SecureDrop

为新闻机构建立的材料接收渠道

SecureDrop 的主要目标是让新闻机构能够设置专门的材料接收入口。潜在来源可以向组织提交文档，记者则在隔离和受控的工作流程中查看、整理材料。系统由接收组织自行部署和运营，使机构能够围绕自身编辑流程安排管理员、记者和来源之间的交接。项目提供公开目录，列出采用 SecureDrop 的组织，帮助来源寻找合适的新闻机构；具体联系方式与提交流程应以各机构自己的说明为准。

对于媒体团队来说，接收系统只是整个调查流程的一部分。记者仍需评估文件来源、核实材料内容，并保护来源身份和提交材料。SecureDrop 不会自动验证举报内容的真实性，也不能代替编辑判断、事实核查或法律审查。机构应明确谁负责接收材料、如何分配访问权限、何时联系来源以及怎样处理不相关或恶意提交。

来源访问前的隐私准备

SecureDrop 官网清楚提醒来源，使用当前浏览器并不代表匿名，并建议在访问网站前使用 Tor Browser。这个提示说明匿名性涉及访问工具和网络路径，不是只依靠一个提交表单就能实现。来源应先阅读接收机构提供的安全说明，并考虑自己使用的设备、网络环境和文件本身是否可能暴露身份。对高风险情境，仅靠网站提供的工具或短篇指南可能不足以覆盖所有威胁。

文件内容也可能包含身份线索，例如作者信息、编辑历史、定位信息或可识别的措辞。提交材料前应依照接收机构的指导判断是否需要处理元数据，但不要随意修改证据文件或破坏其真实性。来源可以先通过可信渠道咨询机构如何提交，确认应使用的入口和沟通方式。此类操作具有具体风险，本文是对公开项目的介绍，不构成针对某个案件或个人的安全建议。

记者工作流程与材料处理

官方文档分别提供来源指南和记者指南，覆盖提交前准备、材料提交、记者查看界面以及处理文件等主题。机构的记者需要理解工作站和查看站的用途，遵守组织设定的账号与设备管理规则。接收材料后，团队还要避免把原始文件随意复制到不受控的电脑、邮件或云盘中，并根据编辑和法律要求决定保存期限。

在团队内部建立清晰流程很重要。记者和管理员应明确哪些人能够访问提交内容、如何记录处理情况，以及遇到设备或系统异常时向谁报告。多个部门协作时，还需要说明如何在保护来源信息的前提下进行内部沟通。SecureDrop 提供软件和文档，但组织仍需负责人员培训、权限审查、备份策略和安全事件响应。

管理员部署与运维

SecureDrop 是需要机构自行部署的系统。管理员文档包括硬件和最低要求、安装步骤、密钥生成、工作站设置、网络防火墙、服务器安装、备份和安装测试等内容。部署者应按照当前稳定版文档和项目发布说明准备环境，确认每项系统要求均已满足。上线前，需要验证来源入口、记者访问、文件传输、账号权限和备份恢复等关键环节。

由于系统处理敏感材料，维护不能止于初次安装。管理员需要关注安全更新、服务状态、设备变更和人员权限，并确保组织具备处理故障的能力。系统升级或硬件替换可能影响数据和访问方式，应依据官方升级指南制定计划，先在适当环境测试，再按流程执行。SecureDrop 的开源属性便于组织检查代码和参与项目，但不会自动保证组织部署正确或始终安全。

威胁模型与安全边界

项目文档包含威胁模型、数据流图以及攻击与防护说明，帮助来源、记者和管理员理解系统如何处理信息。阅读这些内容有助于区分系统希望降低的风险与仍需由组织处理的风险。匿名提交系统无法消除来源设备已被监控、网络环境不安全、文件内容泄露身份或组织内部权限管理不当等问题。各组织的设施、人员和攻击面不同，因此应结合项目文档开展自己的风险评估。

SecureDrop 官网也列有关于系统版本的发布与更新信息。组织部署者应核对当前版本、已知问题和安全公告，遵循项目建议进行维护。对来源而言，访问页面前阅读机构提供的说明比猜测某个工具的作用更重要；对记者而言，遵守安全查看流程可以减少材料在终端和内部系统中的暴露；对管理员而言，隔离环境、网络控制和备份是长期运维的一部分。

适合哪些组织

SecureDrop 主要适合有能力承担安全部署和维护工作的媒体机构、调查新闻团队及相关非政府组织。它为组织建立专用材料接收渠道提供软件基础，也为不同角色准备了操作文档。采用前，组织应评估人员培训、服务器和工作站管理、密钥维护、法律责任及持续支持能力。若团队缺乏安全运维资源，不应把“开源”或“匿名”字样当作足以部署敏感系统的理由。

来源在寻找提交渠道时，应查看目标机构是否公开使用 SecureDrop，以及该机构提供的当前访问地址和操作指引。切勿只根据搜索结果或未经验证的消息提交敏感材料。SecureDrop 的核心价值是支持机构搭建受控的安全接收流程；实际保护效果还取决于来源准备、机构部署、记者操作和系统维护共同配合。