罗磊的独立博客自 2020 年以来，经常可以从国际政经新闻中看到一个词汇 Decoupling ，中文翻译过来叫「脱钩」，这里所说的脱钩主要就是中美脱钩，中美两个大国在经济、科技、金融、供应链等领域的逐渐升级的分离和对抗。
一方面，是过去 20 年伴随着全球化浪潮的互联网公民的出现，另一方面，是全球互联网的法治化和监管的加强，这两个趋势的交汇，也让我开始思考自己，作为一个互联网从业者，一个普通网民，应该如何应对这些变化。
今天这篇文章，我不会危言耸听贩卖焦虑，更不会鼓励大家做任何违法的事情，只是分享一下我个人在网络资讯安全方面的「脱钩」策略、方案和经验，希望能给大家一些启发和帮助。
一. 为什么要脱钩
我是一个程序员，由于职业的关系，对于资讯安全有着比较高的敏感度，时不时也会关注一些跟网络安全相关的新闻。
过去几年，也是由于工作的关系，做了不少与「合规」相关的工作，看了不少文档，对于「合规」也有了一定的了解。
大概从 2020 年底开始，随着《网络安全法》《个人信息保护法》以及各种相关法规的陆续实施和监管落地，某种程序上国内互联网行业的「合规」工作也进入了一个新的阶段。
不管是欧盟、美国还是中国，都在加强对于互联网行业的监管，对大公司的监管力度也在不断加强，这是一个全球性的趋势。
趁着着这波互联网法治完善的浪潮，我也稍微研究了一下相关的法律法规，尤其是看了下这些法规中，对于个人隐私、数据的强制要求。
大家可以打开你日常使用最多的几个国内 APP，看看这些 APP 的用户协议，一般都会在APP的「隐私」栏里，在过去几年监管层的要求下，目前主流大厂的应用基本基本都强制公开了。
在了解完法律层的要求后，我愈发觉得国内互联网公司的「合规」工作还有很长的路要走。
2021年开始，我尝试陆续脱离了一些国内的互联网服务，比如：社交媒体、云服务、云存储、邮箱和各类账号等，经过一年多的实践下来，虽然还没完全脱离，但是已经有了一些经验和心得，这里分享给大家。
二.我的脱钩策略
我的脱钩策略，总结下来就是「有限隔离」。
对于生活在中国大陆的人来说，完全脱离国内互联网服务是不现实的，也无必要，但是可以尽量减少对国内互联网服务的依赖。
当然，这里的「脱钩」并不代表我对国内互联网服务和产品的否定，也不代表我对境外公司或者产品的盲目信任，我只是从理性和博弈的角度分析，选择一个相对来说更加安全的方案。
由于国家强而有力的监管，许多外国互联网公司难以在中国境内运营，也难以获得中国用户的个人数据并开展业务。
不用中国互联网公司的产品，而改用国外的产品服务，恰好可以避免这些数据在国内境内流通，这也是我「脱钩」的原因之一。
我依旧认为国内互联网服务和产品是非常优秀的。但是鉴于个人对于「隐私」和「安全」的偏好，我个人的网络资讯安全策略需要做一些调整。
三.账号
账号是互联网世界的身份证，这一部分是隔离，也是「数字移民」或者「第二数字身份」的关键。
手机 && 手机号码
手机是每个人都使用的设备，目前国内的大多互联网服务都是以手机为主要的入口。
国内法规要求所有的互联网服务都必须实名，目前国内通过实名制严格管控手机号码，基本上所有网站都会要求绑定手机号，手机号某种程序上就是一个人的第二身份证。
我的建议是采用至少2套手机 + 多个手机号方案，这是相对来说最简单的隔离方案。
- A:iPhone + 境外SIM卡 + 国外互联网服务。
- B:国产手机 + 国内SIM卡 + 国内互联网服务，
iPhone 由于其封闭的 iOS 底层系统和严格的权限管控，应用的权限管理严格，基本上不会出现胡乱读取你设备上其他信息的情况，反过来 Android 由于其开放的生态，加上各大手机厂商在系统层面的定制和不太规范和透明的权限管理，所以安全性上还是有一定的差距。
这部分就不展开了，给大家一个最近的新闻，即使在国内安全和合规做到遥遥领先的头部品牌，也会面临这种被取证的挑战:
目前我使用的手机方案是：
| 手机 | 型号 | 运营商 | IP | 用途 |
|---|---|---|---|---|
| iPhone | iPhone14 Pro | 澳门电信 | 澳门 | 美区 AppleID + 国外互联网服务 |
| 安卓 | 华为 Nova 6 | 深圳联通 | 境内 | 国内常用互联网服务 |
| iPhone | iPhone XS 港版 | eSIM 香港卡 | - | 美区 AppleID + 国外互联网服务 |
手机号码方面，我的境内外号码也在用途上做了一些区分。
| 运营商 | 属地 | IP | 用途 |
|---|---|---|---|
| 深圳联通 | 境内 | 广东 | 绑定国内政府、金融机构等关键服务 |
| 深圳联通 | 境内 | 广东 | 绑定普通应用与服务、快递等 |
| ClubSim | 香港 | 香港 | 绑定香地区服务 |
| 中国电信澳门 | 澳门 | 澳门 | - |
| 美国卡 | 美国 | - | 绑定其他境外地区服务 |
我的澳门和香港卡都是通过合法流程申请的，算半实名制的卡，但毕竟还是境外卡，还是有一定的隐私保护。
同时为了避免不必要的麻烦，我也从未使用境外卡号注册境内服务。
我之所以依旧使用一台安卓手机做完自己的主力机，注意还是为了便利。一些政务相关的应用反而在安卓上使用更加方便。
日常生活中许多国内应用和服务，领取优惠券什么的，一般都需要绑定国内手机号，干脆就用安卓手机，反正各种平台数据互相读取，用有限隐私换便利。
邮箱
将邮箱交给一个平台，某种意义也是一个风险挺大的事情。但对于大多数人来说，也没有其他选择。在邮箱服务的选择上，尽量遵循以下几个原则:
- 可持续性:最好这个公司和产品能活得久一点
- 安全记录:是否有被黑客攻破、数据泄露的记录
- 数据和隐私:向任一政府或者机构提供数据的记录和底线
新闻参考:
过去很长的一段时间，我都使用境内腾讯域名邮箱+境外Gmail的组合。
目前除了 QQ 自带的数字邮箱和工作必须的企业邮箱，其他的都迁移到了境外，算是完全弃用了国内邮箱。
目前我的邮箱方案是：
| 邮箱 | 用途 |
|---|---|
| Google Workspace | 绑定个人域名，用于日常工作、个人通讯 |
| Gmail | 绑定国外主流互联网服务 |
| CloudFlare Email Routing | 绑定匿名域名，实现任意邮箱转发，用于注册境外中小产品和服务 |
之所以使用域名邮箱，是因为即使是再大的公司，也有可能会倒闭，而域名邮箱可以随时迁移到其他服务商，不会因为某个公司倒闭而导致邮箱失效。
Google Workspace
我在《我的云账单:2023年》中曾经介绍过我将邮箱从原来的 G Suite 迁移到了 Google Workspace，支持绑定多个域名，最多可以添加300个独立账号，每个账号都拥有独立的 Gmail ，加上终身免费，还是非常划算的。
Cloudflare Email Routing
CloudFlare Email Routing 是一套免费的邮件转发方案，支持Catch-all，可以将任意邮箱转发到任意邮箱。
# catch-all 支持将任意邮箱转发到指定邮箱，并隐藏你的真实邮箱地址
[email protected] -> [email protected]
[email protected] -> [email protected]
[email protected] -> [email protected]Cloudflare 的 Workers，支持你根据不同的域名，设置不同的转发规则，比如：
export default {
async email(message, env, ctx) {
// 通过 message.to 判断希望转发到哪个邮箱
// 例如把 [email protected] 转发到 [email protected]
let forwardAddress = message.to.includes(".1984")
? "[email protected]"
: "[email protected]";
await message.forward(forwardAddress);
},
};使用Catch-all方案，理论上可以实现无限多个邮箱地址，有时候我需要注册一些不太重要的境外服务，就会使用这个方案。毕竟网络安全不分国界，境外服务也存在数据泄漏、密码爆破的风险。
#例
某网站A: [email protected] 密码: 123
某论坛B: [email protected] 密码: 456
某应用C: [email protected] 密码: 789即使这些网站中的某一个发生数据泄漏，也不会影响我的真实邮箱，也不容易撞库发现我的其他账号。
离岸金融账号
使用境外服务，尤其是涉及到金融、支付、投资、交易等服务，都需要绑定银行卡或者信用卡，这部分也是脱钩的难点。
有关这一部分，大家可以参考我过往的有关境外银行卡的文章和视频:
四.云服务
对于云服务，我采用的是迁移境外+下云的双重方案。
| 服务 | Before | After | 变化 |
|---|---|---|---|
| 域名注册商 | Name.com | Cloudflare | 境外 |
| DNS 解析 | DNSpod | Cloudflare | 境外 |
| 博客 | 腾讯云广州 | Vercel | 境外 |
| MySQL | 腾讯云 MySQL | HomeLab | 下云 |
| MongoDB | 腾讯云广州 | MongoDB Atlas | 境外 |
域名
目前我有不少域名，用于博客和各种其他用途。虽然我的好几个域名都按照国内法规备案了，但我还是陆续把域名注册和DNS解析的服务商都已经迁移到了境外。
目前我使用域名服务商是 Cloudflare，国际主流，域名价格也不贵，提供免费的 DNS 解析服务，支持 HTTPS，非常好用。
在这里需要提醒，针对这类具有「根用途」属性的账号权限管理，一定要注意邮箱和找回方式的隔离:不要使用国内邮箱来注册账号，也不要使用国内邮箱来找回密码。
如果你的域名注册商是国外的，但是你使用了国内或存在安全风险的DNS解析服务商，并且将国内或域名邮箱作为找回邮箱，那么你的域名可能会受到中间人攻击。
理论上，攻击者可以通过修改你DNS中的MX记录来转发找回邮件到新的落地邮件服务，从而实施攻击。
云主机
在今年初《我的云账单:2023年》的服务器相关部分 ，我还在使用国内云服务商的主机，现在我只保留了一台香港轻量服务器，但是已经将所有数据均下云或者迁移到了其他境外云主机，这台香港轻量只用于转发一些特殊的网络请求。
过去我的博客和一些应用都是部署在国内云主机上，虽然我的网站已经备案，但是还是难免会接到一些「投诉」，比如要求屏蔽某一篇文章。时不时也能接到备案中心的检查电话，虽然都是正常的检查，但是也是一种麻烦。
除此之外，由于国内互联网主机也会有一些「安全检测」，如果发现你有一些「不正常」的行为，也会被封禁，比如我之前在国内云主机上部署的一个应用，由于有一些于境外通讯的「不正常」的行为，也警告封禁了。
去年我搬新家后，我在家里已经部署了一台服务器，我已经把大多数的服务迁移到了家里的这台 HomeLab。如果外网需要访问，直接通过 DDNS 或者 Cloudflare Tunnel 暴露就可以了。
由于硬件、数据完全都在自己手上，可以说再也不用担心账号「被封」的问题了。
当然，将数据部署在自己的服务器上，也需要注意安全，比如防火墙、安全组、密钥管理、数据备份等等。目前我是采用了多设备+多备份的方案，重要的数据在两个NAS上做了双备份，对于MySQL、Git、Docker 持久化数据等，我都做了定时备份策略。
云存储
由于我的博客有大量的图片资源，加上后面笔记同步的需要，我也陆续将所有需要上云的数据迁移到了境外。
| 存储源 | 类型 | 实体属地 | 存储内容 |
|---|---|---|---|
| Cloudflare R2 | 云 | R2 | 博客图片 |
目前我唯一使用的云存储是 Cloudflare R2，这是 Cloudflare 的一个免费的云存储服务，也可以实现图片的全球分发。
五.个人数据
同样的道理，我也将所有个人相关数据都迁移到了境外或者下云。
| 存储源 | 类型 | 实体属地 | 存储内容 |
|---|---|---|---|
| 群晖NAS | 本地 NAS | 个人 | 照片+视频+ homelab 数据备份 |
| 绿联NAS | 本地 NAS | 中国 | 工作照片+视频+影音娱乐 |
| iCloud | 云 | 美国 | 照片+视频+文档 |
| OneDrive | 云 | 美国 | 照片+视频+文档+应用数据备份 |
| 阿里云盘 | 云 | 中国 | 影音娱乐 |
| 百度云盘 | 云 | 中国 | 影音娱乐 |
目前我家里机柜中有两个 NAS，一个是群晖DS216,一个是绿联DX4600。
群晖是老牌境外品牌NAS，绿联是国内品牌NAS。群晖我只关闭了群晖本身的服务，只有指定文件夹的数据与 OneDrive 同步，同时是软路由的备份机，运行在软路由上的各种应用数据，会定期同步到群晖上。
由于绿联的服务在国内，所以我只备份了一些不太重要的照片和视频，比如一些工作照片和视频，以及一些影音娱乐。
至于阿里云盘和百度云盘，我则完全只用来下载影音娱乐，不会上传任何个人数据。手机应用也关闭了自动备份和相册权限。
照片
对于个人隐私资料，例如相册、视频、文档等，目前我采用的是本地备份 + iCloud 外区 + OneDrive的方案。
我的 iPhone 上有有超过2万张照片，开启了土耳其的 iCloud 2TB 套餐，与我的老婆共用。
我的安卓机目前用的是华为，关闭了华为云服务，但是开启了 OneDrive 的自动备份，这样可以保证我的照片在云端都有备份。但是我一般也不在安卓手机上拍摄和保存私密照片。
照片同步到云上后，会再通过群晖NAS的云同步，同步到我家里的 NAS 上，这样就实现了三重备份。
文件
其他文件，我一般都直接保存到 NAS 上，再通过穿透或 ZeroTier 或者 Tailscale 之类的方案，实现远程访问。
这样的好处就是，云上没有我的私人数据，就也不会麻烦任何云服务商的「安全内容」之类的检测。坏处就是，家庭网络相比云服务商还是差了不少，速度受到家宽上限的限制，进行大文件传输还是比较慢的。
笔记
作为一个使用 印象笔记 超过十年的用户，鉴于印象笔记这几年越来越劣化的用户体验（全客户端的广告），我现在也逐渐开始转向使用 Obsidian 自托管的方案。
Obsidian 是基于 Markdown 的知识管理软件，MD文件我通过 remotely-save 同步到 OneDrive 上，这样就实现了多设备同步。
由于笔记中也存在大量的图片和附件，我使用 Image Auto Upload Plugin 配合本地 PicGo 上传到自己的云存储中。
密码与 2FA
密码和 2FA 是个人隐私和安全的最后一道防线，也是最重要的一道防线。
我并没有使用 1Password 之类的成熟产品，目前我使用的密码管理工具是开源的 Bitwarden，同样是托管在自己的服务器上，只能通过内网或者VPN访问。
我的所有账号，都开启了 2FA 或者多因素认证，我使用的2FA app 是 2FAS 和 Authy。
这里有一个技巧，在添加某个账号到 2FA app时，我会另外把二维码保存到加密的仓库上，以防手机丢失时，还能通过原始的二维码恢复。
总结
这篇文章主要是分享我个人的网络资讯安全策略。由于每个人的需求和偏好不同，所以这些方案并不一定适合所有人。
比如我使用的邮件方案，虽然安全性高，但是无法直接通过境内运营商的网络访问，我也需要通过公司的专线或者澳门卡的漫游来访问。
写完这篇文章，发现尽管自己已经做了不少，但是面对诸多不可抗力，依旧感觉无奈。
Anyway，希望大家都能够保护好自己的隐私和数据。