元数据 on Arpokrat

2026 年加密通讯应用横评：光有加密已经不够

Thu, 10 Sep 2026 00:00:00 +0000

打开 WhatsApp、Telegram、Signal、Messenger、Google Messages。今天这些应用都会在界面的某个角落打出同一句承诺：端到端加密。这句话已经变成一句标准的销售辞令，就像移动运营商说的"无需签约"。它已经区分不出任何东西，恰恰是因为它几乎在哪里都成立了。

然而这些应用彼此毫无相似之处。一个要你的手机号，并把通讯录里存有你号码的人的名单交给司法机关。另一个则真的对你一无所知，甚至不知道有没有这么一个账号。两者之间，十几个项目做出了截然不同的取舍，而没有一个在自己的首页上把这些取舍讲清楚。

端到端加密的意思是，承载消息的中间方无法读取你消息的内容。这是一项重要成果，贬低它是荒谬的。但它对这个中间方在内容之外学到了什么只字未提：你写过消息，写给谁，在几点，从哪个 IP 地址，多久一次，在哪些群里，用的是与你身份证件绑定的哪个手机号。

加密保护你说了什么。它不保护你说过这件事本身，也不保护对谁说、何时说、从哪里说。

本文不做排名。不存在绝对意义上最好的通讯应用，因为不存在一个通用的对手。这份材料提供的，首先是一套七项标准的评判框架，可以用来评判任何一款应用，包括尚未问世的；其次是对入选的十四款应用逐一给出的诚实档案；最后是按威胁模型给出的建议。每一份档案都包含一个专门讲这款应用不保护什么的栏目，无一例外，包括我们自己的。

取代加密的七项标准

这一节是全文最重要的部分。如果你只读一节，就读这一节：它能让你自己去评判任何一款通讯应用，包括本文发表之后才出现的那些。

端到端加密，一项已经区分不出高下的成果

Signal 协议于 2013 年公开，此后一直有密码学研究者对其做形式化分析，如今已成为事实标准。WhatsApp 自 2016 年起使用它，Google Messages 在用，Messenger 也在用。就一对一会话的内容而言，密码学层面的争论基本已经终结。

仍然有用的问题，已经不再是有没有加密，而是加密怎么做。它是默认开启，还是需要你主动要求？它覆盖群聊，还是只覆盖两人之间的往来？它覆盖备份，还是备份以明文形式送到 Google 和苹果那里？有没有前向保密，也就是定期轮换密钥，保证今天一把密钥被攻破，也不会打开通往昨天消息的通道？

这些问题仍然能区分高下。营销页面上出现"加密"两个字，则不能。

元数据，服务方不读你的消息也知道的那些事

2014 年 5 月，在约翰斯·霍普金斯大学与法学家戴维·科尔的一场公开辩论中，前国家安全局和中央情报局局长迈克尔·海登说出了一句后来广为流传的话。科尔刚刚引用了前国家安全局法律顾问斯图尔特·贝克的说法：“元数据会把一个人生活的一切都告诉你，如果你手上的元数据足够多，你其实根本不需要内容。“海登表示赞同并回答：“我们根据元数据杀人。“他随即补充说，美国国内的采集项目做的并不是这种事，为求诚实，这句补充必须一并还原。它并不改变要害：美国情报系统的最高负责人公开确认，元数据足以支撑致命决策。

在通讯应用里，元数据就是内容之外的一切：谁写给谁，在几点，从哪个 IP 地址，频率多高，在哪些群里，文件多大。要重建一位记者和一个消息源之间的联系，并不需要读他们的往来内容。只要看到他们是在一篇调查报道发表前三天开始互相写信的，就够了。同样的推理适用于律师和当事人、医生和病人、员工和工会，以及任何两个不希望自己的关系被人知道的人。

因此，一项服务完全可能在内容加密上无可指摘，而在其余一切上彻底透明。这甚至是最常见的情形。我们在别处详细讲过同样的推理如何适用于日常生活中其他被动信号，特别是在我们关于手机持续定位追踪的文章里，以及在我们对 Leonardo 公司 SignalTrace 系统的分析里，后者仅凭沿途捕获的蓝牙标识就能重建行踪与人际关系。

对任何一家厂商都值得一问：如果明天早上法官查封你们的服务器，上面还剩下什么？

所要求的标识：号码、地址，还是什么都不要

这是最具体、也最被低估的一项标准。三种模式并存。

手机号。 在大多数国家，手机号与身份证件绑定。它唯一、长期有效，而且早已存在于数百人的通讯录里。要求提供号码，就是把每个账号与一个法定身份绑定，并使社交图谱的发现变得毫无难度：只要比对通讯录即可。号码同时也是身份验证中那个众所周知的薄弱环节，正如我们在关于短信双因素验证的文章里所展示的：一次成功的 SIM 卡劫持偷走的不只是一个验证码，而是一个通讯身份。

电子邮箱地址或随机标识。 更好，因为一个一次性邮箱只要几秒钟，而随机标识本身什么也说明不了。但它在服务器端依然是一个长期标识，因而也是一个把不同时间的会话关联起来的抓手。

没有任何标识。 这是最新、也最罕见的模式。根本没有账号，没有名录，没有固定地址。你以设备上的一组密钥的形式存在，别人通过一次性邀请链接联系到你。没有什么要填，没有什么会泄漏，没有什么可关联。

开源与独立审计，两个该停止混为一谈的概念

这是两件不同的事，不该再被放在一起讲。

开源意味着代码可读。这是信任的必要条件，不是安全性的证明。除非偶然，没有人会去读代码。在受到高度关注的自由软件项目里，严重漏洞也曾存活多年。

独立审计意味着有一个拿钱去找漏洞的第三方真的找了，并且公布了自己找到的东西。这要有力得多，也罕见得多，因为它很贵。

接下来还要区分两类审计。密码学设计评审考察协议在纸面上是否设计得当。实现审计考察代码是否真的做到了协议所声称的事。两者都有用，但证明的不是同一件事，一个项目可能只有前者而没有后者。

Threema 的案例完美说明了这套做法的价值。2022 年，苏黎世联邦理工学院的三位研究者在三种不同威胁模型下，找出了针对其协议的七种攻击，并通报给了厂商。Threema 以一套名为 Ibex 的新协议作答，于 2022 年 11 月底公布。一款封闭且未经审计的应用永远不会经历这一幕，而这并不意味着它更安全。

司法管辖与 CLOUD Act

一家企业的设立地决定了哪些政府可以强制它。这是一项法律标准，不是技术标准，而且具有决定性。

美国于 2018 年通过的 CLOUD Act，了结了微软爱尔兰案提出的问题：一家美国公司能否拒绝交出存放在爱尔兰服务器上的邮件？立法者的回答是不能。该法要求受美国管辖的服务提供者交出其所控制的数据，与存储地点无关。一台由美国公司运营、位于法兰克福的服务器，仍然处在美国调取令的可及范围内。若请求与外国法律冲突，提供者可以提出异议，但异议是一道程序，不是一面盾牌。

实际后果很简单：如果托管商、母公司或控股公司受美国法律管辖，那么把服务器放在欧洲并不足够。该问的问题不是"你们的服务器在哪里”，而是"谁能在法律上强制你们，依据是什么”。

还要补充两点。第一，如果服务方毕竟握有可利用的数据，那么一个具有保护性的司法管辖也毫无用处：最好的防御始终是根本没有东西可交。第二，一个敌意的司法管辖并不会判处一项在结构上什么都不知道的服务死刑。Signal 是美国的，而它从来只能交出两个时间戳。

项目的存续能力，没人看的那项标准

一款设计精良却在十八个月内消失的通讯应用，会给你留下一本用不了的通讯录，往往还有一段丢失的聊天记录。这项标准从来不出现在横评里。2026 年让它变得无法回避。

2026 年 4 月，Session Technology Foundation 公开宣布，它只筹到约 6.5 万美元捐款，而运转一年大约需要一百万美元，其现金撑不过 7 月。全体员工被遣散，开发停摆。Session 有超过一百万月活用户。6 月，基金会宣布项目被数千名用户的捐款救了下来，其中多数是小额捐赠，并将以一支由软件架构师 Jason Rhinelander 带领的三人开发团队重新出发。

三周后，2026 年 7 月 9 日，Briar 项目发布了类似的消息：在考虑过终止之后，它转入维护模式，也就是只做安全与缺陷修复，不再开发新功能，原因是缺乏可持续的资金。

两个标志性项目，两种不同的经济模式，同一年，同一条死胡同。因此，在采用一款通讯应用之前该问的问题变成了：谁在付钱，付多少，能付多久？靠捐款过活的基金会、卖授权的公司、拿补助的高校项目、志愿者维护的社区软件，预期寿命并不相同，而这与它们密码学的质量毫无关系。

实用性，一项名副其实的安全标准

最后这项标准常常被纯粹主义者轻蔑地对待。这是个错误。

一款你的联系人拒绝安装的通讯应用保护不了任何人，因为对话会在别处、以明文进行。一款通知送不到的应用，会把用户在紧急沟通时推回 WhatsApp。一款要求双方必须同时在线的应用，不适合跨两个时区的日常通信。

一个系统真正的安全性，是它在真实使用中的安全性，而不是它规格表上的安全性。一个稍微不那么纯粹、但你的联系人确实在用的方案，比一个完美却只有你一个人用的方案保护得更多。

大众通讯应用

WhatsApp 是全球使用最广的通讯应用。它属于 Meta，免费，其商业模式建立在集团的广告生态和面向企业的服务之上。

它真正保护什么。 消息内容，采用 Signal 协议，自 2016 年起。这套实现是认真的，这一点必须讲清楚：你在 WhatsApp 上的会话内容，Meta 读不到。端到端加密的备份是存在的，值得开启，因为它默认不开。这款应用极其可靠，到处都能用，而且你的联系人已经装了。

它不保护什么。 其余的一切。凭一份普通的调取要求，Meta 就会交出订户数据：账号名称、创建日期、最后一次登录、IP 地址、电子邮箱地址。凭搜查令，公司会提供目标人物的通讯录，还会提供通讯录里存有此人的其他 WhatsApp 用户名单。换句话说，社交图谱在两个方向上都可以交出。所保留的元数据包括时间戳、发件人与收件人标识、送达状态、群组构成及其变更。根据一份被公开的联邦调查局文件，在实时监控中，WhatsApp 能够每十五分钟产出目标用户的某些元数据。最后，手机号是强制的，而 Meta 受 CLOUD Act 约束。

它适合谁。 适合所有人，作为一条普通的沟通渠道，前提是你接受关系图谱为 Meta 所知，并可被交给司法机关。

Telegram 常被归入安全通讯应用。这是一个应当不带敌意地澄清的误会，因为 Telegram 在它真正做的事情上非常出色。

它真正保护什么。 就日常使用而言，不比一项传统在线服务更多。普通会话，也就是所谓的云聊天，在客户端与服务器之间加密，随后以加密形式存放在 Telegram 一侧，而 Telegram 掌握读取它们的手段。端到端加密只在秘密聊天中提供，而秘密聊天默认不开启，仅限于一对一，绑定在最初的设备上，且不会同步。反过来说，Telegram 做得极为出色的是超大群、广播频道、大文件分享和多设备在线。它是一个了不起的发布网络，也应当按这个标准来评价。

它不保护什么。 面对厂商的普通会话内容、手机号、IP 地址。公司立场在 2024 年 9 月发生了变化，即帕维尔·杜罗夫在法国被捕之后：Telegram 如今会应有效的法律请求，交出被举报用户的号码和 IP 地址，而此前的承诺把这类移交限制在恐怖主义案件之内。2024 年公布的数字反映了量级的变化：美国约 900 项请求获得满足，涉及 2253 名用户；印度 14641 项，涉及 23535 名用户；英国 142 项。此外，该集团注册于英属维尔京群岛，管理层设在迪拜，这一架构的不透明本身就是一项分析数据。

它适合谁。 适合公开传播、大型社群、信息追踪。不适合一场必须对厂商保密的对话。

事实标准

Signal

Signal 是标杆，本文也照此对待它。它由 Signal Foundation 发行，这是一家美国非营利组织，靠捐款和 Brian Acton 的一笔初始捐赠维持。

它真正保护什么。 内容，靠的是它自己发明、并成为业界参照的协议。但更重要的、也真正让它与众不同的，是其余部分：私密联系人发现、封装发件人、对所留存数据的系统性最小化。证据不是自我宣称，而是司法上的。Signal 在一个专门页面上公布它对调取要求的答复，而这些答复彼此相似：该组织只能提供账号创建的时间戳和最后一次登录的日期。在一起提交至哥伦比亚特区法院的案件中，司法机关要求提供三十七个手机号的订户信息。答复还是同一份。这是整份横评中唯一具有这种品质的、公开的抗调取记录，它比任何营销承诺都更有分量。

它不保护什么。 到 2026 年，注册时手机号仍然是强制的。2024 年引入的用户名让你不必再把号码告诉联系人，这是实实在在的进步，但并未取消创建账号时的要求。公开资料显示 Signal 正在研究无号码注册，可能配合一次性付费以限制滥用，但截至撰稿时尚不可用。此外，Signal 受美国法律管辖，因而也受 CLOUD Act 约束：保护并非来自司法管辖，而是来自根本没有东西可交。最后，其基础设施是中心化的，生态对第三方客户端封闭，这一点我们后文还会再谈。

它适合谁。 几乎适合所有人。它是市场上保护力与实际普及率之间比例最好的产品，也是当手机号在你的威胁模型中不构成问题时的默认推荐。

Molly

Molly 是 Signal 面向 Android 的加固分支。它不改协议、不改网络、不改标识模式：它加固客户端。

它真正保护什么。 Signal 在设备一侧不保护的东西。Molly 用一句口令加密本地数据库，从而锁住整个应用，并在上锁时用随机数据擦除内存，以抵抗设备被扣押后的取证分析。它还允许把流量经由 SOCKS 代理或 Tor 转发。Molly-FOSS 变体则移除了 Google 的专有组件。这些官方客户端都不做。

它不保护什么。 一切与服务器有关的部分。Molly 使用 Signal 的服务器，因此需要手机号，并原样继承同样的元数据画像和同样的司法管辖。它只有 Android 版。而且它是在基金会的容忍下、而非其正式许可下运行于 Signal 网络的，多年来相安无事。

它适合谁。 适合威胁模型中包含手机被实物扣押的 Android 版 Signal 用户：出差的记者、活动人士、过境的律师。

不要手机号的通讯应用

Session

Session 押了一个激进的赌注：去掉号码和邮箱。注册时，应用生成一个随机的账号标识，除此之外什么都不问。项目由 Session Technology Foundation 推动，这是一家瑞士法下的基金会。

它真正保护什么。 注册时的身份，以及 IP 地址。消息经由一个采用洋葱路由的去中心化节点网络传递，因而没有任何一台服务器同时知道起点和终点。Android、iOS 和桌面客户端的代码曾接受法国公司 Quarkslab 的审计并公开报告，报告在 Android 上指出七个问题、iOS 上七个、桌面客户端上两个，其中多数此后已修复。这款应用在所有平台上都有，看起来就像一款普通通讯应用，这在此类产品中并非小事。

它不保护什么。 Session 在 2021 年移除了前向保密，理由是其去中心化架构存在稳定性问题。具体而言，一把长期密钥被攻破，就会暴露过去的消息。基金会在 2025 年 12 月宣布了 V2 协议，重新引入前向保密并加入基于 ML-KEM 的后量子密钥交换，但撰稿时该协议尚未定稿。而最重要的是，存续能力这项标准在这里分量极重：该项目在 2026 年距离停摆只剩几周，如今以三名开发者服务超过一百万用户。

它适合谁。 适合想摆脱手机号、又不想改变使用习惯，并且接受目前没有前向保密的人。

Threema

Threema 是一家出售自家应用的瑞士公司。它是本次横评中唯一收费的参与者，而这恰恰让它的模式清晰可读。

它真正保护什么。 身份与司法管辖。安装时，应用生成一个随机的 Threema ID。手机号和邮箱地址是可选的，只用于让联系人找到你，而没有任何东西强制你开启。服务器归公司所有，位于苏黎世一处通过 ISO 27001 认证的数据中心，适用瑞士法律，不在 CLOUD Act 范围内。源代码已公开，Android 上提供可复现构建，因而可以验证分发的应用与代码相符。Threema 于 2020 年 10 月请 Cure53 审计其移动应用，又于 2024 年 1 月审计其桌面应用。2022 年底采用的 Ibex 协议，在 2023 年由德国研究者发表了形式化安全性证明。

它不保护什么。 价格，一次性购买约六欧元，是身边人采用它的现实障碍，也是最主要的实际阻力。2022 年苏黎世联邦理工学院那一幕还提醒我们，即便是认真的厂商，也可能多年带着一个脆弱的协议：七种攻击被找出，协议被彻底重做。最后，Threema 标识在服务器端仍然是一个长期标识，这并不是完全没有标识的模式。

它适合谁。 适合欧洲的公司、律所、行政机构，或者宁愿为产品付费而不愿依赖捐款、并且希望有明确瑞士司法管辖的个人。

Wire

Wire 的性质变了很多。它以面向大众的通讯应用起家，后来转向组织、企业和公共部门。

它真正保护什么。 内容，先用 Proteus 协议，后用 MLS，也就是 IETF 的群组消息标准，Wire 是最早认真实现它的厂商之一。注册通过邮箱完成，因而避开了手机号。审计是公开的：Kudelski Security 与 X41 D-Sec 于 2017 年发布了协议实现评审，随后在 2018 年发布了 iOS、Android 和网页客户端的应用审计。

它不保护什么。 元数据，Wire 在服务器端以明文保留它们，厂商从未隐瞒这一点，而这一点也一直受到批评。法律架构同样复杂：运营主体是瑞士的 Wire Swiss GmbH，集团控股公司设在柏林，厂商称超过 90 % 的股本由欧洲机构投资者持有，但 2019 年在特拉华州设立了一家美国实体。在为敏感用途选择 Wire 之前，这种复杂性值得先弄明白。

它适合谁。 适合需要合规的加密协作、并要求商业支持和集中管理的组织，而不是寻求匿名的个人。

Element 与 Matrix 协议

Element 是 Matrix 的主要客户端，而 Matrix 是一个开放的联邦式协议。其模式与本次横评中的其他所有产品都不同：任何人都可以自建服务器，服务器之间像电子邮件服务器那样互相通信。

它真正保护什么。 自主权。一家组织可以自建服务器、掌控自己的基础设施、不依赖任何厂商，同时保持能被网络其余部分联系到。这是本次横评中唯一提供这种组合的模式，也是多个欧洲行政机构选择它的原因。消息的端到端加密已经就位。

它不保护什么。 元数据，而且这是结构性的。你所在服务器的管理员看得到谁和谁在说话、什么时候、在哪些房间里。房间的元数据，包括名称、主题和其他状态事件，都以明文存放在服务器上。Element 正在开发对这些状态事件的加密，但截至 2025 年 9 月，该功能仍属实验性质，只在实验室选项中提供。联邦让问题更严重：一个房间的历史会复制到参与的各服务器上，而它们会保留这份历史。厂商还在销售一个用于过滤联邦、以限制这类泄漏的网关，这本身就是一个有用的自认。

它适合谁。 适合想要掌握自身基础设施主权、且对手并非自己系统管理员的组织。不适合想要隐藏自己人际关系的个人。

完全没有标识的通讯应用

这是最新的一类。其原则不是藏起一个标识，而是根本不创建标识。

SimpleX Chat

SimpleX Chat 是第一个没有用户标识的通讯网络，连随机标识都没有。这是一项实实在在的概念进展，也应当这样呈现。

它真正保护什么。 社交图谱，靠的是架构本身。没有账号，没有名录，没有固定地址。每一段对话都建立在托管于不同中继上的单向队列之上：你发出的内容经由某个中继上的一个队列，回复则经由另一个中继上的另一个队列返回，因而没有任何中继能同时看到两端。中继是盲的，既不知道投递者也不知道收件人。项目公开了两份由 Trail of Bits 完成的独立审计：2022 年 11 月对实现的安全评估，以及 2024 年 10 月对协议密码学设计的评审，后者包含对队列协商协议的形式化验证，最终指出三个中等严重程度和一个低严重程度的问题，且均难以利用。协议在双棘轮之上增加了一层后量子保护。中继可以自建，Android、iOS 和桌面都有客户端，厂商 SimpleX Chat Ltd 是一家自 2021 年 10 月起注册的英国公司。

它不保护什么。 有两点值得指出。首先是默认托管：项目自己运营的中继运行在唯一一家供应商 Linode 上，那是美国 Akamai 的子公司，位于其伦敦、法兰克福和斯德哥尔摩的欧洲数据中心。因此，不开启 Tor、也不更换中继的用户，依赖的是一家美国公司运营的基础设施，这就把 CLOUD Act 重新拉回了画面之中。这个话题在项目仓库中有公开记录。其次，使用体验依然有门槛：建立连接需要交换链接或二维码，iOS 上通知的可靠性长期是弱项，大群的规模化至今仍是工地。最后，资金如今依靠 2026 年 8 月启动的股权众筹。

它适合谁。 适合想要无标识模式、并且要求当下可得的最佳外部验证水平，同时接受更技术化上手过程的人。

Arpokrat Messenger

Arpokrat Messenger 是我们自己的产品，这份档案沿用与其他产品相同的框架。首先必须直截了当地讲明：Arpokrat Messenger 是 SimpleX 的一个分支。上文所述的架构，即没有标识、单向队列、盲中继，不是我们的，而是 SimpleX 的。我们并不声称在密码学层面改进了它，我们把功劳归于它，正如我们的协议页面明确写明的那样。对于 ArpokratOS 与 GrapheneOS 的关系，我们持同样立场。

它真正保护什么。 SimpleX 所保护的一切，再加上一系列运营与产品上的选择。我们运营的中继分布在依据法律挑选的五个司法辖区：瑞士、冰岛、巴拿马、马来西亚和毛里求斯，没有一个是美国的；基础设施不依托任何美国超大规模云服务商，既不用 Amazon Web Services，也不用 Google Cloud、Microsoft Azure 或 Cloudflare。待投递的消息只存在于内存中，交换分区已关闭，断电即全部清空，发布清单则在一台与网络隔离的 Qubes OS 机器上签名。Tor 一键开启，无需第三方应用，默认保持关闭。隐身模式为每个联系人分配不同的身份档案，包括显示名和中继，从而无法把职业生活与私人生活关联起来。由于软件是开放的，任何人都可以自建中继。客户端以 AGPLv3 许可证发布。非托管钱包支持 Bitcoin、Ethereum、Monero、Polygon、Solana 和 Tron，密钥永不离开设备；Zcash 支持已宣布，但至今尚未提供。内置的 Swap 是一个聚合器，比较各家独立服务商的报价，并按其所要求的身份验证程度从 A 到 D 给每家评级，A 表示无需 KYC，D 表示强制 KYC，资金直接在用户与所选服务商之间流转。据我们所知，没有其他通讯应用提供这种评级。最后，厂商是一个身份明确的商业实体：注册于瑞士楚格的 Arpokrat GmbH，有公开的通信地址，有以 PGP 签名、按六十天有效期窗口续签的 warrant canary，并承诺 24 小时内回应支持请求。应用免费，无广告。

它不保护什么。 这里必须讲得精确，因为这是我们在其余部分保持可信的唯一途径。

Arpokrat Messenger 至今没有任何以其自身名义发表的独立密码学审计。SimpleX 有两份。也就是说，底层协议经过了审计，我们的实现与我们的运营则没有，这不是一回事，正如本文前面所解释的。

Arpokrat 没有任何抗司法调取的公开记录。Signal 有，可核查，且跨越多年。warrant canary 是一项严肃的承诺，但它不是司法先例。

这款应用今天只有 Android 版。iOS、Linux、macOS 和 Windows 版本已宣布，但尚不可用。对于需要与 iPhone 用户通信的人来说，这是一道当下就存在的障碍，而且无从绕开。

最后，这个网络还年轻、还小。用户数量并不构成安全性，但它构成你的通信对象的可获得性，而这是我们自己在前文捍卫过的正当标准。

它适合谁。 适合想要无标识架构、又不愿放弃日常可用性，并且宁愿选择一个身份明确的商业实体、而非一个资金可能中断的社区项目的人。我们主张的定位不是"最私密”，而是更窄也更诚实的一句：在无标识架构中最好用的那一个，配有点对点架构所不提供的异步模式，以及一套生态和商业支持。

Briar

Briar 大概是这份名单上最不肯妥协的项目。它根本没有服务器：消息经由 Tor 直接从一台设备传到另一台，若没有网络连接，则在邻近设备之间通过 Wi-Fi 或蓝牙传递。

它真正保护什么。 一切依赖基础设施的东西，因为它没有基础设施。没有什么可查封，没有什么可调取，没有运营方可以被强制。离线自组网模式在互联网中断时确实可用，这使 Briar 成为断网和示威场合的标杆工具。代码于 2017 年 3 月由 Cure53 审计，指出并修复了十二个问题。项目是自由软件，其设计具有权威性。Briar Mailbox 是一款单独的应用，装在一台常开的备用 Android 设备上，可以在主手机离线时代收消息，从而部分回应了点对点模式的主要局限。

它不保护什么。 使用上的舒适度，以及从现在起还有项目本身的走向。耗电量高，Android 上的后台运行不稳定，缺少账号备份和附件功能，添加联系人也颇为费事。没有 iOS 版。桌面版仍处于测试阶段，最新的是 2026 年 2 月 20 日发布的 0.6.5-beta。而最重要的是，2026 年 7 月 9 日的公告把项目置于维护模式：只做安全与缺陷修复，不再开发功能。项目澄清说完全停止的传言已经过时，但其抱负显然已被搁置。

它适合谁。 适合互联网被切断的地区、示威现场、审查环境，或者愿意以不便换取完全不依赖基础设施的小型团体。

Cwtch

Cwtch 由 Open Privacy Research Society 开发，那是一家总部设在温哥华的加拿大非营利机构。项目明确以抗元数据的群组通讯为目标。

它真正保护什么。 元数据，包括群组场景下的元数据，而这正是困难所在。连接经由 Tor v3 洋葱服务建立，而转发群组会话的服务器在设计上就被当作不可信：它们不应学到任何东西。2023 年 9 月发布的 1.13 版标志着漫长的 alpha 和 beta 阶段结束，项目此后一直推进到 1.15 版。

它不保护什么。 又一次，是存续能力。该机构基本靠个人捐款维持，并多次公开重申这一点。没有 iOS 版。开发节奏是一支小团队的节奏，用户生态非常有限。我们没有找到与 SimpleX 或 Briar 相当的、已发表的外部审计。

它适合谁。 适合需要抗元数据群体对话、且成员在技术上得心应手的行动者团体或研究团体。

2026 年的合流：通讯应用变成钱包

这是今年最有意思的一个观察，据我们所知还没有人这样表述过。

2026 年，三个不同协议的三个分支，由三支彼此毫无关联的团队开发，却在同一时刻产生了同一个直觉：把一个非托管钱包整合进加密通讯应用。Radar 是 Signal 的分支，带有走 Lightning 的 Bitcoin。Zerion 派生自 Briar，带有 Bitcoin 和 Monero。Arpokrat Messenger 是 SimpleX 的分支，带有多链钱包和兑换聚合器。

三套彼此对立的技术底座，同一个结论。这不是巧合，而是两项此前被分开处理的需求正在合流的标志。转账和发消息面对的是同一个问题：一个同时知道两端的中间方。为消息构建的答案，也就是内容加密与元数据最小化，恰恰正是加密货币用户在寻找的东西。而通讯应用是唯一一个你已经认识收件人的地方。

不过这三条路径差别很大，比较起来很有启发。

Radar

Radar 于 2026 年 7 月 7 日由 Cake Wallet 团队推出，隶属于一个独立实体 Radar Chat, Inc.，由其创始人 Vikrant Sharma 领导。它是 Signal 的分支，免费、开源，iOS 和 Android 上均可用。钱包为非托管，配有十二词恢复短语和加密备份。支付层需要澄清一下，因为各方资料说法不一。Radar 官网描述的是一个依托 Lightning 网络的 Bitcoin 钱包，为每个账号分配一个 Lightning 地址，此外未提及别的。而 2026 年 7 月发表的多篇文章则指出，底层机制依托 Spark，一个通过 Breez SDK 接入的 Bitcoin 二层网络，两名 Radar 用户之间的转账因而在一秒之内以 Spark 到 Spark 的方式结清。两种说法并不互斥，因为 Breez 的文档描述的正是一个同时支持 Spark 和 Lightning 的 SDK，包括 Lightning 地址和 bolt11 发票。在厂商本身没有公开确认的情况下，我们只采信其官网上可核实的内容：可通过 Lightning 网络到达的非托管 Bitcoin 支付。

最引人注目的选择在别处。Radar 不是一个独立网络：你用自己已有的 Signal 账号登录，联系人、会话、群组和用户名都会跟过来。这是 Radar 的竞争优势，同时也是它最主要的未决问题。

这种互通意味着 Radar 完整继承了 Signal 的模式：手机号仍然是标识，Signal 的 PIN 码掌管账号恢复，因而在默认情况下也掌管着 Radar 加密存放在 Signal 账号里的钱包密钥的访问权，而所调用的基础设施属于 Signal Foundation，处于美国司法管辖之下。

接下来必须提出这套搭建方式能否长久的问题，但不把它当作既成事实来断言。Signal 在历史上一直拒绝第三方客户端使用它的服务器：2016 年，在 Moxie Marlinspike 表明他既不愿意 Signal 的名字、也不愿意 Signal 的服务器被某个分支使用之后，LibreSignal 项目被放弃，他此外还排除了将来任何形式的联邦。基金会保留着凭签名封禁第三方客户端的技术能力。迄今为止它没有这样做，而 Molly 多年来使用该网络也相安无事，Radar 团队正是明确援引了这一先例。此外，Radar 每月向 Signal Foundation 缴纳一笔款项，并计划随着自身增长而增加。因此，没有任何迹象表明 Radar 会被封禁。但一款产品若其网络访问权取决于第三方持续的容忍，就承担着 SimpleX 和 Briar 都不承担的结构性风险，而用户在把资金放进去之前，理应知道这一点。

Zerion

Zerion 派生自 Briar，构建在 Bramble 传输协议之上，以 GPL v3 发布，项目明确说明它既不隶属于 Briar 项目，也未获其认可。它只有 Android 版。

必须公道地说，它有好几件事做得相当出色。所有流量无一例外都走 Tor：你的设备建立一条三跳链路，你的通信对象的设备建立另一条，两条链路在一个会合中继处相遇，也就是总共六跳，且没有任何 IP 地址暴露。每条消息都由基于 ML-KEM-768 的后量子密钥交换保护。3.0 版增加了通过蓝牙的离线自组网，可经由附近的手机转发单聊和群聊消息，每个中继只承载密文，同时还增加了可选的 I2P 传输。加固模式会拒绝在被攻破的设备上、在调试器下或在存在挂钩框架时启动。自 3.0.4 版起，一个加密保险库可以容纳非托管的 Bitcoin 和 Monero 钱包，密钥在设备上生成，由各自独立的密码保护，并提供来自冻结源码的可复现构建和已公布的指纹。

局限是结构性的，项目也不加掩饰：其文档白纸黑字地写明，只有当两台设备都在线并连上 Tor 时消息才会送达，而且在此期间没有任何服务器会为长时间离线保存它。换句话说，不存在 Briar Mailbox 的等价物。这就是那个决定性的技术分野，也正是它把点对点模式与存储转发模式区分开来：在后者中，一个盲中继会保存加密消息，直到收件人前来取走。对于两个并非同时在线的人之间的日常通信而言，这个差别不是理论上的，它决定了能不能用。

第二个问题仍然悬而未决，我们把它表述为问题，因为我们没有找到任何公开的实测数据：在一个六跳 Tor 架构上，点对点音视频通话的实际质量究竟如何？所宣布的技术选择是认真的，Opus、H.264、AES-256-GCM 加密以及填充帧，而且通话默认关闭。但 Tor 并非为低延迟而设计，在缺乏公开实测的情况下，无论厂商还是我们，都无法断言其体验可与一次普通通话相比。

最后，我们没有找到 Zerion 已发表的独立审计。

三者相比，勾勒出三种清晰的取舍。Radar 选择了立刻可用的普及，代价是对第三方的依赖和保留手机号。Zerion 选择了最大的网络抗性，代价是可达性和 iPhone 上的缺席。Arpokrat 选择了异步模式和司法辖区分散，代价是一段尚不存在的记录和一份尚不存在的审计。这三种取舍没有一种是荒谬的，也没有一种是免费的。

汇总表

应用	所需标识	司法管辖与托管	服务器端元数据	已发表的外部审计	离线送达	代码
WhatsApp	手机号	美国（Meta），CLOUD Act	广泛，凭令状可交出联系人图谱	服务本身没有	是	客户端闭源
Telegram	手机号	英属维尔京群岛，管理层在迪拜	广泛，云聊天厂商可读	无	是	客户端开源，服务端闭源
Signal	手机号	美国，CLOUD Act	两个时间戳，有公开司法记录	协议经形式化分析	是	开源
Molly	号码（Signal 账号）	Signal 服务器，美国	与 Signal 相同	继承自 Signal	是	开源
Session	无，随机标识	瑞士，去中心化节点网络	极少，至今无前向保密	有，Quarkslab	是	开源
Threema	无，Threema ID	瑞士，服务器在苏黎世	极少	有，Cure53 与苏黎世联邦理工	是	开源，收费
Wire	邮箱或号码	瑞士与德国，特拉华州有美国实体	明文留存	有，Kudelski 与 X41	是	开源
Element / Matrix	视服务器而定，通常为邮箱	你的托管方所在地	服务器可见，房间状态为明文	已就协议发表审计	是	开源
SimpleX Chat	无，没有标识	英国，默认中继在 Linode 与 Akamai	单一中继无法做关联	有，两份 Trail of Bits 审计	是	开源
Arpokrat Messenger	无，没有标识	瑞士（楚格），中继分布在五个非美国辖区	盲中继，仅内存	至今没有	是	开源，AGPLv3
Briar	无，没有标识	无，没有服务器	无，无物可查封	有，2017 年 Cure53	经由 Briar Mailbox	开源
Cwtch	无，没有标识	机构在加拿大，服务器按设计即不可信	抗群组元数据	未见	部分	开源
Radar	号码（Signal 账号）	Signal 服务器，美国	与 Signal 相同	未见	是	开源
Zerion	无，没有标识	无，没有服务器	无，一切经由 Tor	未见	否，两台设备须同时在线	开源，GPL v3

什么人适合什么应用

没有赢家，只有情境。

给家人和亲近的人。 Signal，毫不犹豫。它是唯一既有扎实保护、又有现实机会让你的联系人真的装上的选择。如果手机号让你困扰，就启用用户名，这样不必把号码告诉别人。如果你的亲友坚决不肯挪窝，至少在 WhatsApp 上开启端到端加密备份：这不是同一层次的保护，但它是实实在在且免费的进步。

给有消息源的记者。 问题不在内容，而在关联。无标识架构在这里是唯一自洽的答案：SimpleX Chat 或 Arpokrat Messenger，开启 Tor，并为每个消息源使用不同的身份档案。如果你的消息源已经在用 Signal 且拒绝安装别的东西，那就用 Signal 而不是什么都不用，配一个不会指向你本人的专用号码，并在 Android 上用 Molly 保护设备本身，以防被扣押。

给管理者或法律顾问。 首要标准是司法管辖，而不是匿名。律所或小型机构选 Threema，账单清晰、服务器在瑞士。有技术团队、希望掌握自身基础设施主权的组织选自建 Element，但要记住服务器管理员看得到元数据。想要一款商业协作产品的组织选 Wire，但先要研究清楚它的股权结构。

给互联网中断或审查地区。 Briar，因为蓝牙和 Wi-Fi 自组网模式完全不需要基础设施；Zerion 也一样，且其离线自组网更新一些。当网络本身就是对手时，这是仅有的两个真正答案。如果你的通信必须挺过较长的离线时段，请把 Briar Mailbox 也考虑进来。

给日常打交道的加密货币用户。 这是 2026 年的合流唯一真正改变了什么的一类人。如果你用的是 Bitcoin，而你的人脉本来就在 Signal 上，选 Radar，代价是接受对 Signal 基础设施的依赖和手机号。如果你想要 Bitcoin 和 Monero 并追求最大的网络抗性，而你的通信对象在 Android 上且经常在线，选 Zerion。如果你想要多条链、异步可达性，以及按 KYC 要求比较各家兑换服务商的能力，选 Arpokrat Messenger。

给想要极致而又不肯在使用上让步的人。 这一类并不存在，而这正是本次横评诚实的结论。理论上的极致是 Briar 或 Zerion，代价是可达性、电池，以及没有 iPhone。今天最有利的折中，如果你的通信对象都在 Android 上，是采用存储转发模式的无标识架构，也就是 SimpleX Chat 或 Arpokrat Messenger，并开启 Tor。如果必须把 iPhone 用户也包含进来，SimpleX Chat 是这一类里今天唯一覆盖两个平台的产品。Arpokrat Messenger 目前提供 Android 版，iOS 和桌面平台正在开发中，尚未公布上线日期。

我们在 Arpokrat 做了什么选择，为什么

这一节不是宣传辞令，而是对取舍的说明，包括那些我们没有做的取舍。

我们从 SimpleX 出发，而不是自己写一套协议。理由很简单：一套安全通讯协议只有在被审视过之后才有价值，而一套新协议按定义身后没有任何审视。SimpleX 有公开的规范、公开的代码，以及两份 Trail of Bits 审计。自创密码学会让我们做出一个更好的营销页面和一款更差的通讯应用。

我们选择了存储转发模式而非点对点。这是一个针对理论极致的明确取舍。一个盲中继保存加密消息直到被取走，意味着多了一件基础设施，因而也多了一个攻击面。作为交换，消息在你写下时就发出，在你的通信对象上线时送达，而这正是正常通信的前提。本文开头所捍卫的实用性标准并非一句漂亮话：我们把它用在了自己身上。

我们把中继分布在美国境外的五个司法辖区，并排除了美国的超大规模云服务商，这不是姿态，而是因为 CLOUD Act 的运作方式，就是强制一家美国供应商交出它所控制的数据。一个在磁盘上什么都不留的盲中继没什么可交；一个任何美国命令都够不着的盲中继则更少。这两项措施相互叠加，谁也替代不了谁。

我们整合了钱包和兑换聚合器，因为那个不愿让中间方知道自己在跟谁说话的人，通常也不愿让中间方知道自己的交易。按身份验证要求给兑换服务商从 A 到 D 评级，出自同样的逻辑：我们不替用户决定他愿意为多高的隐私程度付费，我们把信息交给他，让他自己权衡。

最后，我们还没有做到的事，同样值得写在这一节里。我们没有以自己名义发表的独立审计。我们没有已公布的司法调取记录，只有一份 warrant canary。我们还没有 iOS 版。这三处缺口是真实的，它们记录在上面我们那份档案里，而且没有一处能靠一纸公告补上。

结语

正确的问题不是"哪款通讯应用最好”。这个问题没有答案，因为它问错了。正确的问题是：你在防谁？

要防一个想给你的兴趣画像的广告商，本次横评中的应用几乎都够用。要防一个能拿到你手机的施暴伴侣，问题在于本地锁定和内存清除，Molly 的回答比 Threema 更好。要防你所在国家的一纸司法调取，问题在于司法管辖，以及服务方究竟握有什么。要防一个想要证明你曾经和某人说过话的对手，唯一的答案是一个根本不产生这条信息的架构。而要防一个能够切断网络的对手，唯一的答案是不依赖网络。

没有任何一款应用能同时回应所有这些威胁，而那些声称能做到的，最该被你怀疑。2026 年所证明的是，加密已经变成了容易的那一部分。仍然困难的，是元数据、司法管辖，以及一个项目两年后是否还存在的能力。Session 距离消失只剩几周，Briar 收缩了自己的抱负，这两件事对这个行业真实状况的说明，胜过任何一场密码学原语的比较。

所以，请依据你的对手来选择，而不是依据一份排名。并且记住，如果对话最终因为对方不肯安装而转到了别处，那么世界上最好的工具也一文不值。

资料来源

SignalTrace：欧洲出口自己不允许的监控

Tue, 01 Sep 2026 00:00:00 +0000

一辆灰色轿车以每小时 110 公里的速度驶过高速公路的门架。固定在立柱上的摄像头读取车牌、打上时间戳、存入记录。这没什么新鲜：这类装置已经存在二十年，在北美和欧洲都部署了数以万计。

但如果这座门架装上了意大利莱昂纳多集团自 2026 年 6 月起销售的那个模块，它刚刚记录下的就不止车牌了。还有司机的 iPhone。副驾乘客的无线耳机。仪表台上的智能手表。车载音响。手套箱里的联网钥匙扣。四条轮胎的胎压传感器。落在外套里的门禁卡。如果后座上睡着一条狗，还有它的身份芯片。

十来个标识符、一块车牌、一个坐标、一个时刻。在路网的每一座门架上重复一遍，你追踪的就不再是一辆车：你追踪的是人，而且知道他们和谁同行。

这套装置究竟做了什么

产品名为 SignalTrace。由 Leonardo US Cyber and Security Solutions 销售，是 ELSAG 产品线的补充，而 ELSAG 是美国市场上最普及的自动车牌识别设备系列之一。2026 年 6 月 8 日，Joseph Cox 依据厂商的一份产品说明书在 404 Media 上披露了它的存在。

关键之处一句话即可说清：这并不是新增摄像头。SignalTrace 是加装在已有车牌识别设备上的一个射频传感器。立柱不变，位置不变，路边设备的外形也不变。变的是这套设备在听什么。

传感器记录的是车内设备通过蓝牙、Wi-Fi 和 RFID 协议以明文广播的标识符。一个常被误解的技术要点：没有任何设备被入侵，也没有任何漏洞被利用。蓝牙或 Wi-Fi 设备会持续发出发现帧，因为这些协议本就是这样设计的。你的耳机宣告自己的存在，好让手机找到它；手机自己也在向周围空气询问它认识的网络。这些发射在设计上就是公开的，任何在覆盖范围内的接收器都能听到。

莱昂纳多本身也说明，该系统有无车牌识别设备均可运行，包括在室内，并且能识别出车牌被遮挡或拆除的车辆。

真正的政治问题在于加装改造。铺设一张新的摄像头网络会触发表决、审议，有时还有诉讼。而在一个已获批准的机箱里加一块电路板，什么也不会触发。监控能力在没有公共辩论的情况下发生了性质变化，因为在物理上根本没有新东西可看。

从车辆到个人，再从个人到群体

车牌识别设备回答一个问题：这辆车曾在哪里。SignalTrace 又加上两个：车里坐着谁，以及和谁在一起。

莱昂纳多并不讳言，这正是卖点。系统构建出文档中所谓的电子指纹，即一组「经常一同发射」的标识符。厂商的例子很直白：在整座城市里，只有一辆车会同时关联一部 iPhone 13rev2、一台奥迪车载音响、一副 Bose 耳机、一块 Garmin 手表、一个钥匙追踪器和车牌 ABC-1234。

该产品不止于追踪车辆。它自动生成一张人与人之间的关系图谱，而无需任何人提出哪怕最轻微的怀疑。

质变正发生在这里。通过关联那些经常一同出行的设备，系统机械地构建出一张社会关系图。每天早上出现在同一辆车里的两部手机，可能是拼车，也可能是一段双方都不愿公开的关系。同一时间在同一地点捕获的五十台设备，则是一次聚集：一场示威、一次宗教仪式、一场工会会议，或是诊所门口的一列队伍。

这些结论没有一个需要接触通信内容。它们默认从一张邻近关系表中推导出来，覆盖的是全部流动人口，而非指定目标。这是工业化生产的「株连」，发生在任何调查之前。民主与技术中心法务人员 Tom Bowman 在 TechNewsWorld 上总结了这个问题：让这个工具适合追踪真正嫌疑人的特性，同样让它有能力追踪其他所有驾驶者，而这些人无一同意自己的设备被记录。

莱昂纳多提出两点抗辩：系统既不解密也不读取通信内容，而且它本身并不识别个人身份。两句话都属实，也都答非所问。所寻求的情报从来不是内容，而在于位置元数据，它比一条消息更能说明问题。至于身份识别，厂商自己也承认，调查人员可以将一个电子签名与一块车牌关联起来，再通过车辆登记档案追溯到车主。

一套为别的事情写就的美国法律

在美国，规范车牌识别设备的州法确实存在，其中一些对保存期限和访问目的要求严格。但它们全都围绕一个明确对象起草：车牌的图像。没有一部法律预见到同一套设备会去捕获个人设备的标识符。

这种错位并未造成违法，而是造就了一片灰色地带，对卖方更为便利。一个警察部门可以毫不撒谎地主张，其车牌识别项目已获授权且合规，同时在同一制度下收集性质完全不同的数据。莱昂纳多此外还持有联邦合同，来自特种作战司令部和总务管理局，这条采购通道在很大程度上绕开了地方审批。

至于宪法层面的辩论，它刚刚出现了变化，这里必须说准确，因为法律状况在今年夏天发生了改变。2026 年 1 月，弗吉尼亚州一家联邦法院在 Schmidt v. City of Norfolk 案中裁定，该市的 Flock 摄像头网络不构成第四修正案意义上的搜查，理由是它并未覆盖居民的全部出行。该判决正在第四巡回法院上诉，美国公民自由联盟已参与其中。

随后，2026 年 6 月 29 日，最高法院作出 Chatrie v. United States 判决。以五比四，由卡根大法官执笔，判定警方获取手机位置数据构成搜查，个人对这些数据保有合理的隐私期待，即便数据由第三方持有、即便时间跨度很短。该判决延续了 2018 年的 Carpenter v. United States，并削弱了第三方原则，CDT 对此有所指出。

Chatrie 对 SignalTrace 的确切效力尚未定论，声称相反则失之轻率：该判决针对的是向谷歌调取的数据，而非警用传感器在公共空间的直接捕获。但它确立了真正重要的推理，即位置数据的敏感性并不取决于由谁持有。

欧洲问题，才是真正的问题

正是在这里，整件事让欧洲难堪。莱昂纳多不是美国供应商，而是一家在米兰上市的意大利集团，第一大股东是意大利经济和财政部，持股约 30 %，并有权任命董事会多数成员。在这款产品上，意大利国家并不是一个被动股东。

先说技术层面

在欧洲法上，设备标识符属于个人数据。这不是学理观点，而是监管机关一贯的立场。法国国家信息与自由委员会在其关于人流量测量装置的原则中明确将 MAC 地址视为个人数据，并且只在严格条件下允许在公共空间采集：数分钟内完成匿名化且个体之间碰撞率足够高，或者可靠地假名化后二十四小时内销毁，否则同意即成为强制要求。同一原则还指出，让人们关掉 Wi-Fi 并不是一种可接受的反对方式。

欧盟法院于 2025 年 9 月 4 日在 EDPS 诉 SRB 案（C-413/23 P）中明确，假名化数据是否具有个人属性，应以合理可动用的重新识别手段来判断。而这里的持有者是警察机关，掌握着车辆登记档案。重新识别的手段并非假设，就在隔壁办公室。

改变一切的细微差别

写 SignalTrace「在欧洲将是非法的」是错误的，法律背景的读者会立刻发现。主管机关为预防和惩治犯罪目的所进行的处理不适用 GDPR。它适用（欧盟）2016/680 号指令，即所谓警务司法指令，由各成员国分别转化，在法国体现为《信息与自由法》第三编。CNIL 提醒，该制度是自成体系的，有自己的合法性依据和自己的权利。

因此，正确的问题不是抽象的合法性，而是条件。在该制度下，这样一套装置需要有明确的国内法律依据、确定的目的、经证明的必要性、有界限的保存期限、影响评估以及独立监督。在法国，车牌识别设备正是这样规范的：《国内安全法典》第 L233-1 条和第 L233-1-1 条列出了一份可动用这类设备的罪名封闭清单，而保存期限仍属欧盟最短之列，原则上十五天，尽管参议院的一项法律提案试图延长它。

这就是与美国情况的根本差别。在美国，法律规范的是一个对象即车牌，对设备标识符的沉默等于许可。在欧洲，法律规范的是目的和数据类别，这种沉默在缺乏明确法律依据的情况下更接近禁止。大西洋彼岸出现的真空，在这里并不以同样的形式存在。这并非因为欧洲更有德性：它的立法技术是相反的。

那么这种保护价值几何

于是就剩下本文真正要问的问题。当一家由成员国控制的欧洲企业，把一项在自己国内没有新法就无法部署的能力卖到欧洲之外时，欧洲的监管保护还值多少？

这些反驳值得认真对待。制造商不对客户所处的法律框架负责：在自己境内允许什么，由美国当局决定。产品不是卖给独裁政权，而是卖给一个拥有活跃最高法院的法治国家，Chatrie 刚刚就提醒了这一点。产业主权的论据同样正当：如果欧洲集团自我禁绝这些市场，市场就会被以色列、美国或中国供应商占据，监控不会后退一米，而欧洲还会因此失去自己的技术基础。

这些论据可以成立。但它们没有回答问题。

首先，因为欧盟早已承认，出口监控手段并非普通贸易。关于两用物项的（欧盟）2021/821 号条例在第 5 条引入了针对网络监控物项的兜底条款，因为立法者承认，一件制造起来合法的工具，在目的地可能并不正当。它的界限颇具启发：触发条件是存在内部镇压或严重侵犯人权的风险，而这些类别是为威权政权设想的。卖给美国一支市镇警察并不落入其中。欧洲的筛查框架审查的是客户的品行，从不审查所售能力的性质。

其次，因为这样一件产品不是待清的库存，而是一项需要维持的能力：它资助研究、培养工程师、积累技术诀窍并形成装机基础。当有一天一场重大袭击促使某个成员国要求获得这项能力时，辩论将不再关乎是否应当把它造出来。它已经存在，是欧洲的，是成熟的，而它的供应商还带有部分公有属性。「我们只是跟随市场」的说法届时就成了循环论证，因为国内市场正是被出口预先培育出来的。

在这一情形下，监管保护的价值就在于此：它保护欧洲人免于某些用途，却不保护他们免于这些手段的存在。它解决了谁有权按下按钮的问题，而把建造、销售、改进然后等待，留给了产业界。

我们能做什么，同时不自欺欺人

第一个被提到的答案永远是 MAC 地址随机化。它值得一次诚实的审视，既不吹捧也不贬低。它是真实的，而且有效。

Android 自版本 10、iOS 自版本 14 起，默认对 Wi-Fi 使用的 MAC 地址进行随机化，每个网络使用不同地址。在低功耗蓝牙中，现代设备广播的是可解析私有地址，它会周期性变化，只有持有解析密钥的对端才能把它与真实设备对应起来。

它的局限同样真实。

配对会重新打开这扇门。 解析密钥在配对时被传递。已配对或被明确批准的设备，能在轮换地址背后重新找到稳定身份。这套机制本就是为此设计的。
许多物件根本不做随机化。 胎压传感器、RFID 卡、动物身份芯片、车载音响和廉价外设发射的都是固定标识符。莱昂纳多的产品说明书恰好提到了这些类别，这绝非偶然。
随机化可以被关闭。 它是逐个网络关闭的，而且常常出于方便被关掉，比如为了家用路由器上的 MAC 过滤，或者出于企业策略。
群体能挺过标识符的轮换。 这是最不直观也最重要的一点。SignalTrace 找的不是一个标识符，而是一组一同出行的设备。只要群体中有一个成员发射固定标识符，整组就仍然可被归属，无论其他成员多么自律。

最有效的措施依旧是最无聊的那一个：不发射。这意味着要在设置里、在系统层面关闭蓝牙和 Wi-Fi，而不是从快捷面板关闭。这个区别不是表面文章，我们在关于手机持续定位的文章里详细说明过：在大多数消费级系统上，快捷面板的按钮切断的是可见配对，却让软件栈继续存活，邻近分析照常进行。那篇文章把蓝牙扫描描述为一种理论上的途径。SignalTrace 就是它的商业化产品，已列入目录、可供交付。

对结果必须保持诚实：这些措施缩小暴露面，但不会将其归零。车辆终究还有车牌，而车牌终究可读。什么都不发射的唯一办法是什么都不携带，而这不能作为一项公共政策。

这说明了我们的设计选择

在 Arpokrat，正是这一推理让我们选择在 ArpokratOS 的 Core 层面处理蓝牙，而不是在设置层面。界面上的开关是一项用户偏好：一次更新、一个系统应用或一项定位服务都可能绕过它或重新启用它，而用户毫不知情。不存在的协议栈无法被重新启用。

面对 SignalTrace 这类捕获，这显然不会让设备变得无法探测，我们也不作此宣称：手机仍在移动网络上，车内其他物件也在各自发射。它所保证的是，某个特定的发射途径是因构造而不存在，而不是靠信任被关掉。这正是我们在讨论 5G 与法律的瞄错对象时所主张的：法律保护聚焦于对数据的访问，而它本应针对产生这些数据的基础设施本身是否存在。SignalTrace 就是明证，只不过这一次，这套基础设施是在欧洲建造的。

结论

这份案卷中最引人注目的，并不是研究者多年来一直在描述的技术能力。而是部署的方式。

不会有新的摄像头网络需要揭幕，没有市政决议可供质疑，也没有哪份公共合同能被辨认为一次性质上的转变。有的只是加装在现有立柱上的模块，依据现有合同，纳入早已获批的项目。等到公共辩论开启的那一天，基础设施将已经装好、折旧完毕，并融入侦查程序。届时辩论的将是访问一个既存数据库的条件，而绝不会是当初是否应该建立它。

在监控这件事上，这就是惯常的顺序，而且并非偶然。剩下的问题是，当欧洲自己的产业界、背靠欧洲自己的国家，为别人建造这套基础设施时，欧洲是否认为自己有话要说。欧洲法律精心安排了「在我们这里谁可以查阅这些数据」的答案。它从未提出过「谁有权造出这台机器」的问题。

永久定位：即使你以为已经关掉了，手机依然在追踪你

Sun, 02 Aug 2026 00:00:00 +0000

2024 年，马里兰大学的两位研究者在没有任何特殊权限、也没有专门硬件的情况下，反复查询苹果的 Wi-Fi 定位服务，用一年时间重建了全球二十多亿个 Wi-Fi 接入点的精确位置。他们的论文 Surveilling the Masses with Wi-Fi-Based Positioning Systems 展示了这张地图能做什么：追踪进出乌克兰的装备，观察毛伊岛大火后人口的迁移，通过某人家中的路由器盯住这个人。

这些设备没有一台开着 GPS。位置来自别处。

这是移动隐私领域最普遍的盲区：认为存在一个定位开关，只要关掉，手机就不再知道自己在哪里。这个信念在七个不同层面上都是错的。

定位不是手机开启的一项功能。它是手机这个东西本身的属性。

GPS，反倒是最不成问题的一路

唯一一个人人都叫得出名字的机制，恰恰是最不该让你担心的那个。

GNSS 是一个统称，涵盖美国的 GPS、伽利略、GLONASS 和北斗，它的工作方式是接收。卫星持续发出带时间戳的信号，接收机捕捉其中若干路，再根据传播时间差计算自身位置。空旷室外的常见精度是三到五米，在城市里往往是几十米，因为建筑立面会反射信号。

关键在于这个计算是被动的。手机不向卫星发送任何东西，没有任何卫星运营方知道你的存在。如果场上只有 GNSS，关掉 GPS 就够了。

不过还有一层细微差别。为了加快首次定位，手机会使用 A-GPS：通过 SUPL 协议从服务器下载卫星星历。为了拿到正确的数据，手机会把自己所接入的网络小区标识发给那台服务器。纯粹的 GNSS 不会出卖你，但嫁接在它身上的加速器会。

移动网络：运营商在结构上就知道的事

为了让来电能找到你，网络必须知道你在哪个区域。这不是一个可以打开的选项，而是这项服务存在的前提。你的手机持续向最近的基站报到，这条登记记录在运营商侧留下痕迹。不需要安装任何应用，不需要授予任何权限：一张激活的 SIM 卡就够了。

精度取决于方法：

仅小区标识：密集城区约 200 米，农村地区可达 30 公里以上，因为那里一座基站覆盖极大的半径。
增强型 Cell ID，加入天线扇区（多数站点划分为三个 120 度扇区）和信号强度：从 100 米到几公里。
时间提前量（Timing advance），测量手机与基站之间信号往返的时延：GSM 约 550 米量级，LTE 约 78 米。
基于三座及以上基站的多点定位：城区 LTE 下 50 到 300 米。

5G 因两个叠加的原因改变了量级。首先是密度：5G 小区覆盖半径短得多，因此仅仅是接入本身就已经是精细的信息。其次是标准化：从 Release 16 起，3GPP 纳入了原生定位信号。商用目标是在 80 % 的终端上实现室内优于 3 米、室外优于 10 米，而 Release 18 在某些工业场景下已降到厘米级。

于是，把你接入网络的这套基础设施本身就成了一个质量堪比 GPS 的定位系统，而你什么都没有开启。这些数据按各国规则留存，并按各不相同的程序向当局开放。这与我们讨论托管数据适用何种司法管辖时的根本争议是同一个：技术保护与法律保护并不重合。

Wi-Fi：一张由硬件地址绘成的世界地图

每个 Wi-Fi 接入点都持续广播一个唯一的硬件标识，即 BSSID。这些标识是固定的，而且在地理上稳定：一台家用路由器会在同一个位置摆上好几年。

苹果、谷歌和少数专门厂商维护着把每个 BSSID 与坐标对应起来的数据库，这些数据库由它们自己用户的手机建立起来，那些手机会在上报 GNSS 位置的同时，一并上报可见接入点的清单。之后操作被反转：一台手机只要看到四个已知接入点，就再也不需要任何卫星。在密集城区，精度通常能达到几十米，在室内还会更低。

有两个特性让这套机制难以中和。第一，即便 Wi-Fi 看上去已经关闭，手机仍在扫描：自 Android 4.3 起，系统保留了一项旨在改善定位的周期性扫描，与快捷面板上的开关无关。这一行为取决于另一个独立设置，深埋在定位服务里，几乎没有用户打开过它。

第二，这个数据库可以从外部查询。这正是 Rye 和 Levin 利用的缺口：定位接口返回的不只是所请求的位置，还包括邻近接入点的位置，因此可以在从未实地靠近这些地点的情况下把整张地图收割下来。

蓝牙与 BLE：被别人的手机定位

低功耗蓝牙（BLE） 增加了一层近距离信息，作用范围从几米到几十米，颗粒度因此比移动网络细得多。两种用途并存。商业信标部署在商店、机场或购物中心，发出一个标识，被手机上的应用识别，从而暴露你在哪个货架前停留、停留了多久。另一种是协作式定位网络，苹果的 Find My 是范本，此后被谷歌和三星沿用。

第二种机制颠覆了一个隐含假设。达姆施塔特工业大学研究者发表于 PETS 2021 会议论文集的权威分析 Who Can Find My Devices? 通过逆向工程还原了苹果的协议。一台离线设备发出 BLE 信号，附近任何一台苹果设备接收到它，附上自己的位置，加密后传给苹果服务器，而这既不为它的持有者所知，也不为被定位设备的持有者所知。

后果是结构性的：一台没有 SIM 卡、没有 Wi-Fi、没有任何网络连接的设备依然可被定位，只要有个陌生人揣着手机从旁边走过。你的隔绝不再取决于你的设置，而取决于路人的设置。

惯性传感器：无需定位权限的定位

手机内含加速度计、陀螺仪、磁力计，常常还有气压计。这些传感器属于与定位分开的权限类别：一个应用可以读取它们，而从未询问过你在哪里。

普林斯顿的研究者用 PinMe 证明了这一点。他们的应用先从 IP 地址和时区得到一个粗略位置，然后读取传感器：加速度计给出加速与刹车曲线，陀螺仪给出转弯序列，磁力计给出航向，气压计给出高程变化。一个神经网络判定出行方式，步行、汽车、火车还是飞机，随后把路线与公开的地图、高程和气象数据进行匹配。结果是：在没有定位权限的情况下，得到一条精度可与 GPS 相比的轨迹。作者也记录了该方法的局限，它在没有道路的区域会失效，在均匀的棋盘式路网上会退化，因为大量路线会产生相同的特征。但它仍然证明了：一个被拒绝的权限并不是一扇关上的门。

气压计还补上了 GNSS 处理不好的那个维度，也就是垂直方向。美国对紧急呼叫的要求是，80 % 的室内呼叫需达到正负 3 米的楼层精度。知道一个人在第几层，与知道他在哪个街区，是性质完全不同的两件事。

数据市场：最平庸的一路

前面几种机制说明位置是如何被算出来的。剩下的问题是它去了哪里，而日常风险的绝大部分正是在这里发生的。

成千上万的应用集成了广告 SDK，也就是第三方提供的软件模块，开发者加入它们来让自己的作品变现或衡量受众。这些模块继承宿主应用的权限：一个正当地需要你位置的天气应用，会把它交给一些你从未读过其名字的公司。除此之外还有广告竞价流，每展示一次横幅广告，你的大致位置就被分发给数十家潜在买家，包括那些什么都不买、只是在听的。

这种原料养活了一整个产业。电子前哨基金会记录了 Fog Data Science 的案例，该公司宣称掌握着超过 2.5 亿台设备的数十亿个数据点，并将其卖给美国地方警方。Brian Krebs 描述过 Locate X，这款产品允许在地图上画一个多边形，然后查看进出该区域的设备历史记录。

这一路不需要任何技术壮举，只需要有人愿意付钱。价格并不高。

IMSI 捕捉器：主动定位

到目前为止讲的机制利用的都是系统的正常运作。此外还存在主动定位，由介入网络的第三方实施。

IMSI 捕捉器，又称伪基站，是一种伪装成合法基站的设备。范围内的手机会接入它，从而暴露自己的用户标识以及自己处在一个很小的范围内。

5G 本应通过用加密标识 SUCI 取代明文传输的永久标识来关上这扇门。但这扇门只关上了一半。以 5G SUCI-catchers: still catching them all? 为题发表的研究记录了多种关联攻击，即便有加密也能重新把会话关联起来。更重要的是，如果攻击者迫使终端回落到更早的制式，尤其是认证为单向的 2G，保护就会完全失效。一台 5G 手机仍然可能被一种为上世纪九十年代网络设计的攻击拿下，因为它至今仍愿意降下去。

各种对策，以及它们真实的效果

下面每一项措施都有作用。没有一项能包办一切，而它们的实际作用与人们赋予它们的期待之间的落差，正是错误决策的来源。

飞行模式

飞行模式切断蜂窝调制解调器、Wi-Fi 和蓝牙的发射。这是实实在在的，而且是以如此小的代价能换来的最好结果。

它做不到的是：它不会停下惯性传感器，不会删除已缓存的位置，那些位置会在重新联网时发出去；而且在大多数设备上，你可以不退出飞行模式就单独把 Wi-Fi 或蓝牙重新打开。最后，它是一个软件状态，而不是断电：它的可靠性取决于执行它的那套系统是否完整可信。

一个被低估的细节：脱网与重新入网本身就是运营商侧带时间戳的事件。一部手机 21 点在某个小区消失、23 点在另一个小区重新出现，它产生的是信息，而不是沉默。

MAC 地址随机化

如今移动系统在扫描时会发出随机的 MAC 地址，以阻止从一个地方到另一个地方的追踪。用意是好的，结果并不完整。包括 Why MAC Address Randomization is not Enough 在内的权威研究表明，探测帧的内容往往就足以重新识别设备：信息元素的数量、取值和排列顺序共同构成一枚指纹。再加上序列号是递增的、因而可以串联起来，以及每个机型特有的时序特征。有些研究报告称，能够对半数设备做到至少二十分钟的正确追踪。

最后还有一个概念上的界限：随机化只涉及发现阶段。一旦你连上某个网络，所用的地址对这个网络而言就是稳定的，这是设计使然，否则连接无法工作。你每天早上都去的那家咖啡馆认得你。

真正关掉扫描

这是性价比最高、也最被忽视的设置。在 Android 上，Wi-Fi 搜索和蓝牙搜索是两个独立的选项，位于定位服务之中，与快捷面板上的开关无关。只要它们还开着，从面板关掉 Wi-Fi 是不够的：扫描仍在继续。

关掉它们等于移除一整层采集，代价只是首次定位稍慢一些。对大多数读者来说，这是所付出的努力与所得结果之间最划算的比例。

应用权限

对那些显然不需要定位的应用收回定位权限依然有用，而且新系统提供了三档：单次授权、仅在使用期间授权，以及模糊定位，后者只传递一个公里量级的区域。

但这既挡不住寄生在某个确有正当理由访问你位置的应用中的 SDK，也挡不住惯性传感器，更挡不住根本不经过任何权限的网络层。

VPN 保护不了的东西

有一点需要澄清，因为相反的看法非常普遍：VPN 不会隐藏你的位置。它隐藏的是你的公网 IP 地址，因此会扰乱基于 IP 的定位，而那本来就是这份清单里最粗糙的机制。

VPN 既不触及 GNSS 接收机，也不触及 Wi-Fi 扫描、蓝牙或传感器。它丝毫改变不了你的运营商所知道的事，因为加密隧道正是经由它的基站传输的，小区接入对它始终可见。它也阻止不了一个拥有定位权限的应用在隧道内部发送精确坐标。VPN 保护的是你在不可信网络上通信的内容和目的地，这已经很有价值。定位不在它的职责范围内。

物理层面的界限

法拉第袋是字面意义上的有效：它阻断发射与接收。在还能拆卸电池的设备上，拆掉电池同样有效。使用专门的设备，或者干脆把手机放在别处，仍然是最稳妥的做法。

这些方案有一个必须正视的共同缺陷：它们制造出异常。一部手机每周二晚上沉默两小时，本身就在说话。面对一个分析行为模式而非瞬时位置的对手，缺席就是数据。

三类对手，三种策略

这是本文最重要的区分，也是最少被人写到的区分。

面对广告主或数据经纪商，这场仗是能打赢的。严格管理权限、关闭扫描、使用不含专有定位服务的系统、重置广告标识符：这些加在一起能极大压低被采集的数据量。这类对手要的是廉价的量，而不是你这个具体的人。

面对你的运营商，任何配置都不够。蜂窝定位是这项服务的前提。唯一真实的变量是法律层面的，即法律允许留存和移交什么，以及物理层面的：用哪台设备、哪张 SIM 卡、登记在谁名下、在哪里开机。

面对有针对性的国家级对手，推理又要改变，因为它会把对运营商数据的合法调取、用伪基站进行的主动定位、向平台发出的调取要求，以及必要时对终端本身的攻陷结合起来。软件层面的对策能缩小暴露面，但现实的目标不是消失：而是清楚地知道还有什么暴露在外。

ArpokratOS 的做法

ArpokratOS 对这一格局的回应，来自上面那个区分：需要被中和的东西，在系统层面被中和，而不是放在某个菜单里。

在 GNSS 方面，硬件驱动被移除。设备的表现就像那块芯片不存在一样，对应用如此，对系统自身也如此。这与设置里的一个开关的差别并非表面文章。开关是一种策略：它由某一层来执行，而这一层可能被权限足够高的组件绕过、被一次更新重新启用，或被一个已被攻陷的系统忽略。移除代码路径则让这个问题不复存在，因为已经没有什么可供启用了。

蓝牙在 Core 层面按同样的逻辑处理。在许多设备上，设置里关掉的蓝牙实际上仍让软件栈保持活跃，以便支撑近距离服务和协作式定位网络。而在系统层面缺席之后，它既无法与商店信标对话，也无法参与 Find My 一类的网络，更无法成为无需交互的攻击面。

必须明确说出它做不到什么。**ArpokratOS 不会让手机变得无法被发现。**只要 SIM 卡是激活的，运营商就知道你接入的是哪个小区，没有任何操作系统能改变这一点，哪怕把全部流量都走 Tor 也不行。路由保护的是内容和目的地，而不是无线电几何关系。任何承诺隐形的人都是在讲故事。

这样一种架构带来的东西要谦逊得多：移除应用层和近距离层，实际采集的绝大部分正是经由它们发生的，同时对剩下的部分给出明确的威胁模型。这与选择桌面系统时的推理是同一套，我们在操作系统对比中已作详述：有用的问题不是一个工具是否能保护你，而是它保护你不受什么侵害，以及代价是什么。

结语

本文不提供消失的方法。这种方法并不存在，而声称相反的文字主要制造的是虚假的安全感，它比毫无保护更危险，因为它会让人去冒险。

目的是把一个二元问题，我是否能被定位，替换成一个有用的问题：被谁定位、精度如何、对方要付出多大代价，以及我是否在意。对于保护线人的记者、前往敏感司法辖区出差的高管、日程本身就会泄露策略的律师，以及只是不满广告主掌握自己习惯的普通人，答案各不相同。

真正值得注意的，其实不是这些机制单独拿出来的性能，而是它们彼此重叠。五十米精度的一个位置并不怎么有意思。但五十米精度的位置，每十五分钟一次，持续两年，就画出了一处住所、一个工作地点、一种信仰、一种健康状况、一段私情、一个消息来源。位置数据正是那种让其他所有数据变得可读的元数据，它之所以昂贵，原因就在这里。

参考资料

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

主权的幻觉：Olvid案例与CLOUD法案陷阱

Thu, 21 May 2026 00:00:00 +0000

这一声明在巴黎的走廊里听起来像是一声真正的“独立呐喊”：法国总理下令政府放弃WhatsApp和Signal，转而使用被标榜为“本土”的消息应用Olvid。目标很明确：保护国家机密免受外国情报机构的染指。

然而，一个苦涩的讽刺很快浮出水面：Olvid的核心——其服务器基础设施——运行在美国巨头亚马逊云服务（AWS）的内部。

对于公众来说，这似乎只是一个简单的技术托管问题。但对于主权网络安全架构师来说，这是首要的政治漏洞。

治外法权与主权冲突

通过依赖亚马逊的基础设施，Olvid自动进入了美国CLOUD法案的管辖轨道。

法律分析揭示了管辖权不安全的情况，仅仅采用一款国家“应用”并不能解决这一问题。转折点在于“控制”与“本地化”的概念差异。

CLOUD法案从根本上改变了法律范式，规定服务器的物理位置并不重要。服务提供商（此处为AWS）的合作义务仅源于其与美国的管辖联系。

在法律上，这与GDPR产生了正面冲突。欧洲法院已经确立，美国的监控法律未能提供与欧洲同等的数据保护水平。

数字主权不是软件的属性，而是监管链完整性的特征。

FISA的幽灵与加密的虚假承诺

更糟糕的是，这种对美国基础设施的依赖将这些数据置于外国情报监视法（FISA）的阴影下。

面对这些威胁，Olvid声称其端到端加密构成了足够的护盾。从隐私工程的角度来看，这种辩护是危险且片面的。

即使消息内容被加密，AWS的集中式基础设施依然暴露了元数据。知道谁在和谁说话、什么时候、频率如何以及从哪里说话，通常比消息内容本身对外国情报机构更有价值。

加密保护了文本，但集中式服务器暴露了联系人网络。

真正的危险还在后头

只要欧洲的基础设施依赖于受治外法权约束的实体，我们通信的法律安全将始终是短暂和虚幻的。

21世纪的国家安全需要完全的基础设施和硬件独立。“现在收集，以后解密”策略是未来十年最具破坏性的威胁。

今天被拦截的国家机密，无非是一颗数学定时炸弹。

(阅读我们分析的第2部分：定时炸弹与零知识必要性)