如何安全地访问互联网
当你深夜在浏览器中输入 www.baidu.com 时有没有想过，除了月黑风高的夜和本机的浏览记录，还有谁知道你访问了它呢？要搞清楚这件事，首先我们要了解一下访问网站时，这其中发生了什么。
如果你在 10 年之前访问网站，大概率会在浏览器的地址栏中看到这样的网址 http://www.baidu.com ，这其中网址前面的 http 表明访问网站使用的是 HTTP 协议。当你按下回车键↩︎，访问网站也拉开了序幕。我们知道 IP 地址是设备在互联网上的唯一标识，而要访问的网站是部署在互联网上的某一台设备中（服务器），那么这台设备会有一个固定的 IP 地址。那么怎么将网址和 IP 地址建立起联系呢？访问网站的第一步就是使用 DNS 服务把网址转换成服务器的 IP 地址。DNS（Domain Name System）即域名系统，就是提供域名（网址）与 IP 地址相互映射的服务，方便人们访问网站。当浏览器知道了 IP 地址后，会通过端口 80 向该 IP 地址发送 TCP 连接请求，最终给你呈现出网站的内容。简单来说，使用 HTTP 访问网站有这样几步：
- 浏览器向 DNS 服务器请求将网址解析为 IP 地址；
- 浏览器通过端口 80 向该 IP 地址发送 TCP 连接请求；
- 浏览器发送 HTTP 请求，接收服务器 HTTP 响应并渲染网页。
那么哪些环节会泄露隐私呢？由于 HTTP 协议不加密🔓数据，任何人都可以在数据传输过程中截获和查看信息。你的底裤会在网络出口被扒的一干二净。
如果你现在访问网站，基本上会在浏览器的地址栏中看到这样的网址 https://www.baidu.com ，这其中网址前面的 https 表明访问网站使用的是 HTTPS 协议。HTTPS 协议简单来说 HTTPS = HTTP + TLS。前面提到了 HTTP 是一种不加密的协议，数据在网络中是以明文传输的，所以并不安全。而 TLS（Transport Layer Security）是一种安全协议，可以将浏览器与服务器的通信进行加密🔐，从而向第三方隐藏网站的内容。简单来说，使用 HTTPS 访问网站有这样几步：
- 浏览器向 DNS 服务器请求将网址解析为 IP 地址；
- 浏览器通过端口 443 向该 IP 地址发送 TCP 连接请求，并开始 TLS 握手过程；
- 浏览器验证服务器的安全证书，和服务器协商加密算法和交换加密密钥；
- 浏览器发送加密的 HTTP 请求，接收服务器加密的 HTTP 响应，解密并渲染网页。
那么使用 HTTPS 后就安全了吗？虽然 HTTPS 本身是加密的，但是在访问网站的过程中还是有可能暴露你访问的网址。例如：
- DNS 查询：即使是 HTTPS，DNS 查询默认情况下也是未加密的，这意味着在网络出口仍然能知道你访问的是哪个网站；
- 流量分析：即使使用 HTTPS 对数据进行加密，在不知道传输内容的情况下可以对数据包的特征进行分析，当访问一些特定的网站时，可能出现大小和顺序相似的数据包，这种方式也可能暴露你访问的网站。
那么如何安全地访问互联网呢？流量识别技术的提高，网络中不断增加的监视节点，导致没有绝对的匿名性👁️。但是通常可以使用下面的技术提高访问过程中的安全性。
VPN（Virtual Private Network）即虚拟专用网络，是一种加密通讯技术。它允许用户通过加密的通道发送和接收数据，从而保护数据不被未授权的人访问或窃取。其工作原理是通过远程服务器重定向网络流量，这样真实的 IP 地址就被隐藏起来，使得网络请求对可能的监视者变得不可见。这好比将你的设备加入到另一个网络中，同时分配个另一个网络的 IP 地址。VPN 是一个统称，它有很多的具体实现，常见的协议包括 PPTP、L2TP、IPSec 和 GRE。目前，绝大部分 VPN 协议的流量特征均能被精确识别。
VPN 的传输过程
Proxy 即代理，是一种网络服务，它充当客户端和服务器之间的中介。代理服务器的主要功能是代理网络用户去获取网络信息。在客户端和目标服务器之间建立一个中介，使得客户端可以通过代理服务器的 IP 地址和位置信息来发送请求，从而隐藏客户端的真实 IP 地址和位置信息。代理就相当于一位中间人，只提供了匿名服务，并不加密传输的数据。所以还需要使用一些其他的技术对数据进行加密，例如流量混淆。流量混淆通过改变数据包的外观和行为，使得网络流量难以被识别和追踪。可以通过随机改变数据包的大小、时间间隔等特征，使流量看起来更像是随机数据，而不是特定类型的通信。也可以模仿其他常见的网络协议或应用的流量特征，使混淆后的流量看起来像是正常的网络流量。随着时间的推移，混淆特征也最终会被识别。
代理的传输过程
代理有两种常见的技术，一个是 SOCKS5，一个是 Tor。SOCKS5 是 SOCKS 协议的第五个版本，位于 OSI 模型中的第五层会话层，因此可以处理任何类型的网络流量。由于数据是以明文传输的，SOCKS5 更多用在本地代理，即同一网段下的所有设备都可以共用一个代理网络出口。Tor（The Onion Router）即洋葱路由，是一种由上千台中继服务器组成的分布式网络，用来转发网络请求，从而保护隐私性。
Tor 的传输过程
网络请求在进入 Tor 网络之前会被加密三次，然后通过选择的三个节点（入口节点、中间节点和出口节点）传输（如上图的 TOR RELAY），请求在传入下一个节点之前会被去除一次加密。每个节点只能解密一层加密，从而无法单独确定用户的身份和访问的内容。在三个节点中，第一个能够看到来自用户设备的加密 Tor 流量，但它不知道用户正在用 Tor 做什么，它仅仅能看到“这个 IP 地址正在使用 Tor”。第三个节点能够看到用户发送的 Tor 流量，但它不知道是谁发送的这些流量，如果使用了加密传输（例如 HTTPS 协议），它仅能知道目标网址。当然 Tor 也有缺点，经过了多次加密和节点的转发网络速度会变得很慢。Tor 也不能提供绝对的安全，如果监听者能够同时监测入口和出口节点，对流量进行计时关联也是可能的（如上图的 NSA美国国家安全局🫵）。
安全地访问互联网需要采取适当的措施，例如使用 HTTPS、VPN、代理等技术，但每种技术都有其优势和局限性，切记没有绝对的安全😶🌫️。
