如何防止手机访问网站被监听？

This topic created in 2863 days ago, the information mentioned may be changed or developed.

我希望的情况是，只有我和我的浏览器知道我访问了哪些网站（两个方面，一是第三方无法知道我访问了哪些网站，另一个是网站无法知道我访问了它）。但没有找到很好的方法，既能方便地浏览网页又不泄露隐私。
面临的难点有几个方面：

1. HTTP
尽管大型网站都开启了 https，但有很多还是没有证书，这样一来访问了什么网站，运营商一清二楚。

2. HTTPS
即便使用 HTTPS，根据协议运营商还是能知道你访问的 IP 和端口吧？有些网站应该只有一个 IP，这样不就完全暴露给运营商了吗？

3. DNS
DNS 查询的过程应该会有记录对运营商可见吧？做了哪些查询不就基本上意味着访问了哪些网站吗？ Google 前阵子推出了 Intra，应该就是为了满足这方面的需求吧？

4. 特殊方式
这是网站层面的，网站能够知道我的 IP 地址，但我的问题针对的是手机，庆幸的是用手机网络访问，出口 IP 是共用的，但是通过运营商查询访客手机号的接口，网站还是能知道我访问了（知道手机就可以确定我的身份）。移动 CMWAP 的接入点直接上中国移动的邮箱是不需要验证的，应该是有一些信息会附在请求里吧。

5. 信息关联
哪怕我用“特殊方法”上网，IP 地址往往也是固定的，造成的问题就是如果大量的网站日志能够互通，基本上能知道访客的真实身份。比如说你上过实名的 FB，拿着你同样的 IP 去访问 Google，Google 如果联系了 Facebook 仍然可以知道你的实名身份。

其他的诸如网站 js 跟踪用户之类的就不说了，先说网络层面吧

求大家的思路

访问

网站

知道

运营商

10 replies • 2018-10-14 17:28:27 +08:00

AEANWspPmj3FUhDc

Oct 11, 2018

我不是网络安全方向的，也不太懂这些，但是还是想说一句。
如果不是这个安全行业的人，或者有安全行业的人为你保驾护航的（比如总统之类的）就别太折腾这些了，没用的。

1.那就别访问这些网站。
2.使用代理
3.使用不记录 log 的 dns，比如 1.1.1.1 或者自建
4.找一个前置代理，再套一成 tor
5.完全伪造一个身份，不能与现在的身份有任何关联（比如说话方式也要改变，不然依然可以分析你的言论对你侧写，一样可以做到侦查你时缩小范围）

AEANWspPmj3FUhDc

Oct 11, 2018

记得一两年前看过一篇新闻，似乎可以通过手机的陀螺仪进行监听。

AEANWspPmj3FUhDc

Oct 11, 2018

所以难点岂止上面的 5 点

exip

Oct 11, 2018 via Android

小隐隐于野，大隐隐于市

hadesy

Oct 11, 2018 via Android

Tor

exip

Oct 11, 2018 via Android

降低信噪比，低到都觉得是噪声，就把你忽略了。

JohnChu

Oct 11, 2018 via Android

@ivlioioilvi 那些属于跟踪器范畴，还有使用 HTML5 特性读取电量和其他信息生成指纹的。

第 3 点：DNS 的问题我不是指 dns 服务器的选择，而是查询信息怎么加密传输，否则还是能够看到。
第 1.4 点：我也知道用 tor，但是要想隐藏我的浏览记录怎么想也不是特别高的需求，用一些稀松平常的手段做不到吗？ tor 慢成什么样，应该是回到 2g 时代吧？
上面的 5 点用 tor 可以统统解决

zmz125000

Oct 11, 2018 via Android

洋葱不慢，就是有很多网站屏蔽洋葱 IP。

agagega

Oct 14, 2018 via iPad

你说的两个方面，一比二容易些。Cloudflare 和 Mozilla 合作搞了个 ESNI，再加上 TLS 1.3，域名的问题基本可以搞定了。至于 DNS，这两家也合作有做 DoH。至于你说网站的 IP 暴露，除非你放在一个 CDN 后面否则没办法。当然了，只有一个 IP 的小网站屏蔽掉 HTTP Host 为 IP 的请求就好了。你说的互通，其实跟「不让网站知道我访问了它」关系更大些。这个比较难，因为防追踪不能简单用加密解决了。当然，这些数据对于各大公司都是重要财产，不会轻易共享的。要把它们的东西聚合在一起，这个能量没几个组织有。

JohnChu

Oct 14, 2018 via Android

@agagega 担心的是 gov 组织从多渠道获取日志加以整合。其他我去了解一下，谢谢！