通訊軟體和應用程式中的端到端加密（E2EE）功能可以保護記者及其消息來源，傳送敏感資訊時尤其有幫助。
記者在處理敏感資訊時，務必對通訊使用的線上工具進行風險評估，並且在傳送敏感資訊時盡可能選擇Signal這類提供端到端加密（E2EE）的應用程式。加密的目的主要在於保護訊息內容，使其不被第三方讀取。由於SMS和一般通話無法進行加密，因此網際網路服務供應商 （ISP）和政府能夠訪問所有使用這些服務傳輸的內容。ISP或應用程式本身可以看到哪些數據取決於使用者使用的加密類型。大部分國家的政府有權傳喚ISP並強迫他們提供大量記錄，有時還會在ISP不知情的情況下使用其他方法來取得數據。
風險評估參數
- 哪些對象（個人、私人、公共組織）可能會想要取得你的資訊，以及他們可以使用那些級別的資源來取得你的資訊。
- 資訊會經由哪些網際網路服務供應商（ISP）在兩端傳輸。
- 有哪些應用程式選項及其使用的加密類型。
加密類型
- 無加密。任何參與訊息或數據發送方和接收方之間傳輸過程的設備或系統都可以訪問其內容。
- 靜態加密。保護設備內數據不被未經授權的使用者取得。主要用途是阻擋惡意軟體、間諜軟體或設備本身內部的入侵。這類加密不會保護任何傳輸中的數據。
- 傳輸中加密。在使用者數據傳輸到應用程式伺服器時保護使用者數據。ISP無法讀取使用者數據，但應用程式伺服器可以。
- 端到端加密(E2EE)。目前商用的最佳加密級別。加密整個傳輸過程中的使用者數據，使其無法被應用程式伺服器讀取。
端到端加密的限制
- 弱加密。「加密」的意義不盡相同，只靠加密也未必可以保障資訊百分之百安全。儘管加密技術日新月異，但破解加密的方法也隨之不斷進步。過時、薄弱的加密可能會使人產生錯誤的安全感。使用者可以利用已發布安全審核的開源應用程式（例如 Threema）來驗證加密強度。
- 記錄/數據保留。「紀錄檔案」是一種數據文件，其中包含作業系統、應用程式、伺服器或其他設備中的使用模式、活動和操作等相關資訊。有些應用程式（和 VPN）不會清除他們的數據，意即若駭客有能力解密使用者的數據並可以接收加密的紀錄檔案，就能讀取所有內容。建議尋找「無紀錄」的應用程式，然後檢查使用者條款以確認「無紀錄」的含義。某些應用程式只使用「傳輸中加密」，但在清除數據前有一兩分鐘的空檔沒有記錄或保留使用者數據。這可能是一種風險，但會比弱加密E2EE更安全。
- 伺服器和組織位置。如果伺服器位於數據隱私法薄弱的國家，使用者的數據就有被訪問的危險。在某些情況下，當地政府可以合法要求ISP與盟國分享數據，例如五眼聯盟允許美國政府訪問其他四國政府的網路使用者數據。使用者必須確保其手機上的應用程式伺服器不設在對其構成威脅的國家。
作者Benjamin Finn來自美國休斯頓，在IT領域有十年的資歷。這段期間他的工作主要為替大型企業部署內部資安工具。過去兩年他在緬甸研究如何在高壓民族國家裡維持適當的資安。近幾個月他持續和台灣的多個團體合作，為他們進行適當資安和安全措施的訓練。
