登录 注册

关于思源笔记远程伺服是否有更加安全的措施？

思源笔记存在大量通过网页打开思源笔记输入密码登陆的用户而非客户端使用者，我在思考一个问题，就是登陆页跟密码被截获等泄露情况，被其他人登陆了，自己都不知道，这是否不够安全呢？

想请教各位这类使用思源笔记的朋友们，你们有什么办法提高安全性。

在我使用的一些客户端中，有这么一种方式就是，首次登陆时需要手机验证码，不知开发者可否增加这种安全性措施？或者有更好的方式？

  • 思源笔记

    思源笔记是一款隐私优先的个人知识管理系统，支持完全离线使用，同时也支持端到端加密同步。

    融合块、大纲和双向链接，重构你的思维。

    22026 引用 • 87850 回帖 • 4 关注
  • Q&A

    提问之前请先看《提问的智慧》，好的问题比好的答案更有价值。

    7938 引用 • 36313 回帖 • 167 关注
汕头 位置 18 回帖
7
3
537 255 270 9 3

相关帖子

被采纳的回答
  • ringx • • 1
    付费者 捐赠者

    你如果是经由公共信道，http 的方式访问你的思源笔记，肯定不是安全的。

    你既然有这方面的顾虑，你就应该使用 VPN 的方式访问你的资源，

    最简单的方式是使用 tailscale/zerotier 这类现成的工具来访问你的笔记，

    最次也应该套一层 https 代理，防止内容被中间人（比如运营商）监控（审查）、修改（插广告）。

    不过这种方式其实不好，因为配置和维护一个证书需要耗费心力和金钱，并且公网访问的方式天然对应用本身的安全性、稳定性是会带来考验的。并且如果是用的公有云可能还会有实名之类的麻烦。

18 回帖
关于思源笔记远程伺服是否有更加安全的措施？

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
  • muxue •
    付费者 捐赠者

    比较好的一个办法是在 nginx 里面配置自签名证书，只有导入了证书的设备才能访问到思源。但是这个技术难度太高了，给小白那是肯定不会配置的。

    感觉思源的伺服确实可以考虑提供更严密的验证方式，比如 auth 两步验证。

    1 回复
  • traveler •
    付费者

    我现在还嫌 SiYuan 的登录太麻烦了，进去就要输入一遍授权码，要是像 memos 那样就好了。人和人真是感情不相通的。

    1 回复
  • fradeet • • 2 赞同
    付费者

    被截获就是 HTTP 没有加密，搞再多的登录防护那笔记还是照样漏。那样除了加证书什么都不好使。手机验证码更是一大笔开销，除非遇到合规问题以外绝不考虑。

    1 回复
  • Zsiyuan • • 1 赞同
    付费者

    搭建个私人用的 OpenVPN 就差不多了。

    1 回复
  • muxue •
    付费者 捐赠者

    上 HTTPS 是很简单的，本来就需要配置反代，面板里面申请个证书就点几下的事情。

    楼主说的应该是思源现在只有一个简单的密码登录验证，担心会有安全漏洞直接能绕过密码登录进入思源内。而且思源内部没有登录历史记录，也不知道会不会有其他人登录了你的思源。（不过上了反代可以在面版或者 nginx 日志里面看到）

    1 回复
  • fengjiannju •
    付费者

    使用 nginx 的双向验证功能。

    2 回复
  • 673971183 •
    付费者 捐赠者 作者

    能够不输入密码也能确保安全我也想啊，问题是目前没有更好的方式

  • 673971183 •
    付费者 捐赠者 作者

    没有登陆历史，我觉得有个访问历史也不错，哪个新设备访问了思源笔记的登陆页面，有个提醒也不错，这样自己可以及时知道密码泄露，及时更改密码。

    配证书难不难，费用高不高？有没有相关帖子操作嘞

    1 回复
  • 673971183 •
    付费者 捐赠者 作者

    配证书难不难，费用高不高？有没有相关帖子操作嘞

  • muxue •
    付费者 捐赠者

    SSL 证书是不要钱的，用 Let's Encrypt 提供的免费证书就可以了，不过需要有一个域名，建议自己买一个 top 域名，首年只要 7 元。具体怎么操作可以百度，或者在你的服务器上装 1panel 用面版来设置反代和配置 HTTPS 证书。配置了之后能保证用户和思源服务器之间的链路全是加密信息。

    至于双向证书验证是比较复杂的操作，这是用来验证客户端身份的。咋设置也得百度，我没有写教程。站内好像是有教程的，你也可以搜一下。

  • ringx • • 1
    付费者 捐赠者

    你如果是经由公共信道，http 的方式访问你的思源笔记，肯定不是安全的。

    你既然有这方面的顾虑，你就应该使用 VPN 的方式访问你的资源，

    最简单的方式是使用 tailscale/zerotier 这类现成的工具来访问你的笔记，

    最次也应该套一层 https 代理，防止内容被中间人（比如运营商）监控（审查）、修改（插广告）。

    不过这种方式其实不好，因为配置和维护一个证书需要耗费心力和金钱，并且公网访问的方式天然对应用本身的安全性、稳定性是会带来考验的。并且如果是用的公有云可能还会有实名之类的麻烦。

    1 回复
  • berry •

    公网？隐私？思之令人发笑！

  • zxkmm •
    付费者 支持者 捐赠者

    用 TLS 的话不可能出现被中间人截获密码的情况。

    1 回复
  • 673971183 •
    付费者 捐赠者 作者

    昨天捣鼓完了 VPN：wireguard，直接打通了内网，不仅安全，免费，速度还快，已经没有安全顾虑了，谢谢各位网友们，十分感谢/送花花！

  • 673971183 •
    付费者 捐赠者 作者

    昨天捣鼓完了 VPN：wireguard，直接打通了内网，不仅安全，免费，速度还快，已经没有安全顾虑了，谢谢各位网友们，十分感谢/送花花！

  • 673971183 •
    付费者 捐赠者 作者

    昨天捣鼓完了 VPN：wireguard，直接打通了内网，不仅安全，免费，速度还快，已经没有安全顾虑了，谢谢各位网友们，十分感谢/送花花！

  • 673971183 •
    付费者 捐赠者 作者

    昨天捣鼓完了 VPN：wireguard，直接打通了内网，不仅安全，免费，速度还快，已经没有安全顾虑了，谢谢各位网友们，十分感谢/送花花！

  • MarsAuthority •
    付费者

    可以用 Cloudflare 提供的免费服务来实现双向 ssl 认证，还是挺方便的

请输入回帖内容 ...
673971183
汕头
回帖
42
 帖子
10
 积分
1090

近期热议

推荐标签 标签

  • CloudFoundry

    Cloud Foundry 是 VMware 推出的业界第一个开源 PaaS 云平台，它支持多种框架、语言、运行时环境、云平台及应用服务，使开发人员能够在几秒钟内进行应用程序的部署和扩展，无需担心任何基础架构的问题。

    5 引用 • 18 回帖 • 164 关注
  • jQuery

    jQuery 是一套跨浏览器的 JavaScript 库，强化 HTML 与 JavaScript 之间的操作。由 John Resig 在 2006 年 1 月的 BarCamp NYC 上释出第一个版本。全球约有 28% 的网站使用 jQuery，是非常受欢迎的 JavaScript 库。

    63 引用 • 134 回帖 • 726 关注
  • 前端

    前端技术一般分为前端设计和前端开发，前端设计可以理解为网站的视觉设计，前端开发则是网站的前台代码实现，包括 HTML、CSS 以及 JavaScript 等。

    247 引用 • 1347 回帖
  • 工具

    子曰：“工欲善其事，必先利其器。”

    285 引用 • 728 回帖
  • 音乐

    你听到信仰的声音了么？

    60 引用 • 511 回帖
  • 黑曜石

    黑曜石是一款强大的知识库工具，支持本地 Markdown 文件编辑，支持双向链接和关系图。

    A second brain, for you, forever.

    14 引用 • 106 回帖 • 1 关注
  • FreeMarker

    FreeMarker 是一款好用且功能强大的 Java 模版引擎。

    23 引用 • 20 回帖 • 461 关注
  • Swagger

    Swagger 是一款非常流行的 API 开发工具，它遵循 OpenAPI Specification（这是一种通用的、和编程语言无关的 API 描述规范）。Swagger 贯穿整个 API 生命周期，如 API 的设计、编写文档、测试和部署。

    26 引用 • 35 回帖 • 3 关注
  • Node.js

    Node.js 是一个基于 Chrome JavaScript 运行时建立的平台， 用于方便地搭建响应速度快、易于扩展的网络应用。Node.js 使用事件驱动， 非阻塞 I/O 模型而得以轻量和高效。

    139 引用 • 269 回帖 • 47 关注
  • Electron

    Electron 基于 Chromium 和 Node.js，让你可以使用 HTML、CSS 和 JavaScript 构建应用。它是一个由 GitHub 及众多贡献者组成的活跃社区共同维护的开源项目，兼容 Mac、Windows 和 Linux，它构建的应用可在这三个操作系统上面运行。

    15 引用 • 136 回帖
  • Swift

    Swift 是苹果于 2014 年 WWDC（苹果开发者大会）发布的开发语言，可与 Objective-C 共同运行于 Mac OS 和 iOS 平台，用于搭建基于苹果平台的应用程序。

    36 引用 • 37 回帖 • 534 关注
  • OpenShift

    红帽提供的 PaaS 云，支持多种编程语言，为开发人员提供了更为灵活的框架、存储选择。

    14 引用 • 20 回帖 • 624 关注
  • 阿里云

    阿里云是阿里巴巴集团旗下公司，是全球领先的云计算及人工智能科技公司。提供云服务器、云数据库、云安全等云计算服务，以及大数据、人工智能服务、精准定制基于场景的行业解决方案。

    89 引用 • 345 回帖
  • Markdown

    Markdown 是一种轻量级标记语言，用户可使用纯文本编辑器来排版文档，最终通过 Markdown 引擎将文档转换为所需格式（比如 HTML、PDF 等）。

    167 引用 • 1509 回帖
  • SOHO

    为成为自由职业者在家办公而努力吧！

    7 引用 • 55 回帖 • 18 关注
  • Git

    Git 是 Linux Torvalds 为了帮助管理 Linux 内核开发而开发的一个开放源码的版本控制软件。

    209 引用 • 358 回帖
  • V2EX

    V2EX 是创意工作者们的社区。这里目前汇聚了超过 400,000 名主要来自互联网行业、游戏行业和媒体行业的创意工作者。V2EX 希望能够成为创意工作者们的生活和事业的一部分。

    17 引用 • 236 回帖 • 333 关注
  • 30Seconds

    📙 前端知识精选集，包含 HTML、CSS、JavaScript、React、Node、安全等方面，每天仅需 30 秒。

    • 精选常见面试题，帮助您准备下一次面试
    • 精选常见交互，帮助您拥有简洁酷炫的站点
    • 精选有用的 React 片段，帮助你获取最佳实践
    • 精选常见代码集，帮助您提高打码效率
    • 整理前端界的最新资讯，邀您一同探索新世界
    488 引用 • 383 回帖 • 7 关注
  • App

    App（应用程序，Application 的缩写）一般指手机软件。

    91 引用 • 384 回帖 • 1 关注
  • Docker

    Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的操作系统上。容器完全使用沙箱机制，几乎没有性能开销，可以很容易地在机器和数据中心中运行。

    490 引用 • 916 回帖 • 1 关注
  • 星云链

    星云链是一个开源公链，业内简单的将其称为区块链上的谷歌。其实它不仅仅是区块链搜索引擎，一个公链的所有功能，它基本都有，比如你可以用它来开发部署你的去中心化的 APP，你可以在上面编写智能合约，发送交易等等。3 分钟快速接入星云链 (NAS) 测试网

    3 引用 • 16 回帖 • 1 关注
  • Openfire

    Openfire 是开源的、基于可拓展通讯和表示协议 (XMPP)、采用 Java 编程语言开发的实时协作服务器。Openfire 的效率很高，单台服务器可支持上万并发用户。

    6 引用 • 7 回帖 • 97 关注
  • Hprose

    Hprose 是一款先进的轻量级、跨语言、跨平台、无侵入式、高性能动态远程对象调用引擎库。它不仅简单易用，而且功能强大。你无需专门学习，只需看上几眼，就能用它轻松构建分布式应用系统。

    9 引用 • 17 回帖 • 615 关注
  • Bug

    Bug 本意是指臭虫、缺陷、损坏、犯贫、窃听器、小虫等。现在人们把在程序中一些缺陷或问题统称为 bug（漏洞）。

    75 引用 • 1737 回帖 • 1 关注
  • 单点登录

    单点登录（Single Sign On）是目前比较流行的企业业务整合的解决方案之一。SSO 的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

    9 引用 • 25 回帖
  • 新人

    让我们欢迎这对新人。哦，不好意思说错了，让我们欢迎这位新人！
    新手上路，请谨慎驾驶！

    52 引用 • 228 回帖 • 1 关注
  • 持续集成

    持续集成（Continuous Integration）是一种软件开发实践，即团队开发成员经常集成他们的工作，通过每个成员每天至少集成一次，也就意味着每天可能会发生多次集成。每次集成都通过自动化的构建（包括编译，发布，自动化测试）来验证，从而尽早地发现集成错误。

    15 引用 • 7 回帖 • 1 关注

最新标签