安全

#您的流量如何受到保护

Colitu 会加密您的设备与 Colitu VPN 服务器之间的流量。加密在 VPN 服务器处结束：从那里到网站之间，您的流量仅由该网站自身的 HTTPS 保护。

• 每种连接模式都使用成熟的协议（Hysteria2、VLESS Reality 和 XHTTP、Trojan、Shadowsocks 2022），并采用知名的实现（Xray-core、sing-box、Hysteria）。Colitu 没有自己研发的加密算法。
• 每次连接都会对服务器进行身份验证（通过其 TLS 证书、Reality 密钥或预共享密钥），因此您不会被诱骗连接到假服务器。
• 服务器的 TLS 证书会自动续期。
• 已知的局限：Trojan 接受 TLS 1.2 或 1.3（服务器尚未强制使用 1.3），Shadowsocks 2022 不具备前向保密。

同一 Wi-Fi 下的其他人、您的互联网服务提供商或网络管理员，看不到您访问了哪些网站，也看不到您通过隧道发送了什么。他们能看到您连接到了 Colitu 服务器、连接的时间，以及大致的数据用量。应用在隧道之外发送的流量，例如内置列表上的部分区域性网站和本地网络流量，不受保护；请参阅 分流。

VPN 服务器本身在技术上能看到您的 IP 地址和流量的去向，但看不到 HTTPS 连接的内容。VPN 不会让您匿名。各方分别能看到什么，请参阅 安全白皮书。

#服务器地址

服务器地址和连接设置在应用内部以安全方式管理，绝不公开。这降低了遭受针对性攻击和被封锁的风险。

#账户保护

• 密码仅以 Argon2id 哈希形式存储；任何人，包括 Colitu 员工，都无法读取您的密码。
• 请使用一个未在其他地方使用过的强密码，并开启 两步验证 以获得额外保护。
• 每台设备、每个订阅链接和每次手动配置导出，在服务器上都有 各自独立的连接凭据。在 设备管理 中移除某台设备，大约 15 秒内就会切断它的连接；轮换订阅链接会撤销旧链接的凭据。如果设备丢失，请将其移除，并同时修改密码；这会让所有设备和网页会话退出登录。
• 连接的设备数量不会超过套餐允许的数量；被拒绝的尝试会记录在您的账户上。
• 请检查账户页面上的会话，并结束任何您不认识的会话；请参阅 账户安全 和 使用通行密钥登录。

#两步验证（2FA）

两步验证除了密码之外，还会要求输入来自身份验证器应用的验证码。

• 只能在网站上开启

  前往 colitu.com/account/security，使用身份验证器应用（任何支持基于时间的一次性验证码 TOTP 的应用）按步骤操作。无法在应用内设置。

• 恢复码

  开启时您会得到 10 个一次性恢复码。请将它们保存在安全的地方，不要与手机放在一起。如果您无法使用身份验证器应用，每个恢复码可使用一次。

• 在应用中

  应用只会在您登录时要求输入验证码，密码重置之后也是如此。自 Windows 2.6.0、Android 2.6.0、Linux 1.2.0 和 iOS 5.5.0 起支持；较旧的版本会要求您先更新应用才能登录。

• 被锁在外面了？

  请联系客服。在确认账户属于您之后，客服可以重置两步验证。

#您应该做什么

• 绝不要分享 您的密码或验证码。Colitu 员工和 Colitu Bot 绝不会向您索要。
• 仅从 colitu.com/download 下载应用。
• 不要与他人共用您的账户；每个人都需要自己的设备名额。

#开源应用

我们的 Windows、Android、iOS 和 Linux 应用的源代码已在 GitHub 上以 GPL-3.0 许可证发布：colitu/windows、colitu/android、colitu/ios 和 colitu/linux。任何人都可以检查应用在您的设备上做了什么，并自行构建。服务器软件和账户系统不是开源的。我们为什么开源，以及您可以在代码中验证什么，详见我们的 开源 页面。

#审计状态

Colitu 尚未经过独立的安全审计或渗透测试。我们的架构、已知局限以及您可以自行检查的内容，请参阅 安全白皮书。

#报告漏洞

请将安全问题私下发送至 [email protected]，并附上复现步骤和受影响的版本。我们会在 3 个工作日内确认收到报告，并在 10 个工作日内给出初步评估。对于善意的研究，我们不会采取法律行动；愿意署名的研究者我们会予以致谢；我们不提供付费赏金。请在公开之前给我们留出修复问题的时间。完整政策：漏洞披露。