上面是不久前在网上流传甚广的一幅中美之间互联网公司创立时间和现市值的比较图，引起网友的广泛讨论。简单明了的图形中可以得出两个清晰结论： 贫富差距。美国互联网上市公司市值规模的差距不大，除了 Google、 Facebook 等互联网巨头外，其余公司的市值规模分配较为均匀相差无几；反观中国互联网企业的规模却有如天壤之别，相差悬殊。 创新程度。随着1998年至2000年中国互联网第一个春天到来孕育了腾讯、百度等诸多优秀互联网概念上市公司后，本该在2000年至2005年这黄金成熟期里硕果累累的中国互联网行业却好像做了绝育手术一般,结下了几个（以360为代表的新生代互联网公司）青涩瘦小的果实之后，就再没有缔造出其它值得称道的上市公司了。而在同时期的美国硅谷，以 Twitter，Youtube 等为旗手的新生代互联网公司所打造的 Web2.0 社交概念则是风生水起，发展的如火如荼，引领了互联网的第二次变革。 “05级“之后再无”互联网“ ——————网友“这货是单机”的点评 2005年就好像是一条鸿沟划清楚河汉界，彻底的拉开了中美之间的距离，那么这个神奇的年份到底发生了什么呢？导致中美互联网行业发展经历了冰与火之歌,让肥沃温暖的中国互联网环境竟然一夜之间变成了荒芜寒冷的盐碱地，下面我们看另一份有趣的时间表，从中也许您能管中窥豹发现些许端倪: 2003年2月，在北京的国家计算机网络与信息安全管理中心综合楼工程竣工。 – 2003年7月，国家计算机网络应急处理协调中心更名为国家计算机网络应急技术处理协调中心。 – 2003年9月2日，全国”金盾工程”会议在北京召开，”金盾工程”全面启动。 – 2004年，国家信息安全重大项目”大规模网络特定信息获取系统”，经费7000万，获国家科技进步二等奖。 – 2005年，方滨兴任国防科学技术大学兼职教授、特聘教授、博士生导师。 – 2005年，方滨兴被遴选为中国工程院院士。 – 2005年，”该系统”已经在北京、上海、广州、长沙建立了互相镜像的4套主系统，之间用万兆网互联。每套系统由8CPU的多节点集群构成，操作系统是红旗Linux，数据库用的是OracleRAC。2005年国家计算机网络与信息安全管理中心（北京）就已经建立了一套384*16节点的集群用于网络内容过滤（005工程）和短信过滤（016工程）。该系统在广州、上海都有镜像，互相以十万兆网链接，可以协同工作，也可以独立接管工作。 – 2006年11月16日，”金盾工程”一期在北京正式通过国家验收，其为”为中华人民共和国公安部设计，处理中国公安管理的业务，涉外饭店管理，出入境管理，治安管理等的工程”。 (摘自” GFW的前世今生，一部GFW之父方滨兴的发家史”) 2005年正好是金盾工程中的国家防火墙（以下简称GFW)第一期项目竣工日期，和图示1中的2005年年份完全吻合，那两者存在怎样的联系呢？ “平等（分享）、开放（自由）、创新”这三点是互联网的精神中的核心要旨，就如植物茁长发展所必须的阳光、土壤和水分。 “很可悲的中国互联网，自05年后，彻底缺乏创新。大企业被 360 提醒后，彻底封死了创新的空间。360的市值大增，绝非其安全价值，而是对百度价值的一部分分流。反观美国互联网市场，不断出现创新企业，价值分配更趋多样化。” ————网友“康国平”的点评 而对一个互联网企业而言，只有不断的技术创新推陈出新，才能推动自身和行业不断进取和变革，否则只有在墨守成规中沉沦和灭亡，而创新所需要的就是一个开放自由的环境，没有技术的壁垒和限制，才能使得互联网从业者第一时间能够获得最新最核心的技术内容和知识，与世界最前沿的互联网发展潮流同步，使得更多的互联网草根能够通过自身的努力获得一席之地，方能够保证一个公平的互联网行业的均衡发展，杜绝通过信息不对称获得寡头垄断的存在。 “05年以后再无独立的新型IT公司，都被巨头扼杀在摇篮里了 ” ————网友“ink 君”的点评 反观国内，GFW 上线之后，从最早的法轮功网站的屏蔽，过渡到反动言论和敏感词的过滤和筛查，发展到对整个网络服务和服务供应商的直接封锁和攻击，甚至许多优秀的服务毫无道理的被 GFW 屏蔽。导致互联网企业的创新能力受到极大影响，使得更多的垄断企业放弃耗时过长成本过高的创新发展而选择成本低较小快的“短平快”的山寨发展之路，具体的行径包括： 1.对国外互联网公司的垄断。GFW 上线之后就第一时间打击了 Google 中国，使得旗下的主要产品都收到污染和影响，最后导致其不得不移至香港。Google 的离去直接导致了百度彻底的垄断了国内的搜索引擎市场，同时，对于Youtube，Twitter 的屏蔽导致优酷和微博在国内的垄断和横行，这种行为就像当年明太祖的”海禁”政策和清朝的闭关锁国，将直接导致中国互联网行业发展的衰落和停滞。 2.对国外优秀互联网服务的限制。例如 Dropbox 作为一个优秀的文件分享和同步工具极大的便利了网友的日常工作和生活，但 GFW 毫无理由的将其予以屏蔽，虽然后来也恢复正常，但文件更新一直无法保持即时（就相当于一阉割版），同时以金山快盘为首的国内文件分享和同步工具犹如雨后春笋般的涌现抢占 Dropbox 原有市场。这不得不让人联想到其中的利益输出和链条。 3.对世界互联网信息知识的限制。由于去年诸多抢票软件对脆弱的铁道部售票网站12306 的冲击，GFW 屏蔽了抢票软件托管的 Github 服务，它作为全世界优秀的代码托管服务商，在国内有众多的用户和拥趸，此事导致国内互联网行业的一片哗然，最后在巨大压力下放弃了对其的屏蔽。但此事造成的甚远影响仍然不容小觑。   “2005年以后，你创业创不起来了，所有的都被大公司垄断，有个好想法，只要被大公司看上，你就死了，他们不会收购你，只会抄袭你然后逼死你” —————网友“哥德巴赫老哥”的点评 通过GFW的封锁和限制，导致自由的互联网市场闭塞和封闭，使得寡头不断座大而给互联网草根分一杯羹的门槛和创业成本不断提升，互联网主体间的公平和正义完全破坏，国内寡头不再需要创新来获得发展，只需要等待国外出现某种创新事物之后，即通过与GFW的某种见不得光的交易将其屏蔽，然后组织一批程序员将其简单粗暴的山寨并推向市场，利用其对市场的垄断地位强迫用户接受，最终将互联网行业变成无法循环和繁殖的一潭死水，同时也铸就了其在国内寡头垄断类似“Big brother”一样权威不可被挑战的地位和规则。E 除非注明，本博客文章均为原创，转载请以链接形式标明本文地址  

阅读全文 →

作为今年互联网整治行动中的重头戏“扫黄打非·净网2014”专项行动已拉开序幕，正如火如荼的在神州大地掀起一场严厉打击互联网制作传播淫秽色情信息活动的风暴。 第一炮打向的有“宅男神器”之称的快播（深圳快播科技公司），警方已经封存了该公司服务器并开始讯问员工。 第二炮有些意外的打向了和淫秽视频毫无瓜葛的热播美剧，《生活大爆炸》、《傲骨娇妻》、《海军罪案调查处》和《律师本色》四部美剧进行下架处理。 而进入4月份后专项行动终于向淫秽物品传播最为泛滥的各类网盘进行清理，其涉及范围之广、力度之彻底应该是国内网盘市场化以来的第一次。 中国的网盘发展应该说相对比较滞后，印象深刻的最早专业网盘就是QQ客户端里的那30兆免费存储空间，随着云存储概念的普及和发展，2000年左右以 115网 盘 为首的一批在线网盘服务逐渐占领市场，并取得了相当的市场份额和用户支持，但在2012年由于“政策隐患”和“版权争议”在主管部门的压力下取消了大众分享功能，几乎直接给115网盘下了一份死缓执行书，直到今天都未彻底恢复元气，使得中国网盘发展在初春伊始就遭遇了“倒春寒”。 中国网盘的第二次发力应该是国外优秀网盘服务 Dropbox 被墙以后，诸多优秀的网盘服务如金山网盘、360网盘等如雨后春笋般涌现，它们容量更大，价格更为低廉，同步效率更高，部分如百度云和迅雷云播还将离线下载和在线播放功能集于一身，得到诸多网友的积极响应和推广，盈利模式也逐渐清晰，云存储的春天真正到来。 一、状况 但尚未进入秋天的收获，这些网盘服务就在此次净网专项行动中遭到严寒无情的清洗和打击，下面我们以目前市面上的主流网盘服务为例： （一）迅雷云。迅雷云播论坛官方论坛发出公告，坚决抵制淫秽色情以及可能涉及版权问题的内容，开始清理云服务器中存储的各类影音资料，直接导致许多付费会员无法正常使用离线下载或在线云播等功能。 经过数日清理，上述功能基本恢复正常使用，但经过测试，上传一些从草榴网上下载的AV种子已经不能正常下载了。 （二）百度云。对于座拥丰富服务器软硬件资源的百度云来说，已经成为了网盘圈中的带头大哥，也是本次净网行动中首当其冲的遭受冲击，4月25日也发出公告宣布开始清理： 离线下载功能也和迅雷云播一样遭受阉割，分享一些美剧视频时也会出现提示“此链接分享内容可能因为涉及侵权、色情、反动、低俗等信息，无法访问!”同时还发现在分享一些翻墙软件的时候被百度云禁止。 （三）360网盘。360网盘对于文件分享的限制就相对严重了，需使用提取码的分享方式和当年阉割 115 的做法一模一样，论坛里的用户哀嚎一片。 （四）金山快盘。作为最早杀入云存储市场的国内老牌IT厂商，可谓中国网盘鼻祖，但在净网行动中也遭当头棒喝，全国“扫黄打非”办公室发出的报道中称在近期清理活动中，在北京等地对“金山快盘”等网站给予了罚款的行政处罚。4月17日金山快盘官方论坛发出公告，宣布关闭文件分享功能。 （五）华为网盘。作为国内网盘后起之秀，因为可以使用迅雷批量下载，也吸引了相当数量的用户，经过实测，目前通过华为网盘分享文件时首先要经过审核后才能发布。 二、影响 这次净网行动主要针对淫秽影音视频的清理是继2013年后的第二次大规模清理活动，也是作为十八大后“习李新政”对于互联网市场整顿的一项重要举措，应该说此举对于净化社会风气，提升道德水准有一定的积极意义，但个别行动中的一些激进左倾的方式对于中国互联网市场的发展存在着一定的“矫枉过正”的负面影响。 （一）网盘厂商。本次净化行动在短期上已经对各网盘厂商造成严重的影响，诸多网盘用户群情激昂，纷纷提出抗议，许多迅雷付费会员用户已经在论坛上申请退款。从长远来看具体会造成多大损失还不得而知，115网盘被关闭大众分享功能之后，通过Alexa网站数据显示，页面浏览量和访问量在其后三个月内下跌50%左右。以此前车之鉴，各类网盘厂商的发展前景堪忧。 （二）网盘客户。从表面上将，本次净网活动大大降低了使用网盘的客户体验，而从深层次意义上讲，无论客户上传到网盘厂商的是何种资料，无论付费与否，厂商都有义务和责任对数据资料进行保护，而政府的这次没有任何法律依据的行动就可以彻底摧毁和颠覆这种物权关系。导致客户以后再使用类似网盘服务的时候一定会掂量一下是否应该将“所有的鸡蛋放在一个篮子里”。 同时，这段时间的清查和关闭分享服务对一些正常商业用途也造成了不可估量的损失。 （三）政府。在本次调查的过程中我们发现一些翻墙软件在分享过程中也被禁止，可以猜测网盘服务商根据政府的要求对一些敏感资料设置了文件特征码，当客户上传或分享这些资料时就会留下痕迹和记录，政府可以轻易的通过服务器窥视和记录网友数据存储的内容，对于个人隐私的保护造成极大的隐患。 经过本次净网行动，每一个中国网友在将资料上传到国内网盘服务商的时候都应该三思而后行。E  

阅读全文 →

2014年11月4日，名为“枫叶香蕉”的翻墙软件作者许东被北京西城区德胜门派出所警察以“寻衅滋事罪”羁押到北京市第一看守所。（详情参见：《翻墙=犯法？从许东翻墙第一案说起》一文） 2014年12月6日，Gmail 被全面屏蔽，POP3、IMAP 等服务器端口均被屏蔽，导致不仅无法访问在线版，并且连 Foxmail ，Outlook 等邮件客户端也无法正常使用。 2015年1月15日，著名的Android端翻墙软件 fqrouter 作者正式宣布该项目关闭，不再进行更新和维护； 前不久，一则新闻又给众多大陆网民浇上一盆冷水，著名VPN供应商 Astrill 通知用户，因为 GFW 升级，使用 IPSec、L2TP/IPSec协议的设备将无法进行正常访问，而《环球时报》英文网撰文称，中国工信部曾规定，在中国提供VPN服务的公司必须登记注册，否则将“不受中国法律的保护”。 此事在大陆互联网上掀起悍然大波，众多中国互联网民直呼中国互联网寒冬将近，今后翻墙的行为无论在立法上还是都将受到极大的威胁和限制。 GFW和行政监管力量双管齐下，对翻墙行为进行联合打击，甚至有网友传播2015年4月将全面落实白名单制度建成大中华局域网的言论，一时间风声鹤唳，草木皆兵，大有山雨欲来风满楼之势。 那么事实上的情况真的就如此么？ 个人认为事实情况没有那么悲观。 这一次 Astrill 在国内被屏蔽之所以受到如此大关注的主要原因不仅仅是因为 Astrill 是一款人气颇高口碑不错的 VPN 服务供应商。 更重要的原因是许多网民以为是整个 VPN 协议受到了 GFW 的干扰和破坏，至此以后未在官方注册的 VPN 服务就在大陆无法使用了。 事实并非如此， VPN协议根据其加密的协议粗略分为PPTP，L2TP/IPSEC，OPENVPN，SSL VPN，Ikev2 VPN，Cisco VPN等，而这一次 Asrill 被屏蔽的是以 L2TP/IPSEC 协议加密的VPN服务。 其实 VPN 服务被屏蔽由来已久，早在2010年期间就有众多网友发现联通网络屏蔽了安全性能最弱的PPTP协议方式。 2012年十八大期间，OpenVPN协议方式就遭到全面封杀，包括我们在此前介绍的一款采用 OpenVPN 协议翻墙的解决方案 Pritunl 就因此无法使用。（关于Pritunl的介绍可以参见：Pritunl：简易搭建个人VPN） 而这一次安全性能较高的L2TP/IPSEC协议方式被屏蔽应该说仅仅是GFW阶段升级的一个简单标志，并不能说其彻底摧毁了 VPN 协议的生存模式。 由于大陆和海外的通信越来越多的采用加密方式，GFW对各种加密方式的识别和嗅探的压力日益增大，GFW的维护以及自身对于资源的消耗与日俱增。 同时GFW维护人员的各种疏忽大意和不当行为都会牵一发而动全身，对大陆整个互联网环境造成不可估量的破坏。 2014年初的那次导致接近八成以上中国网站域名无法解析的灾难经过推测就是因为GFW维护人员操作错误导致的。 因此全面彻底封杀翻墙方式从技术上来说虽说并非不可能，但其成本和压力将是巨大的，而且这一次对于 L2TP/IPSec 协议的封杀主要集中在像 Astrill 这样名声在外的几个主要 VPN 服务商，而且只局限于IOS系统平台，有网友反映还是有不少漏网之鱼依旧可以继续提供服务。 而且，对于上述几种 VPN 访问协议的屏蔽并不能阻挡网友翻墙的热情，就像一个推友在 Twitter 上写到的： “看着一群中国人在 Twitter 上讨论 VPN 被屏蔽之后就无法翻墙的言论就觉得好笑。” 这场道高一尺魔高一丈的争斗并未结束，Astrill VPN 事后宣称这场于中国封锁的斗争并未结束。 退一步讲，即使 PPTP ，OpenVPN，L2TP/IPSec 协议都最终倒下无法恢复后，我们还有 SSL VPN ,Cisco VPN等协议可以选择，安全性能更高，更加隐蔽。特别是依托于思科硬件服务器的 Cisco Anyconnect VPN 方式最近受到各大VPN服务商和用户的青睐。 就在即将写完本文之时，有网友发来消息，Astrill…

阅读全文 →

2003年12月底，日本一名19岁的大学生在自己的主页上公布了一款免费网络软件—SoftEther。并在软件介绍中注明：“让普通用户更自由地使用网络，而不受过多的限制”，该软件巧妙利用了“EtherNet over TCP的隧道+HTTPS实现物理传输”技术，开创了 VPN 软件应用的先河。 传统的隧道技术（PPTP/L2TP/IPsec）之类的协议使用 GRE/IPsec 这样特殊的IP数据包来实现通讯，这样的数据包很难通过NAT、防火墙或路由器。 但 SoftEther 通过虚拟一块网卡和HUB，通过模拟以太网卡的工作顺序，可以模拟 HUB 功能使用 tunnel 特性，实现 VPN 的功能。使得系统把此软件完全无碍的识别成一块网卡，实现从 Internet 透过防火墙访问内网的目标。 这样，只要在公司的内网电脑里安装上 SoftEeher 这个软件，我们就在家中就能轻松的以网上邻居的方式相互访问就感觉在局域网内一样。 同时我们也可以在公司的内网电脑通过家中的电脑自由的链接上互联网，而不用担心公司网管对于一些特殊网站或者聊天工具的屏蔽； 即使是上海或者广州两地相隔千里的两个网友，也可以通过它搭建一个虚拟局域网来打 CS 游戏。 由于其通讯协议被有效的隐藏到 HTTPS 加密协议中传输，原本被防火墙设备严密保护起来的公司局域网，就会被神不知鬼不觉地打开了一个缺口。 经由 SoftEther 的虚拟网络进入公司局域网的通讯内容，由于得到 SSL 加密的强力保护，根本无法由防火墙检测到通讯内容是否有害，就算是病毒和木马软件从此渠道流入，防火墙都无法发现。 因此，不当使用这一功能会对现有网络安全构成重大隐患。该软件公布后的第七天，日本负责网络安全管理的政府机构 IPA 就以威胁“网络安全”为由将其下架封杀处理。 此后这款软件的消息也逐渐淡出人们的视线，几乎销声匿迹。 2013年3月，一款被称为“VPN Gate”的互联网服务横空出世，一度热捧成为又一款翻墙利器，曾几何时让诸多收 费VPN 服务黯然失色。 用户人数在数月之内暴增至几十万人，尤以天朝用户居多。仔细观察就会发现，其实它就是利用了 SoftEther 的加密隐蔽原理，成功的绕过了 GFW 国家防火墙的封杀。 截止2014年3月，短短一年的时间里，它已经积累了来自222个国家里的两亿的用户使用，其中天朝的用户就达到三千万人次之多，下面我们具体介绍一下它的特征： 一、分布式的VPN中继服务 分散在各地的 VPN 中继服务器，遍及全球，许多都是由志愿者义务提供的，这些服务器的IP地址每隔一段时间就会变化，并且数量上还在不断增加和更新，这导致 GFW 通过单纯封杀IP甚至封杀某一网段的 IP 都是无法达到屏蔽作用的，这也大大延长了 VPNgate 的生命力。 同时 VPNgate 的官方在网站上明确声明希望能保持稳定的服务超过八年，即使出现技术上或者法律上的问题，它也至少可以存活三年以上。 二、完全免费 该项目是由国立筑波大学研究生院经营的，日本的国立大学一般规定下属学术实验禁止一切盈利性活动。所以不用担心后续付费的问题。 三、全平台支持 VPN Gate支持从 Windows 到 Mac，手机上从 Iphone 到 Android，最多支持 SSL-VPN , L2TP/IPSEC, OPENVPN , MS-SSTP 这四种 VPN 链接方式，极大的丰富了翻墙的手段。 四、简单方便 无论是 Goagent 还是 Shadowsock ，都需要复杂的本地浏览器及服务器端设置，这让许多IT小白望而却步。 而 VPN Gate 却只需要简单的下载客户端就可以轻松的链接上世界各地的中继服务器实现翻墙的目的，甚至连用户注册都不需要。 五、速度尚可 由于提供…

阅读全文 →

我们在上一篇文章《写在Astrill VPN被屏蔽之后：没那么悲观》一文中提及了著名商业翻墙服务 Astrill VPN 被GFW屏蔽一事，原本Astrill以其稳定和强大的服务受到大陆网民的广泛亲睐，拥有诸多的使用群体以及良好的用户口碑，所谓木秀于林风必摧之，因此也理所当然的招致了 GFW 的关注和封锁，虽然在上文中分析过了此次屏蔽主要集中在 L2TP/IPSEC 协议加密的 VPN 协议以及IOS客户端，并且 Astirll 也在不断努力争取早日恢复服务，但被 GFW 老大哥盯上之后，毕竟今后命运多舛难以预测。 因此许多网友也给泡泡来信询问，除了 Astill 以外，还有没有其它优秀的商业付费翻墙服务可以使用的，而同时也有不少网友推荐了一款不错的替代者— Vyprvpn，下面我们就来对其做一个简单的测评。 Vyprvpn 的官方网页点击 这里，由 GoldenFrog（金蛙）团队开发，界面清爽简单，对于个人用户提供三种付费套餐供选择。 其中最受欢迎的“vyprvpn pro”套餐价格为每年8.33美元，这个价格要比 Astrill 每月5.83美元的价格高出不少，和 Astill 一样几乎是全平台支持，允许两台设备同时接入，无流量限制，但付款方式上只支持Paypal和信用卡，这一点上支持支付宝付费的 Astrill 明显人性和方便许多。 Vyprvpn支持三天免费试用，而“basic”套餐只支持 PPTP 协议的链接，众所周知，PPTP 协议由于安全性较弱，以及容易被封杀等因素，因此建议大家不要选择。 下面我注册了了”Vyprvpn pro”套餐开始测评，因为他支持“PPTP”，“OpenVPN”，“L2TP/IPsec”以及“Chameleon”这四种连接协议方式。前三种方式我们比较熟知，它们是VPN翻墙协议中的一种，而对于第四项“Chameleon”（变色龙）相对比较陌生，我们在下文中再重点介绍。 注册完毕之后我们首先下载PC客户端在 Windows 平台上进行测试，整个安装过程毫无困难，和其它 VPN 翻墙软件一样，都会在 Windows 系统中增加一个名为“TAP-VyprVPN Adapter V9”的虚拟网卡。 打开客户端，界面还是非常美观的，除了链接协议，IP 地址等基本信息外，还可以看到图形化的流量监控，点击上方坐标形状的图标可以切换代理服务器，并且可以通过服务器 ping值来判断链接速度，也可以直接默认选择速度最快的服务器进行连接。 一、PPTP 我们首先点击右上方的齿轮图标进入“设置”页面，然后点击“协议”选项卡，可以看到上面提及的四项链接方式，我们首先测试一下“PPTP”链接方式。（测试环境是中国联通10M光纤） 果不其然，不论我如何切换服务器，PPTP模式都是无法正常链接的，因此，如上述所言，如果你决定付费购买 Vyprvpn服务，强烈建议不要购买“basic”套餐。 二、L2TP/IPsec 接下来我们试一下”L2TP/IPsec”协议的翻墙效果，该协议也正是 Astrill 被封的主要使用协议，Vyprvpn 能否替代 Astrill 使用也将直接考验它的使用效果。 我们以位于”日本“的服务器作为测试对象，上 Youtube 上打开一段1080P的视频进行测试，非常流畅，毫无卡顿，在看客户端上的下行速度，基本上保持在10Mbps左右，数据相当华丽了。 但值得注意的是，我们在测试链接延迟更小的韩国和泰国服务器的时候，都发生了链接失败的报告。 三、OpenVPN 下面我再来测试一下“OpenVPN“协议的使用效果，很多网友都听说过不加混淆机制的 OpenVPN 两三年前就遭到 GFW 局部封杀，以前泡泡曾经介绍过的一款基于OpenVPN 技术的 Pritunl 就已经无法使用了（关于Pritunl的介绍可以参见：《Pritunl—图形界面轻量化个人VPN搭建平台》） 我们以一个延迟为86ms的”泰国“服务器为例进行测试，切换协议后很快就链接成功，然后从Mega网盘上下载一段视频进行测试，速度表现的也很稳定。 注意我这里使用的是OpenVPN 256位加密方式链接，如果用户使用 OpenVPN 160 位加密方式连接的情况下，理论上能获得更快的访问速度。 四、Chameleon变色龙 上面介绍的三种常规的 VPN 协议以外，Vyprvpn还有一个独门绝技 Chameleon 协议链接方式，能够有效的躲避 GFW 的屏蔽和封杀，下面我们具体看看使用效果。 Chameleon 技术是 Golden Frog团队在2014年年初推出的一项最新技术，从官方结束文档上来看，Chameleon…

阅读全文 →

一直以来聊天工具的网络安全问题一直就是困扰墙内网民的重要问题，特别是今年锦江之星会员记录泄露的重大安全事件（可以参加我写的一篇文章《关于最近很火的开房记录》），让互联网信息安全问题的解决重新提上日程且迫在眉睫，其中暴露出风险的地方主要集中以下三点： 用户之间传输被嗅探的风险； 本地客户端或其他流氓软件扫描本地记录的风险； 聊天记录存放在服务器端被第三方监控的风险。 QQ，MSN，Skype 等主流聊天工具以其明文传输的形式让嗅探和监控无孔不入，许多公司为保证企业信息安全直接屏蔽了上述聊天工具的使用，同时，由于聊天记录都存储在腾讯等厂商的服务器端，让人时刻担心信息的泄漏或被第三方监视。 为保证聊天信息传输的安全，目前我主要使用内嵌于 Gmail 中的 Gtalk （不是那个难用的 Hangsout）作为主力联系工具，摒弃客户端而直接用浏览器显然更加安全，同时所有传输信息都通过 Gmail 的 Https 加密，以目前的技术极难破解，上面所述的两个安全问题都解决了，但整个聊天记录仍然保存在 Gmail 中被 Google 所掌握的，虽然我们都愿意相信 Google “ Don’t be evil ” 的企业良心，可谁也不保证会再度出现2007年 Google 服务器被监控的事情再度发生。 即使是目前号称最安全的手机聊天工具 BBM 也是将聊天记录都保存在加拿大本地服务器端的，去年印度政府就以 BBM 不愿意公开服务器影响印度国家信息安全为由威胁 RIM 退出整个印度市场。因此再安全的技术也有可能遭到政治因素的影响而失去效力。今年发生的斯诺登事件更是如此。 有没有一种不在服务器端留存记录的聊天工具呢？答案是有的。 我们在前面的文章中介绍了 BitTorrent 这个 P2P（点对点）形式的同步工具，以及 Vole 这个 P2P 形式的微博工具（可以参见这篇文章《下一代P2P微博 – Vole》），还有同样借鉴  P2P 精神设计的翻墙工具- Lantern （可以参见这篇文章《Lantern 点亮愚昧与漆黑的明灯——划时代的 P2P 翻墙工具》），现在又有一个继续发扬和借鉴 P2P 技术的聊天工具 BitTorrent Chat 。 它目前它还在内测阶段尚未推出，但我们可以通过官方网站上的这篇文章管中窥豹。 BitTorrent Chat 的工作机制见可以通过上图一目了然: 官网介绍文档里明确指出现市面上的主流聊天平台上最主要的弱点就在于全部要依赖于服务器进行交互及存储所有的聊天记录，即使聊天平台的厂商允诺企业级的安全标准，但他们不能保证你的聊天信息是完全安全的，只有有人能拥有权限进入厂商的后台中央服务器，那么你的个人隐私信息就会泄露。 但 BitTorrent Chat 能提供一种你和你朋友之间点对点的沟通渠道，而无需通过第三方服务器的干预。 同时问题也出来了，如果没有中央服务器保存用户的ID和密码，那么如何登陆聊天工具呢？BitTorrent Chat 通过密钥配对的方式解决这个问题的，每一个在 BitTorrent Chat 网络上的用户都会分配有一个共同的公钥（Public Key），两个用户只有通过交换双方的公钥才能保持通讯，这也意味着通过 BitTorrent Chat 聊天时不会透露本人的手机号、用户名或者邮箱地址等信息。 使用这种方法还带来其他许多好处，其中最明显的就是聊天发起者可以通过自己所持有的私钥（Private Key）以及聊天双方共同持有的公钥对聊天信息进行加密，这样做的缺点就是如果有人能够拿到你的私钥，那么你过去或未来所发送的使用公钥加密的信息就会被破解，所以，我们采用了更加严格的保密机制，每一次你对你的联系人发起一次聊天，将产生一个临时的密钥，这个密钥仅存在于本次聊天过程中，结束后将被永久性的删除。 部署 BitTorrent Chat 采用的模式就像旗舰产品 BitTorrent 和 µTorrent 一样是通过解释一个公钥到指定的IP地址上的，Chat 通过一个分配好的哈希表查找到IP地址。分布式哈希表（DHT）就会替代中央服务器传递信息的角色。（你可以通过下文简单的了解分布式哈希表（DHT）的运作原理） 从本质上来说，DHT（Distributed Hash Table）就是一种网络上的点对点互助，你首先向你身边的网上另据询问是否知道你所要聊天的对象，然后再问他们的邻居，邻居的邻居……。最后，你将从一个节点（某个邻居）询问到你所需要聊天对象的 IP 地址。这种寻址方式下只有你知道你所寻找的人是谁（当然被你查找的人也会知道）。如果你理解了 DHT 的运作原理，你也许会有这样的疑问：“…

阅读全文 →

小强是一家世界500强企业总部办公室的一位普通行政人员，平时工作认真勤勉，虽然公司治理结构和经营策略调整频繁，人事更迭如家常便饭，但对于一个刚毕业的普通院校大学生来说，也没有什么好抱怨。 前几日公司的OA（自动化办公）系统发布了一则通知，要求每名公司员工都必须在配发的智能手机上安装由公司IT部门开发的APP（第三方移动应用程序）管理软件，旨在通过移动互联网加强纵向管理及横向沟通，主要功能包括一些日常签报的移动无纸化处理，小强平时的业余爱好就是喜欢倒腾一些数码产品，尤其是对于现在流行的各种手机APP应用和游戏，更是善于尝鲜的弄潮儿。 但最近几日公司部分职场又在搬迁，小强作为整个搬迁工作的落地执行者正焦头烂额，实在没工夫搭理这茬通知，谁曾想昨日公司系统再发一条紧急通知，要求所有未安装 APP的员工必须在本周内完成，安装成功后APP会自动登录公司后台服务器签到，违者通报罚款。 小强得知后茶饭不思，连平时雷打不动的午休也被迫取消用来安装APP，因为刚入司不久级别也低，尚未配发象征公司地位和身份的IPhone手机，还好除了 IOS 版本外，公司IT部人性化的开发了Android版本，正好小强能够在第一个月薪水购置的某品牌 Android 手机上进行安装。 OA系统通知上就发布了二维码图片，小强扫描后手机浏览器跳转到某网站，很快就提示下载一个后缀名为APK的文件，小强还是明白的，不同于IOS系统必须通过Appstores市场下载安装App，Android系统的开放性还允许这种安装程序包，绕开各种市场认证而直接安装。 经常关注IT新闻的小强知道上周闹的很凶的吸取手机话费的一个名为“XX神器”（因为下载的apk文件为xxshenqi.apk而得名）的所谓“超级手机病毒“，就是通过这种APK下载的方式传播的，不过即便是对IT知识略知一二的小强也知道不明来路的APP不可以随意下载安装，那位开发“超级手机病毒“的19岁少年没有利用现有网络和手机系统的任何技术漏洞，只是用了一种非常初级和低劣的钓鱼方法，真正让这个手机病毒横行肆意的是广大民众对于手机安全知识的贫乏和漠视。 但既然是公司开发的APP管理软件，自然是没有这方面担忧的，小强熟练的下载完成后开始安装迅速的点击“下一步”，但一闪而过的权限申请界面让它顿生疑窦，一个普通的办公软件怎么需要申请这么多的权限，安装完毕后，小强习惯的看了看应用信息界面，，卸载选项是灰白色的，意味着不能随意卸载，这不跟流氓软件一样了么，小强一面嘀咕一面继续查看权限，结果吓了一跳，它第一次看到申请这么高权限的App，一页都没显示完。 小强紧皱眉头，打开了APP管理软件，其中有一个选项居然是位置信息，约五秒钟后，软件中调用的百度地图精确的显示了小强所处的位置，那不是公司能够时刻知道自己的动向和位置了么？一想到自己情人节时带着女朋友去宾馆开房的位置信息都有可能被公司后台的IT人员获取的时候，就感到有些恐怖了。 而且这种获取信息的方式是通过网络信号而非GPS，除非关闭手机或者彻底切断手机信号，否则是无法通过关闭GPS来阻止后台程序获取位置坐标的。 在Android中，用户可以允许系统安装来自”未知源“(也就是非Google官方的，或手机预置市场的)应用程序）。小强为了安装这些第三方APK包，关掉了这层保护，于是，移动平台最重要的门神——数字签名就被绕过了。同时，小强的手机为了刷机而获取了root权限，使得公司的APP管理软件获得了前所未有的巨大权限。 不仅仅是读取位置信息，这个软件居然还可以读取通讯录，通话记录和短信信息，这无异于将自己整个的私人生活完全暴露在公司的监控之中，这不就是一部活脱脱的现实版“棱镜门”么。 公司管理软件申请的权限甚至还包括在后台远端控制发送短信和拨打电话，也就是说它具备了上面介绍的“超级手机病毒”所具备的一切能力。小强拿着手机顿时感到手心冒汗，刹那间就想到了2008年上映的一部叫《鹰眼》电影里的情节。 而且这个软件不断在后台与公司服务器保持通讯，所以先安装然后再卸载的方法也是行不通的，小强还听说如果一段时间不能保持在线的话，后台维护的IT部人员就会通知此人所属部门的领导….。 小强这时候就开始绞尽脑汁的思索既可以保持该软件在线，又能够限制该软件的权限的方法，查阅了诸多资料之后，终于找到了几个国内厂商提供的解决方案，经过比较最后小强选择了LBE安全大师。 安装完软件（v5.3.7582），点击左上角图标后再点击“软件权限管理”，再点击“所有软件”中的“受监控软件”，找到需要限制权限的软件，点击进去后选择“软件权限”，关掉所有你认为威胁个人信息安全的权限选项，并且取消软件的自启动，然后重启手机。 小强再次登录管理软件，发现登录显示签到正常，但后台已经无法自动收集自己的位置信息，并且软件有任何获取敏感权限的动作都会被LBE安全大师发现并反馈使用者是否同意授权，这样小强下班以后又可以快乐的带着手机为所欲为了。（下图中公司APP管理软件获得位置信息的请求就成功的被拒绝）。 后记：由于Android的开放性设计（WP和IOS几乎不可能出现的问题）导致诸多安全隐患，使得各位在使用Android手机时切忌一定不要随意安装APK安装包，一定要在正规的安卓市场最好是翻墙使用Googleplay官方市场下载使用，保证App使用的安全。同时，在安装过程中，一定要注意App权限的申请内容，对于申请过多权限的软件应予以卸载或者利用LBE安全大师等软件进行限制。 据传，工信部将加强对App的监管，第三方App平台可能会采用备案登记许可制度，而个人开发者很有可能采用实名认证的方式进行监管。而与此同时，美国贸易委员会（FTC）也发布了一个报告，要求苹果、谷歌和亚马逊等经营App商店的平台要加强对App的监管，确保儿童隐私不被泄露。 姑且不论对于第三方软件App的实名制监管会带来哪些负面影响，但对于手机安全应用方面无疑是一个好消息。E （以上事件改编于一个真实发生的案例，为保护隐私，公司和人物名称都是虚构代替，请不要对号入座）  

阅读全文 →

11月1日，美国社交巨人 Facebook 宣布建立了一个基于 Tor 隐藏服务的网站：https://facebookcorewwwi.onion/（只能在基于Tor的浏览器上访问）。同时，Facebook还为该地址提供了一个SSL加密证书，加密客户端和服务器之间的连接。 众所周知，Facebook 当年掀起社交狂潮的核心理念就是“实名社交”，而 Tor 作为最著名的匿名网络访问服务历来以其难以查找和严格的加密措施而著称（具体内容参见《今天你戴Tor了么？（一）— Tor的介绍》），两者对于互联网个人信息的理念简直就是“冰”与“火”的 两个极端，为何最终两者却走到了一起？ 事实上，利用 Tor 浏览器访问 https://facebookcorewwwi.onion/ （具体登陆方法参见《今天你戴Tor了么？（二）— Tor的接入方法》）,这个网址登陆到 Facebook 和普通登陆从结果上看毫无区别，只是允许一些特殊的用户通过 Tor 这种三层加密措施接入到 Facebook 原有服务，仍然会在本地记录用户访问记录，但从 Tor 网络出口到 Facebook网站之间的过程采用 SSL 证书予以加密。（具体见下图） 那为什么 Facebook 会主动推出这项服务供 Tor 用户使用呢？ 毕竟使用 Tor 接入的所谓 “Deep web”（深网）里以充斥着枪支，色情，暗杀和毒品而臭名昭著，著名的深网网站丝绸之路（silk road）在被关闭前，每年的毒品交易案居然高达12亿美元（具体内容参见《今天你戴Tor了么？（三）— 关于“深网”》。 从各方的报道来看，主要是 Facebook 对于 Tor 用户的重视，当然也不乏 Tor 官方不断的努力： 一、争取 Tor 用户的支持 了解 Tor 运作基本原理的网友都知道，用户连接 Tor 以后的数据要经过三个节点服务器的层层转发加密最后才会到达目标网站。 由于 Tor 节点服务器的地理位置遍布世界各地且经常变化，因此导致可能一个 Tor 用户两次登陆 Facebook 的 IP 地址是两个相隔万里的国家。 而 Facebook 的安全机制则将其判定为账号出现异常而拒绝其访问，2013年6月，处于安全的考虑，Facebook 彻底屏蔽了 Tor 用户访问途径。（具体可以参见 Tor 官方博客的这篇文章） 但 Tor 官方一直在与 Facebook 联系寻求解决办法，根据著名 IT 博客 Mashable 的报道，Tor Project 项目下的安全研究院 Runa Sandvik，和 Facebook 的安全工程师 Alec Muffett 会面之后交换了有关使用 Tor 网络访问…

阅读全文 →

这两天中国大陆网友陆续发现以 Gmail 为首的诸如 Google+，Google drive，Google doc之类的Google周边服务无法使用，虽然此类事情在2012年十八大期间也发生过，但这一次连 Google.com 或 Google.com.hk 搜索引擎都出现404无法访问的问题，应该算史无前例第一次，可以看到微博上各地的网友哀嚎一片，月光博客也专门撰文《Google https服务被屏蔽》指出：5月27日起，Google 中最主要的 HTTPS 搜索服务和 Google 登陆服务因为部分 IP 地址的 443 端口被封，不过因为 Google 的 IP 地址众多，因此导致只有部分用户受到影响。 众所周知，443端口为Https服务使用，自从 Google 在2012年强制所有搜索都采用 HTTPS 加密，安全性大大得以提高的同事也使得 GFW 的干扰问题稍稍得以缓解，但如果 GFW 开始屏蔽 443端口，也意味着 Google 服务在中国使用已经到尽头。 近期 Google 出现的大面积瘫痪问题很显然是中国大陆国家防火墙（GFW）刻意为之，而选择在这个时间节点进行干扰也是有其特殊背景原因的： 一、Google 被封的原因分析 （一）中美之间网络战升级 美国司法部于当地时间19日上午宣布起诉5名中国军方人士，指控他们通过网络窃取美国公司的商业机密。美国政府官员长期抱怨中国窃取美国企业的商业秘密，以及从事黑客活动已经是众所周知的。然而从外交抱怨上升到司法起诉却是头一遭，这也是美国政府首次公开控告外国政府公务人员针对美国公司实施网络黑客犯罪。中方对此迅速做出回应，并决定中止两国的网络研究合作，官方还拒绝采购微软Win8系统，同时公开呼吁国内银行停止使用美国IBM生产的服务器转而使用国产品牌。中方新闻媒体也群起表态，称美国网络霸权令人发指。中美围绕网络问题展开的争执有愈演愈烈之势。因此这一次干扰 Google 的行为也可以解释为一种报复行动。 （二）中国互联网管制进一步加强 2014年2月27日，中央网络安全和信息化领导小组宣告成立，国家主席习近平亲自挂帅担任组长，进一步加强管控中国互联网的意图已经十分明确。同年4月，由全国“扫黄打非”工作小组办公室、国家互联网信息办公室、工业和信息化部、公安部多部委为依法严厉打击互联网传播淫秽色情信息行为，拉开了“净化网络环境专项行动”，对互联网中的不良信息和版权问题进行深度清理和整顿。5月4日山东兖州一名网友因违规停车被交警处罚后在百度贴吧发帖泄愤，被网警通过百度获取IP地址后将抓获，因为一句“兖州交警真孬种”被认为是公然对人民警察进行侮辱，造成恶劣的社会影响，罚其行政拘留5天，此事还在兖州公安的官方微博上报道宣传，以儆效尤。 而5月22日从国家互联网信息办公室获悉，为进一步维护国家网络安全，即将推出网络安全审查制度，从而关系国家安全和公共利益的系统使用的重要技术产品和服务，都必须通过网络安全审查。尤其是目前市场流行的云存储市场将面临重新洗牌的可能。 从上面种种迹象表明中国互联网管制正在不断的加强，已上升到国家安全的层面，网友们使用互联网的自由程度和空间正不断的遭受挤压，如果有一天真的采用了白名单制度，将对整个中国互联网产业产生毁灭性的打击。 （三）政治原因 今年的六月四日是“六四”运动二十五周年纪念日，许多中外人士都在筹划“重回天安门”的活动并通过互联网获取更多大陆网民的支持和相应，许多政府网站都遭到黑客的攻击。 同时新疆东突反恐形势愈发的严峻，5月20日新疆高院对39名通过腾讯QQ等互联网途径传播暴力恐怖音视频的涉案人员进行了宣判。也有消息称东突恐怖组织有预谋在六一端午假期伺机对重要目标发动袭击。 “六四”再加上“东突反恐”这两个敏感问题的双重威胁，导致目前互联网管制风声鹤唳，草木皆兵， Google 被墙也就再所难免了。 二、解决的办法 由于Google的产品全面遭到干扰，所以使用 Goole App Agine 作为跳板实现翻墙目的的 Goagent 也难幸免，迅速升级到最新版是一个解决办法，另外在不使用复杂翻墙工具的情况下，通过 Smarthost 获取最新的 Google host IP地址然后更改 Host 文件，也是继续使用 Google 服务的一个较为简便的方法。 三、被封的影响 其实2010年 Google 退出中国转移到香港避难的时候，谷歌中国在中国大陆的市场开拓已经宣告死缓，不断下滑的市场占有率和盈利水平使得偌大一个市场成为一块鸡肋。GFW 的不断干扰使得Google搜索引擎和 Gmail 邮件服务的用户体验降到冰点，而使用被阉割的google.com.hk搜索引擎还不如去用 Bing，起码看看漂亮的壁纸还是不错的。 2013年六月由流量统计机构 CCNZ 发布的数据显示，谷歌在中国搜索市场份额继续下滑至2%左右，创下新低。 因此，本次被封事件其实对于广大互联网受众来说影响并不严重，而绝大部分的 Google 产品的重度依赖者都会使用稳定的翻墙工具来保证流畅的访问，因此本次事件所引起的舆论反响并不强烈。 但长远来看，扼杀 Google 的行为对于中国互联网的发展可谓是饮鸩止渴，将不肯就范的“Don’t be evil”扫地出门，导致国内没有一个具备社会责任感和使命感的IT企业主导行业前进方向，肆意侵害和出卖用户的个人隐私来获得自己的生存空间，通过误导和欺骗用户的行为来改善年报的数据，就像毒蛇一样欺骗善良无知的网民们吞下禁忌之果，在这片畸形的大地上开起恶之花。…

阅读全文 →

前面两篇文章写了那么多，其实都是为了这里做铺垫，现在我们在美国旧金山机房的 VPS 和本地电脑已经处于同一个虚拟局域网下，现在我们只需要搭建普通明文的 Http 代理就可以实现翻墙的目的，我们以 Linux 上久负盛名的代理软件 Squid 为例。 通过 SSH 连入系统，更新软件源后，安装 Squid ： sudo apt-get update sudo apt-get upgrade sudo apt-get install squid 将 Squid 的设置文件备份一下： sudo cp /etc/squid3/squid.conf /etc/squid3/squid.conf.default /*Squid的配置文件可真长啊*/ 下面，我们要将本地电脑主机的 ip 地址加入到 Squid 的 Http 代理配置文件中，我们要添加如下代码： # Example rule allowing access from your local networks. # Adapt localnet in the ACL section to list your (internal) IP networks # from where browsing should be allowed #http_access allow localnet http_access allow localhost # ——- begin ——- acl my_network src 10.191.3.220 /# 设置你允许访问的（客户机）ip,多个ip用空格隔开 http_access allow my_network /my_network 为你自定义设置的网络名称 #…

阅读全文 →