@THP301 #265 《民法典》规定自然人享有隐私权。 隐私是指自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。 上述规定意味着除法律法规另有规定或当事人同意外，有权要求其他组织或个人不得实施侵扰私人生活安宁的行为，不得窥探私密空间、私密活动、私密信息等。
http://www.xinhuanet.com/legal/2020-11/14/c_1126738496.htm

Commodore

@v2lhr #90 这两个加密库是否开源和证明你是否使用了这两个加密库（以及使用方法）有什么关系吗……？

我通篇没说这两个加密库是否安全，问题是“怎么证明你的数据是加密的”（客户端加密也看不出来，微信小程序没办法在开发工具里方便的查看）。

说白了，就是没开源，一部分人也不知道你的小程序工作情况如何，提出疑问，另一部分人（和）就是不相信腾讯了。

当然，这不是逼你开源，这就是一个交流过程（“不需要信任我”、“信任腾讯就可以了”，这种没有意义），从安全角度来说，开源离线密码管理器的安全性很大程度上是高于在线第三方托管的闭源管理平台。

最近在看一本零信任网络的书，凑巧看到你的这篇帖子被人推（？）了，忍不住说两句。

如有冒犯，还请见谅。

核心问题在于，你没有办法证明你的小程序不会盗用密码。

退一步讲，假设你不会盗用密码，怎么证明你的数据是加密的，而不是明文存储（或者你的私有密钥（密码）加密的），用户的主密码只是登陆的时候判断一下？

再退一步，假设你是使用用户的主密码加密的，有什么东西能保证客户端向服务器提交主密码的时候，腾讯不会记录、拦截或者遭到 MITM ？

说个案例吧，有个网盘叫 MEGA，主打安全加密。

人家怎么证明安全呢？

1.数据在客户端完成加密。（ https://help.mega.nz/webclient/security-and-privacy.html ）
2.开源。（ https://github.com/meganz/ ）
3.公司设立在司法体系更加健全的新西兰。

人家拿出了东西证明自己的安全，而不是空口说说而已。

腾讯收集信息是实打实的，去年腾讯旗下一款游戏公开声明会收集包括 SS 配置信息在内的非常多的信息： https://www.solidot.org/story?sid=59369 （这个事情至今很奇怪，发现作弊直接封号就完了为啥要收集这么多信息）。

一个黑箱的系统当然会让注意安全的人怀疑，你相信这个黑箱的系统那是你的事情，但是别人则不一定相信，拿不出干货回应只耍嘴皮子和质疑其他（甚至是开源的）密码管理软件当然会继续被人喷。

Talk is cheap. Show me the code. —— Linus

PS：可能因为这么多人喷你，让你觉得受到打击了，但是国内隐私和数据保护做的确不好，先不说各种黑产，个人数据到处卖也不是什么少见的事情，这都 2020 年了，各种垃圾短信你也没少见吧？

安全这个东西，真的很复杂。

仔细看了一下你的浏览器的地址栏右侧的国旗，是美国。

你是不是用了海外的 DNS ？或者海外的 DNS over HTTPS 之类的？

tracert / tcptracert 了一下，在某节点后就直接到达了，延迟很低，推测是国内劫持了这个 IP 端口。

https://imgur.com/a/qxQe7V8

导出的证书：

https://gist.github.com/chenshaoju/52bb7a12572a752433bd51a4dce79d94

多方推荐后，发现有个叫 Nextcloud 的开源 php 网盘系统： https://nextcloud.com/files/ （ https://github.com/nextcloud/server ）。

客户端全平台，该有的都有，还有各种插件可供选择： https://apps.nextcloud.com/ 。

https://ws2.sinaimg.cn/large/61e316efgy1g63rcadl6oj20zk0jkwgx.jpg

想到一条推文：
https://twitter.com/muzi_ii/status/1160011539060887552