对于阿里云截取用户加密信息，你们怎么看？

今天在知乎看了个帖子，不知道千万云这次怎么搞。原帖地址： https://www.zhihu.com/question/60496554

我直接把内容转过来：

用阿里云的同学务必关闭其镜像中默认安装的 Snort / gshelld / aliyun-service / aegis 相关的所有进程，特别是前两个，方法是直接删除文件并重启，别问为什么，别问我怎么知道的，我特么更新了一晚上 PKI 了，所有密钥和服务器证书全换了。

下周 XX 所有服务包括邮箱全换到独立服务器，国内的云无法信任。

说下细节，由于我们需要做一个爬虫来抓取各使馆网站获得最新消息和签证进度，鉴于使馆网站都在国外，所以设定了一个 ipsec 的隧道连接到日本的服务器做抓取，阿里服务器做提取并通过另外一条隧道传回公司内网。

然后我发现在特定时间点，抓取特定内容时，内网服务器报连接重置，而在阿里服务器上模拟是抓的到的，看抓取目标发现页面上有某些你懂得关键词。

然后问题来了，既然出口服务器，阿里服务器内网服务器之间都是加密连接，那 gfw 是如何检测出关键词的呢？显然这个重置不是墙发出的。

而唯一的明文传输是在本机端口之间发生的，杀掉上述进程后，抓取恢复，再也没出现连接重置。

所以我有理由怀疑阿里在监控客户主机的本机端口流量，并对某些内容发出 REST。

更进一步，是否获得了我的私钥和整个 PKI 体系的关键密文？我不清楚，但显然是有能力做到的。

这件事情极为可怕，而且经过日志分析发现这个行为是随机发生的，很难取证，欢迎大家按我的步骤复现看下，但一定要跑的时间足够久才能发现。

如果不仅仅是监控而是同时侧录内容呢？用户隐私基本就全被看光光了，本机端口的流量谁也不会加密，也没法加密啊。

其实对于阿里云的安全策略我一直有所耳闻，圈里的同学也都说过这个事情，不过这种情况到底算不算侵犯用户隐私呢？用户的数据还敢不敢放在云上？对于这类事情有没有相关的法律以及措施？

roooz

2017-05-31 18:17:45 +08:00

受争议的中国网络安全法即将于 6 月 1 日生效，新的规定加强了对科技产品的限制。

网络安全法除了要求将数据储存在本国外，还要求对关键硬件和软件进行安全审查，要求实现“安全可控”。对于这些要求，外国行业组织在致函中国的信中认为，这些措施增加了负担，限制了竞争，可能会降低产品的安全性，危及中国公民的隐私。中国国内的专家支持这些改变。北邮研究互联网管控的教授李玉晓称，网络安全对国家安全至关重要。