威胁模型怎么想¶

谈匿名与隐私时，最常见的误区是把工具当成答案，跳过厘清「我到底在防什么」这一步。「我用 Tor 就安全吗」、「Signal 跟 Telegram 哪个比较安全」、「我该不该装 VPN」，这类提问背后缺的是一个结构化的判断框架。威胁模型就是那个框架。

威胁模型是一份你愿意定期回头检视的小清单。写得多正式不是重点，能持续回顾才是。它帮你在每次选工具、决定行为、评估风险时，能回答三个基本问题。

三个基本问题¶

建立威胁模型，本质上就是回答这三题：

这三题缺一不可。少了第一题，会买保险买到不重要的东西。少了第二题，会用大炮打蚊子或用蚊香挡大炮。少了第三题，会做出不可持续的安排，撑不了三天就放弃。

「资产」听起来很企业化，但对个人来说可以很具体：

把「保护什么」写具体很重要。「我要保护我的隐私」太抽象，不能拿来判断工具。「我要保护我跟某记者朋友通讯这件事不被第三方知道」就具体得多，可以对应到「需要把谁是收件人这个 metadata 隐藏起来」的需求。

对手不一定是抽象的「黑客」、「政府」。把它具体化：

谁会在意这件事被知道？ 亲密关系的另一半？前公司？特定产业的利害关系人？检调？外国情报机关？
这个对手取得信息的能力是什么？
- 随意路人：能看到你公开贴文，没有更深入的能力
- 亲密关系：能拿到你的装置、读你的消息、知道你的习惯与口令
- 雇主或学校：能控管你工作装置上的网络流量、读取公司账号
- 平台业者：能看到你在他们服务上的所有活动，必要时依法令交出
- 一国执法：能向业者调阅资料、必要时搜索扣押
- 国家级情报：能进行大规模流量监控、能对特定目标投入锁定攻击资源

这个分级的目的，是让工具选择对应到实际能力范围。对手是亲密关系的人，你不需要 Tor，你需要把装置锁好、把云端账号的密码换掉、把 Find My 关掉。对手是大规模平台收集，你不需要 air-gap 电脑，你需要选择默认不收集 metadata 的通讯工具。

成本不只是钱。它包含：

如果你的方案需要每天投入两小时维护、每次跟朋友联系都要解释为什么用奇怪的软件，几周后你会放弃。一个你撑不到三个月的方案，等于没有方案。

威胁模型的设计目标是「在你能维持的范围内，尽可能对应威胁」，不是「最大化保护」。

拿一张纸或开个共笔，依序回答：

这份清单不需要写得完美，重点是写下来、定期回头看。生活情境会变（换工作、结束一段关系、开始参与敏感议题），威胁模型也会变。

下面是粗略示意，不能直接套用到你身上，但可以当成思考起点。

更详细可参考场景层的对应文章（撰写中）。

它是一份活清单。建议每隔一段时间回头看：

每次回看不需要重写，只要问：「上次写的还准确吗？有没有新的对手出现？我愿意付出的成本变了吗？」