你的帳號沒有密碼，這是故意的。

預設不用密碼

大多數帳號不是被高明的攻擊拿走的。是因為某個密碼在別的網站被重複使用，那個網站後來外洩，然後有人拿同一組來這裡試。把密碼拿掉，就等於把這一整類失敗拿掉。

登入的底線是寄到你信箱的一次性驗證碼，建議設定則是通行金鑰。

通行金鑰是由你的裝置建立並保管的一組金鑰，用解鎖手機的同一張臉或同一枚指紋保護。私鑰永遠不會離開裝置，也永遠不會到我們手上。

瀏覽器只會把它提供給真正的 orbislo.com 來源，這就是它比信箱驗證碼更能抵抗釣魚的原因。設定只要在帳號裡點一下，你想在幾台裝置上放幾把都可以。

登入方式比較

沒有簡訊驗證碼是刻意的。一個把驗證簡訊寄到你在國外收不到的本地號碼的旅行產品，等於自己設計了把你鎖在門外的機制。

工作階段、裝置，以及怎麼回到帳號

工作階段是為了方便，所以它短到有意義，也長到還能用。下面的規則就是全部政策。

• 在信任的裝置上，一個工作階段可維持 30 天的活動，之後會請你重新登入
• 購買、變更電子郵件、把設定檔移到新手機，一律重新驗證身分，不管工作階段多新
• 每個作用中的工作階段都會列出裝置、大概位置和最後使用時間，任何一個都能從另一個結束掉
• 結束所有工作階段時也會輪替背後的權杖，所以被偷走的 cookie 會立刻失效，而不是等到過期
• 從沒見過的裝置登入時，不論是不是你本人，我們都會寄出含時間和大概位置的通知
• 餘額屬於帳號而不是手機，所以掉了手機不等於掉了錢包

付款，以及我們為什麼不留卡片資料

卡片資料由通過最高等級認證的支付服務商收取，收在一個我們無法存取的框架裡。卡號從你的裝置直接送到他們那裡，不經過任何我們運作的東西。

我們收到的是一組只能透過那家服務商、而且只能用在你帳號上的權杖，加上卡別和末四碼，讓你分得出哪張卡是哪張。

實際後果值得直說。就算我們的系統明天被入侵，裡面也沒有卡號可以拿走。

這不是在說我們的工程師有多厲害。這是在說我們選擇不存什麼，而後者要可靠得多。退款，包括開通失敗後自動觸發的那一筆，都會經由同一家服務商退回原卡。

覆蓋資料集，設計成不會認出你

我們覆蓋頁上的每一個速度數字，都來自真實客戶連線的真實流量，而不是合成測速，因為測速會花掉你的流量，只為了告訴我們一件我們本來就能免費量到的事。

這種設計會引出一個明顯的隱私問題，所以以下用工程語言回答，而不是用安撫的話。

樣本下限就是那道控制

一筆量測包含電信商、無線制式、你本來就在傳送的流量上觀察到的吞吐量，以及一個大約一公里的 geohash。這些紀錄在任何人看到之前就先聚合，包括我們自己。

25 個樣本這道門檻是重點，因為那是一條 k 匿名性的下限。公布的數字永遠代表一個網格裡至少 25 個不同來源的行為，這讓辨識出單一個人在結構上就不可行，而不是靠政策約束。

當一個網格的樣本少於 25 個，頁面就顯示沒有資料。我們寧可留一個缺口，也不要一個只描述一位旅客的數字。

量測在啟用流程中就說明清楚，不會藏起來，而且一個開關就能關掉。關掉之後，公布的資料集就少了你的貢獻，你服務的其他部分完全不變。完整細節在隱私權政策裡。

我們怎麼做工程

這些都不特別。之所以列出來，是因為一個只描述精彩部分的安全頁面，是在藏起平凡的那些。

• 預設最小權限，正式環境的存取以任務為單位授予，並會自行到期
• 每一個 pull request 都掃描相依套件與容器，出現重大發現就擋下合併
• 機密存放在受管理的保管服務，絕不放進程式庫，按排程輪替，也在任何人離職時輪替
• 資料在傳輸與靜態時都加密，歐洲客戶的紀錄存放在歐盟境內
• 每年一次獨立滲透測試，並在任何動到登入或付款路徑的變更後再測一次
• 公布次要處理者名單，並在變更生效前就更新，而不是事後才更新

負責任的漏洞揭露

範圍，以及我們對研究者的承諾

範圍內：orbislo.com 及其子網域、iOS 與 Android 應用程式，以及公開 API。範圍外：阻斷服務測試、對我們員工或電信合作夥伴的社交工程、實體攻擊，以及任何碰到其他客戶資料的行為。

請不要存取、修改或保留不屬於你的資料，並在公開之前給我們一段合理的時間。

大家真正會問的問題