资金说明，2026年10月：CypherpunkGuide不使用监控型广告、广告网络、跟踪像素或赞助文章。部分文章含有已披露的联盟推广链接，我们可能由此获得佣金；本文没有此类链接。读者捐赠也是运营资金来源之一。
2026年10月1日更正： 旧版把五层中最低的评价当作客观的主权评分，并把假设配置写得像经过实际测试。它夸大了自有硬件的保护作用、CLOUD Act的管辖范围、SMTP披露的信息，以及身份记录的影响；还把机密计算称为防止托管方访问的唯一办法，使用了没有充分依据的KYC比例。下文已修正这些说法。三个案例都是明确了条件的假设配置，不是部署实验或全市场调查结果。
把服务迁到自己管理的机器上，可能让应用提供方退出数据处理路径。与此同时，更新、访问控制和恢复也由你负责。这笔取舍是否改善隐私，要看加密在哪一端完成、明文在哪里出现，以及你防范的是谁。
不让托管管理员读取文档、不暴露住宅地址、在故障后恢复服务，是三个不同目标。把它们统称为“主权”，不会让同一套配置自动解决三种问题。
数字主权需要说明具体控制了什么#
数字主权可以用来描述你对特定依赖的控制程度，但不表示所有依赖和法律义务都已消失。 家庭服务器可以省去一个云账号，却仍然依赖网络、电力、软件和备份。
这套五层框架检查的是：谁能读取或修改数据，谁能停止服务，谁能把服务与你本人联系起来。“先修最弱的一层”只是编辑提出的判断方法，意思是优先处理可能破坏具体目标的依赖。它不是一条数学规则，不能说整体安全必然等于最低一项。其他防护仍可独立发挥作用。账单可能揭示账号持有人，却不一定能解密其客户端加密文件；即使断网，加密备份仍能帮助恢复。
AI去匿名化分析讨论了记录关联。关键在于对手实际能获得和组合哪些记录，而不是出现一条痕迹就必然暴露全部信息。
从五个方面检查配置#
分别检查密钥、数据、运行环境、网络和身份，并记录每项判断的前提。 这些方面有重叠，也各自揭示不同的依赖。下表是检查清单，不是适用于所有服务的排行榜。
| 方面 | 要问的问题 | 仍需检查的风险 |
|---|---|---|
| 密钥保管 | 谁持有密钥、管理员凭证和恢复秘密？ | 系统失陷、终端被盗、备份访问、密钥丢失 |
| 数据 | 明文在哪里出现，谁能解密？ | 服务器处理、客户端、元数据（内容之外的附加信息）和副本 |
| 运行环境 | 谁管理机器及其底层环境？ | 宿主机权限、远程管理、软件漏洞和物理接触 |
| 网络 | 谁能看到连接端点、时间和流量？ | 网络供应商与中继的观察、公开地址、协议头信息 |
| 身份 | 哪些记录把账号或服务联系到个人？ | 账单、注册、支付、披露与关联 |
先确定目标，再确定哪项优先。文件保密关注明文和密钥的访问；隐藏住宅连接端点关注路由；即使可以接受身份关联，恢复服务也需要备份和可用性规划。
可下载的决策工作表以15行记录了下文假设配置的前提。这是各语言共用的英文CSV，是为本文制作的原创编辑资料，不含实测评分或实验结果。
自有硬件和VPS需要信任不同的主体#
自有硬件可以移除托管方的部分管理权限，但不能防止远程入侵；普通VPS上的服务器若要处理明文，就仍需信任宿主机一侧。 VPS是虚拟专用服务器，运行在供应商的物理基础设施上。明文是未加密的原始内容。
传统虚拟机的宿主机控制着虚拟机监控器，也就是管理各个虚拟机的软件。宿主机的高权限访问可能触及客户虚拟机的内存和执行过程。应用若在那里处理明文或保存解密密钥，普通磁盘加密就不能消除运行时的暴露。这说明的是权限能力，不是某家供应商已经读取客户文件的证据。
Nextcloud加密文档区分了服务器端加密和端到端加密。Nextcloud是一套让你在自己的服务器上管理文件等服务的软件。服务器端加密在其设计范围内保护存储的文件，但服务器仍可为处理文件而解密。因此，它不应被视为防范该服务器管理员的内容保密措施。
端到端加密由客户端加密和解密内容，并把内容密钥留在服务器之外。这一边界是否成立，取决于实现和密钥管理是否符合该设计。在这些条件下，服务器可以保存加密文件而不接收内容明文。这也是一种无需机密计算就能限制托管方内容访问的方法。
代价是，需要服务器读取明文的功能会受限。终端失陷、密钥丢失、元数据披露，以及服务器删除文件或停止服务的能力也不会消失。使用前要检查实际客户端和功能支持；本文不为某个部署的安全性背书。
AMD SEV-SNP和Intel TDX提供硬件保护，旨在减少宿主机对客户虚拟机内存的访问。对于仍需在虚拟机内处理明文的任务，机密计算可以提供另一种保护边界。它的保证依赖固件和软件前提、覆盖哪些组件，以及可信证明（attestation）：用于确认任务是否运行在预期受保护环境中的证据。
机密计算本身不隐藏全部元数据、不保证持续在线，也不保护每个组件。要核对具体套餐和配置。本文不判断这项技术在市场上是否普遍，也不对价格作出概括。
| 配置 | 可以改变什么 | 仍需核查什么 |
|---|---|---|
| 普通VPS | 你管理虚拟机内的应用和操作系统 | 宿主机对执行过程及运行时明文的权限 |
| VPS存储客户端加密文件 | 服务器不必接收内容明文或密钥 | 客户端完整性、密钥恢复、元数据、功能限制 |
| 机密虚拟机 | 硬件保护可减少宿主机访问受保护内存 | 可信证明、固件、覆盖组件、应用安全与可用性 |
| 自有硬件 | 托管方不管理底层机器 | 远程管理、系统或应用失陷、终端、备份、物理接触 |
攻击者若利用应用漏洞、管理员账号或远程管理接口，就不必接触你拥有的服务器。所有权改变的是谁通常控制机器，不是证明别人无法取得控制权。Nextcloud威胁模型有助于区分攻击者的角色。
网络元数据取决于路径和协议#
内容加密不会自动隐藏网络元数据，自托管也不必然比云托管暴露更多元数据。 比较结果取决于两种配置的路径、观察者和协议细节。
在直接连接上，网络供应商可以观察远端IP地址、时间和流量。它能否得知域名，取决于DNS域名查询、TLS加密连接和路由选择。隧道会改变可见的直接连接端点，也引入其他信任或路由依赖。电子前哨基金会（EFF）的元数据说明解释了为什么内容加密后，通信记录仍然重要。
在家中直接公开服务，可能暴露一个长期使用的住宅IP地址。通过中继或隧道，数据路径会改变。仅凭这一差别，不能得出家庭托管总是或通常比云托管泄露更多的结论。
邮件传输协议SMTP的RFC 5321第4.4节要求接收SMTP服务器在邮件头的开头添加Received追踪字段。对于SMTP连接，FROM部分应包含上一台发送主机的地址。记录连接来源IP属于建议（SHOULD），并不是每封邮件都无条件必须遵守的要求。
上一台主机可能是家庭邮件服务器、VPS或中继，不一定是用户的笔记本或手机。是否披露用户终端地址，还可能取决于邮件提交软件和供应商政策。家庭服务器直接投递时，追踪记录可能暴露其IP；通过中继投递，记录的上一跳则不同。先查看实际路径上的邮件头，再作判断。
身份记录和法律管辖需要分别核查#
账单和注册记录可以在被获取并关联后，把服务联系到个人；这些记录不会自动公开，也不会自动解密其他内容。 要区分注册商掌握的信息、公开信息、支付记录，以及对手实际能访问什么。
一些受监管的交易所要求KYC，即客户身份核验。本文不提供交易所比例，也不声称所有法币购买途径都要求KYC。与本人关联的购买或托管付款，可能留下与具体调查有关的记录，但它们不是运行节点的普遍前提，也不是立即全面去匿名化的证据。链上支付隐私和胁迫下的自托管处理的是不同风险。
数据的位置同样不能单独决定法律能否触及它。美国法18 U.S.C. §2713涉及电子通信服务或远程计算服务提供者在相关美国法律程序下的披露义务。美国司法部的CLOUD Act白皮书与常见问题解释了美国对提供者具有管辖权的条件，以及信息处于提供者占有、保管或控制之中的要求。符合这些条件时，仅仅把数据存到海外，并不能排除依法提交的义务。
这不是单看公司是否在美国注册的规则。外国提供者也可能因其与美国的联系和具体法律情形而受美国管辖。CLOUD Act不允许任意获取世界上任何数据，也不赋予普遍的解密能力。
自有硬件可能移除一条第三方披露路径，却仍留下当地法律义务、设备扣押风险，以及其他供应商持有的记录。这只是对所引美国规则的有限说明，核查日期为2026年10月1日，不是全球法律评估。
三种明确了前提的假设配置#
下面讨论的是指定配置，不是真实部署测试，也不是对产品的一般评分。 加密、路由、账单或钱包安排改变，评估就会改变。
| 假设配置 | 获得的控制 | 需要检查的依赖 |
|---|---|---|
| 家庭Bitcoin全节点，使用自有硬件，直接连接公共网络，不在节点上存钱包密钥 | 本地验证区块和交易 | 网络供应商可见的连接、软件管理、另行连接的钱包或支付记录 |
| 普通VPS上的Nextcloud，使用服务器端加密，账单记录与本人关联 | 管理应用及其配置 | 宿主机访问服务器处理的明文、管理员账号失陷、备份、账单 |
| 自有家庭硬件上的邮件服务器，直接进行出站SMTP投递 | 管理邮件服务及本地存储 | 相关追踪字段中的住宅发送主机IP、收件系统、安全性、可用性 |
Bitcoin全节点验证区块和交易，钱包管理密钥和支出。两者可以集成，但运行节点不要求购买bitcoin，也不要求在节点上保存钱包密钥。Bitcoin.org全节点指南解释了验证和联网。应单独检查密钥保管，不能因为节点在自己家里就默认保管安全。
在Nextcloud例子中，客户端端到端加密会改变内容访问边界及可用功能。在邮件例子中，中继或VPS会改变上一台SMTP发送主机。这些调整引入不同依赖，不会产生一个适用于所有目标的最终分数。
赛博朋克原则：减少一项具体依赖#
让某项隐私保护在通常信任的主体失效时仍能成立，同时说明还依赖什么。 这是设计方向，不是绝对独立的承诺。
Eric Hughes在《赛博朋克宣言》中写道，想拥有隐私，就必须自己保护隐私。宣言的整体论点支持把保护做进机制，但不能证明现代VPS或邮件配置的具体安全属性。
把文件密钥留在客户端，可以在符合设计条件时移除服务器读取文件的能力。自有硬件可以移除一个托管管理员。经过测试的备份减少对单台机器的依赖。即使另一个依赖仍存在，这些改善也各有作用。
结语：优先处理会破坏目标的风险#
先找出可能破坏目标的依赖，再检查拟议的改变会移除什么、增加什么。 不要只为了获得“主权”的标签而迁移服务。
- 明确目标和观察者。 文件保密、住宅地址隐私与故障恢复需要不同控制。
- 列出明文和密钥的位置。 包括客户端、运行中的服务器和备份。区分服务器端加密与只由客户端持有的密钥。
- 检查路径和记录。 核对服务地址、邮件头、账单与注册信息的访问范围。不要假定所有记录都公开。
- 核查新增责任。 包括更新、远程访问、恢复和法律风险。把实际测试与假设分开记录。
常见问题#
自托管比云托管更保护隐私吗？#
对于明确的目标，有可能。自有硬件移除了部分供应商访问，也增加维护和物理风险。客户端加密可以保护存于外部服务器的内容。应比较实际数据流、路由和记录，而不是托管名称。
VPS供应商能读取加密文件吗？#
传统宿主机可能访问客户虚拟机内处理的明文和密钥。服务器端加密不能消除运行时的这一边界。如果文件在可信客户端上加密，且内容密钥留在服务器之外，保护边界就不同。元数据、终端、删除和恢复仍需注意。
数据存于欧洲就不受美国法律触及吗？#
不能只看存储位置。所引规则涉及受美国管辖的相关提供者、合法程序，以及其占有、保管或控制的信息，也包括海外信息。外国注册本身也不保证豁免。个案评估需要提供者及具体事实。
家庭Bitcoin节点必须使用KYC购买的币，或者暴露钱包密钥吗？#
运行节点本身不要求这两件事。全节点负责验证，钱包负责密钥。本文的假设节点不存钱包密钥。运行它不需要购买bitcoin。应另行评估相连钱包与支付记录。
应该先修哪一层？#
先处理可能破坏你的目标、且能得到实质改善的一层。适用于所有配置的“最弱层”并不存在。账单关联对匿名和加密文件保密的影响不同；备份则关系到可用性和恢复。
来源与核查边界#
以下原始文件支持文中说明的技术或法律边界，工作表则是作者制作的决策框架。 为本次更正，已于2026年10月1日核查在线原文和现有的精确时间存档。每份存档只反映其抓取日期的文件，不为当前部署背书。
