图片来源:FRED DUFOUR / 法新社

第四章:資訊安全

記者或部落客在戰爭地區或高壓政權下使用網路、智慧型手機或衛星電話時面臨很大的安全風險。你傳送的數據資料可能會被用來取得你的位置,將你暴露於危險中。你的檔案和對話可能會被攔截,對你的消息來源造成傷害,所以一定要採取數位資訊安全相關的預防措施。

下列原則適用於電腦和智慧型手機,但仍有未盡之處。RSF定期舉辦資安相關的培訓課程,並於wiki.rsf.org和http://slides.rsf.org提供免費教程。

 

  1. 出發前:做好清除資料的工作

規則1:盡可能讓你的數位身分保持「乾淨」。

如果你被攔截或被劫持為人質,網路上和電腦裡所有關於你的資料都可能會對你不利,讓你周遭的人陷於危險之中。請事先做好清理工作​​,尤其是社群媒體上的東西–如果你曾發布政治或宗教相關的照片和評論,而且被斷章取義的話容易引發問題,請趕快刪除。用高級隱私設定來限制外界可公開瀏覽的內容,包括你的人際網路、故事和照片,請考慮把臉書的個人資料從真實姓名改成暱稱。

留一個備份硬碟在家裡。把電腦格式化(例如永久清除所有資料)。如果你不知道怎麼格式化,請安裝新的硬碟,把舊的留在家裡。這樣一來只要安裝操作系統,就可以清除你之前在電腦上所有活動的痕跡。

注意:

  • 如果你只刪除所有檔案,這些檔案在電腦上仍可以被輕鬆找到。
  • 不管你的智慧型手機是Android還是iPhone,它們的運作模式都像電腦一樣,所以請對它們進行相同處理。把裡面的內容備份到另一個媒介上,留在家裡,然後把手機恢復為原廠設定。

規則2:在這個乾淨的裝置上安裝資安工具。

進行所有建議的更新,確保你出發時操作系統、瀏覽器和防毒軟體(例如ClamXav、ClamTk、Avast、MSE、McAfee或Norton)都是在最安全的狀態。打開防火牆。強烈建議到當地後不要進行任何更新,因為你可能會在無意中下載惡意軟體或間諜軟體。

使用Mac的FileVault或Windows的TrueCrypt或BitLocker加密整個硬碟,這是保護數據資料的重要步驟。每次都使用密碼登入可以降低別人逮到機會監視你的可能,然而意志比較堅定的駭客還是能夠掌控你的硬碟並將其解鎖。

將工作階段 (sessions) 上鎖並強化密碼。最好使用較長的「密碼短句」,意即將隨機單詞組合在一起,製作好記但不易被軟體解密的密碼。例如:「蜘蛛穿著睡衣編織頭巾」(spider in pyjamas knitting bandanas)。注意:建議不同的應用程式使用不同密碼。如有必要,請使用LastPass,1Password或KeyPass等密碼管理器。

安裝虛擬私人網路(VPN),將你的網路連線加密。這麼一來其他人都無法讀取你的網路連線資料,可以確保它們不會被攔截或被駭客攻擊,而且還能讓你連上所在國封鎖或被禁的網站。在法國NGO French Data Network的幫助下,無國界記者組織架設了專屬的VPN伺服器,記者和網民可以申請免費使用。

注意:絕對不要在沒有打開VPN的情況下連到無線網路。

安裝Tor Browser。它會讓你可以透過加密的網路匿名瀏覽敏感網站,可以跟VPN一起使用。

安裝工作時可用的加密軟體和APP,用其加密電子郵件、聊天對話和SMS簡訊,加密過的內容只有發件人和收件人能夠識別:

  • 電子郵件:Thunderbird或Enigmail
  • 即時訊息:OTR、CryptoCat、Pidgin、Adium
  • 電話或網路視訊:Firefox Hello或Qtox(比Skype更安全,因為理論上Microsoft有能力解密Skype的數據資料)

請注意,你的交流對象必須使用相同的工具,加密才會有效。最好學會多種簡單的加密工具(例如CryptoCat或Zerobin),並鼓勵你的消息來源對他們的訊息進行加密。

規則3:了解風險,讓網路活動保持分開進行。

電腦專家認為對非專業人員來說,現在幾乎已經不可能讓他們的資料永遠保持安全,將自己所有的通信內容都加密也會適得其反,反而很可能會引起某些當局的注意。比較實際的作法是找到一些可以讓你低調進行敏感活動的私人空間。你必須先決定哪些資料需要特別保護,然後採針對性的有效措施。

問問自己下列問題:

  • 我想優先保護哪些關鍵資料?
  • 哪些人會想得到這些資料,為什麼?
  • 我可以採取哪些步驟來保護它們?
  • 如果失敗會有什麼後果?
  • 如果出狀況該怎麼刪除資料,降低損害?

確認有哪些風險後,請在不同的設備、號碼、信箱中分別進行專業、個人、高度敏感的活動,藉此避免造成它們之間的連結,加強保護你的資料。

舉例如下:

  • 聯絡敏感消息來源時可用預付型手機卡,這樣別人無法進行監視。你可以偶爾使用,每次用的時間保持短暫,並且避免在你經常出沒的地方使用。
  • 你也可以建立專門用來連絡敏感聯絡人的電子郵件,以安全、加密過的瀏覽器工作階段(browser session)和對方聯絡,並特別加密和他們的通訊內容。你應該同時繼續進行無害通訊,用普通的電子郵件信箱進行未加密活動,避免產生過量的加密郵件,令人起疑。
  • 你也可以和編輯台及主要聯絡人約好使用某些密碼、暗號通訊,以便遭遇困難時能夠發送新聞或發出警報。

 

  1. 在現場:保持低調、小心行事

現在你的個人資訊很少,手上還有大量的資安工具可以使用。在執行採訪任務的過程中,謹慎低調自始至終都是上上策。 

規則1:提防窺視。

工作時避免背對窗戶。把螢幕貼上防窺保護膜,讓他人無法側視,防止坐你旁邊的人看到你正在看的東西。

盡量隨身攜帶設備。譬如在旅館下樓吃早餐時,切勿把筆電留在房間裡。

如果你在網咖或與他人共用的電腦工作:

  • 記得登出電子郵件或社群網路帳號。
  • 清除瀏覽器的歷史記錄和cookie,還有你輸入過的表單內容(或開啟「私密瀏覽」模式)。

規則2:小心使用智慧型手機。

在採訪現場時,請攜帶裝有當地預付卡的簡易型手機,SIM卡只存少量聯絡人和資訊:

  • 輸入聯絡人資訊時一定要存在SIM卡上,而不是存進手機記憶體。必要時銷毀SIM卡要比銷毀手機容易。
  • 請在通訊錄中使用暱稱,甚至用省略一些數字或倒著輸入電話號碼的方式保護你的聯絡人。
  • 盡量勤刪除通話和訊息紀錄檔(call and message logs)。
  • 如果你覺得SIM卡有可能會被沒收(尤其是採訪示威活動時),請多帶幾張在身上。

智慧型手機有可能會出賣你,它會為了連到手機網路和互聯網不斷發送大量的數據,別人可以用這些數據輕易將你定位。如果智慧型手機落入不明對象的手裡(就算只是在檢查站或海關被拿去幾分鐘),它就可能會被安裝惡意軟體變成竊聽裝置,反過來變成你的頭號敵人。

當你出門在外時,記得把身上的智慧型手機Wi-Fi、藍牙和各種APP的地理位置功能關閉,或切換到飛航模式以降低被監視的風險。請不要帶手機前往參加重要會議,或在出發把手機關機並取出電池。

智慧型手機裡通常裝滿了各種關於你的數據資料。切記,一旦你被綁架、智慧型手機被沒收,裡面所有的資料(例如照片、聯絡人、瀏覽和通話記錄)都可能會危害你,或讓其他人暴露於危險之中。

規則3:用安全方法和編輯台通訊。

傳送採訪內容、影片或旅行資訊給編輯台時請格外小心。

評估風險:有時離開高風險區域後再傳送敏感資訊才是明智的選擇。在其他的一般情況下,最好盡快分享資訊然後立即把它從設備中刪除,以免設備被扣押時造成問題。

長話短說:不管是一般手機還是智慧型手機,現在要對發話地或連接互聯網的位置進行定位都越來越容易。軍方也可以對衛星連線快速進行三角測量。此外,衛星電話不但很好辨認,同時也被視為戰地記者的典型工具。請藏好電話並使用耳機,只在戶外或容易撤退的地方打開使用。通話請保持簡短(最好少於一分鐘),不要從同一個位置打超過一通電話。每次使用完記得關閉電源並取出電池。

請將電子郵件加密。Pretty Good Privacy (PGP) 等程式可以讓電子郵件內容在透過網路傳輸前被加密。它的工作原理如下安裝PGP的人會有兩個加密密鑰,一個是由獨一無二的掛鎖組成的公共密鑰,寄件人在發送加密電子郵件時將之上鎖;另一個則是收件人用來打開和解密電子郵件的私人密鑰。使用PGP之前,你得先取得你自己的那組密鑰,還有聯絡人的公共密鑰。

留意中繼資料 (metadata):寄件人和收件者的地址、時間戳記 (time stamp) 和信件標題很少被加密。請小心確保這些資訊不會出賣你。

提示:你可以把信件標題設成「神奇飲食大放送」等,讓它看起來像垃圾郵件。

規則4:用安全的方式和消息來源交換訊息。

當你必須和某人以低調方式交換消息時,請使用「死信箱」(dead drop),也就是你和消息來源都知道密碼的電子信箱。你們可以在裡面用草稿功能來通訊,這樣就不用透過伺服器發送內容。你和消息來源還可以用匿名郵件程式或拋棄式電郵地址。

市面上還有其他簡單好用的加密工具,你可以鼓勵你的消息來源用它們來和你交換加密訊息:

  • Cryptocat,你可以將它安裝在瀏覽器上,它會對所有對話立即進行端對端加密處理,然後立即將其刪除。不需電子郵件地址,只要建立暱稱和聊天名稱就可以使用。
  • Privnote和ZeroBin這兩個網站會產生URL網址,讓你可以連接到加密訊息,訊息在被讀取後會自動銷毀。這兩款服務都易於安裝,適合那些不想在自己的電腦上安裝任何東西的人使用。只要有可以發送加密訊息的手段(例如電子郵件或聊天軟體)即可使用。
  • Firefox Hello是Firefox和Chrome瀏覽器上的功能,可以對視訊對話進行加密。

 

  1. 極端狀況或攔截

在衝突或示威活動這種激烈行動中,你的目標就是保持安全並把採訪內容傳送出去,但有時兩者會自相矛盾。使用網路、GPS或衛星連線可能會暴露你的位置,成為危險的根源。你必須了解各種通訊手段潛在的風險,並且懂得在保護素材的同時避開這些風險。

規則1:學習如何不用手機。

可以的話盡量選擇和對方親自碰面,並確認你沒被跟蹤。切記,如果這場會面是透過電話或電子郵件安排的,有可能會走漏風聲。

出發前或和敏感消息來源碰面前,請取出手機裡的IC卡和電池。唯有如此才能確保你的手機無法被用來監視你或將你定位。

關閉手機或設成飛航模式是不夠的。請注意,如果沒有特殊工具和耐心就無法拆下iPhone的電池,所以最好不要帶。

規則2:保護自己的人身安全和數據資料。

如果你的首要任務是把採訪內容傳播出去,你可以用YouTube或Bambuser(阿拉伯之春期間被廣泛使用)的串流直播服務拍攝影像或直播,這樣萬一被捕你手上也不會留有任何資料。

如果你的首要任務是確保自身安全,而且你可以等晚一點再傳送採訪內容,請將你的資料藏在不同的位置,或交給可信任的第三方。保留一些你(勉強)可接受被沒收、無害的記憶卡。這些卡片裡面應該要有一些東西以便取信他人。

如果你受到威脅且尚有能力這樣做,請記得銷毀手機的IC卡並刪掉筆電裡的敏感資料:

  • 國際特赦組織為Android手機開發一款「緊急按鈕」(panic button)。如果你被捕或被綁架,可以按下這個按鈕來警告關鍵聯絡人任何可能危害自己和/或資料安全的事情。這些聯絡人將能夠找到你的位置,並根據你事先做出的緊急安排幫你刪除敏感資料或更改密碼。
  • iPhone可以設成使用者對其進行一定次數的解鎖失敗後自動格式化,刪除裡面所有數據資料(請參閱隱私設定)。

規則3:為敏感活動保留一些極度安全的空間。

最敏感的活動請使用Tails等極安全的加密作業系統。它是一種儲存在移動媒介上,即時運作的作業系統,從電腦退出後不會在電腦上留下任何活動的痕跡。你可以輕鬆複製這款作業系統並分發給其他聯絡人。它儲存在USB或記憶卡裡,插進電腦後電腦就會用Tails這款作業系統重新啟動。所有在Tails上進行的通訊都會被加密,然後透過Tor網絡發送。這款作業系統預設為「記憶刪除」(amnesic),不會把上一個工作階段 (session) 的資料留到下一個工作階段,也不會留下任何活動的痕跡。必要時你還是可以啟用持久功能來加密和保存未來會用到的檔案。

如果威脅迫在眉睫,你只需把USB或記憶卡退出藏好,電腦不會保留你在這個「平行」空間進行過任何活動的痕跡。