工具箱
OSINT 工具箱
在別人查到之前，我先用這些開源情報（OSINT）工具檢查自己的曝光程度。
這些工具都不在本站執行：它們都是外部服務，每張卡片都會開啟服務提供者的網站。我會先拿它們檢查自己的網域——正是這樣，我發現自己有兩個子網域沒有出現在任何公開登錄資料中，而唯一讓它們曝光的，竟是我自己發布的一個頁面。
-
crt.sh (在新分頁開啟外部網站)
憑證透明度日誌。可查出憑證機構簽發過的子網域——包括那些你以為很低調的。
-
Shodan (在新分頁開啟外部網站)
專門搜尋連上網際網路之裝置的搜尋引擎。它查得到的關於你的資訊早已公開：最好由你自己先知道。
-
Have I Been Pwned (在新分頁開啟外部網站)
依電子郵件地址或網域查詢已知的資料外洩事件。更換任何密碼之前的第一步。
-
Wayback Machine (在新分頁開啟外部網站)
網頁封存庫。網頁修正前寫過的內容仍然讀得到：刪除資訊並不足以讓它消失。
-
Hardenize (在新分頁開啟外部網站)
逐項評分網域的 TLS、DNS 與安全性標頭設定。有助於實際驗證強化成果，而不是想當然耳。
-
Mozilla Observatory (在新分頁開啟外部網站)
HTTP 安全性標頭稽核，每一項扣分都附上原因。是自家檢查的絕佳補充。
-
OsirisAI Live (在新分頁開啟外部網站)
整合空中與海上交通、衛星、海底電纜、公開監視器畫面與全球事件的即時地圖。在尋找報導來源之前，先掌握事件發生的位置。
為什麼這裡沒有我自製的工具
我原本規劃過一個。構想是把這些服務手動完成的事自動化：從公開來源蒐集關於某個人所能找到的一切資訊。技術上並沒有克服不了的難題。真正讓它喊停的是風險分析——而且問題出在我意想不到的地方。
主要風險不在技術，而在法律。從當事人以外的來源蒐集個人資料，會觸發 GDPR 第 14 條：必須告知當事人蒐集了哪些資料、目的為何、依據何種法律基礎，以及保存多久。對於從開放來源中找到的陌生人，這項義務不只是難以履行，而是根本不可能做到——而「告知需耗費不成比例之努力」的例外規定，也不適用於一個本身目的正是如此的工具。
因此，這個專案以原本的形式喊停，隨後在不涉及第三方個人資料的前提下重新啟動：同樣的技術，改為檢視我自己的曝光程度。我就是當事人，第 14 條並不適用，而這個工具也確實派得上用場——觀測站（Observatory）專案和這個頁面就是這樣誕生的。
這是唯一一個我因法規遵循、而非可行性而喊停的專案，也是我最樂於分享的一個：知道怎麼做，卻決定不去做，本身就是一項能力。
促成這項決定的分析已公開發布——包括風險分析與 GDPR 處理活動紀錄（法文）。 EBIOS RM · GDPR
重要的不是認識這些工具，而是先拿它們檢視自己。我在不知情的情況下對外暴露的服務，早已出現在其中某個工具裡。