OPSEC52 / 第16周——一次性手機：乾淨的號碼插在髒手機上，依然不乾淨

多數人以為一次性手機就是一台便宜機器插一張新卡。那只是最簡單的兩成。號碼要保持乾淨很容易；難的是手機本身、你怎麼付的錢、以及你在哪裡開機——幾乎每一台一次性手機都栽在這三處。現金買的非 KYC 卡毫無意義，只要裝它的那台手機上週還插著你的真卡、或在你臥室裡開機、或是用你的銀行卡買的。

威脅模型： 你的運營商及其基站日誌、手機的基帶（一顆作業系統無法完全控制的常開無線電）、掌握購買鏈條的一方（銀行卡處理商、店鋪監控），以及任何能憑時間與地點關聯兩台裝置的分析者。一次性手機是四件乾淨的事同時成立——號碼、機身、購買、軌跡——只要其中一項回指到你就失效。

號碼是最簡單的部分（第4周已講過）

用現金買的非 KYC 預付卡給你一個乾淨的號碼。很好——但號碼只是一個識別符號，而圍繞它的手機還會散發出好幾個。把卡搞乾淨就止步，是經典錯誤：號碼乾淨，其餘全是你。

機身是信標，不是工具

每台手機都廣播一個獨立於 SIM 的硬件身份：

• IMEI——網路會把它與 IMSI（SIM 卡）一起記錄。只要你的一次性卡和真卡曾插進同一台機身，運營商的記錄就永久地把兩個號碼綁在一起。一台手機，兩張卡 = 一個人。
• 基帶——蜂窩模組在作業系統之下執行自己的閉源韌體。飛航模式和”關機”對它只是請求，不是保證。把任何帶電池的開機手機都當作可被定位。
• Wi-Fi / 藍芽 MAC 與感測器——即便沒有 SIM，手機也會探測網路並可被指紋化。一次性手機只要連過你的家庭 Wi-Fi，就把自己定位到了你家地址。

所以：一次性手機需要一台專用機身，從未插過你的真卡、也從不接觸你的網路——不是你那台插了新卡的舊手機。

購買鏈條

買手機和卡時，就按你希望它們保持匿名的方式來：現金、當面、不在能追到你的監控下、不在家附近。 用你的卡買的、或寄到你家地址的一次性手機，在開機前就已被預先關聯。充值也一樣：用現金充值券，別用卡。

真正讓一次性手機暴露的是”共位”

這一點最多人忽略。運營商（以及任何拿到基站資料的人）會做共位分析（co-location）：兩台手機反覆在同一小區、同一時間開機，隨後又一起移動，幾乎必然是同一個人。只要你的一次性手機曾經：

• 在你家裡或工作場所開機，或
• 與你的真手機同一時間、同一地點開機，

……那麼卡再幹淨也無所謂——這個模式把它們焊在了一起。帶一次性手機出門時，把真手機留在家裡並保持開機；絕不讓兩台同時在同一地點上線。

紀律

• 專用機身，現金購買，從未插過真卡，從不連你的 Wi-Fi。
• 現金買手機、買卡、每次充值。不在家附近，不在你自己的監控下。
• 絕不共位。 一次性手機上線時，真手機待在別處（最好留在家裡開機當不在場證明）。
• 不用時關機 + 取電池——常開的基帶就是信標。
• 一機一用途。 別讓一台一次性手機橋接兩項獨立活動，否則它就像被複用的賬號一樣成了關聯鍵。
• 乾淨退役。 用完就關機、取出/銷燬 SIM、停用那台機身——別把它”回收”到會碰上你真實身份的日常使用裡。

常見錯誤

• 新卡插舊機。 IMEI 早就認識你了；運營商早已把它和你的真 IMSI 配過對。
• 在家充電或開機。 瞬間把位置暴露到你家地址，還與真手機共位。
• 用卡買 / 寄到你家。 購買鏈條在首次開機前就把它關聯到你。
• 兩台手機一起帶。 整個意義都被抵消——它們成對移動。
• 在一次性手機上”就登入一次”真賬號。 那一次登入就把機身永久綁定到你。

另見

• xmr.club 收錄：號碼側的非 KYC SIM / eSIM 來源。
• 相鄰的 OPSEC52 周次：第4周——手機號碼分隔、第15周——安全通訊軟體的選擇、第1周——資料側的 VPN/Tor 棧。

OPSEC52 是 xmr.club 的每周 OPSEC 系列。系列索引：/opsec。 策划：Cyber Satoshi