@yanyuechuixue
可以保证，因为涉及指纹的操作只有指纹 API ，而指纹 API 无法读出指纹，只能用于验证是否吻合系统中已经存入的某个指纹


@PublicID
有道理！

但是你做不到的，因为：
1 ，你的下一张身份证不可以不录入指纹。
2 ，去某些国家时办理签证 /入境的时候不可以不录入指纹

而 1 的最差结果是，办理银行业务需要验证储存在身份证里的指纹，以证明你是该身份证的合法持有人。因为你拒绝在身份证里录入指纹，所以你没有合法的身份证，因此你无法办理银行业务，而你工作的单位只通过银行账户向你发工资 /你控制的企业账号必须固定在某个银行，于是.......

@yanyuechuixue

按照你的意见，有一个问题
Nexus6p 是华为造的

@processzzp
搭载 GMS 的 Android 设备相对靠谱一些，因为要搭载 GMS 则需要符合 CDD ，并通过 CTS 测试。


@zpole

苹果有没有给开后门，有两个事情：
1 ，开后门是正常的，不开后门是不正常的
2 ，它有透明度报告，会报告很具体的执法机构的数据请求数量，还有大概数量的国家安全信函数量，后者就是涉及国家安全的(反)间谍机构的明面动作了。至于 NSA/CIA 在苹果埋的钉子，这么大的高科技公司肯定有。
3 ，但是苹果为它的消费者产品(特别是在终端自身)的安全做出的努力，是有目共睹的

使用 android6+的指纹 api 的可以保证不泄漏指纹信息，且记录的是摘要（这是 cdd 的要求）

bing

@icerunz
支持 TOTP ， iPhone 的指纹 API 是很好的

可惜 surface 不太好装 Linux

@pandada8 文件历史记录

onedrive+nas(文件历史记录)

这个东西比较可能是电信的 DNS 的设置

当访问了确实不存在(即不是被 gfw 的 DNS 污染)的网站
电信的 DNS 就会返回一个 114 搜索的导航页

是劫持的一种
但不是 HTTP 会话劫持

电信自己提供的解决方案通常是
1 ，据说 114 搜索的某个位置有设置，可以临时关闭这个劫持
2 ，换 DNS

就是说，电信自己并不打算由它自己填好自己挖的坑，这怎么行？

所以还是要给工信部打电话(越详细越好，需要把前次投诉的内容一并告知)，打电话不能保证解决问题，但它是个很好的救济措施。

工信部收到投诉以后，会发函给电信，电信要对其做出答复。
这类投诉率显然是一个比较重要的指标，电信在这个指标和继续向你推广告两者之间，也要做出权衡。

----------------------
手机运营商也会做类似的 HTTP 会话劫持。
我投诉过两家，一家马上就认了；另一家也磨到了工信部，那个运营商坚持要我执行关闭的操作，当然这不可能(运营商自己的坑本就要运营商自己填；其次我在手机上部署了 hosts/ublock origin ，压根看不到上述进行关闭操作所需要的网页)。

@hatcloud wikipedia 默认就有这个特性，可以在大陆简体，新加坡简体，香港，台湾四种区域选择

如果发现病毒正在加密中时，立刻拔电源，可以挽回部分损失

@xiaopenyou

裸奔但补丁齐全很难中招：

默认的浏览器是使用了 appContainer 的 IE/Edge
它们用的 flash 插件是微软负责及时更新的
IE/Edge 自身的漏洞微软同样会及时修补

这么一来暴露窗口很小

如果像我这样再变态一些：
1 ，所有插件都设置为“点击运行”模式
2 ，每个网站都有自己的白名单，不在白名单里来源的 javascript 或其它内容不能访问 /运行(抑制 CSRF ， XSS 攻击)
3 ，像 IE/Edge 什么的直接设置成不允许加载项 /flash player
4 ，旧版需要插件才能使用的服务丢虚拟机

这种事情有发生过

ublock 高级模式

@nightwind 如果运气不好， Firefox 很快就没有这些特性了。因为它也要使用 webExtension API 作为扩展的基础

@powergx 超过局里点什么都没了

国外的学校在无线认证上比较喜欢用标准的 WPA(2)+?EAP 这种很标准的协议(每个学生教职工人手一个账号)，这样的话对所有的设备都有很好的兼容性，也能满足一人一号的要求。

校外访问内网一般有 VPN 。

使用网络的费用已经包含在学费中，因此它不需要(通过驱动限制网络共享的方式)强制性地确保一人一号。

SSO 的情况不清楚。

轻聊版或者 UWP 版

Google 在 github 开源了一个叫 testDPC 的应用，用以开启、设置工作 profile ，在这之后就可以往工作 profile 里装应用了

Android for work 的最初想用来自三星的 knox 的代码，但是最终使用了 Google 自己的实现

而 knox 自带双开(把应用从一般状况复制带 knox 环境里)这个功能

这两者都有限制

Android for work:
1 ，目前没有足够稳定的，以双开 /应用隔离为目的的，管理 work profile 的免费应用。 testDPC 只是一个展示用软件。
2 ，使用 android for work 之前必须启用全盘加密

knox
1 ，一旦触发 knox 位 eFUSE(刷任何 bootloader 不认可的内容，甚至可能包括适用于同一型号但其它 SKU 的未经修改的官方 rom)，整个 knox 将无法使用，且已进入 knox 环境的数据也无法恢复

但是 knox 与 android for work 的兼容性很好，后者相当于新开一个 profile