如何匿名注册域名并将其离岸托管

你可以花上一整周去加固一台服务器——注册时不留身份信息、结账用 Monero、只允许密钥登录 SSH、磁盘全程加密——然后在域名注册表单里填上真实姓名,九十秒就能把这一切全部推翻。和其他每一层都不同,域名自带一份全球性、永久存档的名录,而且这份名录生来就是为了记录“谁持有它”。这是诚实的版本:匿名注册真正能做到什么、做不到什么,以及如何运营这个名字和它的 DNS,让两者都不会暴露你的身份。

匿名对一个域名到底意味着什么

一个域名并不是一份记录,而是四份,分别由四个不同的主体在四套不同的法律之下持有。匿名并不是其中任何一方出售的一个开关,而是确保这四份记录里,没有一份能指回到你本人身上的结果。

WHOIS 隐私保护不等于匿名

几乎每一家注册商都在出售隐私保护产品,而几乎每一个购买者都以为它的作用比实际更大。挂在这同一个名头下的,其实是四种不同的东西,而其中只有一种,真正改变了注册商知道的“你是谁”。

先选后缀,再选注册商

后缀决定了哪个国家的法院能够触及域名本身,这与你的注册商设在哪里、服务器跑在哪里都无关。要先把这一点定下来:这是唯一一个日后想改,就必须连同换地址一起改的部分。

• 选一个你能坦然接受其司法管辖区的注册局,而不是一个后缀读起来顺口的注册局。
• 查清楚注册局的暂停政策,以及它是否会受理来自自身法院体系之外的投诉。
• 一次性注册多年——续费次数越少,需要的付款、邮件往来和过期风险就越少。
• 让这个名字保持低调。一个把自己是干什么的写在明面上的地址,只会招来你原本就想避开的关注。

挑一家永远不会知道你姓名的注册商

后缀定下来之后,注册商就成了掌握你信息最多的一方。别理会营销页面上的隐私保护徽章,去核实六件具体的事。

• 支付方式。首选 Monero,Bitcoin 或 Litecoin 可以作为备选。银行卡、PayPal 或银行转账,单凭自己就会让这一切前功尽弃,任何隐私附加服务都补救不了。
• 注册流程。最多只应该被要求提供一个邮箱地址。无论对方给出什么理由,只要要求提供电话号码、上传证件或核实账单地址,都应该直接拒绝。
• 联系信息要求。注册商必须接受你填写的信息,而不强行要求核实——否则代持就是你唯一剩下的路。
• 域名服务器控制权。如果你以后打算在购买域名的地方之外运营 DNS,那么自定义域名服务器和粘合记录的支持就没有商量的余地。
• 转出能力。确认转移授权码可以自助获取。一家让你难以离开的注册商,扣住你的程度不亚于扣住你的数据。
• 司法管辖区与政策。它在哪里注册成立?就法律请求方面公开过什么说明?一旦收到请求,它有没有说明自己会怎么做?

在不留下痕迹的情况下完成注册

操作的先后顺序,比任何单个步骤本身都更重要。按对了顺序,下面每一步都很轻松;顺序错了,事后要么很难补救,要么根本无法补救。

1. 1

   在需要之前先把身份建好

   先在一个不要求提供电话号码的邮箱服务商那里,注册好这个域名要用的邮箱地址,并且只把它用在这一件事上。重复使用一个你已经在用的邮箱,会把这个域名和它背后的每一个账号都关联起来。

2. 2

   用 Monero 给账户充值

   在下单之前就把余额充好。XMR 能切断这笔消费和你其他所有消费之间的关联;而 Bitcoin 会留下一本公开账本,多年后依然可能被聚类分析出来。/pay-with-monero 详细讲解了同一套模式应用在服务器上的做法。

3. 3

   用一条不属于你的连接下单

   用 Tor,或者用一台本身就无法追溯到你的服务器上的 shell。注册商会记录下单时使用的地址,这条日志的寿命比账号本身还长,而且没有任何隐私设置能回头把它抹掉。

4. 4

   确定一份联系信息,此后绝不更改

   隐私保护服务、代持,或者一个真实可用的转发地址——选定一种,并在续费和转移过程中始终保持一致。记录之间的不一致,恰恰是让不同注册信息能被关联起来的原因;而故意填写虚假信息,则是一次迟早会发生的暂停,因为受认证的注册商必须处理不实信息举报。

5. 5

   在购买当下就启用隐私保护

   不是等第一次被爬虫抓取之后,也不是明天。如果注册商没办法在结账时就开启这项功能,那就该把它当作换一家注册商的理由,而不是留到这周晚些时候再处理的待办事项。

6. 6

   指向域名服务器,然后锁定它

   在这个域名解析到任何地方之前,先把它指向你实际打算使用的 DNS,然后启用注册商锁定和双重验证,并在当天就把转移授权码离线保存好。

DNS 是问题的另一半

注册记录说明的是这个名字归谁所有。区域(zone)说明的是这个名字实际做什么,而陌生人会对它发起数以百万计的查询。这两半都必须处理好,但几乎所有人都只处理了前一半就停下了。

• 指向你私人使用的邮箱,或者指向一个在注册时核实过你身份的邮件服务商的 MX 记录。
• 测试时残留的 A 记录——dev.、staging.、old.、mail.——依然指向家庭网络或者之前用过的主机商。
• SPF 和 DKIM 记录里,写着一个你用真实姓名注册过的发信服务。
• 一条对所有请求都作出应答的通配符记录,会把任何人猜测的主机名都变成一次确认。
• 域名公开之前的每一次修改,都会被被动 DNS 存档服务永久保留下来。

上线之后,还会泄露什么

一份干干净净的注册记录,通常不是被什么戏剧性的事件推翻的,而是被网络日常运转的方式推翻的。几乎每一起针对隐私注册域名的真实去匿名化事件,都可以归结到四种机制上,而这四种机制没有一个和 WHOIS 有关。

什么时候干脆不该注册域名

注册本身就是一种妥协:用一份由商业中介永久持有的记录,换来一个人们能打字输入的名字。有时候,这笔交易并不划算。

• 洋葱服务不需要注册商,不需要注册局,也不需要证书颁发机构——它的地址是从你自己生成的一把密钥推算出来的,所以没有人卖给你,也没有人能把它收回去。/tor-vps 讲解了如何在一台从未与你产生关联的服务器上运行洋葱服务。
• 对于一个 API、一个备份目标,或者任何只有你自己的机器才会访问的东西来说,一个裸 IPv4 地址配上自签名证书就已经足够。
• 从一家免费的动态 DNS 服务商那里拿一个子域名,不花一分钱,也能随手撤销——适合临时端点,但不适合任何你打算长期保留的东西。
• 两个名字往往比一个更好:前端用一个公开的、会被搜索引擎收录的域名,管理端则用一个洋葱地址或者裸 IP——它从不出现在任何区域记录里。

续费、转移,以及长期博弈

大多数隐私注册的域名,并不是在注册那一刻暴露的。它们往往是在两年后,因为一次悄无声息失败的续费,或者一次匆忙完成的转移,才暴露出来的。

• 一个过期的域名会被重新公开。它会恢复为可注册状态,被互联网上所有的抢注工具扫描,并且任何人都可以把它买走——包括某个对它曾经的主人心怀兴趣的人。
• 让续费这条路径始终有钱可用,并且独立于任何会暴露你身份的账号。多年期注册加上一份长期保有的加密货币余额,胜过一条你迟早会忽略的日历提醒。
• 让联系地址保持有效并持续查看。强制性的核实邮件一旦无人回复,注册商就会暂停这个域名,而你等于是因为一个本可避免的原因,给自己制造了一次停机事故。
• 把转移授权码离线保存好,并预计到注册或更改注册人之后会有一个六十天的转移锁定期。提前围绕这个窗口期规划好每一次迁移,而不是在迁移过程中才发现它的存在。
• 每年重新检查一遍公开记录、区域配置和证书日志。注册商被收购、政策发生变化,都有一种把你配置好之后就忘掉的设置重置回默认值的习惯。

主机商在其中扮演的角色

一个不指名道姓的域名,如果指向的是一台用你自己名下银行卡租来的服务器,那就算不上真正私密——它只是把暴露点往下挪了一层。这两半必须匹配:注册时不做身份核验,支付路径里不出现银行的影子,并且司法管辖区是经过刻意挑选的,而不是随便落在了当时最便宜的那个机房所在地。

这里的每一款 /offshore-vps 方案,都从一份免 KYC 的预付加密货币余额中扣费——只需一个邮箱,在令牌模式下甚至什么都不用提供——覆盖十五个地区,其中六个属于 /locations 上列出的隐私优先司法管辖区。/offshore-hosting 讲清楚了司法管辖区究竟能改变什么、不能改变什么,/pay-with 列出了支持的币种,/guides 里还有一篇文章,专门讲主机商到底能看到一台机器的哪些信息、看不到哪些信息。用两台配 1 GB 内存、分处不同地区的实例,也是自建权威域名服务器最便宜的方式,这样一来,区域记录也不会落在第三方手里。

清单

• 首先按司法管辖区选后缀——不是按价格,也不是按名字读起来顺不顺口。
• 用一个浏览器配置文件和一条网络路径下单,两者都不与你拥有的任何其他东西有关联。
• 用预付余额里的 Monero 付款。绝不用银行卡、PayPal 或银行转账。
• 使用一个提前在不要求电话号码的服务商那里创建好的专用邮箱地址。
• 在购买当下就启用隐私保护或代持注册,而不是把它留作后续任务。
• 把注册商、DNS 和主机服务分散在三家互不相关的服务商那里。
• 签发一张通配符证书,让各个主机名不会在透明度日志里被逐一枚举出来。
• 锁定域名,启用双重验证,把转移授权码离线保存,并注册多年。
• 每年在一个你真正会记得的日期,审查一遍公开记录、区域配置和证书日志。