如何选择工具

面对这么多公司和网站提供的旨在帮助个人提高自身数字安全性的工具，如何选择适合自己的工具呢？

我们没有可以为您提供防护的万全工具清单（但您可以前往我们的“Tool Guides”（工具指南）查看一些常见选择）。但如果您非常清楚自己要保护什么以及谁会对它们构成威胁，本指南可以帮助您通过几个基本准则来选择合适的工具。

记住，安全的重点不在于您使用的工具或下载的软件。首先，你要了解自己面临哪些具体的威胁以及如何应对这些威胁。请查看我们的安全规划指南，了解更多信息。

安全是一个过程，不是买个东西就好了 #

在更改您使用的软件或购买新工具之前要记住的第一件事是，没有任何工具或软件可以在所有情况下为您提供绝对的监视防护。因此，务必全盘考虑您的数字安全实践。例如，您在手机上用了安全工具，但计算机没有设置密码，那么手机上的工具可能起不到多少作用。如果有人想找出与您相关的信息，他们会选择最容易的信息获取方式，而不是最难的。

我们不可能防范所有骗局或攻击者，因此您应该重点考虑谁会想取得您的数据、他们想从中得到什么以及他们可能采取什么方式来得到。如果您最大的威胁是无法使用互联网监控工具的私家侦探对您进行人身监控，那就不需要购买一些声称“能防御美国国家安全局”的昂贵加密电话系统。或者，如果您面对的是常常因为持不同政见者使用加密工具而将其监禁的政府，那么明智的做法可能是使用更简单的策略——比如安排一组听起来无害、预先编制的代码来传达信息，而不是冒险留下您在笔记本电脑上使用加密软件的证据。提出一组您计划防范的可能攻击就是威胁建模。

鉴于上述理由，您在下载、购买或使用工具之前可以询问以下这些相关问题。

其透明度如何？ #

安全研究人员坚信，开放和透明会让工具更安全。

数字安全社区使用和推荐的大部分软件都是开源的。也就是说定义其工作原理的代码是公开的，可供其他人检查、修改和共享。这些工具的创建者公开自己程序的工作原理，邀请其他人寻找安全漏洞并帮助改进程序。

开源软件有机会提高安全性，但不能保证。开源的优势在一定程度上取决于实际检查代码的技术人员社区，这对于小型项目（甚至对于热门复杂项目）来说可能很难实现。

在考虑工具时，查看其源代码是否可用以及是否有独立的安全审计，以确认其安全性的高低。至少，软硬件应该有关于它如何工作的详细技术解释，供其他专家检查。

工具的创建者对工具的优缺点交代得有多清楚？ #

软硬件没有绝对安全的。选择创建者如实交代其产品局限性的工具。

声称代码是“军事（或银行）级”或“能防御美国国家安全局”的笼统说法恰恰是危险信号。此类声明表示创建者过于自信或者不愿意考虑其产品中可能存在的缺陷。

由于攻击者会寻找新方法来破坏工具的安全性，因此软硬件需要更新来修复漏洞。如果创建者不愿意这么做（要么是因为他们害怕负面宣传，要么是因为他们没有建立这样做的基础设施），就会造成严重的问题。选择那些发布此类更新并且如实、清楚地解释其更新原因的创建者。

想知道工具开发者未来的表现如何，可以参考他们过去的活动。如果某工具的网站列出了以前的问题以及定期更新和信息的链接（例如距离软件上次更新已经过去了多长时间），您就可以更加确信他们将来会继续提供这样的服务。您可以经常到 GitHub 的官方应用程序商店（苹果 App Store 或 Google Play）或开发者网站上查看更新历史。仅此一项就可以表明开发者正在有规律地开发软件，如果他们还详细说明了每次更新中包含的内容，那就更好了。

如果创建者妥协，怎么办？ #

在安全工具创建者构建软硬件时，他们（和您一样）一定有着明确的安全计划。最好的创建者会在文档中明确描述工具可以防御怎样的攻击者。

但有一种攻击者是很多制造者都不愿意考虑的——他们自己。如果他们妥协或者决定攻击自己的用户，怎么办？例如，法院或政府可能强迫某公司交出个人数据，或者创建一个可以删除其工具提供的所有防护的“后门”。因此，要考虑创建者所在的司法辖区。例如，如果您担心来自伊朗政府的攻击，那么位于美国的公司可以抵制伊朗法院的命令（虽然它必须遵守美国的命令）。

就算创建者可以抵御政府压力，但攻击者可能会尝试侵入工具创建者自己的系统，从而攻击其客户。

抵御能力最强的工具应该考虑到这种可能的攻击并在设计时加入相应的防卫机制。选择坚定指出创建者不能访问隐私数据的，而不是承诺创建者不会这么做的。同样，搜索工具的网站或隐私政策中有关数据加密、数据保留政策、向第三方销售的信息，以及有关该公司会如何处理执法要求的详细说明。这份指南摘自《华盛顿邮报》，提供了关于阅读公司隐私政策的一些建议，可以帮助您了解一家公司可能储存或分享哪些信息。

是否曾被召回或在网上受到批评？ #

销售产品的公司和宣传最新软件的发烧友有可能被误导，有可能故意误导他人，甚至可能直接撒谎。最初安全的产品未来可能出现可怕的缺陷。一定要及时关注自己所用工具的最新消息。

以一己之力跟进一种工具的最新消息，工作量会很大。如果有同事也使用某种产品或服务，可以相互合作，共享信息。

该买哪一款手机？哪一款电脑？ #

安全培训人员经常被问到：“我该买安卓设备还是 iPhone？”或者“我该用 PC 还是 Mac？”或者“我该用哪个操作系统？”这些问题无法简单回答。随着研究人员发现新的缺陷和旧的漏洞，软件和设备的相对安全性也在不断变化。公司可能因为市场竞争而提高产品的安全性，也可能整体受到政府的压力而削弱安全保障。

不过，有些常规建议基本上总是对的。购买设备或者操作系统时，通过软件更新使其保持最新状态。更新通常会修复旧代码中容易被攻击者利用的安全问题。请注意，有些旧的手机和操作系统可能不再受官方支持，连安全更新都不会有。

对于手机而言，两种操作系统之间存在几个主要区别。安卓系统是开源的，有几个不同的版本专门针对隐私和安全问题，如 CalyxOS 和 GrapheneOS。iPhone 的操作系统 iOS 并非开源，但是被证实对取证工具有很强的抵抗力。和所有安全工具一样，对不同的人而言，这二者各有各的优点。

现在，您已经考虑过自己面对的威胁，也知道自己需要数字安全工具的哪些功能，应该更有信心根据自己的特殊情况选择最适合的工具。
Surveillance Self-Defense 中提到的产品

我们努力确保 SSD 中提到的软硬件均符合上文所列条件。我们尽力只列出符合以下条件的产品：

• 扎实掌握我们目前所了解的数字安全知识
• 对其运作（及其缺陷）保持基本透明
• 对于创建者自己妥协的可能情况建立了防御机制
• 目前正在维护，拥有庞大的、懂技术的用户群来检查它们是否有缺陷

我们没有资源对其安全性进行检查或做出独立保证，请您理解。我们不为这些产品背书，也不能保证其完全安全。