举报人文件保护：匿名安全传输

举报人的技术目标是在不留下任何将其与泄露行为相关联的痕迹的情况下传递文件。这意味着需要使用 Tor Browser 或 Tails OS 实现 IP 匿名，使用 SecureDrop 或 OnionShare 作为传输渠道，清除每个文件的元数据（EXIF、PDF 作者字段、Office 文档属性），并使用仅用于披露目的的专用设备。叠加客户端加密——AES-256-GCM，密钥位于 URL 片段中——可确保即便是传输服务本身也无法识别你的身份。2013 年斯诺登事件、2016 年巴拿马文件以及此后数十起案件，都是借助 SecureDrop 实现的。工具已经成熟；变量在于操作纪律。

不对称威胁模型的特殊性

举报人面临的计算与普通用户截然不同。普通人权衡的是便利与有限的隐私收益。举报人权衡的是一次失误与数年牢狱乃至更严重后果之间的差距。每一个选择都会叠加放大：

来源身份在最初必须对接收方保密，通常是永久性的。
基础设施元数据——IP 日志、时间戳、文件哈希值——能在事件发生后很久仍重建泄露链条。
文件本身往往包含识别指纹（特定措辞、水印、追踪点、访问日志）。
法律追溯风险意味着现在保存的证据可能在数年后被传票要求提供。

2017 年 Reality Winner 在 NSA 泄露文件发布后数天内就被识别出来，原因是已发布扫描件上的打印机追踪微点揭示了所使用的确切打印机。技术工具本身有效，但文件处理环节出了问题。

SecureDrop：黄金标准

SecureDrop 由新闻自由基金会管理，专为举报人投稿而设计，已被包括《卫报》、《纽约时报》、ProPublica 和 The Intercept 在内的 80 余家新闻机构部署。

用简单语言解释其架构：

来源仅通过 Tor Browser 访问新闻机构的 .onion 地址。
系统提供随机代号用于持续沟通，无需创建账号。
投稿内容在服务器上以新闻机构的 GPG 密钥加密。
记者通过运行 Tails 的独立气隔绝查看站获取投稿。
与互联网相连的基础设施从不看到明文。

其有效性在于：Tor 隐藏来源 IP，气隔绝阻止恶意软件回传，GPG 确保只有目标记者才能解密，定期物理审计发现任何硬件篡改。

局限性：它需要专属的新闻机构部署，因此个人举报依赖于使用现有的、愿意报道该故事的媒体机构的 SecureDrop 实例。

OnionShare：直接点对点传递

当来源和记者已建立联系并希望直接共享文件时，OnionShare 提供了基于 Tor 的点对点文件共享。

记者运行 OnionShare，它在笔记本上启动临时 Tor 隐藏服务并生成 .onion URL。来源通过 Tor Browser 访问该 URL 上传文件，传输完成后服务自动关闭。

优势：

没有第三方服务器持有文件，哪怕是短暂的。
Tor 隐藏双方 IP。
URL 包含随机身份验证令牌，防止被发现。
默认一次性使用，传输完成后服务关闭。

Tails 预装了 OnionShare。对于没有 Tails 的来源，需在专用设备上单独安装 Tor Browser 和 OnionShare。

Tails OS：不留痕迹

Tails（The Amnesic Incognito Live System）是一个设计为从 USB 启动、不在宿主电脑上留下任何内容的 Linux 发行版。每次启动都是全新的；每次关机都清空内存。

核心功能：

所有网络流量自动通过 Tor 路由。
除非在单独的加密卷上显式启用，否则无持久存储。
预装工具：Tor Browser、SecureDrop 工作站、OnionShare、GPG、KeePassXC、Metadata Cleaner、LibreOffice。
每次启动时数字签名验证确保 Tails 镜像未被篡改。

能借到笔记本或使用网吧的来源可以启动 Tails，完成披露，然后关机——不在本地留下任何痕迹。据报道，NSA 2014 年的 XKeyscore 规则将下载 Tails 标记为关注指标，因此下载 Tails 本身是一个可见的行为。缓解措施：从与泄露操作不同的网络下载 Tails。

清除每一份文件的元数据

元数据破坏匿名性的速度往往比 IP 日志更快。每种文件格式都携带识别数据：

PDF：作者、创建应用程序、创建日期、修改历史。exiftool -all= doc.pdf 可清除大部分。qpdf --linearize 进一步清理内部结构。
Microsoft Office：作者、公司、编辑历史、最后保存者。打开文件，进入文件 → 信息 → 检查文档 → 全部删除。
图片：包含 GPS、相机序列号、时间戳的 EXIF 数据。exiftool -all= image.jpg 或专用工具如 ExifCleaner。
扫描文件：在蓝光下检查打印机追踪点。尽可能使用黑白激光打印机；EFF 的指南标识了哪些彩色打印机嵌入追踪点。
音视频：录制设备元数据，有时包括位置。使用 ffmpeg -map_metadata -1 重新编码以剥离元数据。

Tails 自带 Metadata Cleaner，是这些工具的图形界面封装。批量命令行操作可使用 mat2（元数据匿名化工具包），支持大多数格式。

水印与指纹识别

担心泄露的组织会主动在文件上打水印。常见技术包括：

可见水印：明显可见，可用图像编辑工具去除。
不可见水印：像素级编码查看者 ID。
打印微点：每页上的黄色点，编码打印机序列号和时间戳。
逐用户文本变体：每个接收者版本有细微措辞或间距差异，使每份副本具有唯一可识别性。
访问日志关联：比对哪些用户在泄露时间前后查看了该文件。

对策：重新输入或 OCR 后再次输入敏感段落，尽可能转述而非直接引用，使用多份文件分散逐用户指纹，并意识到任何已发布的扫描件或照片都会暴露该物理副本的水印。

谨慎选择披露对象

并非每家新闻机构都具有相同的安全水平。发送前请核实：

他们是否运行 SecureDrop？（在其网站上查找 .onion 链接或专属线索页面。）
他们是否有已发布的来源保护政策？
他们在法律层面保护来源的历史记录如何？
相关记者是否有处理敏感材料的经验？

新闻自由基金会维护了运行 SecureDrop 的新闻机构目录。ProPublica、The Intercept 和调查局等非营利媒体专门从事调查性报道，其安全运营能力通常强于日报。

操作纪律比工具更重要

工具只有被一贯使用才能发挥作用。导致举报人暴露的常见错误：

哪怕只用过一次个人邮箱进行初步联络。
在披露前用工作电脑搜索泄露材料。
在办公室打印机上复印文件。
未通过 Tor 从家庭或工作网络访问 SecureDrop。
跨平台重复使用代号。
在披露完成前告诉任何人——配偶、朋友、心理咨询师。

爱德华·斯诺登的操作安全规划历时数月，仍然留下了痕迹。The Intercept 对 Reality Winner 投稿的处理方式使她部分暴露，因为扫描件本身包含了识别追踪点。每一个错误都会累积。

浏览器端 E2EE 作为备用渠道

对于无法运行 Tails 或 Tor Browser 的来源——由于工作设备限制、监控或技术背景不足——基于浏览器的客户端加密传输服务是不完美但可行的备选。

必要条件：

密钥位于 URL 片段中的客户端 AES-256-GCM。
无需创建账号。
过期链接（24 小时或更短）。
叠加密码保护。
从公共 Wi-Fi 或 VPN 出口节点使用，绝不使用家庭或工作 IP。
使用全新浏览器配置文件、隐私模式，前后清除 Cookie。

符合条件的服务：HexaTransfer、SwissTransfer E2EE 层级、Tresorit Send。这不等同于 Tor——服务仍能看到来源 IP——但相比 Gmail 或 Dropbox 是一个重大改进。

法律保护因地而异

司法管辖区的保护程度差异显著。中国《个人信息保护法》（PIPL）明确规定了数据处理规则，但对举报人保护条款另有适用。美国《举报人保护法》（1989 年）和《多德-弗兰克法案》涵盖财务披露，但涉密材料受《间谍法》约束。欧盟第 2019/1937 号指令自 2021 年 12 月起对成员国具有约束力。法律保护在事后有用；技术纪律防止事后追责的发生。

在 hexatransfer.com 上试试 — 免费、无需注册、最多 10 GB。