：图表面板，看台湾中继节点的数量与带宽趋势，适合想看走势的场合。
ASNs 自治网络观测数据分析：OONI 观测数据的 ASN 涵盖分析，适合想知道哪些 ASN 的用户实际在被观测到。
onionoo MCP（这次新增）：用问句快速做 ad-hoc 查询，适合想针对某个 relay、某个 ASN、某个国家盘点现况。

三个入口数据来源不同（Pulse 自己抓的历史时序、OONI 原始观测数据、Onionoo 即时 snapshot），互相补完，不重复。

参与与反馈¶

回报问题或提建议：https://github.com/anoni-net/onionoo-fastapi/issues
想讨论该补哪些任务导向工具、或请社区示范某类查询，欢迎到 Matrix 公开 room 提出来。
想自行架设一份（例如在 .onion 服务、内网或实验环境），完整文件的「自架（Docker）」段落有 Docker 启动指令与环境变数列表。

服务以 MIT 授权释出，源代码在 https://github.com/anoni-net/onionoo-fastapi，任何 issue、PR 都欢迎。

OONI 如何分辨坏掉的测量数据：从启发式规则到匿名凭证

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

OONI 如何分辨坏掉的测量数据：从启发式规则到匿名凭证¶

本文是 anoni.net 对下面这篇 OONI 工程文章的导读与摘要，带你逐节看懂原文在做什么，不是逐字翻译。原文另有约 20 张统计图与多份完整数据表，想看数据细节请直接读原文：

From Heuristics to Anonymous Credentials: Assessing OONI's Approach to Bad Measurements, OONI 2026-07-06

很多人靠 OONI 的公开数据集，判断「某个网站在某个国家连不连得上」，anoni.net 自己的 ASN 涵盖观测也建立在同一份数据上。只要有人往里面灌假数据，或设备设置错误产生误导性的纪录，这份数据的可信度就会被稀释。OONI 在最近一篇工程文章¹里完整说明，他们如何找出这些坏掉的测量，以及新上线的匿名凭证（anonymous credentials）系统如何在不保存个人数据的前提下挡掉滥用。这套「不留个人数据也能评估谁值得信任」的做法，本身就是一个值得社区参考的隐私工程范例，后面第五节会回到这点。

OONI（Open Observatory of Network Interference，开放网络干扰观测站）是一个全球的网络审查观测项目，手机 app OONI Probe 会连上一份网站清单，回报每个网站在当地连不连得上，结果一律进到公开数据集。任何人都能下载这份数据做分析，好处是开放，代价是任何人也都能往里面送数据。这篇文章要回答的问题，就是在开放投稿的前提下，如何辨认并过滤掉品质有问题的测量。

这篇文章想解决的问题¶

OONI 想先用手上已经有的数据，建立一套辨认坏测量的基准，再看新的匿名凭证系统能把这个基准往上推多少。这里说的启发式（heuristic）是一组简单、成本低的判断规则，不追求百分之百准确，先用几条经验法则把可疑的测量筛出来。全文分成三大块：先用这些简单规则检查既有数据能揪出多少问题（既有启发式与四类发现），再想能补上哪些更高级的规则（新启发式），最后处理找到坏数据之后要用什么机制应对（缓解策略与匿名凭证）。

一、既有的指针与启发式（Existing metrics and heuristics｜Approach & Methodology）¶

这一节先不动用任何新技术，只问一件事：光靠 OONI 现在就收得到的数据，能不能认出坏掉的测量？他们挑了四个不需要牺牲用户隐私的检查角度：IP 地理位置对不上、测量数量暴增、时间戳记兜不拢、操作系统与版本信息互相矛盾。每个角度原文都附了但书（caveat），说明什么情况下这个信号会误判。例如探针（probe）内置的 GeoIP 数据库可能过期，导致 probe_cc（探针回报的国码）本来就会跟真实 IP 对不上，分析时要先把这种正常误差滤掉。这一节是后面所有发现的方法论基础。

二、四类异常的实际发现（Assessment & Findings）¶

把上面四个角度实际套到数据上，得到四组发现。

IP 地理位置对不上¶

OONI 在 2025 年 3 月 19 到 21 日，于探针调用 /api/v1/check-in 端点时记录 log，比对探针自己回报的国码、ASN（自治系统编号）跟收集端看到的真实出口 IP。16,139 笔样本里有 1,196 笔对不上，约 7.41%。原文列出最常见的 10 组国码错配（回报国码对照真实 IP 所在国码）：

回报国码	真实 IP 国码	笔数
US 美国	CA 加拿大	89
CA 加拿大	RU 俄罗斯	49
CZ 捷克	US 美国	43
BS 巴哈马	US 美国	36
CA 加拿大	US 美国	30
CA 加拿大	SG 新加坡	30
CZ 捷克	GB 英国	25
CA 加拿大	KH 柬埔寨	18
AU 澳洲	KH 柬埔寨	18
US 美国	DE 德国	16

追下去发现绝大多数对不上的来源是 VPN。出现最多的供应商是 Datacamp、Cloudflare、M247 这些已知的 VPN 机房，其中「回报加拿大、真实 IP 在俄罗斯」那 49 笔全部来自 Cloudflare，对应的是用 WARP 这类 VPN 的用户。表格里多数组合都是同一个道理，探针以为自己在 A 国，真实流量却从 B 国的 VPN 出口冒出来。结论是这些不一致几乎都跟 VPN 有关，没有看到明显可归因于恶意窜改或探针设置错误的量。

测量数量暴增¶

他们看每个探针在 1 分钟内产出多少笔测量，正常的平均是 8 笔，99 百分位是 54 笔。筛出每分钟超过 200 笔的极端案例后，发现一个自称 ooniprobe-react-os、并非 OONI 官方发行版本的客户端。它只针对 probe_cc = CN（中国）送数据，以每分钟 200 笔（相当于每秒 3 笔）的速度送出 web_connectivity 测量，速率远超正常范围。更反常的是，这个来源送出测量的速度比同地区其他探针还快，量这么大却没有出现对应的网络瓶颈。另一个案例是缅甸在 2025 年 1 月 6 日出现的阵发性暴增。

时间戳记兜不拢¶

比对测量开始时间 measurement_start_time 跟 measurement_uid 里内含的时间戳，看有没有「太晚上传」或「时间来自未来」的纪录。2025 年 3 月 2 日到 4 月 1 日这段，3,440 多万笔测量里只有 0.82% 有时间异常，多数是过去、集中在 Linux。原文依平台拆解如下，Linux 的异常率 2.16% 明显高于其他平台：

平台	过去异常（>1h）	未来异常（>1h）	异常合计	该平台总量	异常率
ios	2,375	0	2,375	240,843	0.99%
windows	34,192	24,938	59,130	10,503,040	0.56%
android	21,132	5,509	26,641	10,389,320	0.26%
macos	906	0	906	3,103,961	0.03%
linux	185,322	7,908	193,230	8,947,716	2.16%

这里有一个很具体的例子：大量异常来自委内瑞拉同一个 ASN，OONI 联系上当地伙伴后发现，是那批设备的时区被设错了。把委内瑞拉排除后，Linux 的异常数字大幅下降，其他平台几乎不变。设置错误就足以产生误导性的纪录，不必然是恶意。

操作系统与版本信息互相矛盾¶

检查软件名称跟平台兜不兜得起来，例如 software_name = ooniprobe-android 却标成 iOS。找到 718 笔 Android 软件运作于非 Android 平台上，其中一部分追出来是 OONI 团队成员自己开发用的机器，另一部分又是前面那个中国来源的 ooniprobe-react-os。他们也列出几个没见过的软件名称（Vladhog、murakami-ooniprobe、MySorgenia、Dismantle 等），逐一查证是什么来路。很多看起来可疑的数据，多半来自开发过程或第三方 fork，跟攻击无关。

四类发现合起来给出一个让人安心的结论：OONI 目前没有在数据里找到大量恶意污染，绝大多数异常来自 VPN、设置错误、开发机器或非官方分支。防御机制要做，但威胁目前不是迫在眉睫的大规模攻击。

这个结论对我们有直接意义。anoni.net 的 ASN 涵盖分析、Tor Relay 观测点都建立在 OONI 公开数据上，看到源头没有被大量污染，用起来可以比较放心。同时这四类发现也提醒我们，读 ASN 数据时 probe_cc 不等于当地实际的连接状况（ground truth）。VPN 造成的地理错配、时区设错这类噪声本来就存在，做分析时要记得先滤掉。

三、想再补上的新启发式（New heuristics）¶

既有规则之外，OONI 想再加几种更高级的检测。定位一直是最大的难题，因为 GeoIP 数据库由探针自己查、又会过期。他们考虑的补强包括：向手机操作系统取得移动网络的国码与运营商代码（MCC/MNC）、询问操作系统的定位服务、或改在服务器端做 IP 到地点的对照。每种做法原文都附了限制，例如服务器端对照会被翻墙工具挡在中间、看不到真实 IP，问定位权限则可能引起用户疑虑。另外还想加上网络层与协定层的异常检测，例如从 TLS 交握的指纹认出中间人设备（像是改写流量的杀毒软件）。

四、找到坏数据之后如何处理（Strategies for mitigating faulty measurements）¶

检测只是第一步，接下来是处置。OONI 定了两条原则。第一，最终判定一笔测量是不是坏数据，要有人类审查介入，避免自动化把好数据误杀。第二，除非牵涉用户隐私，否则绝不回头修改已经送进来的数据。因为要有人类把关，处置只能在坏数据已经进入数据管线之后才做。可用的手段包括封锁行为异常的假名（pseudonym）、对投稿做限流、动态调整某地区某时段能接受的投稿量、或轮换签发密钥。这里的假名是匿名凭证系统给「同一个网络里的一台探针」的识别，同一网络内固定、跨网络无法被串连，也对应不到某个人的真实身分，第五节会说明它如何做到。文章也诚实点出两难：如果规定「只有半年以上的探针才能投稿」来挡 sybil 攻击（大量假身分灌数据），也会连带影响到正常新探针的投稿。

五、匿名凭证系统如何运作（Assessing the effectiveness of the solution）¶

匿名凭证系统是整篇的重点。先看「土法炼钢」的做法会遇到什么坑：给每个探针一个 ID、服务器端做白名单。问题是就算随机 ID，只要固定不变就足以辨识出单一探针，本身就是隐私灾难，而且探针换一个新 ID 就能绕过，变成打地鼠。如何在不长期保存个人数据的前提下，同时做到访问控制与信任评分，就成了这套系统要解决的核心矛盾。

这套机制用一个生活化的比喻就好懂。像酒吧门口只要你出示一张「证明我已成年」的证件，店员确认过关就好，不需要知道你叫什么、住哪里、生日是哪天。OONI 的凭证则用来证明另一组事情，这台探针的资历够老、投稿数量够多。

凭证由服务器签发，只存在探针本地、不存在服务器，也不会再次外传。它用密码学把探针的资历（age）与投稿数（msm_count）编码进去，而且只证明落在某个「区间」，例如「投稿超过 1000 笔」、「存在超过一周」，不透露精确值。用区间而非精确数字是刻意的设计，因为精确的投稿数几乎是独一无二的指纹，会反过来让探针被认出来，粗略的区间才不会泄漏身分。

投稿时，探针用凭证产生一段零知识证明（一种只证明某件事为真、但不透露细节的密码学方法），服务器只看到证明本身、看不到底下的真实数值，就能判断这笔测量符不符合访问规则，例如「某个国家、某个 ASN 的探针，要投稿满 1000 笔才收」。信任分数还会锁定在特定的国码与 ASN 组合，一台探针在某个网络累积的信誉，不能跨到另一个网络使用，这正是为了防止有人在低门槛网络先养好凭证、再拿去攻击别的网络。

具体走一遍会像这样：一台全新的探针一开始资历浅、投稿数低，很多严格规则都还进不去，只能先老实执行测量。每投一笔，服务器在验证通过后回一张更新过的凭证，把投稿数往上加一。日子久了、量累积够了，这台探针跨过「满一周」、「满 1000 笔」的门槛，之后送的测量就能被标成 verified。整个过程里，OONI 从头到尾没取得这台探针的固定 ID，也没存下它的任何个人数据。

那有人会问，既然凭证只存在探针本地，拷贝一百份不就能假装成一百台各有信誉的探针？关键在前面说的网络内固定这个性质。同一个网络里，同一份凭证推导出来的假名是同一个，拷贝再多份，在同一个网络里仍然被看成同一台探针，不会变成一百个各自独立的可信身分。OONI 也很坦白，光靠凭证不能完全解决 sybil 攻击，彻底的防御要靠应用层的手段，例如限制新帐号注册速率、对每个区域的投稿量设上限。凭证的作用是提高攻击成本，逼对手先养出一批够老、送过够多测量的探针，没那么容易。

每笔测量最后会被标成 verified、unverified 或 failed 三种状态，数据用户可以自己决定要采信到什么程度。这套系统上线后，有些效果要长期观察才看得出来。OONI 会持续追踪 verified、unverified、failed 三类测量的比例变化，用来诊断是不是某次客户端更新让协定实现出现错误、或老探针没更新。他们也会统计各协定版本的探针数量，以及在服务器端执行一笔验证要花多少时间，及早抓出性能退化。

回到社区的角度，这套系统对 anoni.net 读者的价值不只在 OONI 自己。「如何在不保存个人数据的前提下做访问控制与信任评分」是很多系统都会遇到的难题，OONI 用区间揭露、凭证只存本地、放弃精准封锁来换取匿名性，这套取舍思路对关心隐私设计的人是很好的教材，也呼应我们社区个人隐私指引的主题。

小结：这份数据能不能放心用¶

OONI 的公开数据目前没有被大量恶意污染，看到的异常多半来自 VPN、时区设错、开发机器这类无心之过，可以放心继续用它来理解各地（包括你所在地区）的封锁状况。想更深入匿名凭证背后的密码学，OONI 另有两篇姊妹篇可以接着读：一篇谈这套系统的设计需求²，一篇宣布系统上线³。

原文十个大节回顾¶

看完全文，这张表把原文十个大节的重点与关键数字收在一起，方便日后回查或跳读。

原文大节	重点	关键数字或结论
Existing metrics and heuristics｜Approach	用既有数据建立检测基准	四个不牺牲隐私的检查角度
IP geolocation mismatches	探针回报位置对照真实 IP	7.41% 对不上，多数是 VPN
Measurement volume anomalies	单一探针投稿速率暴增	中国 `ooniprobe-react-os` 每秒 3 笔
Timestamp inconsistencies	测量时间戳前后兜不拢	0.82% 异常，委内瑞拉时区设错
Probe OS, version metadata	软件名称与平台互相矛盾	718 笔，含团队开发机
New heuristics	想再补上的高级检测	MCC/MNC、服务器端 GeoIP、TLS 指纹
Mitigation strategies	找到坏数据之后的处置	人类把关、不回改、限流、挡 sybil
Naive solution	土法炼钢会踩的坑	固定 ID 就能去匿名，还会变打地鼠
Anonymous credentials solution	凭证式信任评分	区间揭露、只存本地、没有固定 ID
Future validation	长期验证指针	追踪 verified/unverified/failed 比例

名词对照¶

原文用了不少 OONI 专有字段名词，这里整理一份对照，方便对照原文阅读。

名词	说明
启发式（heuristic）	一组简单、成本低的判断规则，不追求完美，先把可疑的测量筛出来
OONI Probe	OONI 的手机与桌面 app，会去连一份网站清单、回报每个网站在当地连不连得上
probe（探针）	运行测量的设备或程序
`probe_cc`	探针回报的国码（country code）
`probe_asn`	探针回报的 ASN
ASN	自治系统编号（Autonomous System Number），一段 IP 地址的管理单位，通常对应一家 ISP 或机构
`msm_count`	该探针累积投稿的测量数（measurement count）
check-in 端点	探针开始测量前调用的 API，会回报自己的国码与 ASN
`web_connectivity`	OONI 最常见的测试，测某个网站在当地连不连得上
ground truth	当地实际的连接状况，拿来跟探针回报的数据对照的「真实答案」
sybil 攻击	用大量假身分灌数据、扭曲观测结果的攻击
pseudonym（假名）	匿名凭证下代表「同区域、同 IP」一群探针的识别，不是个人身分 ID
verified、unverified、failed	匿名凭证系统给每笔测量的三种信任标记

《虚拟资产服务法》草案：行政院通过了什么，还差什么

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

《虚拟资产服务法》草案：行政院通过了什么，还差什么¶

2026 年 4 月 2 日，行政院第 3996 次会议通过金融监督管理委员会拟具的《虚拟资产服务法》草案，将函请立法院审议。对关心加密资产与支付工具的人来说，这代表台湾从反洗钱框架下的 登记制，要往 许可制 再跨一大步。下面整理草案在公开整理本里写得清楚的部分，并说明「通过院会」和「法律上路」中间还隔着立法院。

本文仅供信息整理与公共讨论，不提供法律意见。具体要件与刑度请以未来三读条文与子法为准。

院会通过后，条文仍待立法院审完才生效¶

院会通过的是草案，下一步是立法院审查、朝野协商与可能的条文修正。通过三读、公布施行日期后，对一般人才有完整的法律效果。媒体标题若写「最重判几年」，通常是把草案里的 刑事责任条文 拿出来讨论，读者仍要分辨：那是立法者打算吓阻哪些行为，以及最后条文是否照案通过。

一手文本可从行政院公布的整理本取得，文件名与链接以行政院网站为准（搜索「虚拟资产服务法」草案法条 PDF 即可找到）。

草案在架构上谈什么¶

依行政院整理本 总说明，草案共 56 条，架构大致包含：

总则：立法目的、主管机关、定义、创新实验与国际合作（草案第 1 条至第 5 条）。
虚拟资产服务商：业务种类、许可、专兼营、组织与资本等（第 6 条至第 28 条）。
同业公会（第 29 条至第 33 条）。
稳定币：发行、同意交易与发行人管理（第 34 条至第 41 条）。
管理与监督：欺诈与操纵之禁止、检查与退场等（第 42 条至第 46 条）。
罚则（第 47 条至第 54 条）。
过渡条款与施行日（第 55 条、第 56 条）。

总说明也写明：现行反洗钱 登记制 将改为本法 许可制，并给予过渡期间，让既有业者与已办业务的金融机构可以转换。

「虚拟资产」与排除项目¶

草案与说明花了不少篇幅定义 虚拟资产，并处理 非同质化代币（NFT） 等是否纳入监管的边界。整理本指出，个案是否属于本法所称虚拟资产，要以法条定义与主管机关就个案认定为准。媒体通称不足以判断适用范围。这点对创作者与交易平台读规则时特别重要。

稳定币专章为何受瞩目¶

草案第 34 条至第 41 条处理 稳定币 的发行、与法定货币联动的准备，以及与交易的同意机制等。政策论述上，这一段是在处理「链上支付媒介」与金融秩序、准备金与央行角色之间的关系。细节涉及技术与会计，正式实施后还会靠子法与主管机关函释补齐，本文不逐条抄写。

罚则：草案写了哪些刑度¶

以下直接依 行政院整理本条文 转述，方便读者核对。

第 47 条：违反第 42 条第 1 项或第 4 项规定者，也就是涉及 虚拟资产欺诈或操纵 等，处 三年以上十年以下 有期徒刑，得并科新台币 一千万元以上二亿元以下 罚金。说明理由援引证券交易法与期货交易法的类比，以及民事与行政手段不足时的吓阻需求。
第 48 条：违反第 7 条第 1 项、第 3 项或 第 34 条第 1 项（未依规定取得许可而经营或发行稳定币等情形，请以条文全文为准），处 七年以下 有期徒刑，得并科新台币 一亿元以下 罚金，并有法人连带处罚的设计。

其他条次还包括 客户资产保管、申请数据不实 等态样，刑度较轻或属行政秩序罚者，请读整理本全文。

立法院公听会里，谁在发声¶

在「公民团体」这个词上，台湾近几年讨论 VASP 时，公开媒体与公听会较常出现的是 业界公协会 与 政府部门，和人权或消费者保护领域常见的 NGO 不一定是同一批人。写文章或读新闻时，建议先分类，再把名单对回 立法院公听会纪录 或 书面意见，避免把「同业公会」直接说成广义「公民团体」而没有注解。

依公开报导与立法院议程，第 11 届第 3 会期 财政委员会曾就「虚拟资产服务法」召开公听会（例如 114 年 6 月 12 日场次，实际时间与文号以立法院公告为准）。媒体曾引述的单位包括 金融监督管理委员会、中央银行、法务部 等部会，以及 台湾虚拟资产反洗钱协会、中华民国虚拟资产服务商业同业公会 等。这里只作例示：谁实际登记发言、书面意见写了什么，仍要以立法院公布的 发言名单与纪录 为准。若在纪录里找不到某个传统 NGO 的名称，就不宜在文章里暗示他们一定有参与。

和「自己保管钱包」的距离¶

许多读者使用 自管钱包 或在链上转移资产，未必等于经营草案所称的 虚拟资产服务业。专法主要对准 对外提供服务、收受客户资产或办理交易 的业者与 稳定币发行。一般读者在理解新闻时，可以先把「我是不是在经营一种须许可的事业」当成问题意识，再决定要不要咨询专业。本文不代为认定个案。

为什么匿名网络社群会谈这个¶

我们平常推广 Tor、Tails、OONI 等工具，也关心 支付与身份 如何暴露行踪。台湾若出现更清楚的 VASP 边界与执法工具，会改变业者与使用者在 合规交易所/链上自管 之间的选择结构。把法案进度写清楚，有助于社群在 隐私、反诈与法遵 之间找到可讨论的共通语言。

参考链接¶

BlockTempo：行政院通过草案的媒体整理（二手报导，条号请回对政府文本）
行政院：《虚拟资产服务法》草案 法条与总说明 PDF（请自行政院「讨论通过」新闻附件下载）
立法院全球信息网：公听会与审查进度

若你对某条文或过渡期实务有第一手的公听会纪录链接，欢迎在社群渠道补充，我们可以再改写这篇的「利害关系人」小节，让名单更贴近公开纪录。

FISA 702 条款到期：美国无令状收集境外通信的授权，2026 年 6 月暂时失效

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

FISA 702 条款到期：美国无令状收集境外通信的授权，2026 年 6 月暂时失效¶

图片为 EFF 设计师 Hugh D'Andrade 绘制的「NSA eagle」，把 NSA 标志改画成老鹰用爪子接上电信线路，象征无令状的大规模监控。出自 EFF 的 NSA 监控专题，授权为 CC BY 4.0¹⁰。

你寄一封信到 Gmail、用 iMessage 跟在美国的朋友聊天、用 WhatsApp 联络海外的家人，这些通信只要有一端落在美国的服务或网络上，本来就可能被美国情报机构在不需令状的情况下收集。授权这件事的法律叫 FISA Section 702（《外国情报监控法》第 702 条）。2026 年 6 月 12 日午夜，这条授权在美国国会的僵局中到期¹。

EFF（电子前线基金会）把这件事称为一场胜利。要理解为什么，需先知道 702 是什么、它跟 2013 年斯诺登（Edward Snowden）揭露的监控计划是什么关系，以及为什么华语地区使用者长期就是这套监控的合法对象，而「暂时失效」又改变了什么。

Section 702 是什么¶

Section 702 由美国 2008 年的《FISA Amendments Act》（外国情报监控法修正案）设立³。它允许美国情报机构在认定某位境外人士握有外国情报价值时，不经个别令状就收集这个人的通信，包含电子邮件、消息与通话。

关键在「境外人士」这四个字。702 的设计对象是美国境外的所有人，所以美国境外的每一个人，包含华语地区的使用者，在法律上本来就是这套收集的合法目标。美国公民受美国宪法第四修正案保护，需要令状，境外人士没有这层保护。

实务上，702 还会大量「附带收集」（incidental collection）到美国人的通信。只要美国人跟被锁定的境外目标有来往，他的邮件、消息、通话就会一并被收进数据库。这是后面争议的起点。

702 授权之下有两种具体的收集方式，名字许多人听过：

下游收集（Downstream，旧称 PRISM）：政府要求 Google、Microsoft、Apple、Facebook、Yahoo 等科技公司，交出符合条件的使用者通信²。
上游收集（Upstream）：NSA（国家安全局）直接从互联网骨干的缆线与交换器上截取流量²。

PRISM 与 Upstream 不是传说中的代号。它们是 702 这条法律授权底下，实际运作的两个程序。

跟斯诺登事件的关联¶

斯诺登在 2013 年揭露的监控计划，法律基础正是 Section 702。当年 6 月，这位前 NSA 合同人员把一批内部简报交给记者，PRISM 与 Upstream 这两个名字就是从那批文件流入公众视野的²。全世界第一次看到「原来美国可以这样收集全球的网络通信」，看到的就是 702 在运作的样子。

斯诺登揭露的是「如何收集」，Section 702 则是「凭什么能收集」的法律授权。

从立法到暂时失效，这套授权的几个主要时间点：

2008 年：《FISA Amendments Act》通过，设立 Section 702，让原本游走在灰色地带的无令状收集有了明文授权。
2013 年：斯诺登揭露 PRISM 与 Upstream，702 第一次成为全球公共议题，各国才意识到自己是这套收集的对象。
之后十多年：702 经 2012、2017、2024 多次重新授权，每一次都伴随改革派与情报机构的拉锯，EFF 等团体持续要求加上令状门槛。2024 年的 RISAA 把授权延到 2026 年 4 月，之后再靠临时延长撑到 6 月。
2026 年 6 月 12 日：在一场国会僵局中暂时到期。

斯诺登当年揭露的计划，过了十三年，它的法律授权第一次出现空窗。

后门搜索（backdoor searches）为什么是争议核心¶

702 名义上锁定境外人士，真正在美国国内引发宪法争议的是后门搜索（backdoor searches），官方称为「美国人查询」（US person queries）。

702 收集进来的庞大通信数据库里，因为附带收集而塞满了美国人的通信。FBI（美国联邦调查局）、CIA（中央情报局）、NSA 之后可以用美国人的姓名、电子邮件、电话这类识别码去查询数据库，不需要另外申请令状。等于绕过了第四修正案对美国人的保护，从后门取得数据。

规模不小，违规也不少：

FBI 在 2019 到 2022 年间，对美国人做了将近 500 万次查询，这些查询程序上多属合法，争议在于大多缺乏个案的合理说明⁴。
政府在 2022 年 3 月通报，光是对 Section 702 数据库的搜索，就有超过 278,000 次不符规定⁴。
2024 年国会通过《Reforming Intelligence and Securing America Act》（RISAA，情报改革与保障美国法），加了一些改革，但没有解决无令状查询这个根本问题。到 2024 年 8 月，已经有报道指出 FBI 用了一个查询工具绕过 RISAA 的限制⁴。

EFF 长期主张，FBI 要查询美国人在 702 之下被收集的通信，应该先取得令状。如果做不到这个门槛，那就让整个方案到期，不要再续¹。

2026 年 6 月发生什么¶

702 这次到期，导火线跟一桩人事任命有关。特朗普提名 Bill Pulte（时任联邦住房金融局局长）暂代国家情报总监（DNI），接替宣布请辞的 Tulsi Gabbard¹⁵。DNI 监督的正是执行 702 的情报机构，把这个位子交给一位没有情报资历、又曾以房贷诈欺名义追查特朗普政敌的人选，让参议院民主党不愿在这个时间点放行。他们以 Pulte 缺乏情报、军事与国会经历为由，拒绝推进自家版本的重新授权法案，众议院则否决了短期续延¹⁵。国会几次靠临时延长把期限往后推，最后在 6 月 12 日午夜停在到期¹。

到期不等于监控当天就停。依现有报道，外国情报监控法院（FISC）对既有方案的重新认证效力延续到 2027 年 3 月，为这段期间的收集留下法律依据。有法律专家直言「702 不会就此停摆（go dark），那是迷思」⁵。这次到期更接近一个法律与政治上的转折点，而非开关被立刻关掉。

为什么 EFF 把暂时失效也当成胜利¶

EFF 点出，这套权力的滥用风险从来不系于某一个人或某一届政府。如果国会担心的是「某个人可能取得美国人的敏感信息」，负责任的做法是去强化制度层面的透明、究责与监督机制，而不是把希望寄托在换掉某个人选¹。

2026 年一整年，国会两党对改革的胃口都在变大，愈来愈多人反对在没有令状门槛的前提下重新授权 702¹。一条运作了十多年、斯诺登揭露过、改革多次卡关的监控授权，能走到暂时失效这一步，本身就说明持续倡议是有用的。

回到华语地区：你本来就是境外监控的合法对象¶

702 的失效对美国的倡议者是一场胜利，对华语地区的使用者能保护到的范围却很有限。702 这几年的争议重点是保护美国人，后门搜索争的是美国人受第四修正案保护、却被绕过去查。无论你在台湾、香港、澳门、新马还是其他华语环境，本来就不在第四修正案的保护范围内，要查询你在 702 之下被收集的通信，对美国政府而言连后门都算不上，是正门。

你仍然是合法收集对象¶

有些人觉得反正自己不是美国政府针对的目标，因此对 702 无感。隐私防护设防的对象是能力，不是当下的善意或意图。一个机构今天没盯上你，不代表它握有的收集能力会跟着缩手，收集的对象与用途也会随政治情势改变。把任何握有大规模收集能力的行为者放进同一套威胁模型，比依赖「现在应该查不到我」可靠。

就算 702 真的消失，收集境外人士的手段也不只这一条。NSA 海外信号情报的主要法源是第 12333 号行政命令（Executive Order 12333，EO 12333，1981 年签署），它没有 FISC 的司法监督，国会监督也有限，而且完全不受这次 702 到期影响⁶。对华语地区使用者这种境外人士的收集，702 在不在都能继续。所以这场胜利对华语读者该庆祝的成分有限，隐私还是需仰赖自己用加密守住，不能寄望某一条法律。

真正的防线是端对端加密¶

华语地区大量依赖美国的云端与通信服务，Google Workspace、Microsoft 365、iCloud、AWS、Meta 旗下的 WhatsApp 与 Instagram 都在其中（其中部分在中国大陆需要绕过封锁才能使用，但在港澳、新马与海外华人社群是日常工具）。很多人以为数据放在本地机房就安全，但只要服务商总部在美国，美国的 CLOUD Act（2018 年通过）就能要求它交出所掌控的数据，服务器放哪里不影响⁷。欧盟为了同样的问题跟美国周旋多年、打过好几轮官司，华语地区连对等的数据保护协定都没有，处境更被动。真正有效的防线是端对端加密（E2EE），密钥不在服务商手上，就算数据被交出、或在传输途中被截取，没有密钥也读不到内容，对附带收集与后门搜索都挡得住。

端对端加密保护的是通信内容，Tor 进一步遮住连接本身。Upstream 从网络骨干截取流量，取得的是你连去哪、跟谁往来这类连接信息。台湾、香港这类地方对外连接高度依赖国际海缆⁸，通往美西、美东的跨太平洋缆线是重要干道之一，连接只要目的地或路由经过美国骨干，封包就落在 Upstream 的截取范围内。Tor 把流量加密后经多个中继转送，骨干上只看得到一段加密的 Tor 流量，服务商那边也对不出真正的使用者，等于打断 PRISM 与 Upstream 所仰赖的连接对应关系。Tor 挡得住这种大规模被动收集，但挡不了针对个人的主动入侵，例如利用浏览器漏洞去匿名化，斯诺登文件里 NSA 的 Tor Stinks 简报就坦承，只能去匿名化一小部分使用者⁹。运作原理见什么是 Tor。

谁的风险更高，社群能一起做什么¶

需要跟海外编辑室、国际组织、消息来源往来的记者与公民团体，跨境通信本来就多，附带收集碰到他们的机率比一般人高，这些角色值得把防护等级拉高，敏感协作走 Tor、不要把消息来源名单放在美国企业的云端，延伸的角色指南见记者如何保护消息来源与社运行动者的数字准备。匿名网络社群 anoni.net 把力气放在去中心、自架与加密这些靠自己的能力上，而不是等哪条法律来保障，正是因为 702 到期当天收集照常进行、EO 12333 不受影响这个现实。对许多华语地区使用者来说，本地的监控往往是更切身的威胁，从中国大陆的网络审查与实名制，到各地不同的通信监察制度，加密与 Tor 对这些同样是防线。台湾的个资法、揭弊者保护法是其中一组本地脉络的例子，相关讨论见台湾个资法 2025 修法与揭弊者保护法的技术观察。

702 暂时失效不会让监控立刻消失，跨境通信的隐私风险也不会因此归零。对每一个身在美国境外的人，真正要盯紧的是授权监控的法律结构，先确认自己在这套结构里的位置。今天就能做的第一步，是把日常联络换成默认端对端加密的工具，敏感的对外连接走 Tor。

Brave 用两种相反的手法抹平 GPU 指纹

anoni.net 社区 — Sat, 22 Aug 2026 15:39:31 +0000

Brave 用两种相反的手法抹平 GPU 指纹¶

打开一个网页，网页上的 JavaScript 就能取得你的显卡型号、驱动信息，以及硬件支持哪些功能。答案在同一台电脑上几乎不会变，跟踪公司把它们跟其他设备特征组合起来，就是一组不需要 cookie、不需要你同意、跨网站跟着你走的标识符。

显卡是浏览器指纹的其中一项来源，字体清单、屏幕尺寸、时区、音频运算结果同样算在里面。整套机制怎么运作、为什么清 cookie 没有作用、各家浏览器的默认状态差在哪，见浏览器指纹是什么，为什么很难摆脱。本文只处理显卡这一块。

Brave 从 1.93 版起处理这组信号，桌面版与 Android 版都默认开启，分批推送¹。做法有三项，WebGL 的厂商与渲染器字符串换成所有 Brave 用户一致的通用字符串、WebGPU 的硬件描述字段清空、WebGL 支持的扩展清单注入噪声。

前两项让所有用户看起来一样，第三项让同一个用户在每个网站看起来都不一样。两种方向相反的手法出现在同一次更新里，各自负责不同的 API。分工的界线落在哪里，也是 Brave 与 Tor Browser 在指纹抗性上分歧的起点。

显卡为什么是一组好用的指纹¶

WebGL 与 WebGPU 让网站使用硬件加速绘图，地图、游戏、数据可视化都靠它们。为了让网站能针对硬件调整绘图方式，两组 API 也把底层的硬件细节开放给 JavaScript 查询。

网站能取得的信息有三类¹：

厂商与渲染器字符串：透过 WEBGL_debug_renderer_info 扩展提供的 UNMASKED_VENDOR_WEBGL 与 UNMASKED_RENDERER_WEBGL 两个参数⁴，网站会取得类似 ANGLE (Apple, ANGLE Metal Renderer: Apple M5 Max) 的字符串，精确到芯片型号。调试用的扩展最早是 Chrome 为了 Google Maps 开放，后来变成所有网站都能调用。
支持的扩展清单：同一个 WebGL context 会回报它支持的完整扩展清单，内容随 GPU 与驱动而异，跟踪者把整份清单 hash 成一组精简的标识符。
WebGPU 的硬件描述：较新的 WebGPU API 会返回 adapter 的 vendor、architecture 与 device 字段，例如 {vendor: 'apple', architecture: 'metal-3'}。

显卡不会天天更换，所以这些值长期稳定，比 cookie 更难清除。用户换账号、开无痕窗口、清空浏览记录，API 回报的硬件特征仍是同一组。

Brave 执行了一次小规模的网络爬取，分析每次调用前的调用堆栈（stack trace），观察排行前段的网站怎么使用这些 API，结论是多数网站调用它们的唯一用途就是浏览器指纹识别¹。爬取规模与比例没有写在公告里。

一致化与随机化，各自处理哪一种数据¶

信号	Brave 的处理	手法性质
WebGL 厂商与渲染器字符串	换成单一通用字符串，所有 Brave 用户取得相同的值	一致化
WebGPU 的 adapter 描述	清空 `vendor`、`architecture`、`device`	一致化
WebGL 扩展清单	注入噪声，每个 session、每个站点（eTLD+1）、每个存储区看到的值都不同	随机化

第三项沿用 Brave 既有的 farbling 机制，2020 年的更新里写下的定义是「对半识别性的浏览器功能输出做轻微随机化，让网站难以检测，又不破坏良性、以用户为本的网站」²。

farbling 的种子怎么运作¶

farbling 的行为由种子的产生方式决定，浏览器启动时产生一组随机的 session token，与造访的每个第一方顶层框架域名经 HMAC256 混合，得出每个域名一组、寿命与 session 相同的 token²。同一个网站在同一个 session 内重复测量会取得完全相同的值，换一个网站取得不同的值，下一个 session 再全部换过。第三方 frame 与 script 沿用顶层 eTLD+1 的种子²，嵌入第三方内容不会成为绕道。

指纹器会把大量半识别特征 hash 成单一标识符，只要其中一项被随机化，整组 hash 就被污染。技术源头是 PriVaricator（Nikiforakis 等人，WWW 2015）与 FPRandom（Laperdrix 等人，ESSoS 2017）两项研究²。

为什么不全部一致化¶

扩展清单为什么走随机化，公告里没有写。从 API 的用途推测，改动两种数据对网站功能的冲击差距很大。

厂商与渲染器字符串主要用于性能调校与硬件黑名单。网站取得的字符串不在既有清单里，最坏的结果是走一般绘图路径。把值收敛成一个常数，该字段对指纹的贡献直接归零，代价有限。

扩展清单用于功能协商。网站会依照清单里有没有某个扩展，决定要不要启用某条绘图路径，或改走哪一种后备方案。给一份与硬件实况不符的统一清单，网站可能选到硬件无法支持的路径，也可能放弃本来可用的加速。可行的做法只剩在保留可用性的前提下加入噪声，让 hash 出来的值不稳定。

两种手法的防护目标也不同，一致化降低的是熵（entropy），让某一项特征失去区辨力，理想状态是全世界的 Brave 用户在该字段完全相同。注入噪声破坏的是可链接性（linkability），值仍然带有信息，但每站每次都不一样，跟踪者无法把两个网站上的你接成同一个人。

Tor Browser 把一致化做到底¶

Pierre Laperdrix 2019 年替 Tor Project 写的指纹介绍文章，开宗明义写着「所有 Tor 用户应该有完全相同的指纹」。当时的具体做法包含在所有平台回报同一组操作系统信息、统一时区与屏幕分辨率，以及 letterboxing 在内容周围加上灰边，把可视区域对齐到固定尺寸，避免最大化窗口泄漏屏幕大小³。

Laperdrix 也点出随机化的风险，引用 Eckersley 提出的「可指纹化的隐私增强技术悖论」（Paradox of Fingerprintable Privacy Enhancing Technologies）。举的例子是某个扩展程序改掉一批数值，却漏改 navigator.platform，于是造出一组现实中不存在的特征组合，用户反而更容易被辨认出来³。随机化要做对，覆盖范围必须够完整，Brave 持续扩充 farbling 的端点清单也是同一个原因。

Firefox 系的处理方式又是另一种。privacy.resistFingerprinting 开启时，WEBGL_debug_renderer_info 这个扩展直接停用，网站调用不到⁴。该开关默认关闭，需要用户自行到 about:config 开启，各家浏览器默认做到哪里的完整对照见浏览器指纹是什么，为什么很难摆脱。停用与返回通用值各有代价，停用之后网站取不到值，需要自行处理空值的情况，返回通用值则让网站收到的数据与真实硬件无异，照常运作。Brave 选后者，一贯把功能损坏的风险压到最低。公告里另一项主张是防护要默认开启，不藏在特殊模式或旗标后面¹。

界线在 Brave 的文档里也写得清楚。2020 年说明 farbling 的更新里有一句建议，需要对抗定向攻击的用户应该改用 Tor Browser²。随机化挡得住被广泛部署的商业跟踪，不提供匿名集（anonymity set）。

读者可以怎么选¶

日常浏览的层面，默认开启是这次更新最实际的价值。多数人不会为了隐私去改 about:config、切换特殊模式或安装扩展程序，公告里也写了扩展程序本身带有安全与隐私问题¹。防护在安装完就生效，门槛接近零。

需要匿名的情境仍然要用 Tor Browser。Brave 的随机化只处理跨站串接，IP 地址仍然直接暴露给网站，网络路径上的观察者也看得到你连了哪里。记者、行动者、处理敏感题材的工作者，威胁模型不同，工具选择也跟着不同，可以回头看威胁模型如何建立。

Tor 的可达性因地而异。境内重度封锁，需要网桥或其他接入方式，台湾、香港、澳门、新加坡、马来西亚一般都可以直连，限制转移到你发表了什么与 SIM 实名登记留下的记录，香港另有 2026 年 3 月起在国安调查中要求交出设备密码的义务，连转机旅客都适用。逐地的可达性与法规细节见出差与研讨会的数字准备。相对地，Brave 的指纹防护属于浏览器内建功能，不涉及接入方式，装完就生效。

用 Tor Browser 的人要记得一致化路线靠整体一致性维持。安装扩展程序、最大化窗口、改动字体设置，都会让你从人群里凸出来，细节见 Tor Browser 进阶设置。同一个动作在 Brave 上影响有限，在 Tor Browser 上会直接破坏防护的前提。

想确认自己的浏览器泄漏了什么，EFF 的 Cover Your Tracks 会列出浏览器回报的 WebGL 厂商与渲染器字符串，以及各项特征的识别力。Brave 的更新完整推送到你的设备之后，两个字段会塌成通用值¹。

还没做完的部分¶

WebGPU 支持的扩展清单目前还没纳入随机化，公告里写了之后会补上¹。图形 API 仍是指纹研究的活跃领域，新的泄漏管道会持续出现。

网站功能受损的情况还在观察期。Brave 保留了逐站调整防护的能力，遇到确实无法正常运作的网站，用户可以单站关闭图形防护、关闭指纹防护，或整个关掉 Shields¹。保留这些开关代表取舍仍在，一致化与注入噪声都无法保证所有网站维持原本的行为。

指纹识别不会因为一次浏览器更新而结束。显卡这一项被处理掉之后，字体清单、canvas 绘图结果、音频运算特征仍在原地。能安全收敛成常数的信号就收敛，牵涉功能协商的信号就注入噪声，这条分工线也适用于检视其他标榜指纹抗性的工具。