不要信任闭源的 Koolcenter(原 koolshare)固件

抛开内容不谈，op 标题很恶心

@pierce4963 我就是不会命令行和终端啊，小白就求个稳定了。安全问题我请 Google 和 Apple 帮我搞定，哈哈

看标题还以为 koolshare 有啥后门。。不过 DDNSTO 这些应该也赚不了太多，对个人客户他们一直有免费套餐。。其实很多搞技术的有点助人情怀。像楼主这种半桶水。。自己没能力，还喷别人。。

@minami 精神享受,天天别人喊你大佬,确实很美妙

@pierce4963 这可能不是「一丁点计算机知识」，你是不是没有教过「朋友们」电脑知识。绝大部分不是计算机专业的，一定完成不了上述操作。

况且也没你说的这么简单，最基本的需求：按照设备 mac 或者内网 ip 实现透明代理，大陆 ip 不走你的 v2ray 提升性能和网速，实现自动更新各项配置和 ip 表。你又要配置多少东西？就开一个梯子我不如在自己设备里开 clash

再况且 koolshare 固件覆盖的比梅林固件全，对于现在性价比最高的（要我推荐我会推荐的）天选和小旋风 pro wifi6 版，你会怎么做？

有能力自己写，没能力的开源也看不懂，即便出去了，看看菩萨啥的也就行了，别搞高危动作，普通人就这样就行了，多考虑那么多也没有什么卵用，还没有解决方案。

@pierce4963 #40

我能想到的路由器区别与其他应用软件的在攻击、侵犯隐私方面的区别就是：

1. 记录访问的数据，用来卖数据
2. 对于非 https 的网站记录其他隐私信息

如果与运营商对比的话：
1. 能进入内网

与电脑、收集 app 对比的话:
1. 记录访问数据

说实话，闭源没看出需要特别担心的地方。政治、色情 这种 运营商 跟自己家里的路由区别不大？账号密码，跟运营商也差别不大...

有什么我没想到的其他安全风险请指教..

@minami clowwindy 的含金量还在上升

@linzh #45 你用 GUI 界面设置，也是加载一个已经设置好的默认文件。只要你有这个文件，命令行启动的时候同样指定它启动就可以了。

@fly9i #47 可能有后门。也许能在建立一个直连到路由器的 VPN 。也许能够直接远程下发固件、脚本。毕竟那个软件中心的可以直接执行命令。单论隐私的话，确实和你说得差不多。

@pierce4963 有没有一种可能，软件中心的 merlin-clash 也是闭源的，你把 koolcenter 给排了，又拿同样闭源的插件跑说不过去吧。所以你只能重新造轮子。

@pierce4963 #50 所以我理解这里面路由器固件不开源本身没有太多的特殊性的，安全风险肯定是有，但是跟普通应用软件差不太多。更多的可能是对开发者团队的信赖程度的区别。直接用开源的在安全性、隐私性方面肯定是更好的，虽然自己不会去看源码，但是源码毕竟在那，用的人多了总会有人去审计。
仅就 koolshare 的固件来说，人家选择闭源只是一个商业选择而已，很多开源本身也是一种商业模式，没必要也不应该因为闭源就默认有什么问题或者会有什么问题，闭源本身在安全性上其实可能还有助益，毕竟攻击者也没有源码。
完全开源本身很难取得理想收益，那么在软件的细节方面其实也很难有很高的预算和动力去维护，选择闭源的一些方式来尽可能的获取收入反而可能是发展好软件的一个有利条件。对于没有技术能力的用户来说，好用才是第一的前提条件，毕竟 tplink 也不开源吧，路由用的 intel 、高通 芯片也没有开源吧，这些真不是一般用户关心的。
就信任来说，开源、闭源都不应该无条件信任吧，前不久还发生过 xz 投毒的问题，openssl 也出过 heartbleed 。

@linzh 我并没有提到过需要使用 Merlin-clash ，是你自己提的；翻墙本身也并不依赖于 clash 客户端。我的前述用的例子是 V2ray(开源)。

@fly9i 在我看来 koolcenter 附带的软件中心的权限是很高的，比如前面提到的下发和执行脚本。对于开发团队来说，在一定能做到的前提下，就只剩想不想做、有无必要做的问题。另外，关于 koolcente 对隐私保护的态度公众都不得而知；相比之下，也许 Apple 也能某种程度上控制用户 iPhone ，但至少 Apple 多次表达会保护用户隐私。

我们的确总是需要审视使用的软件、程序。但问题很多人是无知无畏，在 koolcenter 固件在被广泛使用的前提下，团队/公司并没有引导一般用户意识到这其中的风险，仅仅是发布刷机教程，这是不是一种诱导和刻意隐瞒？

况且，koolcenter 团队至少包含了一家注册在深圳的公司，却可以分发和运营附带翻墙功能的固件，在简中圈广泛流传，这本身不就是一件可疑的事情吗？如果 koolcenter 团队有中国政府背景，且明确告知潜在用户，你认为还会有这么多人使用吗？多企警方通告明确表示翻墙违法，相信不会有人愿意在政府的监控下去做“违法”行为。

@pierce4963 对，所以我说广义上我们说的路由翻墙，你要实现：按照设备 mac 或者内网 ip 实现透明代理，大陆 ip 不走你的 v2ray 提升性能和网速，实现自动更新各项配置和 ip 表。这些在 v2ray 中都不自带，你不能通过启动脚本来简单运行。

尽管理论上你写复杂脚本是可以的，但是这个脚本没有现成的，我很欢迎你写一个并开源。当你干完这些活，你会发现你实际上你把 merlin-clash 干的事情重新造了一遍，只是你的核心是 v2ray 而不是 clash ，不知道我这么说你能不能理解。你要结合上下文来回答，而不是跟 gpt 一样仅按照上一个回答的东西回复。

我也强调了：如果单纯是在路由器上开个 http 端口转发就算翻墙的话，那没有任何意义，随便挂一台手机都能实现这个功能。路由器翻墙最重要的是「无感」的体验，而不是找半天 http 全局代理在哪开，开完发现有些 app 并不按照全局代理走导致根本无法翻墙。暴力全局转发给 v2ray 后导致的性能问题我不用过多赘述了吧，现在性能最强的路由也不过只能跑千兆，跟硬件转发随随便便上 2.5G/5G 还是差很远。

@linzh #55 听起来似乎 clash 有自己特有的分流规则，但分流规则实际上是有公开版本的，并且不局限于在 clash 客户端使用。

除了 V2ray-core 以外，有很多其开源分支支持自动导入规则和自动更新的。使用 V2ray 也不意味着从核心版本开始，自己开发所有的其他内容。

人家只是阐述他的事实观点，没想到炸出这么多人。
对于后门怀疑是很正常的事情，毕竟这个东西本身存在灰色，在灰色的范围内可以变得可控和不可控，也可能只是时间问题。不要去猜，更不要过激的想法。
我的看法就是，可能存在双刃，毕竟科学上网门槛低了，好多人就为了买华硕路由器去刷固件科学的，简单易懂但安全风险问题也是并存的，这是必然的，谁都保证不了 100%安全。要么不用，毕竟现在懂一点玩科学的都上软路由了吧，但大部分人都会选择路由器来科学简单易懂好上手，所以说这个问题本身风险是有，但不能一杆子打死，得找出点线索啥的，要不然会有太多人喷了

kooldev 开发的所谓官改固件和改版梅林固件都涉及 GPL violations 使用别人的劳动成果牟利没有问题 本来自由软件许可证就没有限制你牟利 但不公开修改后的源码的做法实在有违基本的契约精神 妥妥的耍流氓行为

@ronyin #43 留个后门，ip 还是值点钱的，相对来说。

之前也有 op 的担心，所以我现在用 ShellCrash ，至于图形化界面嘛，用命令行代替一下也差不多了