社交媒体上的行动主义安全性：框架手册 - iYouPort – 觀點2

如果您必需使用社交媒体谈论政治和敏感的行动，这里是最基本的您应该知道的事

本文是框架手册，以最简单的语言描述敏感人士在社交媒体上的安全问题和防御方法；重要部分嵌入了详细介绍。如果您在您的团队培训中讲授本指南的内容，请将其中嵌入的部分展开，做详细讲述。

最常用的社交媒体平台是沟通、组织、动员和获取信息的有力工具。它们的商业模式是基于集中化的数据囤积、处理和分析。这种史无前例的数据聚合使上述所有好处得以实现，但其副作用是令史无前例的监视、操纵、和网络暴力变得易如反掌。

人们产生的数据往往是极其个人化的 — — 我们做的搜索、我们提出的问题、我们说的话或看的东西，这些都会产生数据；但数据也是我们什么时候做的事，和谁做的事，在什么情况下做的事的详细说明。所有这些汇集在一起，就构成了非常强大和有洞察力的私人形象，从社会、文化和政治角度来看，它是关于我们是谁、我们属于哪里、有什么习惯和偏好、甚至内心的弱点。

在这里看到它们对您做了什么的详细介绍。

数据也是很容易被积累、复制、分享和操纵的东西。通常是为了赚钱或其他利益，如影响力、控制力和骚扰侵犯。

社交媒体平台已经成为公民社会组织（CSO）、草根团体、活动家和相关个人的外联和动员工作的中心舞台。本文将重点探讨社交媒体平台用户生成的数据对公民行动主义的影响。

关于社交媒体平台用户生成的数据相关的四个方面问题：

1、平台和个人数据 — — 对个人活动家和整个行动网络的隐私以及对收集和分享个人数据的关切。除了在线审查之外，在政府要求下或平台自行判断所引发的删除帖子或封锁账户的行为也是如此。您可以在这里看到详细解释《 <可视化信息战> 第2部分：社交媒体战场、人工政治和逮捕》。

2、当局和个人数据 — — 根据活动家和组织在社交媒体上的分享内容锁定目标；诽谤；通过法律行动从平台上获取个人信息；在某些情况下，使用暴力获取密码，以解锁用户账户及其社交圈的信息。

3、对手和个人资料 — — 通过诽谤活动，传播虚假信息，泄露个人照片，以及通过像 “人肉” 这样的攻击，可能造成非常严重的后果。

4、个人背景和个人数据 — — 由于与家庭或雇主的政治观点不一致，对个人关系、甚至生机所造成的影响。如今这个问题也越来越严重，见《你的老板怎么比网警还厉害？》。

要开始对您的数据进行更有战略意义的思考，并对现有的担忧做出回应， 重要的是首先要确定威胁和脆弱性，这些威胁和脆弱性可能会根据您周围的环境和政治背景而有所不同 。具体做法您可以参见我们的《整体安全》教程第6集的内容。

任何人都可能被入侵，不论您是否信任此人

即使您信任与您分享信息的人，如果您使用的社交媒体/通信软件创建了用户可访问的记录（比如您可以看到过去的活动或信息历史记录），如果其他人获得了与您联系的人的设备或账户的访问权限，您认为可以保持隐私的信息和图像就会因此被泄漏。

还记得 Jamal Khashoggi 是怎么死的吗？那些间谍并没有直接针对他本人，而是入侵了与他联系最为密切的一位朋友的手机，从而曝光了 Khashoggi 的加密通信内容。只因为这位朋友在网上买了一罐蛋白粉，最终导致 Khashoggi 被分尸。

攻击往往都采用这种 “旁路” 的方法，因为被列为攻击对象的敏感人士大多学习过如何注意保护自己的隐私，但是他们很可能无法控制与他们联系的其他人，尤其是年纪较大的家人，于是攻击者就会从这里入手。

我们所有人都是被联系在一起的。好的方面是，我们拥有彼此，联合的力量会很强大；而坏处是，这意味着发生在一个人身上的事，比如账户被黑，就会影响到我们其他所有人。您可以对自己和团队负责，在自己的账户上使用强大的密码，并设置双因素身份认证；但您也需要与您的朋友、亲密队友和社区讨论这对我们所有人的影响，以及他们可以做些什么。

帐户被黑客攻击有可能不是您的错，即使您非常负责任，也可能会发生这种情况。如果发生了，请善待自己和其他任何人，并 专注于恢复而不是责备 。如果您的账户被黑客攻击：尝试重新获得访问权，并立即更改密码和其他任何可能使用了相同密码的其他账户的密码；并让您的重要关系网络中的所有人知道您的账户被黑客攻击了，信息可能已经暴露，您的账户发出的消息可能不是来自您。比如参见这里的步骤《如果您的电子邮件帐户被黑客入侵怎么办》。

这里有一些资源的链接，可以帮助您保护您的设备，保护您免受黑客攻击：

保护您的设备免受物理威胁 — —

在很多国家和某些情况下，您的对手可能会采取物理攻击的方式来获取数据。这可能包括盗窃、警察突袭，甚至是通过人身暴力来获取设备。然后使用取证软件获取设备中的信息， 包括您以为已经被删除的信息 ，都可以提取。

在这里看到《警察使用的取证工具能提取哪些数据》、和《从技术角度分析这些取证工具，以寻找防御方法》，以及《即便您的设备本身已经没有可提取数据，警察依旧可以使用的取证方法：云取证》。了解对手的能力，您将可以找到最合适的防御措施。

这里有一些《抵制取证工具的方法》，以及《反取证技巧》。

身份：您在网上的身份与您想让别人了解的您的身份 — —

关于您的在线行为建立的数字档案，不仅仅是基于您发布的文章或分享的内容或上传的照片；您的数字阴影覆盖面很大，您应该首先绘制它的轮廓，以便了解更多关于您留下的数字痕迹。这将有助于评估有多少关于您的信息，并让您知道从哪里开始更好地控制自己的数据。

为此您可以参见《自我人肉》指南，以对手的思考方式来验证您自己的薄弱环节，提早弥补。尤其是关于《社交媒体情报》的应对措施，您的对手很有可能挖掘到您自己都不知道存在的重要信息。因此您也需要采取对手的思考方式，见《反情报基本工具》。

对于您可以采取什么样的身份在线公开自己，这里有一些 判断标准 您可以参考《您在什么时候需要假名、匿名和公开在线身份？– 在线创建和管理身份的思考方式》。

在社交媒体上分享图片、视频和文档 — —

当您使用社交媒体平台时，有时您分享的内容远远超过您的想象。这不仅与您分享的数据有关，还与附加的元数据有关。元数据可以理解为传统图书编目的现代版。图书馆抽屉里堆放的小卡片提供了书名、出版日期、作者和在图书馆书架上的位置。同样，在数字领域，一张数字图像中可能包含了拍摄照片的相机、图像的日期和时间等信息，往往还包含了图像拍摄地点的地理坐标。这种与多媒体相关的元数据也被称为EXIF数据，在《关于元数据》的指南中介绍了图像和其中附加的元数据如何会带来严重的风险；在该指南的下集中介绍了《一些元数据工具》以帮助您利用和缓解被追踪的风险。

在实际工作中，重要的是要知道当提到元数据时通常意味着什么。以下是可能与不同类型的数据一起存储的元数据列表：

照片：

如果使用智能手机等具有GPS功能的设备，包含照片拍摄的位置（经纬度坐标）
相机设置，如ISO速度、快门速度、焦距、光圈、白平衡、镜头类型等 (请注意，有些相机会包含位置坐标)
相机或智能手机的品牌和型号
照片的拍摄日期和时间
用于编辑照片的程序名称

PDF文件：

作者的名字，通常是第一次安装用于创建文件的程序时分配的名字
用于创建文件的程序的版本和名称
文件标题
某些关键词
文件创建/最后修改的日期和时间

文本文件 — — 根据用于创建文件的程序，数据可能包括：

所有不同作者的姓名
文件前几版中已删除的文本和注释行
创建和修改的日期

视频 — — 视频文件中的元数据可以分为两个部分：

自动生成的元数据：创建日期、大小、格式、CODECS、持续时间、位置
手动添加的元数据：关于镜头的信息、文本转录、标签、进一步的信息和编辑说明 … 等

音频 — — 音频元数据类似于视频，但使用范围更广，特别是用于注册文件的属性。除此之外，它还可以包括：

创建日期，大小，格式，CODECS，持续时间和一组手动添加的数据，如标签，艺术家信息，评论，专辑中的曲目编号，流派等。

通信 — — 通信中的元数据取决于所使用的通信类型（如电子邮件、手机、智能手机等）。但在一般情况下，它可以显示以下内容（如果没有使用隐藏元数据工具的话）：

发件人和收件人的ID
来文日期和时间
位置
通讯方式…等

您可以关闭手机或相机中的GPS追踪器；还可以在手机设置中限制各种应用程序对您的位置数据、联系人和图片的访问，在这里看到关于《权限设置》的须知。非常建议使用端对端加密通信工具，但 必须了解必要的《 安全文化 》，并让您的重要联系人都遵循同一套安全文化准则 。

在注册设备或软件时，不要使用真实姓名或您在线使用的主要昵称。这样可以防止在使用该设备或软件时创建的元数据与您的姓名或昵称相联系。

在网上发布内容时，您可以将含有大量元数据的文件（如.doc和.jpeg）改为使用较少元数据的文件（如.txt和.png），也可以使用纯文本。

您可以使用工具从某些文件中删除元数据。具体方法见这里。

分享图片的替代方案

来自 Guardian Project 的 ObscuraCam 是一款安卓系统的照片和视频应用，可以保护某些信息的隐私。它允许您用像素化、删改（涂黑）或用搞笑的鼻子和眼镜保护可识别部分。

您还可以反转像素化，这样就只能看到您选择的人，背景中的人都无法识别，这在拍摄街头施暴的警察时会很有用，帮助隐藏背景中的其他抗议者。这款应用还将删除所有存储在照片中的可识别数据，包括GPS位置数据和手机品牌和型号。您可以将受保护的照片保存回图库，或直接分享到 Facebook、Twitter 或任何其他支持 “分享” 的应用程序。

更多相关工具可参见《整体安全（11）》。

社交媒体上的匿名性

对于异议人士和行动者来说，来自家庭和职业圈子的威胁是相当具体的，其影响也各不相同。国家的镇压性法律或社会强加的限制，或活动家的社会或职业网络中的信仰，都可能发挥重要作用。

有两个因素促使活动家注意到所感知的风险。首先，对手可能会拦截活动家的机密数据，这可能导致犯罪或意识形态迫害。

其次是数据足迹带来的意外后果。不论是数据经纪人还是政府，与您的数字活动相关的所有信息都可能会成为监视和针对性的迫害的途径，您很有必要假设数据经纪人能拿到的一切，政府都能拿到。关 于他们能拿到什么，以及如何处理这些数据 ，见《单向镜的背后：监视资本家和政府的联手一直在如何折腾你？》。

这意味着活动家需要小心自己在组织活动时留下的任何数据痕迹，因为今天看似无害的元数据，可能会在未来的任何时候的立法、监管或商业模式下面临危险。

持有与主流价值观不同意见的活动家都会遭到威胁和攻击，在任何国家都是如此，这无需质疑。有些攻击并不需要复杂的技术技能，只需要大量恶意者之间的协调行动；这就是活动家面临的在线骚扰、抹黑运动、恶意举报他们的发布内容和个人资料、人肉、盗用社交媒体账户、身份盗窃和审查网站的方式。

某些类型的攻击需要更多的技术或人力基础设施：恶意软件感染和使用有针对性的间谍软件、互联网搜索引擎中的虚假信息战术、以及克隆在线服务等等，都是很常见的手段。

解决方案见：

考虑潜在的在线身份如何改善您的安全（以及与您个人和职业相关的人的安全），对于准确评估您的风险，以及安全使用各种在线身份所需的技术技能和能力至关重要。您还需要考虑在特定的情况下，您会使用哪种身份。 在这里看到具体判断准则 ：《您在什么时候需要假名、匿名和公开在线身份？– 在线创建和管理身份的思考方式》。

以下问题说明了您在评估其他在线身份时 应该考虑的因素 ：

如果我的真实身份被人知道，我的安全、工作或生活是否会受到威胁？
如果我参与的某些活动被人知道，我的心理健康和/或人身安全是否会受到影响？
如果我的真实身份被人知道，我的家人或其他亲人是否会受到任何伤害？
我是否能够并愿意安全地保持独立的身份？
您需要准确地基于事实来回答这些问题，之后您将看清最适合自己的选择。

真名 — —

风险：在网上使用您的 “真实世界” 身份意味着您很容易被家人、同事和其他人识别，而且您的任何活动都可以与您的身份直接联系起来。

声誉：其他人可以很容易地识别您，从而更容易获得声誉和信任。

努力：几乎不需要努力。唯一的问题是，您在现实中掩饰自己多少，在线就需要同样的的程度。

匿名 — —

风险：它是有益的，但也不容易维持。慎重选择这个选项，除非您具有足够的知识和能力可以保证您的匿名持久性安全。

声誉：需要较长时间的持续努力，因为您需要重建信任和声誉。

努力：需要相当的谨慎和丰富的知识，可能有点辛苦。您必需确定自己可以熟练使用匿名工具（例如Tor或TAILS）。

假名 — —

风险：假名可能会与您的现实世界身份相联系，但也可以有意地避免形成联系。

声誉：一个持久的假名，别人可以用它来识别您在各个平台上的身份，是获得声誉和信任的好方法。

努力：维护需要一些努力，特别是当您在其他地方使用了真名的时候（ 非常不建议采取*部分*假名的做法，大致上这和没做一样 ）。

集体身份 — —

风险：您的真实身份可能会被集体中其他人的行为所暴露，除非您所在的集体如匿名者组织那样其中每个人都熟知如何保护自己和彼此。

声望：虽然不是获得个人声誉的途径，但您仍然可以从集体的声誉中获益，这往往比个人声誉更好。

努力：中等，重要的努力在于熟悉和遵守共同的《安全文化》，了解并每时每刻都能做到保护彼此的安全。

社交媒体的问题 — —

虽然社交媒体平台对活动家和人权维护者来说有多种多样的用途，但其背后最常见的用途是分享信息、创建活动、协调和组织，以及参与讨论。

我们发布过《为什么动员人们离开寡头社交媒体平台会失败》。这是基于活动家的基本利益的考虑。所以，您需要一个 基于您的具体工作的具体分析 ，每一项工作可能都是不同的， 于是您应该掌握一套判断标准，而不是听从他人的指挥 。参见这里《活动家和组织者究竟是否可以使用社交媒体进行宣传动员？：这里是一些注意事项》。

以及这里《在线组织和互助需要多方面小心以维护所有参与者的安全》。

您的身份 — —

如果您想保护自己的隐私，值得考虑使用集体身份。用假名与不同的人共享同一个账户可能是一种很好的方式来混淆算法，并在收集的关于您的数据中产生噪音。

每个人都有自己不同的模式和习惯，可以用来识别他们。让《亲密团队》中的所有人拥有相同的个人资料是混淆这些模式的好方法。

行动者的成功永远不会是个人成功，对于行动者来说只有好的团体协作才能获得真正的成功。

与更多公众分享信息

如果您 不得不 使用寡头公司的社交媒体平台的原因是为了与更多的公众分享信息，请考虑以下几点：

Facebook：

您想让所有人都看到您的分享吗？如果不是，您可以使用朋友列表，如果您在Facebook上的话。列表允许您策划谁可以看到什么，但是，这并不能阻止 Facebook 访问和存储您的数据！

登录到 Facebook 帐户后您会发现 “朋友列表” 的左手栏下：

点击 “新闻源” 左侧的 “探索” 下的 “朋友列表”
单击 “创建列表”
为您的列表输入一个名称和您想添加的名字。您可以随时从列表中添加或删除联系人
单击 “创建”

给您的列表取名时要有创意。请*避免* 用 “家庭” 来代表您的家庭成员，用 “工作” 来代表工作联系人； 也要避免 使用 Facebook 的 “智能列表”，它是基于从您的个人资料中收集的数据。分类包括您的家乡、居住城市、住址等。这些名单会暴露您的联系人，即使他们选择不与 Facebook 分享他们的信息。例如，如果您将某人添加到你所在城市的智能列表中，而这个人还没有将这些信息包含在他们的个人资料中，Facebook 就会要求他们将城市添加到他们的个人资料中，并且也会将他们的个人资料放在该城市下。

从现在开始，当您发布一些东西时，您可以对谁能看到您的帖子有更多的控制。但是，要记住，如果您的列表上的任何一个人的账户或设备被泄露，您分享的内容也会被恶意者看到。 使用社交媒体是一系列的权衡，您应该始终评估相应的利弊。

Facebook

有各种不同的选择来替代 Facebook，但当您建议使用这些替代平台时，您会听到的一个常见的说法是 “用户量太少了没有影响力”。但也并不是每个人在 Facebook 刚开始的时候都在 Facebook 上，邀请您关系网络内的联系人加入您的某个替代平台可能是值得的 — — 即使只是为了您正在做的敏感工作，同时维持一个 Facebook 账户用于个人事务。

如果您和亲密团队的成员忽然间消失在一个热门平台上，对监视者来说这就是一个 “信号”，你们反而会成为监视目标。 所以安全原则上，我们会更多建议《 分身 》，而不是彻底弃用和全面转移 。具体解释见《整体安全》第8集。

一般来说，重要的是要战略性地考虑您用什么工具来做什么。 为各种任务使用不同的平台将有助于分散您的个人数据的危险性。

像 Diaspora 这样的平台是开源的，面向用户控制的。它们是分散化的，这意味着没有一家公司可以拥有您的数据或所有用户的数据。

推特

Twitter 的隐私设置比 Facebook 少得多，但在推特保护自己的隐私还是比较容易的。通过使用一个值得信赖的VPN ，在创建账户和使用过程中谨慎对待自己分享的任何个人信息，以及避免与个人联系人分享信息的对话。在这里看到《您不应该在社交媒体上说的话》。

但是，如果您是一个从事政治活动的个人或者是从事敏感工作的行动主义网络的一部分，监控可能是一个严重的威胁，特别是在风险国家。例如， 标签和使用标签的人很容易受到监视和社交图谱的影响 。您可以在这里看到详细解释《推特标签讲述的故事：解码秘密（8）》。

对于从事敏感活动和关注政治的异议人士来说， 这里的建议非常值得您参考 《使用社交媒体时你必须注意什么？ — — 更安全的抵抗》。

Twitter的替代选择

Mastodon 是与Diaspora遥相呼应的Twitter替代品。它是开源的、去中心化的，允许用户创建自己的 “社区”，前提是，您需要一个服务器。

在这里看到寡头平台和服务的替代品列表《安全工具箱补充版：分类工具列表（2）》。

创建和宣传活动

许多人说他们在 Facebook 上了解活动，许多团体发现这个工具有助于组织聚会和邀请人们。许多人发现它是一个有用的方式来跟踪出席和与参与者分享更新。但是，Facebook 和可能访问您的活动的对手（比如警察）都可以收集所有这些数据。 如果您正在策划一个敏感的活动，或者是一个可能吸引对手的政治集会，最好不要使用 Facebook 。

或者您还可以考虑使用仅限邀请的私人活动，确保标明只有主持人可以发出邀请。

作为替代，可以考虑使用传统的方式，如海报、电子邮件、传单和短信进行邀请。比如见这里《被压迫者的教育学，和”高级传单” 》。

如果您是一个行动主义团体成员或活动家，经常为一个封闭的亲密团队或一个确定的网络组织活动，可以考虑花时间在 Crabgrass 上建立一个账户。Crabgrass 是一个安全的基于网络的组织工具，专门为活动家设计。它可以作为一个社交平台，在这里您可以与其他人讨论，也可以在私人团体中组织任务。这是一个专门为满足自下而上的草根组织需求而定制的社交网络工具，因为它能够在线协作，分享文件、任务和项目。

群组

许多基层团体和活动家网络利用 Facebook 群组进行讨论，汇集链接和信息，并组织即将举行的活动。当面对面会面不容易或不可能时，这尤其有帮助。但是，虽然 Facebook 群组可以 “关闭”，但问题还在于您是否愿意将您的数据和所有联系人分享的信息存储在一个监视资本家的服务器上。

为此， Crabgrass 是一个很好的选择。它允许 Facebook 群组允许您做的一切，并增加了一层隐私和安全性。

通信

Messenger 是最容易被取代的 Facebook 服务，因为存在各种安全、开源、加密和高效的替代品。与 Facbeook 提供的其他服务不同，Messenger 其实有多个值得竞争的替代品，您可以考虑 Signal、Riot和Jitsi，以及在这里看到更多选项《安全手册》。

永远不要忘记《 安全文化 》！一个软件无法保护您全部，最大的弱点在于参与的人本身，只有通过 实施团队安全文化 ，才有希望保证所有人的安全 。⚪️

社交媒体上的行动主义安全性：框架手册 - iYouPort