安全与密码学2021arxiv.org编辑精选
口袋里的漏洞：客户端扫描的风险
Bugs in our pockets: the risks of client-side scanning
进阶 · 约 90 分钟读完前置知识：端到端加密基础、内容审核与机器学习、隐私安全政策
导读
这篇论文讨论客户端扫描（client-side scanning）的风险：在用户设备上扫描通信内容以检测违法内容，会削弱加密与隐私安全保证。作者分析其技术、法律与政策风险，并在结论中主张技术和法律应保护而非侵入隐私，CSS 会让人更不安全。
HN 关注点：隐私、加密与监控议题，评论从论文结论延伸到去 Google 化实操，以及持续监控对消费设备的影响。
后来怎么样
该文将客户端扫描的技术与政策风险系统化，成为隐私与安全界反对在端到端加密中部署 CSS 的核心参考，影响了欧盟 CSAM 法规、英国在线安全法案等政策争论的论证框架。
HN 评论精选
这几条评论里：支持 1 补充 2 亲历 1
支持赞同论文结论：客户端扫描会同时损害隐私与安全，技术与法律应互补保护而非侵入。
完全同意他们结论/建议的最后几句：“在一个个人信息存在于我们口袋中强大通信和存储设备所承载的比特里的世界，技术和法律都必须被设计来保护我们的隐私与安全，而不是侵入它。稳健的保护需要技术与法律相辅相成。客户端扫描会严重破坏这一点，使我们所有人都更不安全、更缺乏保障。”
amatecha查看英文原文
Completely agree with the final sentences in their conclusion/recommendations: "In a world where our personal information lies in bits carried on powerful communication and storage devices in our pockets, both technology and laws must be designed to protect our privacy and security, not intrude upon it. Robust protection requires technology and law to complement each other. Client-side scanning would gravely undermine this, making us all less safe and less secure."
亲历亲历去 Google 化时遭遇系统与预装应用的阻挠，需用 ADB 删除并寻找 F-Droid 替代品。
我刚刚在 Android 手机上禁用 Google Play Services 以提高隐私……然后开始每 10 秒收到约 10 条通知（不是玩笑），说这些应用在没有 Google Play Services 时无法正常工作，即使它们其实能正常工作。Google 和/或 LG 允许我禁用其中 7 个应用，但其他应用无法通过图形界面卸载或禁用……我不得不用 ADB 删除它们。其中一个应用，信不信由你，是 LG 手机时钟，另一个是计算器。删除所有抱怨缺少 Google Play Services 的应用，并为我需要的应用（比如计算器）安装替代品后，一切正常。（感谢 F-Droid 帮我找到可用替代品）
EastOfTruth查看英文原文
I just disabled Google Play Services on my Android phone to increase privacy... then I started to get spammed with about 10 notifications every 10 seconds (not a joke) to tell me that those 10 apps would not work properly without Google Play Services enabled even if they did work properly... Google and/or LG allowed me to disable 7 of these apps, but the others could not be uninstalled or disabled using the GUI... I had to use ADB to remove them. One of those apps, believe it or not was the LG phone clock and another was the calculator. After I removed all apps that were complaining about missing Google Play Services and installed alternatives for the ones that I needed like the calculator, everything was working fine. (thanks to f-droid for helping me find viable alternatives)
补充用放射性玩具类比，担忧持续监控会把普通消费者推向极简或盗版设备，消费电子市场萎缩到企业客户。
我们能不能造个词“spy-tech”，然后继续过日子？我在这里读到一篇关于 1900 年代初放射性玩具流行时的文章。放射性变得如此不受欢迎，以至于如今我们宁愿死于全球变暖也不愿使用核能。类似地，一个大多数人回到纸笔、用盗版设备看公共电视的世界是可以想象的，只为（试图）逃离电子设备的持续监视。给足时间和可怕先例，Apple 和 Samsung 这样的公司将来只能把新设备卖给企业客户。
dsign查看英文原文
Can we coin the word spy-tech and go on with our day? I read a post here about when radioactive toys were popular, back in the early 1900s. Radioactivity fell so much out of grace, that these days we prefer to die of global warming than to use nuclear power. In a similar vein, a world where most people go back to pen and paper and watching public TV on bootlegged devices so that they can (try to) escape continuous surveillance by electronic devices is conceivable. Give it enough time and grisly precedents, and companies like Apple and Samsung will only be able to sell new devices to corporate customers.
历次讨论
- 2021Hacker News 讨论帖204 分 · 131 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选