安全与隐私github.com
Facebook 域名屏蔽列表
Blocklist Facebook domains
2016 — 2022，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
这个 GitHub 页面维护了一份针对 Facebook 公司相关域名的屏蔽列表，可配合 hosts、DNS 过滤或广告拦截工具使用，用来阻断 Facebook 及其旗下服务的追踪与请求。评论里讨论了 uMatrix、Pi-hole、dnsmasq 以及按 IP 前缀在防火墙层封锁等不同实现方式。
为什么经久不衰：Facebook 的追踪和域名体系多年持续扩张，这份简单可复用的黑名单因此一直有现实需求，也方便后来者按自己的网络环境改造。
HN 评论精选
推荐用 uMatrix 做细粒度请求控制，默认拦截第三方资源，再按域名手动放行。
如果你非常在意隐私，我强烈推荐 uMatrix。它是一个把所有控制权放到你手边的完整控制台。默认会阻止第三方脚本、cookie、XHR 和 frame，另外还带一个显式黑名单；然后你在矩阵里手动白名单，决定允许哪些域名发出哪些类型的请求，偏好会被保存。第一次访问新域名有点烦，因为要走一遍引导式白名单流程，但过一阵我几乎能自动完成。我把它和 uBlock Origin、Disconnect 一起用，它仍能拦下绝大多数东西。一个不错的副作用是，我对新出现的 SaaS 公司保持相当了解！
jiaweihli查看英文原文
I highly recommend using uMatrix[1][2] if you're very privacy-conscious. It's the full-blown everything-at-your-fingertips console. By default, it blocks third-party scripts/cookies/XHRs/frames (with an additional explicit blacklist). You then manually whitelist on a matrix which types of requests from which domains you want to allow. Your preferences are saved. It is a bit annoying the first time you visit any new domain, because you need to go through a bootstrapping whitelist process to make it work. After a while I find I do it almost automatically though. I use it in conjunction with uBlock Origin and Disconnect, and it still catches the vast majority of things. As a nice side-effect, I find I keep pretty up-to-date with new SAAS companies coming out! --- [1] https://chrome.google.com/webstore/detail/umatrix/ogfcmafjalglgifnmanfmnieipoejdcf [2] https://addons.mozilla.org/en-US/firefox/addon/umatrix/
推荐 Pi-hole 做 DNS 级全网过滤，支持通配符，适合覆盖多台设备。
Pi-Hole 是另一种在 DNS 层面全网过滤域名的好方法，如果你想要覆盖更广、支持通配符的方案。如果你有闲置的树莓派，这是个很好的用途。
lwhsiao查看英文原文
Pi-Hole [1] is another nice way to filter domains at the DNS level network wide, if you want a wider reaching solution that supports wildcards. Great way to use an extra Pi if you have one sitting around. --- [1] https://pi-hole.net/
仅靠域名列表容易漏，建议按 AS32934 的 IP 前缀在防火墙层封锁。
这不是我会采用的方式，因为你很容易漏掉某个属于 Facebook 的新域名，或者某个一开始看起来不像属于 Facebook、但其实位于其分配子网内的服务器。如果你真想阻断所有进出 Facebook 的流量，查一下与他们 AS 号（AS32934）关联的 IP 前缀，然后设置防火墙封锁这些前缀。用 PF 的话 tables 很好用；用 netfilter 可以考虑 ipset。
marios查看英文原文
Not the way I'd do it, since you can easily miss on some new domain that belongs to facebook (or perhaps some server that does not look like it belongs to facebook in the first place, but it is sitting in their assigned subnets). If you really want to block all traffic from/to facebook, lookup the IP prefixes associated with their AS number(AS32934), and setup your firewall to block those. If you are using PF, tables are your friend. With netfilter, consider using ipset.
用 dnsmasq 通配符按整域拦截，比逐个主机列黑名单更高效。
在 facebook.com 域下列出大量主机效率不高，不如封锁整个域名。可以用 dnsmasq 的 --address 选项或配置里的 address 命令，让给定域中的任何主机都返回指定 IP，查询不再转发。一个常见用途是把整个 doubleclick.net 重定向到本地友好服务器以避免横幅广告；域匹配支持通配符，/#/ 可匹配任何域名。
kazinator查看英文原文
It's inefficient to specify a large number of hosts in the facebook.com domain instead of blocking the whole domain. For this, you can run dnsmasq and use the "--address" option or "address" command in dnsmasq.conf: $ man dnsmasq [...] -A, --address=/<domain>/[domain/]<ipaddr> Specify an IP address to return for any host in the given domains. Queries in the domains are never forwarded and always replied to with the specified IP address which may be IPv4 or IPv6. To give both IPv4 and IPv6 addresses for a domain, use repeated -A flags. Note that /etc/hosts and DHCP leases over‐ ride this for individual names. A common use of this is to redi‐ rect the entire doubleclick.net domain to some friendly local web server to avoid banner ads. The domain specification works in the same was as for --server, with the additional facility that /#/ matches any domain. Thus --address=/#/1.2.3.4 will always return 1.2.3.4 for any query not answered from /etc/hosts or DHCP and not sent to an upstream nameserver by a more spe‐ cific --server directive.
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选