編者按：《CDT報告匯》欄目收錄和中國言論自由及其他人權問題相關的報告資訊。這些報告的來源多種多樣，包括機構調查、學術研究、媒體報道和網民匯集等等。也歡迎讀者向我們推薦值得關注的報告。
中國數字時代本周推薦媒體：
華語自由創作社區大聲（大聲- Dasheng）：「我們致力於構建自由、有尊嚴的華語精神生活。由資深新聞工作者和專業人士組成的團隊，凝集數百個跨越地域的創作者，通過新聞策展、採訪編輯和深度訪談，以及一站式無審查的圖書、影視和資訊共享社群，維護體面與美的華語文化圈層。要聯結，也要大聲。」
一、自由之家報告：中國網絡自由度墊底且分數年年下滑
10月16日，非政府組織自由之家發佈了2024年度全球網絡自由報告，指出全球網絡自由度已連續第14年下降，而中國則連續十年排名倒數第一。
北京一直在努力將中國的國內互聯網與世界其他地區隔離，屏蔽了一些政府網站的國際流量，並對使用VPN的人處以巨額罰款。中國政府還繼續系統性地壓制異議，例如通過審查關於維權人士和記者孫林的網絡討論。孫林於2023年11月去世，此前他因在社交媒體上發佈有關抗議中共領導人習近平的內容，疑似遭到警方毆打報復。
報告調查了72個國家，其中27個國家的網絡自由狀況惡化，有18個國家有所改善。此外，報告指出，三分之二的國家因非暴力的網絡表達逮捕公民。許多國家對網絡用戶判以重刑，有的判刑甚至超過10年。此外，在至少43個國家中，公民因網絡活動遭受身體攻擊或被殺害，創下歷史新高。這些現象反映了全球範圍內因網絡言論而遭受暴力報復的風險在不斷上升。
報告指出，互聯網審查、內容操控和數字媒體壓制削弱了民眾獲取真實信息的能力，最終影響全球民主進程。其中，選舉成為政府通過網絡控制選民信息的重要手段。報告顯示，在41個舉辦或準備舉行全國性選舉的國家中，有25個國家的選民面臨的信息空間受到審查和限制。在一些國家，技術審查手段被用來限制反對派接觸選民的能力、減少選民獲取可靠報道的機會，或壓制對選舉舞弊的擔憂。此外，至少21個國家的親政府評論員通過操控網絡信息，散佈對選舉結果的質疑，長期以來削弱了公眾對民主制度的信任。
另一方面，也有一些國家為改善選舉信息採取了積極措施，包括支持事實核查、提升公眾的媒體素養以及出台限制生成式人工智能在選舉中使用的規定。其中，南非、台灣和歐盟被認為是通過透明性和民主監督保護網絡自由的典範。
自由之家指出，「互聯網自由是現代民主的支柱」。因此，「恢復互聯網自由的最有效方法也是恢復選舉信息透明度的有力保障」。例如，「要求內容審核系統透明化，並向經過審查的研究人員提供平台數據的互聯網監管措施，可以幫助選民更好地理解選舉期間的影響操作。長期支持民間團體可以為它們提供必要的資源，與選舉委員會合作，增強權威的投票信息傳播，並保護言論自由。」
最後，報告指出，「最佳解決方案不僅限於技術，還包括重新投資於公民教育、現代化選舉規則，並對從事反民主行為的權力人物進行問責。」
二、微軟數字威脅報告：網絡犯罪分子協助中俄針對美國
10月15日，微軟發佈了一份數字威脅報告，指出中國、俄羅斯和伊朗等專制國家與犯罪黑客的合作日益緊密。他們越來越多地依賴犯罪網絡，執行針對美國等對手的網絡間諜和黑客行動。
微軟的報告分析了2023年7月至2024年6月間的網絡威脅，研究了犯罪分子和外國勢力如何通過黑客攻擊、網絡釣魚、惡意軟件等手段控制目標系統並獲取信息。微軟指出，其客戶每天面臨超過6億次類似的攻擊。
報告中提到：「俄羅斯、伊朗和中國利用當前地緣政治局勢，在美國大選前針對敏感國內問題製造分裂，試圖引導美國民眾偏向某一政黨或候選人，或削弱對選舉作為民主基礎的信任。正如我們所報告的，伊朗和俄羅斯的活動最為活躍，我們預計未來兩周內，這類活動將進一步加速。」
相比之下，中國在總統競選中基本保持低調，更多將虛假信息的目標放在國會、州或地方選舉上。報告還發現，「與北京有關的網絡（黑客）繼續瞄準台灣及其他地區的國家。」
此外，俄羅斯、中國和伊朗的網絡還針對美國選民，利用虛假網站和社交媒體賬戶傳播關於2024年選舉的虛假和誤導性信息。微軟的分析師同意美國情報官員的評估，認為俄羅斯的目標是副總統卡瑪拉·哈里斯的競選活動，而伊朗則在反對前總統唐納德·特朗普。
最後，報告指出，網絡犯罪分子和中俄伊的「官方黑客」正在嘗試使用AI技術。「正如AI被廣泛用於提升效率，威脅者也在學習如何利用AI的效率來攻擊目標。」其中，中國黑客偏愛使用AI生成圖像，而俄羅斯則通過各種媒介使用音頻AI技術。
三、公民實驗室：微信新修改的加密協議TLS存在漏洞
10月15日，加拿大多倫多大學公民實驗室發佈了一份關於微信網絡加密協議的研究報告，揭示了微信在私隱和安全性方面的諸多漏洞。作為全球擁有十億月活躍用戶的通訊應用，微信的網絡加密系統存在的安全問題引發了廣泛關注。
報告指出：「微信使用的主要網絡協議被稱為MMTLS，它是基於TLS1.3協議的修改版本。儘管TLS1.3在網絡安全領域被廣泛應用並經過長期驗證，但微信開發者對其進行了自定義修改，導致其加密機制引入了若干安全漏洞。」
例如，報告指出，微信的加密系統存在決定性的初始向量（IV），這意味着相同的輸入可能會生成相同的加密輸出，為潛在的攻擊者提供了入侵機會。此外，MMTLS還缺乏向前保密性，這意味着一旦攻擊者獲取了加密密鑰，歷史通信內容可能會被破解。
報告還提到，早期版本的微信（如2016年發佈的v6.3.16）使用了一種自製的加密協議，稱為「業務層加密」（Business-layer encryption）。該協議存在諸多安全漏洞，包括在傳輸請求時暴露內部請求網址。在新版本微信中，雖然MMTLS被引入作為額外的加密層，但「業務層加密」依然在後台運行，增加了潛在的安全隱患。
據公民實驗室稱，「業務層加密」協議曾是微信傳輸網絡數據的唯一加密層，直到MMTLS引入後才成為外層加密的一部分。然而，「業務層加密」暴露了許多網絡請求的細節，使得攻擊者能夠通過監聽網絡流量直接獲取請求內容。這種加密設計的缺陷給黑客攻擊提供了機會。
此外，研究還指出，不僅微信，中國的許多應用程式普遍選擇自製加密協議，而非採用經過廣泛驗證的標準加密協議。雖然這種做法在某些情況下可能優化了性能，但也帶來了巨大的安全隱患。相比全球廣泛使用的TLS協議，微信的自製加密系統在安全性和性能上均顯得不足。
在微信的網絡架構中，每個請求都需要經過兩層加密處理——MMTLS和「業務層加密」。與標準加密協議只需一次加密相比，這種設計不僅增加了客戶端應用程式的計算負荷，還提升了安全風險，尤其是在「業務層加密」仍存在漏洞的情況下。
最後，公民實驗室強調，作為全球使用量極大的通訊工具，微信的網絡加密安全問題不容忽視。「隨着網絡攻擊手段的不斷進化，微信必須加快升級其加密系統，轉向更加安全、透明的標準加密協議，以確保用戶的私隱和安全。」
