# 加密牢不可破。递送加密的基础设施不是。

**Deck:** 本周，微软把 WireGuard 与 VeraCrypt 的开发者锁在了门外——没有预警，没有通知，也找不到一个活人可以联系。ICE 确认自己正用零点击间谍软件读取加密消息。欧盟的扫描法律已经失效，可企业照扫不误。七个国家一边索要加密后门，一边它们自己的军队却强制使用 Signal。而处处得出的教训是同一个：隐私有一个许可问题，而再多的数学也解决不了它。

**By:** URnetwork 编辑部
**Dateline:** 旧金山 — 2026 年 4 月 10 日
**Category:** 新闻／分析

---

## 加密同时赢了又输了的这一周

4 月 3 日，欧洲议会让自愿性消息扫描的法律依据到期失效。那场表决——311 票对 228 票——是欧洲多年来最重大的一次隐私胜利。[EFF 报道称](https://www.eff.org/deeplinks/2026/04/eu-parliament-blocks-mass-scanning-our-chats-whats-next)，谷歌和 Meta 这类公司失去了扫描数十亿条私人消息的权限。但接着它们[照扫不误](https://stateofsurveillance.org/news/eu-chat-control-voluntary-scanning-expires-april-3-2026/)，发布了一份联合声明，承诺“继续采取自愿行动”——如今这很可能已经违反了《电子隐私指令》。2024 年，德国联邦警察发现**被标记的消息中有 48.3% 是误报**——家庭照片和医学影像被错认成了非法内容。来自 34 个国家的五百名科学家此前已[宣告](https://www.computerweekly.com/news/366640781/EU-Parliament-rejects-Chat-Control-message-scanning)客户端扫描“在技术上不可行”，且事实上就是一个后门。欧洲人权法院在 [*Podchasov v. Russia* 案中裁定](https://www.eff.org/deeplinks/2026/04/eu-parliament-blocks-mass-scanning-our-chats-whats-next)，加密后门违反《公约》第 8 条。这一切都没能让扫描停下来。

4 月 7 日，[NPR 报道](https://www.npr.org/2026/04/07/nx-s1-5776799/ice-spyware-privacy)称，美国移民与海关执法局（ICE）在一封致国会的信中确认，它正在积极使用 Paragon Solutions 公司的 Graphite 间谍软件，在美国本土读取 Signal 与 WhatsApp 消息。技术机制是这样的：Graphite [把目标拉进一个群聊、发送一份特制的 PDF](https://citizenlab.ca/research/first-forensic-confirmation-of-paragons-ios-mercenary-spyware-finds-journalists-targeted/)，并触发 CVE-2025-27363——一个 FreeType 库漏洞——以实现代码执行和间谍软件安装。全程无需点击。这份 200 万美元的合同签订于拜登政府任内，一度被暂停，随后由特朗普重新启用。Paragon 由以色列 8200 部队前指挥官 **Ehud Schneorson** 与以色列前总理 **Ehud Barak** 创办，后被 AE Industrial Partners [以 9 亿美元收购](https://techcrunch.com/2026/04/02/ice-says-it-bought-paragons-spyware-to-use-in-drug-trafficking-cases/)，并并入一家总部位于弗吉尼亚州、名为 REDLattice 的公司。众议员 Summer Lee [回应说](https://www.npr.org/2026/04/07/nx-s1-5776799/ice-spyware-privacy)：*“处境最危险的那些人——包括移民、黑人和棕色人种社群、记者、组织者，以及任何公开反对政府滥权的人——理应得到的，不只是保密与搪塞。”*

4 月 8 日，[TechCrunch 报道](https://techcrunch.com/2026/04/08/wireguard-vpn-developer-cant-ship-software-updates-after-microsoft-locks-account/)称，Jason Donenfeld——WireGuard 的作者，也就是部署最广的现代 VPN 协议的作者——无法发布软件更新，因为微软终止了他的开发者账号。同一周，Mounir Idrassi（VeraCrypt）、Windscribe VPN 团队和 MemTest86 也发现自己的账号同样被锁。

Donenfeld [在 Hacker News 上写道](https://news.ycombinator.com/)：*“微软就此事从未给我发过任何通知。我翻遍了每一个收件箱、每一个垃圾邮件文件夹、每一份邮件日志，结果是零、什么都没有、屁都没有。”*

Idrassi 试着求助：*“我尝试通过各种渠道联系微软，但收到的只有自动回复和机器人。”* 最后是 [Epic Games 首席执行官 Tim Sweeney](https://www.theregister.com/2026/04/09/microsoft_dev_account_deactivations/) 亲自把这件事捅到微软 Windows 与设备业务总裁那里，才让人有了回应。微软副总裁 Scott Hanselman [对此事一笑置之](https://www.theregister.com/2026/04/09/microsoft_dev_account_deactivations/)：*“不是每件事都是阴谋，有时候它就真的只是走流程文件。”*

这不是阴谋。这比阴谋更糟。流程文件本身就是重点。

## 许可栈

你使用的每一件隐私工具，都坐落在一叠许可之上——这些许可不是你授予的，你控制不了，你甚至可能并不知道它们存在。

### 第 1 层：驱动签名

在 Windows 上——这个占据**桌面操作系统市场 72%** 的系统——WireGuard 和 VeraCrypt 没有一份由微软硬件计划（Hardware Program）签名的驱动就无法运行。微软于 2025 年 10 月宣布的新强制账号验证政策，要求开发者上传**政府签发的身份证件**，且证件姓名须与 Partner Center 主联系人一致。到 2026 年 4 月 1 日仍未照办的账号被自动停用。

这项要求与化名进行的开源开发根本不相容。Idrassi 收到的终止通知没有留任何余地：*"There are no appeals available, we have closed your application."*（没有任何申诉渠道，我们已经关闭了你的申请。）

VeraCrypt 的引导加载程序所用的签名证书[将于 2026 年 6 月 27 日到期](https://github.com/veracrypt/VeraCrypt/issues/1655)。过了那一天，UEFI 安全启动将拒绝加载它。估计全球将有**500 万到 1,000 万台加密设备**面临启动失败——不是因为加密被攻破了，而是因为微软的证书到期，而开发者的账号被锁。

### 第 2 层：应用商店

2026 年年初，苹果和谷歌应政府要求，从印度应用商店[下架了至少十二项 VPN 服务](https://www.aljazeera.com/news/2026/1/12/indias-vpn-ban-in-kashmir-adds-to-psychological-pressure-say-residents)——包括 Cloudflare 的 1.1.1.1、Hide.me 和 PrivadoVPN。在整个印控克什米尔，VPN 如今在[每一个县区都被禁止](https://kmsnews.org/kms/2026/04/08/authorities-ban-vpns-in-kishtwar-intensify-digital-restrictions-in-iiojk.html)，已有**800 多人**被指控违反 VPN 禁令，并在**短短三天之内有 150 人被正式立案**。警察扣押并搜查手机。

在英国，苹果宁可在 2025 年 2 月撤下自家 iCloud 的“高级数据保护”（Advanced Data Protection）功能，也不愿服从一道[政府后门命令](https://www.computerweekly.com/news/366632159/Home-Office-issues-new-back-door-order-over-Apple-encryption)。十四个月过去，截至 2026 年 4 月，**ADP 仍未向英国用户恢复**。十大类 iCloud 主要数据——包括备份、照片、文件和备忘录——依旧没有端到端加密。密钥握在苹果手里。英国内政部[又发出了第二道范围更窄的命令](https://theblueprintbrief.com/articles/apples-encryption-fight-with-uk-reignites-over-ic/)——同样的后门要求，只是限定在英国居民范围内。但正如安全研究人员所指出的：后门是无法按地理边界加以限制的。这套机制一旦造出来，就是一个普适的漏洞。

### 第 3 层：ISP 路由

2 月 12 日，俄罗斯[全面封锁了 WhatsApp](https://www.cnbc.com/2026/02/12/russia-whatsapp-meta-max.html)——**1 亿用户**受到影响。封锁采用了两层手段：把 WhatsApp 的域名从俄罗斯的国家域名系统中移除，再由部署在每一家 ISP 的 TSPU 深度包检测设备兜底。Signal 自 2024 年 8 月起被封。Discord 自 2024 年 10 月起。Viber 自 2024 年 12 月起。Instagram 和 Facebook 自 2022 年起。YouTube 在 2 月与 WhatsApp 一同被封。

顶替上来的是 [Max](https://www.aljazeera.com/news/2026/2/12/russia-bans-whatsapp-pushes-state-backed-alternative-max)，一款由 VK 开发、有国家背景的即时通讯应用，自 2025 年 9 月起被强制预装在所有于俄罗斯销售的设备上。Max 没有端到端加密——它使用经联邦安全局（FSB）批准的加密，让当局得以取得全部消息。网络安全研究员 Baptiste Robert [发现](https://www.cnbc.com/2026/02/12/russia-whatsapp-meta-max.html)了一个名为 HOST_REACHABILITY 的隐藏模块，它会主动检测 VPN 的使用并上报给 VK 的服务器。Robert 的结论是：*“任何经过这个应用的数据，都可以视为已经落在俄罗斯国家手中。”*

如今**大约 50% 的俄罗斯人在使用 VPN**。美联社[报道称这是一个“不满不断滋长的春天”](https://www.themoscowtimes.com/2026/04/03/as-kremlin-cuts-off-the-internet-vpns-become-a-way-of-life-a92370)——连克里姆林宫的支持者也在动怒。商界领袖 Alexander Shokhin 当面告诉普京，这些断网“让企业和民众的日子都难过起来”。

### 第 4 层：政府默许

缅甸的《网络安全法》把未经许可使用 VPN [定为犯罪](https://www.cloudwards.net/myanmar-vpn-ban/)，可判处一至六个月监禁，并处最高 4,760 美元罚款。在曼德勒、仰光以及分布于九个省邦的多座城市，[军方巡逻队和彪梭迪（Pyu Saw Htee）民兵](https://www.irrawaddy.com/news/burma/myanmar-junta-launches-street-phone-checks-as-cybersecurity-law-takes-effect.html)在街上拦下行人，检查智能手机里有没有被禁的应用。

执法背后是中国产的深度包检测硬件。来自 Geedge Networks——由“中国防火长城之父”方滨兴掌舵的一家公司——的一批 [600 GB 数据泄露](https://www.techradar.com/vpn/vpn-privacy-security/great-firewall-in-a-box-how-a-massive-data-leak-unveiled-chinas-censorship-export-model)暴露了源代码与合同，揭示出一款交钥匙式的 "Great Firewall in a Box"（盒装防火长城）产品，已部署在**缅甸 13 家 ISP 的 26 个数据中心**，可**同时监控 8,100 万条 TCP 连接**，并封锁**281 款 VPN 和 55 个应用**，其中包括 Signal、Tor 和 WhatsApp。

在三个月里，曼德勒省警察部队利用 PSMS（Person Scrutinization and Monitoring System，人员审查与监控系统）[逮捕了 1,657 人](https://www.irrawaddy.com/news/burma/myanmar-junta-searching-phones-for-vpn-use.html)。在检查站，士兵向任何被查出装有 VPN 软件的人索要 **100 万至 300 万缅元（460 至 1,380 美元）**。两名年轻女性在仰光被关押两天；她们的父母各付了 **230 美元**才把人赎出来。

一位名叫 Pan Pan 的女性，在两名朋友于检查站被捕后逃往泰国，她[告诉一名记者](https://medium.com/@harrykojournalist/its-like-living-inside-a-slaughterhouse-digital-surveillance-under-myanmar-s-junta-fa6220e6960a)：*“因为这一切监控，我们的日常生活就像随时可能在街上被抓走。行动自由没有了。这就像住在屠宰场里面。”*

缅甸的互联网自由度评分：[100 分中的 9 分](https://freedomhouse.org/country/myanmar/freedom-net/2025)。与中国并列全球最差。

### 第 5 层：端点沦陷

ICE 的 Graphite 间谍软件——如今[已被确认在美国本土处于活跃状态](https://www.npr.org/2026/04/07/nx-s1-5776799/ice-spyware-privacy)——是通过攻陷设备本身来读取加密消息的。但 Graphite 并不是唯一的工具。美国国土安全部（DHS）通过一款由 NEC 公司开发、名为 Mobile Fortify 的应用，运行着一个[收录 12 亿张图像的人脸识别数据库](https://www.bloomberg.com/news/articles/2026-02-02/dhs-face-scanning-app-pulls-from-1-2-billion-image-database)，**自 2025 年 6 月以来已被使用超过 10 万次**——其中包括在伊利诺伊州奥罗拉市一所高中附近针对青少年使用，一名探员一边把手机对准一个未成年人的脸，一边[问道](https://www.pbs.org/newshour/politics/department-of-homeland-security-intensifies-surveillance-in-immigration-raids-sweeping-in-citizens) *"Can you do facial?"*（能做人脸吗？）。生物识别数据保留 **15 年**。从未完成过任何[隐私影响评估](https://winbuzzer.com/2026/02/07/dhs-deployed-ice-facial-recognition-without-privacy-assessments-xcxwbn/)。

ICE 的监控总预算：**287 亿美元**——是它此前 13 年监控开支累计总额的十倍。

在这叠栈的每一层，加密的数学都无关紧要。问题不是你的消息能不能被解密。问题是你会不会被允许加密它们。

## 2026 年 4 月的加密悖论

把胜利和失败并排放在一起看，这个悖论就更加尖锐。

**胜利是真的。** 欧盟终结了 Chat Control 的法律依据。Signal [部署了稀疏后量子棘轮（Sparse Post-Quantum Ratchet）](https://signal.org/blog/spqr/)——第一个消费级规模的混合后量子加密消息协议，它把经典的双棘轮（Double Ratchet）与 ML-KEM-768（一种经 NIST 标准化的后量子密钥封装机制）合并成 Signal 所称的 "Triple Ratchet"（三重棘轮）。Bruce Schneier [写道](https://www.schneier.com/blog/archives/2025/10/signals-post-quantum-cryptographic-implementation.html)：*“这次更新可以看作是把 Signal 中棘轮那一部分的安全性翻了一倍。”* 该协议已由 Cryspen 使用 ProVerif 和 F* [做过形式化验证](https://cryspen.com/post/signal-spqr-verification/)。"Harvest now, decrypt later"（先收割、后解密）攻击——对手把加密流量先囤起来，等量子计算机能破解时再动手——如今在结构上更难对 Signal 那 7,000 万至 1 亿的月活用户下手。

丹麦[撤回了自己的加密禁令提案](https://cointelegraph.com/news/denmark-withdraws-eu-chat-control-proposal-privacy-win)，此前司法大臣 Peter Hummelgaard——他曾宣称*“我们必须与那种彻底错误的观念决裂，即认为在加密通讯服务上交流是每个人的公民自由”*——被发现是[丹麦 179 名议员中，本人使用加密通讯的那 70 人之一](https://reclaimthenet.org/danish-justice-minister-under-fire-for-pushing-encryption-ban-while-using-it)。瑞典自己的[准将 Mattias Hanson](https://officerstidningen.se/forsvarsmaktens-anstallda-ska-anvanda-appen-signal-for-oppen-kommunikation/) 已指示所有非涉密军事通讯改用 Signal——而与此同时，瑞典政府的加密后门法案却试图迫使 Signal 存储并交出消息。瑞典武装部队的正式咨询答复是：对端到端加密通讯的访问要求*“如果不引入第三方可以利用的漏洞和后门，就无法被满足”*。[来自 50 多个国家的 237 个组织](https://www.globalencryption.org/2025/04/joint-letter-on-swedish-data-storage-and-access-to-electronic-information-legislation/)致信瑞典议会（Riksdag）表示反对。该法案已被推迟。

而 FBI 与 CISA [发出了联合警告](https://www.malwarebytes.com/blog/news/2026/03/fbi-cisa-warn-of-russian-hackers-hijacking-signal-and-whatsapp-accounts)，称俄罗斯黑客正在积极攻陷政府官员的 Signal 和 WhatsApp 账号——这等于含蓄承认，加密通讯保护的是国家安全。FBI 的转向还要更深一层：在中国的 Salt Typhoon 行动[入侵了 80 多个国家的 200 多家电信公司](https://techcrunch.com/2026/03/09/salt-typhoon-china-who-has-been-hacked-global-telecom-giants/)——利用的正是各国政府强制电信商建设的合法监听基础设施——之后，FBI 如今叫美国人使用 Signal。Salt Typhoon 通过一个**已存在七年**、未打补丁的思科漏洞，[进入了 FBI 自家的 DCS-3000（代号 "Red Hook"）监听管理系统](https://cyberscoop.com/fbi-salt-typhoon-ongoing-threat-cybertalks-2026/)，拿到了一份近乎完整的 FBI 监听对象名单。那个花了几十年与强加密作战的机构，如今在推荐强加密——因为它自己的监听系统被反过来用在了它身上。

**失败是结构性的。** 至少有[七个司法辖区](https://stateofsurveillance.org/news/uk-sweden-encryption-backdoor-signal-2026/)正在同时推进削弱加密：英国、瑞典、法国、丹麦、澳大利亚、印度，以及作为整体的欧盟。Signal 已威胁要[退出其中五个](https://www.computerworld.com/article/3850597/signal-threatens-to-leave-france-if-encryption-backdoor-required.html)。欧盟的 Chat Control 2.0 [三方谈判仍在继续](https://www.eff.org/deeplinks/2026/04/eu-parliament-blocks-mass-scanning-our-chats-whats-next)——下一轮会议是 **4 月 16 日**，也就是六天之后，目标是在 7 月前达成协议。欧洲数字权利组织（EDRi）称 CSAR 条例是[*“有史以来受到批评最多的欧盟法律草案”*](https://edri.org/our-work/commissions-digital-omnibus-is-a-major-rollback-of-eu-digital-protections/)。

与此同时，Anthropic 与五角大楼的对峙，揭示了当一家 AI 公司拒绝为监控提供便利时会发生什么。Anthropic 拒绝允许把自家的 Claude 模型用于大规模国内监控和自主武器。五角大楼[把它认定为 "supply chain risk"](https://www.cnbc.com/2026/04/08/anthropic-pentagon-court-ruling-supply-chain-risk.html)（供应链风险）——这个标签此前只用在华为和中兴身上。联邦法官 Rita Lin [称这一认定是 "Orwellian"](https://www.cnbc.com/2026/03/26/anthropic-pentagon-dod-claude-court-ruling.html)（奥威尔式的），并批准了初步禁令，她写道：*"Nothing in the governing statute supports the Orwellian notion that an American company may be branded a potential adversary and saboteur of the U.S. for expressing disagreement with the government."*（相关成文法中，没有任何内容支持这样一种奥威尔式的观念：一家美国公司可以仅仅因为表达了对政府的不同意见，就被打上美国潜在敌人与破坏者的烙印。）哥伦比亚特区联邦巡回上诉法院于 4 月 8 日[推翻了该裁定](https://www.cnbc.com/2026/04/08/anthropic-pentagon-court-ruling-supply-chain-risk.html)，理由是 "active military conflict with Iran"（与伊朗的现行军事冲突）。OpenAI 顶了上来，签下自己那份 2 亿美元的合同；EFF [称这份合同的措辞是“推诿搪塞的鬼话”](https://www.eff.org/deeplinks/2026/03/weasel-words-openais-pentagon-deal-wont-stop-ai-powered-surveillance)（"weasel words"）。ChatGPT 的卸载量在一天之内[暴涨 295%](https://techcrunch.com/2026/03/02/chatgpt-uninstalls-surged-by-295-after-dod-deal/)。

加密的数学从未如此强大。递送它的基础设施也从未如此脆弱。

## 无需许可的隐私必须意味着什么

这一周的教训不是加密正在失效。AES-256 不是瓶颈。Signal 新的后量子棘轮也不是瓶颈。

瓶颈在于，整条递送链路——驱动签名、应用商店上架、ISP 路由、政府默许、设备本身的物理安全——都掌握在一些实体手里，而它们给出的许可是可以被收回的。

一套能在许可栈中存活下来的隐私基础设施，必须满足四条属性：

1. **没有守门人的分发。** 软件必须能通过任何单一实体都控制不了的渠道获得。开源是必要的，但并不充分——微软这次封号已经证明了这一点。你还需要任何人都能验证的可复现构建，以及不依赖苹果或谷歌持续配合的分发渠道（F-Droid、直接下载 APK、旁加载）。

2. **与普通流量无从区分的传输。** 如果 DPI 硬件——无论是[中国制造的 Geedge Tiangou 网关](https://www.techradar.com/vpn/vpn-privacy-security/great-firewall-in-a-box-how-a-massive-data-leak-unveiled-chinas-censorship-export-model)还是俄罗斯的 TSPU 设备——能给你的协议做出指纹，它就能封掉你的协议。标准 VPN 协议如今已被例行识别：OpenVPN、WireGuard 和 IKEv2 在俄罗斯全都被封。只有看上去像普通网页流量的协议——VLESS+Reality、AmneziaWG 2.0、WebRTC——才活得下来。

3. **没有可被强制的中心运营方。** 只要存在一家运行服务器的公司，这家公司就可以被命令记录日志、封锁、交出数据，或者关停。网络必须由它的参与者来运行——而不是由参与者所信任的某个供应商来运行。

4. **没有可被吊销的身份。** 如果使用这个网络需要账号或订阅，那个身份就是一个把手：可以被停用，可以被传票调取，也可以被用来拒绝提供服务。

## URnetwork 对阵许可栈

[URnetwork](https://ur.io) 的设计目标，就是拆掉这叠栈里的每一道许可闸门。

**没有守门人的分发。** 客户端完全开源。它[在 F-Droid 上架](https://f-droid.org/en/packages/com.bringyour.network/)（版本 2026.1.7），构建产物由 **F-Droid 维护者从源码独立复现，并与 URnetwork 公布的产物逐比特比对验证**。它可以通过 Obtainium 直接获取 GitHub 发行版，也在各大应用商店上架——那是一种便利，不是一种依赖。当微软封掉一个开发者账号时，URnetwork 的分发不会停下。当印度把一款 VPN 从 App Store 下架时，APK 仍然可以下载。当一个政府索要后门时，并不存在这样一个二进制文件：它既能被塞进后门，又没有别人已经验证过它。

**与普通流量无从区分的传输。** 该协议提供三种传输方式——**QUIC/TLS、TCP/TLS 和 WebRTC/dTLS**——全都是普通网页浏览器会说的话。传输层（URTRANSPORT1）会依据可用性和性能，在它们之间自动选择与升级。可达性层支持带 SNI 伪装的 **N 层 TLS 加密**（N>=2）——嵌套的多层 TLS，其中每一层外层加密都使用一张面向某个中间 IP、可对应任意主机名的自签名证书，让连接看上去就像标准 HTTPS 流量。哪个政府或 ISP 想给它们做指纹并加以封锁，就得先把开放的万维网整个封掉。

**没有可被强制的中心运营方。** 每一跳都是一台真实的消费级设备——一部手机、一台笔记本电脑、一台 [145 美元的 URnode](https://shop.ur.io)（2GB DDR 内存、双千兆以太网口、2x2 MIMO Wi-Fi）。提供者通过一场性能竞价来获得收益，这场竞价把流量导向最快、最可靠的路径。多客户端管理器会同时维持一个 2–6 个提供者的窗口，配有**黑洞检测**（对确认收到流量却不回传的客户端设 5 秒超时）、**ping 健康检查**（30 秒超时），以及持续的窗口伸缩。当一条路径掉线时，次优路径已经在被测试了。这里没有中心服务器列表。也没有一个可以送达“技术能力通知”（Technical Capability Notice）的运营方。

**没有可被吊销的身份。** 免费层每月提供 50 GiB，没有订阅档案，没有可供传票调取的账户账本，也没有可拿去做年龄验证的身份。提供者以 USDC 按周结算收益。如果缅甸军方检查你的手机并发现了 URnetwork，它看上去就是一个正在建立普通网页连接的普通应用。状态栏里不会出现 VPN 图标。

## 诚实的但书

无需许可并不意味着无懈可击。如果 ICE 在你的手机上部署了 Graphite，那么无论消息是哪个应用发出的，它都能读到。如果伊朗部署军用级 GPS 干扰器——它在 2026 年 1 月就这么做了，[把 Starlink 的性能压低了 80%](https://pulse.internetsociety.org/en/blog/2026/03/are-congo-and-uganda-election-related-internet-shutdowns-a-sign-of-things-to-come/)——那么任何覆盖网络都无法凭空造出连通性。在基础设施层面的全面断网期间，**所有基于软件的规避工具都会失效**：VPN、Tor、Psiphon、Shadowsocks，全都一样。

但现实世界里的审查，大多不是基础设施层面的全面关停。它是一个因为一纸流程政策而被锁掉的开发者账号。它是一项在监管者要求下被下架的应用。它是一个被 DPI 硬件限速的协议。它是某个官僚在第一道后门命令被推翻之后，把它重写了一遍。它是检查站的一名士兵，向一个手机上有 VPN 图标的学生索要 1,380 美元。

这些都是许可问题。而它们有一个无需许可的答案。

## 你能做什么

在受限区域之外，每一个打开 [URnetwork](https://ur.io) 并启用提供者模式的人，都在为一个网络增添住宅端的容量——而受限区域之内的某个人，明天可能就需要它。每一台发出去的 [URnode](https://shop.ur.io)，都是一个跑在无人守门的网络之上的全屋端点。每一个读过[协议](https://ur.io/protocol)并[验证过构建](https://github.com/urnetwork/build)的开发者，都是又多一个能够确认二进制与源码相符的人。

加密的数学是管用的。它一直都管用。问题从来不在数学。问题在于，总得有某个人、在某个地方，给你许可去使用它——而这一周再一次证明，这份许可可以在这叠栈的任何一层，被任何握有筹码的实体，出于任何理由、或者根本不需要任何理由地收回。

解法是一套不需要许可的基础设施。这套基础设施已经存在。你可以运行它。

---

## 参考资料

### 微软开发者账号封禁（2026 年 4 月 8-9 日）
- [WireGuard VPN developer can't ship updates after Microsoft locks account (TechCrunch)](https://techcrunch.com/2026/04/08/wireguard-vpn-developer-cant-ship-software-updates-after-microsoft-locks-account/)
- [Microsoft dev account deactivations hit WireGuard, VeraCrypt, Windscribe (The Register)](https://www.theregister.com/2026/04/09/microsoft_dev_account_deactivations/)
- [Microsoft suspends VeraCrypt, WireGuard accounts (Cybernews)](https://cybernews.com/security/microsoft-suspends-veracrypt-wireguard-accounts-maintainers/)
- [VeraCrypt GitHub Issue #1655 — Certificate Expiration](https://github.com/veracrypt/VeraCrypt/issues/1655)

### ICE 间谍软件 / Paragon Graphite
- [ICE acknowledges it is using powerful spyware (NPR, Apr 7)](https://www.npr.org/2026/04/07/nx-s1-5776799/ice-spyware-privacy)
- [ICE says it bought Paragon's spyware (TechCrunch, Apr 2)](https://techcrunch.com/2026/04/02/ice-says-it-bought-paragons-spyware-to-use-in-drug-trafficking-cases/)
- [Citizen Lab: First forensic confirmation of Paragon's iOS spyware](https://citizenlab.ca/research/first-forensic-confirmation-of-paragons-ios-mercenary-spyware-finds-journalists-targeted/)

### 欧盟 Chat Control
- [EU Parliament blocks mass-scanning of our chats (EFF)](https://www.eff.org/deeplinks/2026/04/eu-parliament-blocks-mass-scanning-our-chats-whats-next)
- [Chat Control voluntary scanning expires April 3 (State of Surveillance)](https://stateofsurveillance.org/news/eu-chat-control-voluntary-scanning-expires-april-3-2026/)
- [EU Parliament rejects Chat Control (Computer Weekly)](https://www.computerweekly.com/news/366640781/EU-Parliament-rejects-Chat-Control-message-scanning)

### 加密后门要求
- [UK Home Office issues new backdoor order against Apple (Computer Weekly)](https://www.computerweekly.com/news/366632159/Home-Office-issues-new-back-door-order-over-Apple-encryption)
- [Signal would rather leave UK and Sweden (State of Surveillance)](https://stateofsurveillance.org/news/uk-sweden-encryption-backdoor-signal-2026/)
- [Swedish Armed Forces adopt Signal (CyberInsider)](https://cyberinsider.com/swedish-armed-forces-adopt-signal-for-secure-communications/)
- [Global Encryption Coalition joint letter — 237 organizations](https://www.globalencryption.org/2025/04/joint-letter-on-swedish-data-storage-and-access-to-electronic-information-legislation/)
- [Danish Justice Minister hypocrisy (Reclaim the Net)](https://reclaimthenet.org/danish-justice-minister-under-fire-for-pushing-encryption-ban-while-using-it)

### 俄罗斯
- [Russia blocks WhatsApp (CNBC, Feb 12)](https://www.cnbc.com/2026/02/12/russia-whatsapp-meta-max.html)
- [VPNs become a way of life (Moscow Times, Apr 3)](https://www.themoscowtimes.com/2026/04/03/as-kremlin-cuts-off-the-internet-vpns-become-a-way-of-life-a92370)

### 印度 / 克什米尔
- [VPN ban in Kishtwar (Kashmir Media Service, Apr 8)](https://kmsnews.org/kms/2026/04/08/authorities-ban-vpns-in-kishtwar-intensify-digital-restrictions-in-iiojk.html)
- [India's VPN ban in Kashmir (Al Jazeera)](https://www.aljazeera.com/news/2026/1/12/indias-vpn-ban-in-kashmir-adds-to-psychological-pressure-say-residents)

### 缅甸
- [Myanmar junta launches street phone checks (The Irrawaddy)](https://www.irrawaddy.com/news/burma/myanmar-junta-launches-street-phone-checks-as-cybersecurity-law-takes-effect.html)
- [Great Firewall in a Box (TechRadar)](https://www.techradar.com/vpn/vpn-privacy-security/great-firewall-in-a-box-how-a-massive-data-leak-unveiled-chinas-censorship-export-model)
- [Geedge Networks investigation (Justice For Myanmar)](https://www.justiceformyanmar.org/press-releases/report-reveals-how-chinas-geedge-networks-and-myanmar-telecoms-companies-are-enabling-the-illegal-juntas-digital-terror-campaign)
- ["It's like living inside a slaughterhouse" (Medium)](https://medium.com/@harrykojournalist/its-like-living-inside-a-slaughterhouse-digital-surveillance-under-myanmar-s-junta-fa6220e6960a)
- [Myanmar Freedom on the Net 2025 (Freedom House)](https://freedomhouse.org/country/myanmar/freedom-net/2025)

### Salt Typhoon
- [Salt Typhoon hacks 200+ telecoms (TechCrunch)](https://techcrunch.com/2026/03/09/salt-typhoon-china-who-has-been-hacked-global-telecom-giants/)
- [FBI: Salt Typhoon threat still ongoing (CyberScoop)](https://cyberscoop.com/fbi-salt-typhoon-ongoing-threat-cybertalks-2026/)
- [FBI/CISA warn Russian hackers targeting Signal (Malwarebytes)](https://www.malwarebytes.com/blog/news/2026/03/fbi-cisa-warn-of-russian-hackers-hijacking-signal-and-whatsapp-accounts)

### DHS 监控机器
- [DHS face-scanning app — 1.2 billion images (Bloomberg)](https://www.bloomberg.com/news/articles/2026-02-02/dhs-face-scanning-app-pulls-from-1-2-billion-image-database)
- [DHS deployed facial recognition without privacy assessments (WinBuzzer)](https://winbuzzer.com/2026/02/07/dhs-deployed-ice-facial-recognition-without-privacy-assessments-xcxwbn/)
- [DHS intensifies surveillance in immigration raids (PBS)](https://www.pbs.org/newshour/politics/department-of-homeland-security-intensifies-surveillance-in-immigration-raids-sweeping-in-citizens)
- [ICE surveillance shopping spree (EFF)](https://www.eff.org/deeplinks/2026/01/ice-going-surveillance-shopping-spree)

### Anthropic 与五角大楼
- [Anthropic loses appeals court bid (CNBC, Apr 8)](https://www.cnbc.com/2026/04/08/anthropic-pentagon-court-ruling-supply-chain-risk.html)
- [Judge calls designation "Orwellian" (CNBC, Mar 26)](https://www.cnbc.com/2026/03/26/anthropic-pentagon-dod-claude-court-ruling.html)
- [EFF: Weasel Words (EFF)](https://www.eff.org/deeplinks/2026/03/weasel-words-openais-pentagon-deal-wont-stop-ai-powered-surveillance)
- [ChatGPT uninstalls surged 295% (TechCrunch)](https://techcrunch.com/2026/03/02/chatgpt-uninstalls-surged-by-295-after-dod-deal/)

### Signal 后量子棘轮
- [Signal deploys SPQR (Signal Blog)](https://signal.org/blog/spqr/)
- [Schneier on Security (Oct 2025)](https://www.schneier.com/blog/archives/2025/10/signals-post-quantum-cryptographic-implementation.html)
- [Cryspen formal verification](https://cryspen.com/post/signal-spqr-verification/)

### 规避工具
- [Tails 7.6 automatic Tor bridges (Tor Project Blog)](https://blog.torproject.org/new-release-tails-7_6/)
- [AmneziaWG 2.0 bypasses advanced censorship (gHacks)](https://www.ghacks.net/2026/03/25/amnezia-releases-amneziawg-2-0-to-bypass-advanced-internet-censorship-systems/)

### URnetwork
- [URnetwork — Home](https://ur.io)
- [URnetwork — Protocol](https://ur.io/protocol)
- [URnetwork — Get the App (F-Droid, APK, app stores)](https://ur.io/app)
- [URnetwork — URnode ($145)](https://shop.ur.io)
- [URnetwork — Earn](https://ur.io/earn)
- [URnetwork — F-Droid Listing](https://f-droid.org/en/packages/com.bringyour.network/)
- [URnetwork — GitHub (reproducible builds)](https://github.com/urnetwork/build)