簡介

首先，我想先就 Telegram 是什麼樣性質的一個通訊軟體做個簡單的介紹，第一，它是為了讓用戶擁有秘密通訊的權利而誕生的軟體，本身就不是以營利為目標的，永遠也不會看到 Telegram 哪天發出聲明說開始要收費，或是限制上傳雲端的檔案數量，不會，相比之下，有太多通訊軟體本身就是以營利為目的，為了賺錢，而不是有這種"奉獻"自我、服務大眾的感覺。正因如此，這也是我很喜歡 Telegram 的原因之一，當然還有更多優點我沒有提到。

在台灣用戶數過少 (主要因素)

這種先入為主的概念，一直在很多人身上發生，第一次用了好用的東西，就有很大的機會一直用下去，要突然迫使用戶改用別的東西，是有相當程度的困難，我自己算是例外，我個人是不隨波逐流，在我眼中好就是好，壞就是壞，要用就要用最好的。Telegram 用戶數算很少嗎？相較其他通訊軟體，總得來說，是少的，但是數量也是滿驚人的，

根據 Telegram 官方統計，去年總活躍用戶數已達：100,000,000 人，但反觀在台灣的用戶數，真的是少之又少，可說是被 Line 攻略後，就難以再讓其他通訊軟體取代了吧。

如果裝了 Telegram，身邊卻沒有人使用，想必也沒有人想裝，大多數人是不會去推薦他人，甚至是要求身邊的人都裝自己裝的軟體。而我自己又剛好是特例，如果別人不用 Telegram 就找不到我了，無法傳送訊息或資料給我，我甚至會向周圍的人推薦。（前提是真的好用我才會推薦。）

官方語言是英文 (次要因素)

Telegram 不論是在推特，還是官方網站，官方的所有App，預設都是英文，並沒有繁體中文，這是缺點，但並非無法補足的缺點，有很多社群人士有推出一系列的繁體中文化教學，甚至包刮教人怎麼使用以及了解這套軟體的優缺點。

即便如此，大多數人看到英文還是避之唯恐不及，不想看到英文，或著說看不懂英文，裝完大概就打算砍了。（鄙人真是覺得可惜啊！這些英文單字應該不會難到看不懂的地步。）

其他個人因素

有不少卸載這套軟體的用戶是認為這軟體很不方便（好歸好，沒有人用才是真的），也有人本身就是 Line 的粉絲，認為有 Line 就夠了，何必再裝一套軟體，還有些人認為再多裝軟體會耗費自己的空間容量，會讓手機/電腦變卡。至於為何有人這麼想，我就不多做自己的見解了，給讀者們思考看看，那些人心裡想什麼。

以上，這三點是我認為在台灣很難普及的原因，要看每個人願不願意嘗試新的事物，願不願意打破傳統跳出框架，嘗試看看使用其他通訊軟體的生活，以及不排斥英文的介面。

近日，心情很不好，我常在想，為什麼周遭的人可以不在乎自己的個資，不在乎這些個資可以怎麼被人利用。

由於某大學的一堂課需要出校外，而學校規定老師一定要幫學生保險，而保險這件事則需要個資，所以呢？學生交給老師身分證字號、電話、聯絡人就夠了吧？我相信老師，而且老師本來就有權限取得這些相關資料，然而！卻是交給學生處理！

這簡直氣死我了，就在課堂上，傳單子，任何人都可以看到那張有全班個資的單子，任何人都有那個機會可以偷偷記錄下來。我在想，既然老師信任那個同學，要他負責，那他也可以採取別的方式，例如Google表單，何必要在班上傳？

更離譜的是，後來還傳到通訊軟體上面！我的天呀，在班上傳的話，可能會因為其他人關注而不敢偷拍，但是網路上，就沒這困擾了，直接檔案存下來，神不知鬼不覺。

更何況，學校的校務系統修改個人選課密碼的方式其一就是填寫個資，剛好這些個資，那張單子上都有，所以，只要有人拍下來，就相當於可以登入校務系統偷看你住在哪裡，偷看你的成績，偷偷亂選課，全部退選之類的。

因此，當天我立刻私訊了網管，要求他設定我的帳號不可以因填寫個資而變動密碼，很快的他也回應了，所以知道我個資，依舊無法修改我的選課密碼。這倒是讓我放心不少。

我告訴我身邊的人，但感覺他們一點都不太在乎。我認為這是非常重要的一件事，所有應該要認真保護自己的人都應該要關注自己的個資才對，這真是讓我對周遭同學失望透底。

記得高中時期，我很愛看一部電視劇《Mr. Robot》，故事中的男主角就是一名駭客，駭了數不清數目的人，翻出他們的社交活動，看看有沒有違法事情，我倒是覺得，主角很像我的寫照。

有點類似：駭客很注重資訊安全，很不想自己被別人駭，駭客被駭豈不是很可笑？

還滿希望身邊的人能夠更注意自己的隱私安全，不論是線上還是現實生活。為了自己好，也為了朋友好。

本站於 2017.01.20 決定將網域 weils.net 加入 HSTS preload 清單中，並且全站HTTPS，以增進用戶之體驗與安全。

而近期，Chrome 的桌面及安卓穩定版(版本58之後)已經硬寫入本站域名，而任何舊版瀏覽器以HTTP訪問本站皆是"危險"且不可能的事情，若發生請立刻中斷連線，以保護您的資訊免於駭客侵犯。

而本站在昨日添加了 DNS CAA 紀錄進入幾個主要網站域名，更加強了預防假證書的發行。

昨日，本站也修復了歷來 weils.net 無DS紀錄導致 DNSSEC不安全的錯誤，故即日起， weils.net 之 DNSSEC 已經完全正常運作。

本站也全面以HTML5 W3C標準通過網站規格驗證，確保網站擁有良好的瀏覽品質。

另在更久以前 url.weils.net 成立之初，本站也全面使用現行網際網路最新之協定 HTTP/2 ，使用戶瀏覽本站速度會更加快速。

最後則是本站支援 IPv6 。

現代已是資訊豐富多元的時代，不像以前得依靠郵差去送信，只要寄送電子郵件，幾乎瞬間就可以傳遞到對方的手上。Email也問世幾十年，但當初沒有設計好，現在才有一堆新的政策補強Email的缺點。

我直接進入正題，若有誤還請多多包涵或留言糾正我。

首先，我想先簡單介紹，Email郵件的格式，Email很像一個正常的網頁回應，包含標頭，內容，標頭Header會含有一些重要資訊，例如誰寄信的、收件者是誰、郵件的編碼、發件人IP(非必要)……資訊。通常內容是用Base64編碼啦。少數HTML郵件，是直接傳送 plaintext 純文本 UTF8 編碼郵件。郵件編碼設定有誤可能會造成收件亂碼或是軟體不支援此編碼的各種問題。

以下是範例郵件內容：

Mime-Version: 1.0
Date: Mon, 10 Apr 2017 12:59:53 +0000
Content-Type: multipart/alternative;
 boundary="--=_RainLoop_611_240864755.1491829193"
Message-ID: <fc76c3e9a9187fd5b0cb8f86a8f119b8@weils.net>
X-Mailer: RainLoop/1.11.0.203
From: "Weil Jimmer" <me@weils.net>
Subject: test
To: weil@00wbf.com

----=_RainLoop_611_240864755.1491829193
Content-Type: text/plain; charset="utf-8"
Content-Transfer-Encoding: quoted-printable

--=0A=0AWeil Jimmer , Member Of White Birch Forum Team.=0Ahttps://www.wbf=
tw.org (https://www.wbftw.org/)=0A=0ABest Regards.

----=_RainLoop_611_240864755.1491829193
Content-Type: text/html; charset="utf-8"
Content-Transfer-Encoding: quoted-printable

<!DOCTYPE html><html><head><meta http-equiv=3D"Content-Type" content=3D"t=
ext/html; charset=3Dutf-8" /></head><body><div data-html-editor-font-wrap=
per=3D"true" style=3D"font-family: arial, sans-serif; font-size: 13px;"><=
signature><br><br>--<br><br>Weil Jimmer , Member Of White Birch Forum Tea=
m.<br><a target=3D"_blank" rel=3D"noopener noreferrer" href=3D"https://ww=
w.wbftw.org/">https://www.wbftw.org</a><br><br>Best Regards.</signature><=
/div></body></html>

----=_RainLoop_611_240864755.1491829193--

郵件講完了，之後就是Email格式。

全世界 Email以 username@domain.net 為主，想必大家都知道這個形式也看過很多次，根據RFC標準，Email地址有效長度上限是254字串。而 「@」之後的文字為域名，就是網域名稱，通常對應的域名可能包含mail關鍵字，而且盡可能的越短越好(畢竟使用者不會記那麼長的Email)。例如：gmail.com、yahoo.com、weils.net。

講到域名就得扯到 DNS (Domain Name System)，這邊簡單介紹就好了，由於現行網路世界，記憶英文單字的網址比記憶IP更來的人性化，才出了一個域名系統，瀏覽網頁都要透過查詢域名IP以對應目標伺服器才可以上網，同理，Email也是如此，Email域名透過查詢MX紀錄，得知"優先順序"及"目標伺服器IP或另一個域名"。

如圖：

得到正確的 IP 之後，透過 TCP 連線，連到目標伺服器的 SMTP (port25或587)軟體，進行通訊作業。

可以參考看看我寫的這篇文章：不用寄信 檢查 Email 是否 真實 存在 PHP

這是整個 Email 通訊的流程，透過連線到發信伺服器，然後，發到另一台收件伺服器，通過內送信件軟體存到資料庫，然後透過IMAP或POP3的形式傳出來。當然現行有更安全的通訊協定，經過TLS加密的IMAPS、POP3S，以及SMTPS…等，其中也有驗證證書，暫且不提，要談到安全連線可以參考我之前寫的文章：淺談 HTTP、HTTPS、HSTS 安全 MITM、SSLStrip

這大概就是收發信的完整流程，一些人會在內送伺服器軟體上加入過濾程式、掃描病毒，如：SpamAssassin。

我再補充一些關於IMAP(Internet Message Access Protocol)、POP3(Post Office Protocol)的區別。IMAP簡言之就是會同步Email伺服器的各種動作，在多個裝置同步登入讀取訊息，郵件也是儲存在伺服器上面。而POP3則會將郵件下載到本機的空間，並且從伺服器上面刪除，導致只有第一次取信的客戶端可以拿到信件，其餘都無法取信，因為已經被刪掉了，由於是存在本機，所以是不占用太多伺服器空間，除非一直不去取信。舉例：手機登入POP3伺服器讀取訊息，電腦版再登入電腦版的郵件軟體，是看不到那則訊息的，但假如是用IMAP，則兩台裝置都可以看到信件，並且其中一台已讀，另一台也會跟著已讀。

這大概就是完整的 Email 體系，但還是有安全問題。如果要講監聽的風險，很多軟體都會寫明是否驗證Email伺服器的CA證書，不過大多數預設都是忽略的，即使證書錯誤，依舊照常登入收信寄信，這給了駭客一個機會竊取 Email 資訊，另外一個安全問題就是："發件者"是可以被偽造的！如下圖所示：

甚至發件人可以濫用發件伺服器，任何沒有設定權限(Relay Access)的伺服器都可能被拿來當作群發伺服器，發送一堆垃圾信以及偽造信件。

基於這個原因，現在的 Mail 系統，又加了一個新的技術就是DKIM，為了杜絕未經簽署，無法判斷是不是對方寫的真實信件，而不是偽造的。這整個政策主要就是，在域名key加入一個selector，裡面包含DKIM加密公鑰。

並把簽章的資訊附在郵件上面，

如果通過驗證，大多數郵件軟體則會顯示勾勾或任何已驗證的標示，Gmail則會顯示此郵件的簽署者。由此可以確保信件是由"特定域名"的"官方伺服器"寄出的，不是其他假的伺服器偽造出來的信件。

但，如果有其他來信是沒有簽章的，是否要信任該信件呢？這又牽扯到一個新的政策就是Author Domain Signing Practices (ADSP)，一樣通過domainkey，宣告一個TXT紀錄確保所有郵件都是有簽章的！

_adsp._domainkey.example.com.   IN   TXT   "dkim=all"

基本上，啟動 DKIM 就已經很安全了，不過基於設置上很麻煩，有另一個方法也不錯就是SPF紀錄(Sender Policy Framework (SPF))，確保發信伺服器的IP，只能由是哪些允許的IP。

如此一來，過濾垃圾信的軟體就更好計分了，沒通過DKIM簽章，沒有加密，SPF紀錄不合的，沒有對應 hostname 的伺服器一律黑單。這些政策使得用戶能夠受到更好的保護，而不會被偽造的假信所欺騙。

基於並非所有收件伺服器都很嚴謹的過濾掉信件，所以還有一個DMARC政策，給域名管理者一個更方便的方式管理其他假的發件人。

DMARC可以控制：那些沒有通過驗證的郵件是否被接受，以及，收件伺服器可以發送每日收件報告給域名管理者…等功能。以確保域名不會因被其他人濫發郵件而被列為黑單。

以下是我收到的每日回報的郵件。

附件的內容大概長這樣，

<?xml version="1.0" encoding="UTF-8" ?>
<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <email>noreply-dmarc-support@google.com</email>
    <extra_contact_info>https://support.google.com/a/answer/2466580</extra_contact_info>
    <report_id>4041210869707717010</report_id>
    <date_range>
      <begin>1491523200</begin>
      <end>1491609599</end>
    </date_range>
  </report_metadata>
  <policy_published>
    <domain>weils.net</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>2600:3c02::f03c:91ff:fe91:3ccd</source_ip>
      <count>4</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>weils.net</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>weils.net</domain>
        <result>pass</result>
        <selector>email</selector>
      </dkim>
      <spf>
        <domain>weils.net</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>45.79.194.99</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>weils.net</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>weils.net</domain>
        <result>pass</result>
        <selector>email</selector>
      </dkim>
      <spf>
        <domain>weils.net</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
</feedback>

既然都有了這麼多保護用戶的政策，用戶是否就可以安全無疑地使用 Email 呢？我想說的是：理論上沒錯，但是 Email 仍然不可以當作"隱私"的儲藏所。

Gmail會有自動機器人讀取你的電子郵件，試著找出任何違法的內容並且自動送交給相關司法機構，你可以相信 Email 服務商不會賣你的資料嗎？MailBox通常是不會加密的，網路上有一家公司提供安全的 Email服務可以參考一下（ProtonMail），正因如此，一般用戶是不可以透過 Email寄送任何敏感訊息！越正規的公司越會禁止任何違法活動，如果要安全的傳送資料，還是使用較具有隱私性的服務，或是私人Mail，基於這個緣故，現在有人推倡使用PGP加密Email。

利用PGP加密的Email，沒有私鑰以及密碼是無法解密！如下圖：

而收件人因為擁有自己的私鑰所以可以解密。如下圖：（Gmail擴展功能：PGP）

使用PGP加密的軟體，輸入一組自訂的密碼，會產生公鑰(Public Key)、私鑰(Private Key)，通常我們會為了方便，把私鑰公鑰一塊存在別人的伺服器裡面，但是別擔心私鑰被儲存不安全，因為私鑰有透過加密，必須輸入當初自訂的密碼，才可以解密。

所以，要解密必須擁有密碼和私鑰。要加密，則要擁有對方的公鑰，有點類似用對方的鎖頭鎖住盒子，再寄給對方，對方必須擁有鑰匙才可以打開盒子。

同時也可以用這個方法對自己寄出的信件進行數位簽章(Sign)，如此一來可以確認雙方的通訊絕對安全之外，也可以確保發信人確實就是對方，因為只有對方知道密碼。

大概介紹完了，我有想到其他的我再補充。

作為長久以來的網站架設與經營者，我做個簡短的介紹各種網站服務的型態，以及為何選用VPS架設自己的網站。

架設網站通常有很多種形式，尤其是Web Shared Hosting，這種服務通常是沒有自己的硬體資源，而且還必須和其他帳號共用資源，例如CPU、RAM，如果太高可能導致帳號被停用。另外就是IP也是共享的，除非加付錢買獨立IP，不然通常是同一個IP架設很多個網站對應不同的域名，這是最便宜的網站架設方案，一個月可能只有一美金至十幾美金，也是我最不推薦的一種。

第二類就是Dedicated Web Hosting，擁有自己的空間流量、包刮CPU、RAM、IP…等，差不多等於一台伺服器就只架設一個網站，但代價就是價格非常的高，一個月會花上幾十美金至上百美金。

接著還有所謂的Cloud Hosting，和Web Shared Hosting是很類似的，只是它比較穩定，而且是由多台伺服器在一起，價格也不會特別昂貴。缺點是更新了網站資料要同步更新到很多台電腦上面。

最後，就是VPS（Virtual Private Server）了，將一台機器的設備切割成很多分不同的部分，不過，每個使用者是有自己的RAM、CPU、甚至是獨立IP，並且大多數的供應商都會提供ROOT權限（最高權限），所以，同一台設備上其他用戶怎麼操作都不會消耗到你自己的硬體資源！相對於上面所提到的各種服務，這算是比較折衷的方案，而且也比較深入系統，可以運行的程式不單單是WebServer，想架什麼就有可以架什麼，整個系統都是自己的，通常是要有一定Linux操作經驗，當然也有賣Windows系統的VPS。

我個人是偏好Linux，覺得比較好，沒有用太多資源，導致自己的資源變少的問題，價格又不會太高昂。除非買配備更高級的方案，價格從幾美金到上百美金都有。

VPS供應商很多個，現在有幾個很熱門的VPS，如：DigitalOcean、Linode、AWS，我個人是推薦Linode拉，覺得穩定，速度也還不錯。性價比感覺比較高。目前用了接近一年，網站上線率算高的，雖然"偶爾"(每幾個月)可能會被DDOS，導致下線，但也是極少數發生的情況，而且這是所有服務供應者的通病。

Linode的方案：超連結

DigitalOcean的方案：超連結

以十美金的方案來比，還是Linode勝出！價格相同，記憶體多1GB。

推Linode：https://www.linode.com/

有網友有其他意見，歡迎留言。