二、电脑硬件及操作系统 on 点心安全手册

运行 Windows 系统的 PC 机

Sat, 04 Apr 2026 00:00:00 +0000

运行 Windows 系统的 PC 机 #

在开始之前：买电脑前你需要知道的事 #

本页面的内容针对 Windows 系统用户。如果你使用的是 macOS 或预装 Linux 的设备，这一条不适用于你，但本页面其他章节的部分建议仍然值得参考。

在中国境内销售的 Windows PC，存在额外风险 #

在中国境内销售的 Windows PC（包括联想、戴尔、惠普等品牌的中国版本），常常预装了中国厂商的管理软件，例如某某电脑管家。这类软件拥有极高的系统权限，且会与中国境内的服务器保持通信。

如果你有条件选择，优先考虑在中国境外购买电脑，例如在香港、台湾或其他地区购买后带入。相对可信的选择包括：在非中国市场销售的 ThinkPad、华硕（台湾品牌）、戴尔、惠普的非中国版本。

如果你已经在用中国境内购买的电脑，或者只能在中国购买，这很正常——以下是你需要知道的风险，以及你可以做的处理。

风险一：预装软件

中国品牌电脑（以及部分国际品牌的中国版本）通常预装了厂商自己的管理软件。这类软件：

拥有极高的系统权限，可以访问你电脑上的几乎所有内容
会定期与厂商服务器通信，发送设备信息
即使你卸载了，有时仍会留下残余组件

你可以做的事

打开 【设置】→【应用】→【已安装的应用】，找到所有你不认识或不需要的厂商软件，逐一卸载。若不确定，请咨询专业人士。
重点检查并卸载：联想电脑管家、华为电脑管家、小米电脑管家、360安全卫士、腾讯电脑管家——这类软件不应该保留
卸载后，用 Autoruns（微软官方工具）检查是否还有残余程序在后台自动启动

风险二：系统本身可能已被修改

部分在中国销售的电脑出厂时安装的并非完整的官方 Windows，而是经过修改的版本。这类系统可能无法正常接收安全更新，或者已经被植入了你看不见的组件。

你可以做的事：

检查你的 Windows 是否是正版：打开 【设置】→【系统】→【激活】，查看激活状态
如果显示"未激活"或激活方式可疑，最彻底的解决方法是重装系统（见下方《如何重装正版 Windows 系统》）
即使显示已激活，如果你对系统来源有疑虑，重装仍然是最可靠的选择

风险三：硬件层面的风险

极少数情况下，设备在出厂或流通环节中可能被植入硬件级的监控组件。这类攻击成本高、针对性强，通常只针对特定的目标。

如果你认为自己属于被重点关注的对象，最好更换一台在可信渠道购买的设备，这比任何软件层面的修复都可靠。

关于电脑品牌：你需要知道 #

联想

联想是总部位于中国的跨国公司。在中国境内购买的联想电脑（包括 Thinkpad），尤其是面向政府或企业市场的版本，存在预装管理软件的风险，建议谨慎使用。如果你在中国境外购买联想电脑（例如在台湾、香港、欧美市场购买的消费者版本），风险相对较低，但仍建议按照本页面的建议检查并清理预装软件。

华为

华为设备在多个国家已被列为安全风险。对于活动人士和记者，不建议使用任何华为电脑或平板，无论是在中国境内还是境外使用。如果你目前正在使用华为电脑，建议将更换设备列入你的计划，并在此期间格外注意本页面其他章节的建议。

操作系统：从源头开始 #

不要使用盗版或"GHOST"系统 #

在中国，有大量电脑预装了非官方的 Windows 系统，俗称"GHOST 系统"或"精简版 Windows"。这类系统通常：

运行 macOS 的苹果电脑

Fri, 05 Apr 2024 00:00:00 +0000

运行 macOS 的苹果电脑 #

一、决定购买和使用之前 #

苹果电脑由美国 Apple 公司生产，它的电脑硬件与操作系统之间有着强绑定关系。也就是说，当你购买苹果电脑的时候，意味着你选择使用 macOS 系统；当你想要使用 macOS 系统的时候，你就会购买苹果电脑。

这种强绑定关系的好处是，硬件与系统之间极其优良的配合，因为它的系统就是为它的硬件准备的。有些人会在苹果电脑上面安装 Windows 系统，或者在 PC 机上面安装 macOS 系统，虽然这样也能运行，但肯定无法像苹果电脑搭载 macOS 系统那样舒服和流畅。

但是这种强绑定关系同时也带来一些问题，这是你在决定购买和使用苹果电脑之前要知道的。你有可能会遭遇这种情况：

电脑硬件完好无损，无论是电池还是硬盘都能正常工作。但是，由于苹果公司不断发布新的 macOS 系统，而新版系统对于电脑硬件配置要求较高，使得你的电脑无法升级到最新版本的系统，或者即使能够升级，也不能流畅地使用。你无法仅仅通过升级主板、内存或者显卡使其满足最新版 macOS 系统的要求。很多人在这个时候会被迫买一台新的电脑，也就是硬件配置更高、操作系统更新的苹果电脑。

点击以下链接，检查你的苹果电脑硬件能够支持的最新版本系统是多少。

MacBook Air https://en.wikipedia.org/wiki/MacBook_Air#macOS
MacBook Pro https://en.wikipedia.org/wiki/MacBook_Pro#macOS
iMac https://en.wikipedia.org/wiki/IMac#Supported_Apple_operating_system_releases

根据上面的链接内容所示：

如果你使用 MacBook Air 电脑，想要升级到最新的 macOS 14 版本系统，那么你的 MacBook Air 机器至少需要是 2018 年版本。早于 2018 年的机器已经无法升级到 macOS 14 版本的系统。
如果你使用 MacBook Pro 电脑，想要升级到最新的 macOS 14 版本系统，那么你的 MacBook Pro 机器至少需要是 2018 年版本，早于 2018 年的机器已经无法升级到 macOS 14 版本的系统。

运行 GNU/Linux 系统的 PC 机

Fri, 05 Apr 2024 00:00:00 +0000

运行 GNU/Linux 系统的 PC 机 #

Linux 平台的病毒、木马数量远远少于 Windows, 但这绝不意味着 Linux 系统百分之百安全，因此你也要为 Linux 系统做好相应的安全防护。

这个世界上存在几百种不同的 GNU/Linux 发行版，我们很难列出每一种的安全设置方案。但是，无论哪种都有一些基础的、通用的注意事项。请参考这个说明：

https://securityinabox.org/zh/phones-and-computers/linux/

此外，建议仔细阅读所用 Linux 发行版的官方文档、官方 Wiki, 那里一般会有针对特定发行版的详细说明。

使用 Live USB 系统

Fri, 05 Apr 2024 00:00:00 +0000

使用 Live USB 系统 #

从事敏感和危险工作的行动者一般分为两类，一种公开身份活动，一种完全匿名活动。前者并不需要隐藏真实身份，但可能希望保护信息、数据与通信安全，也就是有“加密”的需求。后者则不光要保护信息、数据与通信安全，还要保持匿名，不被别人识破身份，也就是同时需要“匿名”且“加密”。

这两类人的需求并不完全相同，但在很多场景之下需要类似的工具。

我们推荐从事敏感和危险工作的行动者学习制作和使用 Live USB 系统，也就是将操作系统（无论 Windows 还是 Linux）安装在一个小小的 U 盘上面，每次使用的时候，将 U 盘插在电脑上，选择从 U 盘启动并运行系统。使用结束之后，关闭系统和电脑，收起 U 盘。

这样做的好处是，你在公开使用的电脑和系统当中不会留下任何“敏感信息”和“敏感活动”，而且 Live USB 系统在关机之后可以清除所有使用记录，只留下一个干净的系统。这使得监控甚至抓捕你的人无法得到任何敏感信息和数据。

这些操作系统都可以安装在 USB 当中：Windows 10, Ubuntu Linux, Tails Linux, Whonix, antiS。

它们大都是 GNU/Linux 系统，各有特色，适合不同需求的人，比如 Tails 和 Whonix 系统默认将所有网络请求和流量通过 Tor 网络转发，保证用户完全匿名。Windows 则适合大多数不熟悉 Linux 的用户。

可以用 Rufus 或 UNetbootin 来制作 Live USB。详细方法请见各自的官方网站。