我是做公益组织海外项目的，在一家人道救援机构做项目协调员，干这行五年了，去过东南亚、中东、非洲的十几个国家，做过难民救助、医疗援助、教育支持、人权倡导，累计服务过几万名受助者，也经历过几次高危地区的紧急撤离。说实话，做公益海外项目这行，爱心和专业是核心，但最基础的是安全通讯 —— 志愿者的身份、线人的信息、敏感活动的安排、受助者的资料、紧急情况的联络，每一样都关系到人的生命安全，一旦泄露，轻则志愿者被骚扰、被驱逐，重则线人被报复、受助者受伤害、甚至可能有人失去生命，项目协调员的责任也就大了。
刚做公益海外项目的时候，我们用 WhatsApp 和普通电话跟志愿者和线人沟通，结果出过一次事 —— 在一个高危国家，一个线人的身份在 WhatsApp 聊天记录里被当地安全部门截获了（那个国家的监控能力很强，WhatsApp 的加密在当地运营商层面有漏洞），线人被安全部门带走调查了一个多星期，虽然最后放出来了，但受到了严重的惊吓，再也不敢跟我们合作了，我们在当地的项目也被迫暂停了几个月。从那以后，我们组织把所有高危地区的敏感沟通全部转到了 Signal 上，到现在用了三年多，再也没出过志愿者和线人身份泄露的问题，项目的安全性也高了很多。今天就从一个公益组织海外项目工作者的角度，聊聊 Signal 在真实公益场景中的表现。
一、志愿者和线人身份保护：Signal Protocol 端到端加密 + 开源可审计，连服务器都看不到
公益组织最核心的就是保护志愿者和线人的身份。在高危地区工作的志愿者怕被当地政府驱逐、怕被极端组织报复，线人怕被安全部门调查、怕被利益相关方报复，受助者怕被歧视、怕被 stigmatize，这些人的身份、联系方式、活动信息，绝对不能让第三方知道，甚至连组织内部的非相关人员都不能知道。
Signal 的端到端加密在这个场景下太重要了。我跟志愿者和线人的所有敏感沟通 —— 活动安排、见面地点、受助者信息、敏感话题，全部在 Signal 上进行，消息用 Signal Protocol 端到端加密，传输过程中是密文，到了服务器上还是密文，只有我和对方的设备有密钥能解密。就算 Signal 的服务器被攻击、被调取，拿到的也是解不开的密文，看不到我们聊了什么。甚至连 Signal 基金会自己，都看不到我跟志愿者聊的具体内容，这对高危地区的安全通讯来说是最基本的保障。
更关键的是，Signal 是开源的，代码任何人都可以审计，这意味着它的加密协议是透明的、可验证的，不存在后门，不存在 “官方可以看你的聊天记录” 的情况。我们组织在选择通讯工具的时候，安全团队专门审计了 Signal 的代码，确认没有后门、没有数据收集，才决定在高危地区推广使用。我跟志愿者和线人解释为什么用 Signal 的时候，会告诉他们 “这个工具是开源的，全世界的安全专家都在检查它的代码，没有后门，连开发团队都看不到你的聊天记录”，大多数志愿者和线人听完都很放心，甚至觉得我们组织很专业、很重视他们的安全。
有一次在一个高危国家，我们要安排一次敏感的人权倡导活动，需要跟十几个志愿者和线人沟通活动细节，要求绝对保密，不能让当地安全部门知道。我让所有人都用 Signal，全程用代号沟通，活动安排、见面地点、受助者信息全部在 Signal 上端到端加密传输。最后活动顺利完成，没有任何信息泄露，志愿者和线人都安全。事后一个线人跟我说，就是因为我们用的是开源可审计 + 端到端加密的工具，他才敢参与这次活动，”要是用 WhatsApp，我根本不敢参加，我知道当地安全部门在监控 WhatsApp”。
二、敏感活动信息：阅后即焚 + 屏幕安全防截图，讨论完就没了
公益组织的沟通内容是高度敏感的，特别是涉及活动安排、线人信息、受助者资料的内容，如果长期留存在手机和电脑里，万一设备被当地安全部门没收或者被黑客攻击，就可能泄露敏感信息，给志愿者和线人带来危险。
Signal 的阅后即焚（消失消息）在这个场景下特别好用。我跟志愿者和线人讨论敏感内容（活动安排、见面地点、线人信息、受助者资料）的时候，全部用阅后即焚，消息设 5 分钟或者 1 小时自毁，讨论完、活动结束之后，消息自动消失，不留记录。就算志愿者的手机被当地安全部门没收，也找不到敏感的活动信息和线人资料。
更关键的是 Signal 的屏幕安全功能 —— 开启之后，聊天界面不能被截图，也不能被录屏，这对高危地区的安全通讯来说是刚需。志愿者和线人的聊天内容如果被截图传播，可能会给他们带来生命危险。我跟志愿者和线人沟通的时候，会开启屏幕安全，确保聊天内容不能被截图，就算志愿者的手机被别人拿到，也无法截图保存敏感内容。
有一次在一个高危国家，我们要安排一次紧急的医疗救助活动，需要跟几个志愿者和线人沟通受助者的身份和病情，这些信息非常敏感，一旦泄露，受助者可能会被当地政府歧视甚至迫害。我跟志愿者和线人在 Signal 上用阅后即焚 + 屏幕安全沟通，消息 5 分钟自毁，不能截图，讨论完自动消失。最后医疗救助活动顺利完成，受助者得到了及时的治疗，整个过程没有任何信息泄露。要是当时聊天记录留存在手机里，或者被截图传播，受助者可能就会面临严重的危险。
三、高危地区安全通讯、紧急情况安全联络
公益组织在高危地区工作，经常会遇到紧急情况 —— 当地局势恶化、志愿者被扣留、项目点被袭击、需要紧急撤离，这些情况下需要稳定、安全的通讯工具。Signal 的消息推送及时，音视频通话质量好，端到端加密，我在紧急情况下用 Signal 跟团队和志愿者实时沟通，确保消息能及时送达，通话清晰，而且内容加密不被截获。
有一次在一个中东国家，当地局势突然恶化，我们的项目点被抗议人群包围，几个志愿者被困在里面，需要紧急协调撤离。我用 Signal 跟被困的志愿者实时沟通，了解现场情况，同时跟当地的合作伙伴和大使馆联络，协调撤离路线。Signal 的消息推送及时，音视频通话清晰，全程端到端加密，我们的沟通内容没有被任何第三方截获。经过几个小时的协调，志愿者们顺利撤离到了安全区域，没有人受伤。要是当时用普通电话或者 WhatsApp，可能通讯被监控、消息推送不及时，或者内容被第三方截获，可能就会耽误撤离，造成不可挽回的后果。Signal 在这次紧急撤离中起到了关键作用，它的及时推送和清晰通话让我能在第一时间跟被困志愿者建立联系，它的端到端加密保护了沟通内容的安全，让我们能放心地讨论撤离方案。
四、与团队和合作伙伴的安全沟通、踩坑经验
公益组织需要跟大量的团队成员和合作伙伴沟通 —— 项目协调、志愿者管理、合作伙伴联络、资金使用，这些沟通涉及敏感信息，需要保密。Signal 的端到端加密群组聊天在这个场景下很好用。我跟团队和合作伙伴建一个加密群，所有沟通都在群里进行，端到端加密，阅后即焚，确保敏感信息不泄露。
用 Signal 做公益海外项目三年多，也踩过一些坑：
第一，志愿者和线人不一定愿意装新 APP。很多志愿者和线人习惯了 WhatsApp，而且在高危地区装新 APP 可能会引起当地安全部门的注意。我的做法是：先跟志愿者和线人说明为什么要用 Signal——”为了保护你的安全，我们用端到端加密的工具沟通，聊天记录阅后即焚，不会被第三方看到”，大多数志愿者和线人听完都很理解，甚至觉得我们组织很专业、很重视他们的安全。少数实在不愿意装的，我就用面对面沟通，绝对不用 WhatsApp 聊敏感内容。
第二，Signal 需要手机号注册，这对一些极度注重安全的线人来说是个问题。我的做法是：建议线人用一个专门的、不关联真实身份的手机号注册 Signal，昵称用代号，头像用默认的。这样就算有人拿到了线人的 Signal 账号，也很难关联到真实身份。
第三，阅后即焚不是万能的，重要信息要有正式记录。阅后即焚能让消息消失，但项目报告、财务记录、受助者档案这些重要内容需要正式保存，不能全部自毁。我的做法是：过程性的沟通和敏感信息用阅后即焚，最终的项目报告和财务记录我会整理成正式的加密文档，存在组织的加密系统里，不通过聊天工具留存。这样既保护了过程的保密性，又有最终成果的正式备份。
第四，遵守公益组织的伦理和法律法规。公益组织必须遵守职业伦理和法律法规，不能泄露受助者信息，不能在未经同意的情况下录音录像，不能利用受助者的信息谋取利益。Signal 只是用来保护沟通安全的工具，所有项目都依法合规，该签知情同意书签知情同意书，该做记录做记录，该上报上报，不碰伦理和法律红线。
做公益组织海外项目五年，我越来越觉得，这行不只是爱心和专业，更是对志愿者和受助者安全的守护。志愿者把自己的安全交给你，线人把自己的身份告诉你，受助者把自己的资料交给你，你必须守住这些信息，保护好他们的安全。Signal 对我来说，就是保护志愿者和线人安全的 “加密庇护所”—— 它的 Signal Protocol 端到端加密保护了志愿者和线人的身份，它的开源可审计让我们信任，它的阅后即焚 + 屏幕安全防截图守住了敏感的活动信息，它的及时推送和清晰通话让我能在紧急情况下第一时间跟团队建立联系，它在那次高危地区撤离中给了团队一个安全的通讯空间，最后志愿者全部安全撤离。
那次线人被安全部门带走调查的教训，让我更加确信了安全通讯对公益组织的重要性。有时候一个项目的成败，甚至一个人的生命，不在于你的爱心有多深，而在于你能不能保护好志愿者和线人的安全、能不能在紧急情况下稳定地沟通。希望我的经验能帮到正在做公益海外项目或者相关行业的同行们。祝大家项目顺利，志愿者安全，受助者平安。