来自子话题：
在我看来，iPhone5S/C相较前一代iPhone最大的进步并不是表象上的一些摸得到看得着的指标，而是整体芯片结构的进步，这里面就包含Touch-ID（触摸输入）体系（当然还有64位技术和独立的协处理器）。一般消费者往往看不到这一点，这是Apple针对移动终端支付时代的切实准备和巨大进步（收购AuthenTec并将其最终整合入iPhone），也是奠定移动支付基础可行的踏实脚步，目前似乎还没有看到其他厂家可以做到这一步（如有请指出）。&br&&br&那么如果Jail-Breaking系统之后，iPhone5S提供的Touch-ID是否会受到冲击呢？可以从以下几个方面来分析，纯属个人分析，木有给Apple写软文的意思，各位慢喷：&br&&br&1 Apple在Touch-ID的专利里提到了Secure Enclave Processor的概念，明指在A7内部有逻辑上严格意义的独立硬件和软件结构，专门处理涉及支付等绝对机密的数据处理和存贮。其实其背后的概念是，ARM好几年前即开始准备的TrustZone体系，在这个体系下，A7内部的处理器资源被分为两个独立的部分，CPU可以按照处理时序在时间上进行“区隔”，配套的寄存器和片内的RAM（如果有）可以按照地址为进行“区隔”，网上有一些示意图如下：&br&&img src=&/238fd619f382ba6e346ace_b.jpg& data-rawwidth=&680& data-rawheight=&432& class=&origin_image zh-lightbox-thumb& width=&680& data-original=&/238fd619f382ba6e346ace_r.jpg&&&img src=&/dfc46fd911b73740f8cc_b.jpg& data-rawwidth=&680& data-rawheight=&542& class=&origin_image zh-lightbox-thumb& width=&680& data-original=&/dfc46fd911b73740f8cc_r.jpg&&这两幅关于TrustZone的硬软件结构上的“区隔”表现得很明显，逻辑上看（毕竟都在A7的64位的片内，和独立的协处理器不同），TrustZone区域也就是Apple所宣称的Secure Enclave Processor SEP由在安全侧工作的Monitor的中断来控制独立于A7普通侧的处理资源范畴，连接这两侧的只有相关总线和Monitor（实时工作），当Touch-ID的指模传感器被安全侧的CPU调用时，Monitor会监控到系统中的安全业务激活标示（比如某个总线位被置于某种状态），从而激活SEP安全侧的CPU能力，接管生理指纹处理和存贮等等工作，再将处理结果返还给普通侧....&br&&br&2 在如此的安全体系下，SEP侧具备完整的硬件CPU能力、数据存贮空间和软件的独立OS，SEP激活时，SEP的OS是完整重新加载的，这个状态下的键盘输入（以后可以有基于SEP的密码输入）或者指模扫描和读取都是安全的，也是普通侧的CPU/OS无法染指的。也就是说，即便Hacker通过Jail-Breaking取得普通侧A7基础上的OS的完整root权限，你也看不到安全侧；当然不是说不能不Hack，但Hack的难度显然大大增加了，Hacker必须了解Apple独有的Monitor/SEP体系，走出这一步的代价，也许就大到不用考虑了；&br&&br&3 当然，ARM还会不但在自己的技术体系中推广TrustZone，随着知名度和普及度越来越高，终归会有相关的破解方法，这也和具体的芯片制造商技术水准有关；&br&&br&4 除此之外，Apple还设计了一些简单但有效的设计，比如如果iphone在连续48个小时内不解锁，SEP模式将自动关闭，用户可以使用password进入手机；据说还有手机重起之后的第一次鉴权不能使用指纹输入、越狱之后SEP自动失效等等.... （我不确定因为我没有iphone5s）这些手段都是在尽力保护用户的指纹信息不被从手机内完整读出并做他用，密码可以改变，指纹登入虽然方便但显然因为其生理特征的唯一性和永久性，则必须享受更高的保护级别；&br&&br&5 最后一个关键问题就是，SEP体系下，iPhone5S是如何鉴别指纹的。我想这是Touch-ID的最高机密，但从Apple注册专利的Patent文件里的流程描述，还是可以看得出一些端倪，如下图：&br&&img src=&/2ffdb83bad2c36c57447c8_b.jpg& data-rawwidth=&600& data-rawheight=&596& class=&origin_image zh-lightbox-thumb& width=&600& data-original=&/2ffdb83bad2c36c57447c8_r.jpg&&这个流程图里可以明显看出，右侧的流程是发生在SEP安全侧的计算和鉴别流程，SEP在Monitor的控制下，取代普通侧的A7执行指纹读取和鉴别工作，在构建指纹的“MAP”之后（注意MAP是指纹的完整信息，是绝对需要保密的），SEP将MAP拆分成若干低分辨率的Pattern，这里的Pattern是个泛指，可能是Checksum，也可能是Hash值，还可能是柱状图，总之，这些信息不可逆，也就是说Hacker即便拿到这些信息也无法倒推出指纹的MAP。你也许会问是怎么做出这些pattern的，这些pattern分别代表何种意义，那就得问Apple，我想这也是Touch-ID的核心机密。&br&构建这些Pattern的主要目标还是要将其返还给普通侧的A7来做鉴别比对（上图中的左侧），显然SEP有限的处理能力会带来更多时延，A7在拿到这些Pattern之后再作逐一比对（这种比对开放，你即便Hacker到结果也无所谓），并且将比对结果再次返还给右侧的SEP，最终由SEP决定这次判决的最终结果，并将结果经由数字签名之后给出，给普通侧的A7.....后面就不说了。&br&值得一提的是，有人问如果iTunes和Appstore或者未来Apple的支付平台要使用测试结果怎么办？可以肯定的第一点是，用户的完整指模信息MAP绝对不会出SEP范围，从安全性角度考量这样是最安全的；第二点，用户的比对和鉴权如果是在手机上执行，那么返回的比对结果要送到应用中心，则必须加密（公私钥体系）并有会话级别的互动机制，以确保结果不被窃听和篡改。&br&&br&这样看，可以给出个基本结论。iOS和SEP是目前为止，相对最安全的支付基础。越狱并不能获取SEP的支配权，所有的秘密都被守在SEP的范畴之内。&br&&br&这，还算安全吧？FYI&br&&br&------------------------写给某位专家的分割线------------------------------&br&1 &br&我在知乎的几乎每一个答案都会遇到像您这样真正的“砖家”，我觉得只有这样，才会把您们这样的“砖家”都请到前台来亮亮相；&br&2&br&别误会，我这答案只是个人分析，一定不那么周详，而且我也是刚开始接触芯片级的安全方案，让您见笑了；不过可以保证的是我没有自称“砖家”的意思，也绝对不会通过嘲笑别人的答案来迂回证明自己是真正的“砖家”，我没这爱好；&br&3 &br&谈正题。ARM的TrustZone不仅仅是硬件“相对独立”，软件在协议里写得清楚，的确具备完整独立的OS，因为SEP所附属的硬件相对单一（在Apple的SEP实现里面估计只有指模传感器），所以OS加载很快，可以做到对Monitor的调用实时响应，这个OS和A7的iOS是不一致的，是独立的，所以在处理指模信息，尤其是完整的RipleImage指模信息的时候，不会被iOS的任何权限所干扰。这是TrustZone和SEP的核心，也是目前业界里处理移动终端本地存储机密信息的唯一公认的解决方案；&br&非对称加密体系在SEP里当然有用到，存放RipleImage的各种分支模板，和SEP和A7之间的通讯，鉴别结果的释放，都有非对称加密解密和签名，我上面已经写过了。&br&再有就是纠正您的一个错误认识，非对称加密是很强大，但非对称加密体系的弱点在于私钥的存放和分发渠道的坚固性。而SEP/TrustZone，解决的就是这个问题，只是现在的目标是指纹这种唯一生理特性，未来Apple有在SEP上开放API的计划，具体不详....&br&&br&再次声明，我不是砖家，也就谈不上真伪。
在我看来，iPhone5S/C相较前一代iPhone最大的进步并不是表象上的一些摸得到看得着的指标，而是整体芯片结构的进步，这里面就包含Touch-ID（触摸输入）体系（当然还有64位技术和独立的协处理器）。一般消费者往往看不到这一点，这是Apple针对移动终端支付时…
来自子话题：
哪有这么多黑客，真正的黑客也不会蹭你的网，会蹭网的只有你邻居吧
哪有这么多黑客，真正的黑客也不会蹭你的网，会蹭网的只有你邻居吧
来自子话题：
不能重复注册的原理，那程序只是一个个试罢了，可以看的出来是试而不是从数据库调用，因为不会那么慢
不能重复注册的原理，那程序只是一个个试罢了，可以看的出来是试而不是从数据库调用，因为不会那么慢
来自子话题：
&p&-&/p&&p&&br&&b&一、社工无疑很重要，在中国尤甚&/b&&br&&br&社会工作的概念在中国还比较混乱，在最前面我们可以对这个概念进行一个简单定义，我们这里讨论的社会工作范畴是具备「非政府性」、「无偿服务性」、「组织性」的活动。&/p&&p&&br&中国是个太大的国家，政府在很多地区的很多领域都鞭长莫及，无论在意愿上还是能力上都无暇顾及。这种情况给社工的发展提供了良好的土壤和大量的机会，但由于种种原因和顾虑，政府对社工机构的控制又相当严格，并未提供给社工机构相对自由的发展空间。&br&&br&值得敬佩的是，即便发展环境很坎坷，但是中国的社工机构并没有放弃前进的脚步。按组织性质来说，我国的社工机构大概有以下几类：「在民政注册的正规民办非企业组织」、「在工商注册的正规企业」、「挂靠在大型组织下以项目形式存在的小组织」、「野生的草根公益组织」。管理混乱的情况一方面会带来很多监管难题，但另一方面也侧证了我国对社工机构的需求很旺盛，否则也不会有这么多的人想出各种新鲜的主意，只为了谋求一个组织的合法资格。&br&&br&社工机构如果发展的好，在社会各界都可以起到重要的作用，危机救助、人文关怀、心理疏导、行为矫治等等方面都需要社工机构的介入，而这些恰恰是当今中国相对欠缺的东西。但是社工机构该如何介入，在何时介入，介入时如何处理和政府的关系，都是我们不能回避的问题。&br&&/p&&p&&br&&br&&b&二、社工不是万能的，需要社会各界的配合&/b&&br&&br&我曾在之前的一些答案里谈过类似的问题，一个公益组织如果想发挥最大作用，一定不是单打独斗，而是和社会各界的力量形成一定的配合，人多力量大。如果人为的将社工机构和政府部门割裂开来，是一种对「非政府性」的狭义理解。怎么能在与政府合作的同时，保持自己的「自主性」，是社工机构需要研究考虑的问题。&br&&br&政府部门存在这样那样的缺点，官僚、低效率、管理混乱等等，我很理解一些社工从业者对政府嗤之以鼻的心情。的确，社工这个概念很新颖，符合时代潮流，各方面都处于高速发展期，是有一些值得自豪。但还是那句话，社工不是万能的，社工从业者也没有什么高尚的，这只是一项普通的事业而已。尤其在中国，不搞好外部关系，做什么都是寸步难行，如果没有这个心理准备，恐怕很难做好事情。很多事，在理论和实践之间有着天壤之别。&br&&br&社工机构招聘的工作人员的专业程度也备受质疑，社工机构并不一定具有稳定的收入来源，普遍难以雇佣足量的专业人员和管理人员，内部成员结构相对松散。依靠义工从事专业性较强的社会服务，能否保证质量和持续性还是个问题。&br&&br&就拿最近知乎上火热的「室友吸毒」问题来看，社工机构近些年在禁毒领域有所作为，社区戒毒康复模式也是很好的尝试。戒毒的社工机构不同于传统的强制戒毒所，而更多着眼于对吸毒者的生活关怀。除去必要的戒毒措施，更会去关注吸毒者可能遭遇的一系列社会误解与歧视，这是传统戒毒所所不具备的。但同时社工机构也面临一系列问题，比如强制力不足，资金匮乏等等。&/p&&br&这样看来，当我们发现一个身边的吸毒者的时候，究竟是应该视而不见，还是联系社工，或者直接报警呢？讲实在的，在目前的中国，如果是我个人，还是会选择报警，剩下的事情由警方安排解决。因为我还无法信任一个社工机构，可以完全独立完成戒毒这样的任务。我并不是很了解戒毒社工机构的运作模式，但我想也多半是要在警方备案的，最终还是无法绕开警察这一关。&br&&br&很理解社工从业人员对传统模式的质疑，但社工机构在工作中有必要认知到自身能力的局限性。一个社工机构的发展，最好要从对自身的准确认知定位开始（这里面的行动指南可以参照我在这里的答案「&a href=&/question//answer/& class=&internal&&草根 NGO 面临各种困境，如何保证其长久运营发展？&/a&」）。&br&&br&&br&&b&三、社工机构与政府之间的关系应该是友好互助的&/b&&br&&br&就目前而言，「政府购买社工服务」的模式相对适合国内情况。因为传统戒毒所的特殊性，很难同时做到兼顾吸毒者的戒毒工作和社会关系维护。&b&相比之下，政府出资扶持戒毒相关的社工机构，配合传统戒毒所，选择最适合不同吸毒者的戒毒模式是比较科学合理的。&/b&「政府购买社工服务」的模式一方面可以弥补政府工作所无法顾及的部分，另一方面也可以解决社工机构的资金难题，有助于社工机构的持续发展。但是，戒毒社工机构不是每个地方都有的，这种理想模式的建成还需要很长的时间。&br&&br&把一个吸毒者交给警察，并不会绝对地导致他的社会关系崩溃。就算我们假设报警等同于吸毒者社会关系的崩溃，此时社工机构依然可以进行为戒毒者进行社会关系修复的工作。将吸毒者交给警察，和社工机构的介入并不矛盾，这关键要看二者之间如何进行定位。如果社工从业者将警察视为洪水猛兽，而警察又对社工机构的作用嗤之以鼻，那么这件事情恐怕永远不会有一个好的结果。&br&&br&作为社工机构，不妨放低姿态，以求配合政府工作，并从中提出一定的改进建议。一些局部的涉及人文关怀的问题或许社工机构有能力独立改变，但在涉及毒品、犯罪、公共卫生、环境保护等问题的时候，一个社工机构的能力是不够的，理应也必须寻求外界力量的支持，谁也没有必要大包大揽。&br&&br&当然，「政府购买社工服务」的模式也不是完美的，首先，它可能会导致社工机构的自主性缺失，成为被政府摆布的组织。其二，社工机构和政府部门的衔接可能会产生一系列问题。第三，随着经济问题的解决，社工机构面临着行政化的可能，官僚风格或许会取代志愿精神的位置。诸如此类的问题，还有很多。&br&&br&但是，无论是何种模式，社工机构都完全没有必要和政府机关处于对立的位置。我国政府机关处于强势地位，但也并非无法沟通。如果能为政府创造切实的价值，相信一般的部门也没有理由进行阻拦。&b&在我国，社工和政府之间的关系一定是互惠互利的，这里面存在的矛盾应该去尝试化解，而不是相互指责，否认对方。&/b&&br&&br&感谢阅读。
-一、社工无疑很重要，在中国尤甚社会工作的概念在中国还比较混乱，在最前面我们可以对这个概念进行一个简单定义，我们这里讨论的社会工作范畴是具备「非政府性」、「无偿服务性」、「组织性」的活动。中国是个太大的国家，政府在很多地区的很多领域都鞭长…
来自子话题：
这个在安全圈子里叫撞库，即通过已有的账号密码到其它网站去尝试。&br&而针对撞库的防范是一个人机对抗的过程，需要通过一些手段来防止通过程序来扫描，但是这些手段也不能影响正常的用户体验，说说经常用到的一些方法：&br&&br&如&a class=&member_mention& data-hash=&7baaf3c00c2c7daeddf8e9ba813af141& href=&/people/7baaf3c00c2c7daeddf8e9ba813af141& data-tip=&p$b$7baaf3c00c2c7daeddf8e9ba813af141&&@tombkeeper&/a& 所说，&b&最简单的方式就是增加一个图片验证码&/b&，当然对于现在图片验证码的破解程序也是越来越厉害，网上商业的开源的验证码破解工具一大堆，如果做图片验证码来防范的话，就要考虑一个问题，如何防止图片验证码被破解。对于防止验证码破解的话，可以适当增加验证码生成的强度，业内做的比较好的验证码，可以参考下淘宝的、百度贴吧的中文验证码也不错。&br&&br&另外一种方式就是&b&自动识别异常IP&/b&，如果机器扫描的话，肯定会有一些特征能被你抓取到，比如：单位时间内操作次数，比如1分钟尝试登录超过100次、正常用户不可能有这么大的频度的；1分钟内尝试登录错误账号超过一定次数；其它的自己扩展。对于异常的IP，整理一个非常严格的库，甚至直接禁止这些IP访问网站，一个一个手工添加肯定很累，程序对程序，应该没问题。黑客使用的代理再多，总归是有限的。&br&&br&刚在微博有同学说遇到专业的撞库，黑客黑掉了整个市的dhcp，分配了几十个1-254的c段来扫，每个IP仅仅尝试1-3次，这种&b&低频度的撞库确实不好防护&/b&。在这里提出一个简单的思路，比如真的是这种的话，那么针对这个市的IP设计一个黑名单，单独的策略。&br&&br&另外一种思路是&b&用户账号被撞后的保护&/b&，比如判断下用户的登录IP，是否在常用的地区，如果不是，直接锁定账号，让用户通过手机、邮箱等手段来解锁，这方面做的比较好的可以参考腾讯和淘宝。&br&&br&当然，这些策略结合起来的话，效果更好。
这个在安全圈子里叫撞库，即通过已有的账号密码到其它网站去尝试。而针对撞库的防范是一个人机对抗的过程，需要通过一些手段来防止通过程序来扫描，但是这些手段也不能影响正常的用户体验，说说经常用到的一些方法：如 所说，最简单的方式就是增…
来自子话题：
你妈妈是对的。&br&你上传到网盘，文件就不是你的了。&br&详细的看各大云服务商的协议~&br&一旦养成了信任云，说不定就会不小心透露一些资料到网上，小心那些数据挖掘的公司~
你妈妈是对的。你上传到网盘，文件就不是你的了。详细的看各大云服务商的协议~一旦养成了信任云，说不定就会不小心透露一些资料到网上，小心那些数据挖掘的公司~
来自子话题：
【如果知乎早点出现、如果冠希老师早点看到这个问题我的回答，那么霆锋哥哥、柏芝姐姐、欣桐妹妹的日子估计现在不会这么悲惨、冠希老师还可以和她们性福的生活下去……】
&br&&br&所谓「安全清倒废纸篓」，就是把删除文件的存储位置反复用随机数据覆盖写入数次，从而无法使用任何民用级别工具恢复清除的文件。只是简单「清倒废纸篓」的话，文件还是有很大可能恢复的。不信你去问冠希老师，他现在一定很懊恼为何没有好好学习使用 Finder。
【如果知乎早点出现、如果冠希老师早点看到这个问题我的回答，那么霆锋哥哥、柏芝姐姐、欣桐妹妹的日子估计现在不会这么悲惨、冠希老师还可以和她们性福的生活下去……】 所谓「安全清倒废纸篓」，就是把删除文件的存储位置反复用随机数据覆盖写入数次，从…
来自子话题：
N年前我写过一些文章，比较乱，是从我个人的角度去观察和理解的：&br&&a href=&/mwpeawbpjrdfjse/item/254ffcbb478ff346ba0e1239& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&闲话信息安全入门&i class=&icon-external&&&/i&&/a&&br&&a href=&/zyqq_blog/item/afe3ad21ef04645& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&今天扯一下甲方的信息安全方案&i class=&icon-external&&&/i&&/a& （请重点关注以下3个链接，当然，这3个就不是我写的了）&br&&a href=&http://bbs2.chinaunix.net/thread--1.html& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&★信息安全从业参考&i class=&icon-external&&&/i&&/a&&br&&a href=&http://bbs2.chinaunix.net/viewthread.php?tid=919526& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&★信息安全职业生涯&i class=&icon-external&&&/i&&/a&&br&&a href=&http://bbs2.chinaunix.net/viewthread.php?tid=1163970& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&★CSO的生存艺术&i class=&icon-external&&&/i&&/a&&br&&br&最近flashsky也在撰写自己的“回忆录”性质的“安全之路”小说体blog，请追踪。&br&&a href=&/fs_fx/item/afbf7c105b0c6b0be65c36f9& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&我的安全之路(1)_FlashSky(翰海源)的空间&i class=&icon-external&&&/i&&/a&&br&&br&另外，&br&兴趣是最好的老师。&br&干坏事是人最初的本能，也很能带来成就感。&br&这些坏事可以有：&br&1. 订阅所有的黑客/安全 方面的技术杂志和书籍、BLOG（这个看幻影的RSS聚合就够了，地址是&a href=&/& class=& external& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://&/span&&span class=&visible&&/&/span&&span class=&invisible&&&/span&&i class=&icon-external&&&/i&&/a& ，用Google Reader订阅）；&br&&i&
更新： Google Reader已经关闭了，哀伤一下&/i&&br&2. 按照书上/网上的方法，试试获得第一个自己的webshell、肉鸡（别弄国内的），破解第一个软件，sniffer下第一个别人的密码……通过实践的方式感性了解攻击手段；&br&&br&干了上面的坏事以后，&br&你必须知道那些不是根本，你要继续做如下的学习。&br&&br&3.
深入了解每一项技术关联的本质：网络原理、操作系统原理、某个编程语言和编译原理、数据库…这里要学的计算机知识其实跟大学生课程里的差不多，至少以后能说几个RFC，基于自己的兴趣开发过操作系统的DEMO，读过PHP的源代码（是PHP的源码，不是用PHP写的源码）……&br&&br&&i&（ 更新 ：这里有点装X的成分，不过仔细阅读很多的漏洞分析文章，大多钻研本质的时候，都会提到这些东西。那时候，我以为大牛提到Linux内核，就是把整本Linux内核的书都看完的，过了很多年，我才知道，有些大牛是研究的时候，才去临时深究的……&/i&&br&&i&如果一开始抱着一本Linux内核或者深入解析Windows，可能一两年内都看不完，很容易失去耐心）&/i&&br&&br&4.
用理论体系化自己的知识结构，CISSP是圣经和入门必备的体系化知识，然后了解乙方项目里最喜欢用来忽悠的国际/国内安全标准，什么7799系列，ISO 20000系列，ITIL、COBIT等&br&&br&5.
找一家有安全团队的公司来实习，最好是有一个肯带你的team leader&br&&br&嗯，这些内容还是比较庞大的。&br&实际上你真的到了一家公司去，会被安插在某一个特定的位置。&br&以后的技能也会为了符合这个岗位的需要而继续发展。&br&&br&我说的也不必所有都会。&br&我比较少看见能懂汇编，挂钩子，挖网络协议0day的，同时又对web安全了如指掌，还能有体系化的安全理论知识。&br&&br&根据个人特长和兴趣爱好，以及工作需要吧。 &br&&br&&i& 更新：&/i&&br&&i&总结，因兴趣而实践，但不仅止步于表面，而是刨根究底，最后根据个人特质，挑选符合自己条件的领域持续深入。&/i&&br&&i&只不过，信息安全的基础是计算机知识，一个好的安全工程师，往往在很多领域上都抵得上一个熟练的工作者，比如运维工程师、程序员、DBA、MIS……&/i&
N年前我写过一些文章，比较乱，是从我个人的角度去观察和理解的： （请重点关注以下3个链接，当然，这3个就不是我写的了）最近flashsky也在撰写自己的“…
来自子话题：
有点长，这一段算是摘要吧。身份鉴别技术主要通过知识和实物对客体进行身份鉴别，口令是一种低成本并且准确有效的身份鉴别方式，因此广泛使用并且难以有很大的突破。本文还谈了好的身份鉴别方式的三个特点。身份鉴别技术的突破，或者应当说是创新还是有的，下拉看图就知道了。多用户密码管理确实影响互联网的使用体验，因此OpenID应运而生。&br&&br&身份鉴别是一项远远早于网络技术和计算机技术就已经存在的技术，几千年来人们用于鉴别身份的方法无非就是那么几类，不少信息安全的书籍在介绍这些验证方法表述为三种形式：know something、have something和is something/someone。&br&&br&能够判断“是某人或某物”当然是我们的最高理想，但是从来就没有出现过一种方法能够准确无误的判定“是某人”。在不同的时代，能够有一些近似的方法，比如说现在我们会把检验DNA或者虹膜当作能够直接确认“是某人”的方法，但是实际上这还是属于have something的身份认证形式。&br&&br&know something是一种通过知识来鉴别身份的方法。口令，即我们通常所说的密码，就是方式的经典代表，已经使用了几千年，两千年前的“鸡肋”，现代戏曲中的“天王盖地虎，宝塔镇河妖”，大家早已耳熟能详。而have something则是通过拥有一种特定的实物来进行身份鉴别的，像古代的虎符、印章，现在的门禁卡都属于这种，实物形式的身份鉴别信息应当具有难以复制和伪造的特点。&br&&br&对于我们现在使用的计算机而言，两种形式的身份鉴别措施都有，登录使用的口令属于know something这类通过知识进行身份鉴别的，而U盾、动态口令卡之类的属于have something这类通过实物进行身份鉴别的，另外还有一些通过脸型、指纹这类生物特征进行身份鉴别的技术也是have something这一类。&br&&br&口令这种方式适合作为身份鉴别信息的特点，除了简单方便，一个很重要的因素就是容易准确输入，或者说输入空间相比于声音、图像之类的数据要小很多。口令只需要判断两段数据是否相等就可以完成身份鉴别；而指纹、声音、面部识别之类的方法，输入的信息是一个不太准确的信息，需要复杂的算法进行校正、识别、提取特征，然后才能判断，因此容易出现误判的情况。一个例子就是微软的Xbox面部识别在昏暗光线环境中不能有效识别黑人的面部特征，无法通过面部识别登录而被某位黑人告种族歧视，虽然想想觉得微软挺冤枉的。&a href=&/7218859.shtml& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&微软否认Xbox Kinect涉嫌种族歧视指责&i class=&icon-external&&&/i&&/a&&br&&br&使用have something方法，判断拥有的事物又可以区分为本身拥有的，以及专门制造发放的信物。上文讨论过声音、面相、指纹这些都属于使用者本身拥有的事物，而U盾和动态口令卡之类的实物硬件则是专门制造用于身份鉴别的信物。专门制造的信物成本自然是高，但是安全也比较好，不容易复制和伪造，配合口令使用则具有很高的安全性，所以一般会在像网银这样安全级别比较高的场合使用。而声音、面相和指纹的例子已在上一段中讨论。补充说明中说的戒指也是一种实物方式，感觉和U盾之类的东西没有什么太大的区别，只是可以佩戴在身上而已。&br&&br&所以，总结上文讨论，一种好的身份鉴别方式应当具有这样的一些因素：&br&&ul&&li&准确可靠鉴别客体，受到外界因素影响较小；&br&&/li&&li&用于鉴别的凭证（知识或实物）不易被复制和伪造，成本也不宜过高；&br&&/li&&li&容易输入，而且能够进行秘密输入；&/li&&/ul&而我们现有的身份鉴别方式中，口令这种方式以满足上述所有因素并且成本最低，理所应当的成为我们最常用的身份鉴别方式，而U盾、动态口令卡等方式在权衡所保护财产的价值以及自身成本的情况下，也可以算是一种比较合适的通过实物进行身份鉴别方式。声音、面部识别的准确度并没有那么高，常常需要配套一个等同于口令的方式（如安全问题）辅助，在工作不正常的时候使用，但是这些问题如果较长时间不使用是很容易忘记的，更不用说声音相近、相貌相似的人大有人在这样的问题。而秘密输入声音无法具备，阿里巴巴偷听咒语偷取财宝的童话故事大家应该都听过。&br&&br&以上说的是口令这种身份鉴别方式为什么会被广泛采用，至于突破，我觉得还是有的，举几个例子。&br&&br&验证码也算是一种身份鉴别技术，只不过鉴别的粒度不是一个客体，而是一类客体，通俗的说就是用来区分人和机器，而不是区分人和人。如果要用文章开头的那几种方式归类，我觉得都不算，应该单列一种can do something，有能力做某事，如果非要把这个等价于have ability to do something，从而算作have something的话，那好吧。&br&&img src=&/a6224506bdbda14c2ec5a2_b.jpg& data-rawwidth=&634& data-rawheight=&214& class=&origin_image zh-lightbox-thumb& width=&634& data-original=&/a6224506bdbda14c2ec5a2_r.jpg&&也可以用上面这类验证码区分具体某一类的人，总之验证码能够对一类人的身份进行鉴别，在不少场合还是很有用的。&br&&img src=&/ee0eca5589794bdff8fd_b.jpg& data-rawwidth=&480& data-rawheight=&800& class=&origin_image zh-lightbox-thumb& width=&480& data-original=&/ee0eca5589794bdff8fd_r.jpg&&&br&还有一种我觉得算是突破的身份鉴别方法是Android的锁屏，九点圆点用线连起来（图片来自：&a href=&/question//answer/& class=&internal&&手机中绘图密码有9个点，最多能画出几个交叉点？&/a&）。算是近期出现的安全级别相当于口令，并且能够满足上文所述三条特性的一种身份鉴别方法了。&br&&br&补充说明还提到了一个问题，多用户密码的管理是否会影响用户体验，这一点显然是会影响。一百个网站记忆一百套用户名和口令，谁也不能保证能够记住，必然会在很多地方重复使用同一个口令。而且大多数都是小型网站，有一些网站访问的频率还是会很低，我们甚至还但是小网站是否会因为技术不过硬或者其他非技术问题泄漏我们的口令。所以OpenID这种方法应运而生，通过一个第三方平台的ID登录，我只需要向这个第三方平台核对访问者的信息就可以了，过程完全不用用户参与，可以免除记忆口令、方便用户，减少小型网站维护这些数据的负担，在社交行为覆盖整个网络的环境中，还非常有利于信息的分享和传递。
有点长，这一段算是摘要吧。身份鉴别技术主要通过知识和实物对客体进行身份鉴别，口令是一种低成本并且准确有效的身份鉴别方式，因此广泛使用并且难以有很大的突破。本文还谈了好的身份鉴别方式的三个特点。身份鉴别技术的突破，或者应当说是创新还是有的，…
来自子话题：
&p&2014 年 9 月 24 日，Bash 惊爆严重安全漏洞，编号为 CVE-，该漏洞将导致远程攻击者在受影响的系统上执行任意代码。GNU Bash 是一个为 GNU 计划编写的 Unix Shell，广泛使用在 Linux 系统内，最初的功能仅是一个简单的基于终端的命令解释器。这意味全球至少 150 万的主机将受到影响，此外 Linux/Unix 世界内的安卓和苹果都难幸免。&/p&&br&&p&&b&破壳漏洞（ShellShock）的严重性被定义为 10 级（最高），今年 4 月爆发的 OpenSSL「心脏出血」漏洞才 5 级！&/b&&/p&&br&&u&漏洞描述：&/u&&p&GNU Bash 4.3 及之前版本在评估某些构造的环境变量时存在安全漏洞，向环境变量值内的函数定义后添加多余的字符串会触发此漏洞，攻击者可利用此漏洞改变或绕过环境限制，以执行 Shell 命令。某些服务和应用允许未经身份验证的远程攻击者提供环境变量以利用此漏洞。此漏洞源于在调用 Bash Shell 之前可以用构造的值创建环境变量。这些变量可以包含代码，在 Shell 被调用后会被立即执行。&/p&&br&&u&影响情况：&/u&&p&这个破壳漏洞确实是一个危害极大的漏洞，胜于今年 4 月 8 号爆发的「心脏出血」，但破壳漏洞的探测方式很复杂，不同的组件测试方式有所区别，很难评估一个影响面，但是可以肯定的是 Bash&=4.3 版本都受影响，而 Bash 在至少百亿级别数量的设备上使用，因为 Bash 是最流行的 Linux Shell。&/p&&br&&p&来自知道创宇的 ZoomEye 团队通过几种方式的组合检测，得到了些影响结论。&/p&&br&&p&&b&第一组数据&/b&&/p&&p&经过 ZoomEye 的特殊探测，发现国内某厂家的互联网系统在全国范围内有 13254 台设备受到破壳漏洞影响，可被直接远程攻击（root权限）：&/p&&img src=&/5e10aefcb96490bbb831e_b.jpg& data-rawwidth=&1036& data-rawheight=&36& class=&origin_image zh-lightbox-thumb& width=&1036& data-original=&/5e10aefcb96490bbb831e_r.jpg&&&br&&p&&u&补充：由于这次的成功探测，之后又发现了好些其他重要主机设备的这个漏洞。&/u&&br&&/p&&br&&p&&b&第二组数据&/b&&/p&&p&经过 ZoomEye 的 Fuzzing 探测，全球大概存在 142000 主机受影响，需要注意的是由于 Fuzzing 规则不完备，得到的数量肯定会不完备，但这个数字至少可以看到可被直接远程攻击利用的面很大。&/p&&br&&p&&b&第三组数据&/b&&/p&&p&我们看到 masscan 的官方发布了消息：&/p&&p&&a class=& external& href=&/2014/09/bash-shellshock-bug-is-wormable.html& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://&/span&&span class=&visible&&/2014&/span&&span class=&invisible&&/09/bash-shellshock-bug-is-wormable.html&/span&&span class=&ellipsis&&&/span&&i class=&icon-external&&&/i&&/a&&/p&&p&他们全球探测的结论是：至少 150 万受影响，而这验证规则很简单，仅对主机的 80 端口进行直接请求，这个结论我们也在验证。&/p&&br&&p&可以从这几组数据看到，探测方式各不相同，如果继续扩展可以逐步描绘出越来越清晰的影响面（可直接远程攻击），知道创宇会继续。&/p&&br&破壳漏洞几个有趣点：&blockquote&&ol&&li&危害等级是 10（不能再高了），心脏出血那么厉害才 5；&/li&&li&破壳破的是 Bash，这个在 Linux/Unix 世界存活超过了 20 来年；&/li&&li&破壳蠕虫已经传播感染；&/li&&li&虽然这是 Linux/Unix 世界的问题，别忘了安卓、苹果都是（需要深入验证），当然 Windows 这次没事；&/li&&li&破壳漏洞的利用比心脏出血麻烦，怪不得带来的冲击力低了很多，很多媒体都没关注也可理解，但破壳的后劲绝对很大。&/li&&/ol&&/blockquote&&p&此漏洞可能会影响到的地方。&/p&&p&注：以下几点参考自：&/p&&p&&a class=& external& href=&/citypw/DNFWAH/master/4/d4_0x07_DNFWAH_shellshock_bash_story_cve-.txt& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&https://&/span&&span class=&visible&&&/span&&span class=&invisible&&/citypw/DNFWAH/master/4/d4_0x07_DNFWAH_shellshock_bash_story_cve-.txt&/span&&span class=&ellipsis&&&/span&&i class=&icon-external&&&/i&&/a&&/p&&p&且结论经过我们验证有效。 &/p&&blockquote&&ol&&li&在 SSHD 配置中使用了 ForceCommand 用以限制远程用户执行命令，这个漏洞可以绕过限制去执行任何命令。一些 Git 和 Subversion 部署环境的限制 Shell 也会出现类似情况，OpenSSH 通常用法没有问题。&/li&&li&Apache 服务器使用 mod_cgi 或者 mod_cgid，如果 CGI 脚本在 BASH 或者运行在子 Shell 里都会受影响。子 Shell 中使用 C 的 system/popen，Python 中使用 os.system/os.popen，PHP 中使用 system/exec(CGI 模式) 和 Perl 中使用 open/system 的情况都会受此漏洞影响。&/li&&li&PHP 脚本执行在 mod_php 不会受影响。&/li&&li&DHCP 客户端调用 Shell 脚本接收远程恶意服务器的环境变量参数值的情况会被此漏洞利用。&/li&&li&守护进程和 SUID 程序在环境变量设置的环境下执行 Shell 脚本也可能受到影响。&/li&&li&任何其他程序执行 Shell 脚本时用 Bash 作为解释器都可能受影响。Shell 脚本不导出的情况下不会受影响。&/li&&/ol&&/blockquote&&p&漏洞验证，可以使用如下命令来检查系统是否存在此漏洞：&/p&&p&CVE- 测试方式：&/p&&blockquote&&p&env x='() { :;}; echo vulnerable' bash -c &echo this is a test&&/p&&/blockquote&&p&注：玩黑客的同学，自己基于这段改改，一个强大的exp很容易出来的:)&br&&/p&&br&&p&注：CVE- 的漏洞源码级分析请参考：&/p&&p&&a class=& external& href=&/2014/09/bash_3-0-4-3-command-exec-analysis/& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://&/span&&span class=&visible&&/2014/&/span&&span class=&invisible&&09/bash_3-0-4-3-command-exec-analysis/&/span&&span class=&ellipsis&&&/span&&i class=&icon-external&&&/i&&/a&&/p&&br&&p&修补后，又被绕过，CVE- 最新测试方法：&/p&&p&$ env -i X='() { (a)=&\' bash -c 'echo date'; cat echo&/p&&br&&p&如执行结果如下则仍然存在漏洞：&/p&&blockquote&&p&bash: X: line 1: syntax error near unexpected token `='&/p&&p&bash: X: line 1: `'&/p&&p&bash: error importing function definition for `X'&/p&&p&&b&Wed Sep 24 14:12:49 PDT 2014&/b&&/p&&/blockquote&&p&暂时（）还没最靠谱的通用修复方案，关注 Bash 的下一次升级，这几天记得更新 Bash 为最新版就好。&/p&&br&&p&By 知道创宇安全研究团队 & ZoomEye 团队！&/p&
2014 年 9 月 24 日，Bash 惊爆严重安全漏洞，编号为 CVE-，该漏洞将导致远程攻击者在受影响的系统上执行任意代码。GNU Bash 是一个为 GNU 计划编写的 Unix Shell，广泛使用在 Linux 系统内，最初的功能仅是一个简单的基于终端的命令解释器。这意…
来自子话题：
过来人奉劝，
千万别去军校。&br&军校改革后，本科分配主要面向基层，也就是说你毕业后九成会到连队从排长（副连）干起。按照现在的制度，至少干到正连以上才有调动的机会，这个过程快则6年，长则10年，期间你每天管着一群小屁孩忙东忙西，根本不可能有时间搞技术。10年后你确定你还行？
&br&军校毕业考研有严格的名额限制，原则上不超过10%，而因为各种原因实际上还没有这么高，你确定你能考上？
&br&到部队后你会发现大把大把技术人才都在基层干着管理工作，每天只想着如何调职如何转业，以前的理想喂狗吃狗都撑死了。&br&以前单位连长清华计算机毕业，干了10年才熬到连长位置，每天被领导骂的狗血淋头。
少数分到科研院所的，绝大部分都是家里有门路的，看起来你好像不属于这一类。待在基层待遇全国统一4000起（副连），不知道你觉得这个高吗？
&br&部队的技术？呵呵……
曾经碰到国防科大的毕业生，简单的数据库都搞不起来。不是他不好好学，真心没有机会学，各种公务杂事政治教育会让你连睡上6小时这种事也感到无比奢侈。
&br&如果你感兴趣你可以了解一下，部队大部分的技术人才都是地方院校毕业特招入伍的，军校毕业的几乎没有。实际上里面的工作也极其简单，工作一段时间你就会发现自己的工作能力落伍了。
当然，军校也有好的地方，那就是能培养你绝佳的黑色幽默和超人的毅力，假如你没有被先摧毁了的话。
我当年放弃了一所985院校，为了所谓的理想到了军校，在部队蹉跎了8年，真心不希望再有别人也跳进这个坑。如果你不是为了入伍解决农村户口或者家里有中将以上级别关系，还是不要来了吧。
过来人奉劝，
千万别去军校。军校改革后，本科分配主要面向基层，也就是说你毕业后九成会到连队从排长（副连）干起。按照现在的制度，至少干到正连以上才有调动的机会，这个过程快则6年，长则10年，期间你每天管着一群小屁孩忙东忙西，根本不可能有时间搞…
来自子话题：
简单得很，我就q上说了一句话：把你的号密码给我 ：）然后就可以登录了
简单得很，我就q上说了一句话：把你的号密码给我 ：）然后就可以登录了
来自子话题：
题主的问题有两部分，一个是证明图片产生于某个时间点之后，一个是证明图片产生于某个时间点之前。关于「之后」的证明 &a data-hash=&dfd5b5fb1ff4dcb79a0e& href=&/people/dfd5b5fb1ff4dcb79a0e& class=&member_mention& data-editable=&true& data-title=&@曾阳& data-tip=&p$b$dfd5b5fb1ff4dcb79a0e&&@曾阳&/a& 的答案很好，实际上就是把那种高度随机的，从过去不能预测的数据写入图片，这样第三方就能验证图片产生不可能早于此时。&br&&br&我来补充如何证明图片某个时刻之前，换言之&b&在某个时刻此图片存在&/b&。&br&&br&证明的方法也不复杂：&br&&br&将你的文件算出 hash 并发送给可信的机构 Justin，然后，Justin 将当前的时间（时间戳）和文件 hash 一起构建一个新 hash，然后把新 hash 套上 Justin 的私钥并和时间戳一起发回给你。这样第三方就可以用 Justin 的公钥来验证文件的时效性，信誉由 Justin 保证。&br&&img src=&/fa66d7ac376be6ace2ef76a_b.jpg& data-rawwidth=&1200& data-rawheight=&729& class=&origin_image zh-lightbox-thumb& width=&1200& data-original=&/fa66d7ac376be6ace2ef76a_r.jpg&&&img src=&/cf6bad54c23b1dc22ce3308fab78a0e6_b.jpg& data-rawwidth=&1200& data-rawheight=&701& class=&origin_image zh-lightbox-thumb& width=&1200& data-original=&/cf6bad54c23b1dc22ce3308fab78a0e6_r.jpg&&&br&这种方法就是著名的 RFC-3161。&br&&br&==========================================================&br&&br&这里补充一种如何利用 Trusted Timestamping 证明图片生成于某个时刻之后的方法：&br&&ol&&li&用 &a href=&http://www.random.org/bitmaps/& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&RANDOM.ORG&i class=&icon-external&&&/i&&/a& 生成一张随机图片 R，不用太大，像素够 256 个就行，比如这样：&img src=&/d5a08efed1e3a7e2e7445e9_b.jpg& data-rawwidth=&256& data-rawheight=&16& class=&content_image& width=&256&&&/li&&li&将随机图 R 用 RFC-3161 方法验证，此时 Justin 会认可此图生成早于时刻 A。你会得到三个数据：随机图 R，时间戳 A 和签名的 Hash A&/li&&li&将上面信息写入截图里（假设此图叫 P，其中包含了随机图 R、时间戳 A 和 Hash A），保存&/li&&li&再次用 RFC-3161 验证整张截图，得到时间戳 B 和签名的 Hash B&/li&&li&好了，你的截图的时效性已经有保证了。&/li&&/ol&
题主的问题有两部分，一个是证明图片产生于某个时间点之后，一个是证明图片产生于某个时间点之前。关于「之后」的证明
的答案很好，实际上就是把那种高度随机的，从过去不能预测的数据写入图片，这样第三方就能验证图片产生不可能早于此时。我来补充…
来自子话题：
看到各种不靠谱的答案，也包括听到很多小道消息，尤其是之前的某竞争对手公司的一些人私底下传的很不靠谱的数字和猜测，很让我怀疑某些人的胸怀是不是过于狭窄。&br&&br&这是一起收购case，但具体内容还不到披露的时候，只能说到这里了。&br&&br&请各位不用猜了，过一个月该披露的自然会披露，就见分晓了。
看到各种不靠谱的答案，也包括听到很多小道消息，尤其是之前的某竞争对手公司的一些人私底下传的很不靠谱的数字和猜测，很让我怀疑某些人的胸怀是不是过于狭窄。这是一起收购case，但具体内容还不到披露的时候，只能说到这里了。请各位不用猜了，过一个月该…
来自子话题：
&p&你的问题有点类似这个&a href=&/question/& class=&internal&&想买 MacBook Air，女朋友却想存钱买车，该怎么办？&/a&&/p&&p&琢磨电脑会导致你考不上大学，就跟买了苹果电脑担心买不起车一个道理&/p&&br&&p&评论里很多人说计算机安全和算法竞赛不是一回事，但是以中学学的那点知识量来说&/p&&p&如果捣鼓计算机会导致自己考不上大学应该只有两种可能，一种是智商余额不足，一种是不够努力 &br&&/p&&p&我觉得还是你不够努力&/p&
你的问题有点类似这个琢磨电脑会导致你考不上大学，就跟买了苹果电脑担心买不起车一个道理评论里很多人说计算机安全和算法竞赛不是一回事，但是以中学学的那点知识量来说如果捣鼓计算机会导致自己考不上大…
来自子话题：
QQ，微信等一切国内IM都和ZF合作监控你们p民们。之前聊天记录起码保存3个月，现在不知道多久了。之前某人被查水表，对方直接把他qq聊天记录打印出来，几百页，堆在桌子上。&br&&br&另外别以为用微信语音聊天就保险了，微信的语音在服务器都会经过语音识别转换成文字然后再寻找关键词，语音也会保存在服务器一段时间。&br&&br&查看qq聊天记录需要的权限也不高，市级就够了，只是慢一点。&br&&br&哦对了，最近听说要在省级网主干放流量镜像设备了，没错，就是和棱镜差不多的东西，所有数据包都要保存备份1个月，而且要专项打击vpn等翻墙技术，为啥，因为国家&重视网络安全&了。&br&&br&呵呵
QQ，微信等一切国内IM都和ZF合作监控你们p民们。之前聊天记录起码保存3个月，现在不知道多久了。之前某人被查水表，对方直接把他qq聊天记录打印出来，几百页，堆在桌子上。另外别以为用微信语音聊天就保险了，微信的语音在服务器都会经过语音识别转换成文字…
来自子话题：
题主说的是知名团队,我想,我们应该算得上知名吧.那我就来讲讲我们团队的故事.&br&团队的名称叫PKAV,之所以叫这个名字,是有个小故事的,&br&10年前我刚接触安全这个圈子,不过那时候也不能叫安全吧,可以说是脚本黑客这个圈子.&br&因为我是一个内蒙古人,从小生活的环境造就了我,&br&我喜欢无边无际,喜欢一眼就能掌握视线里的一切,从不喜欢被束缚,现实中如此.&br&网络上也一样,那时候刚开始就只会使用一些简单的工具&br&翻了下曾经的邮箱,这里附上一张当年干坏事的截图:&br&&img src=&/6dcb804d4de3ca0e5d8f5f_b.jpg& data-rawwidth=&759& data-rawheight=&590& class=&origin_image zh-lightbox-thumb& width=&759& data-original=&/6dcb804d4de3ca0e5d8f5f_r.jpg&&&br&玩的久了,自然认识了一群志同道合的人,我们几个来自不同的城市.&br&但我们有着一个共同的想法,不想被束缚.&br&于是我们一起成立了一个组织,当时一直在纠结叫什么名字.&br&大家商量了下,觉得我们都喜欢主持正义,然后就起了一个霸气的名字!&br&&img src=&/55763bbbc803fa83a21c5bcc_b.jpg& data-rawwidth=&310& data-rawheight=&90& class=&content_image& width=&310&&这是当时做的logo.觉得太霸气了,几个人兴冲冲开始搭建论坛,到处去宣传,录教程,写文章.&br&好景不长,可能是因为名字太过霸气,也可能是因为我们做的这种免费的培训触动了一些人的利益.&br&然后我们开始被DDOS攻击,不知道多少G的流量,只记得慌乱间换了几个主机商,上了各种硬防和流量清洗,都承受不了.已经没有主机商愿意放我们的论坛了.&br&几个核心成员聚在一个聊天频道开了个会,觉得要低调一些了,这样下去我们根本没法继续.&br&于是换了个名字,破壳网络精英小组,寓意着我们像一群破壳初生的小鸟,早晚要展翅高飞的!&br&&img src=&/758d2f596d462fdffb4e_b.jpg& data-rawwidth=&321& data-rawheight=&71& class=&content_image& width=&321&&&img src=&/6948ba8eadfe720f371a9_b.jpg& data-rawwidth=&310& data-rawheight=&90& class=&content_image& width=&310&&附上两张后来的logo,这个名字一直沿用了很久.我们的组织慢慢壮大.&br&核心成员也走走来来,有去经商的,有出国闷声发大财的,也有些去了一些国内知名安全公司的.&br&我们几度聚在一起,分开.&br&2010年的初夏,我在长沙,接到一个电话,是我们团队其中一个打来的,他在北京.&br&明天我过生日,你来不?&br&好,我来.&br&于是我留下一封辞职信,离开了当时就职的公司到了北京.&br&到北京之后,找了一家做涉密集成的公司做集成,做了正好一年.&br&这一年对我受益匪浅,做了很多家大型企业的网络集成项目,很多涉密机构的集成.&br&让我对企业的网络结构,基础,各类网络设备,安全设备,都有了一个很好的认知.&br&甚至还得到了几个设备的0day.这些都给我在后面从事网络安全这个行业打下了很好的基础.&br&一年后我和当时叫我到北京的那个朋友,又是他的生日,俩人觉得这样的生活可能不适合我们.&br&同样的桥段,辞职走人.当时一直在纠结是去杭州,还是去成都.&br&因为想找个适合生活的地方长期待下去.选了半天后还是决定到成都.&br&买了机票,就到了这个地方,到了后开始召集当时团队的核心成员,其实当时团队的核心成员就剩下6个人,一个去做生意了,一个在国外,除了我俩以外剩下的两个人也都响应了我俩的号召,辞职来到了成都.&br&我们找了一家当地的安全公司,就开始从事相对专业的网络安全工作了.&br&然后我们发现自身有哪些技能上的不足,我们就一起去学习,交流.&br&同时我们的人数也在慢慢扩大,但当时喊我去北京的那位因为团队需求,被我们安排到售前体系去做技术咨询了,因为当时大家觉得我们团队太技术话,于是他就被牺牲了.&br&慢慢我们扩展到了8个人,所需要的人员和技能也都被补充了.&br&团队有专门负责做渗透的,做逆向的,做开发的,做前端安全的.&br&&br&我们想着,这时候已经不是当年一群无知的小菜鸟了,于是决定改个团队名称.&br&但仍然摆脱不了我们一群宅男的作风,就起了个PKAV的名字,&br&寓意&誓与AV抢宅男&&br&&br&一晃的时间,我在这家公司已经做了3年了.刚才正好收到邮件,让我续签劳动合同.附图一张:&br&&img src=&/cf4c3753fa4_b.jpg& data-rawwidth=&514& data-rawheight=&150& class=&origin_image zh-lightbox-thumb& width=&514& data-original=&/cf4c3753fa4_r.jpg&&&br&这就是我和我们团队的故事,其中精彩的片段太多.我们的每一个发现都是一个故事,实在讲不完.&br&感兴趣的朋友可以去看下我之前发的关于我的一个小故事&a href=&/question//answer/& class=&internal&&有哪些被骇客攻击的趣事？&/a&&br&&br&更多团队的小故事大家可以再具体邀我回答.&br&&br&结尾刷个广告,大家关注下我们的知乎专栏,以后会放出更多有趣的黑客故事.&br&&a href=&/pkavsec& class=&internal&&PKAV 技术宅 - 知乎专栏&/a&&br&&br&关于我们团队成员的介绍大家可以看下我们的官网:&br&&a href=&http://www.pkav.net/& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&PKAV&i class=&icon-external&&&/i&&/a&&br&里面有我们的团队成员介绍以及我们发现的一些安全漏洞.&br&&br&最后附上一张我们团队现在成员的全家福&br&&img src=&/77e01aa54bbcfc03ad3d37_b.jpg& data-rawwidth=&832& data-rawheight=&692& class=&origin_image zh-lightbox-thumb& width=&832& data-original=&/77e01aa54bbcfc03ad3d37_r.jpg&&
题主说的是知名团队,我想,我们应该算得上知名吧.那我就来讲讲我们团队的故事.团队的名称叫PKAV,之所以叫这个名字,是有个小故事的,10年前我刚接触安全这个圈子,不过那时候也不能叫安全吧,可以说是脚本黑客这个圈子.因为我是一个内蒙古人,从小生活的环境造就…
来自子话题：
首先反对目前排名较高的 &a data-hash=&836f5b2ee72d& href=&/people/836f5b2ee72d& class=&member_mention& data-editable=&true& data-title=&@pansz& data-tip=&p$b$836f5b2ee72d&&@pansz&/a&及 &a data-hash=&ecc0ec035f& href=&/people/ecc0ec035f& class=&member_mention& data-editable=&true& data-title=&@vczh& data-tip=&p$b$ecc0ec035f&&@vczh&/a&两位对参数化查询的理解&br&第一，参数化查询是DB本身提供的功能&br&第二，各种语言的库在实现参数化查询时可以采用以下两种策略，姑且称之为&br&&ul&&li&真o参数化查询：将带参数的语句及参数分别发送给DB，这种情况能100%防注入，因为对于DB来说，参数的值绝对不会作为语义要素来解析，据我所知JDBC是这种实现方式&br&&/li&&li&伪o参数化查询：将拼接以后的plain SQL发给DB，只不过在拼接过程中会进行校验及转义，据我所知PHP的PDO默认是采用这种实现，不过可以通过设置开关切换为真o参数化查询，个人目前无法理解为什么要放着DB本身提供的正确实现而兜个大圈子，而且这样并不能完全避免风险，因为不能保证目前的校验及转义是否还有没考虑到的情况&br&&/li&&/ul&从两位的回答来看貌似是认为DB没有提供参数化查询机制，语言层面的参数化查询都是通过伪o参数化查询来实现的&br&第三，回答题主的问题，答案是，不能，DB已经把能做的都做到了，一方面，DB已经提供了两种查询方式分别能正确地适用不同场景，但是DB不可能阻止程序层面错误地使用，首先，plain SQL有存在的必要，但是你无法识别程序送过来的plain SQL到底是写死的还是通过拼接来的&br&结论，防止SQL注入的责任仍然是在程序这边，应该正确地使用DB提供的机制&br&&br&&b&以下为新增，本来是打算回复 &a data-hash=&0f686d7a97fb8ecf652e449d91cf182a& href=&/people/0f686d7a97fb8ecf652e449d91cf182a& class=&member_mention& data-editable=&true& data-title=&@吴永志& data-tip=&p$b$0f686d7a97fb8ecf652e449d91cf182a&&@吴永志&/a&的，不过后来觉得修改答案更合适&/b&&br&&br&其实这就是我所想表达的重点，“数据库提供的功能”这种说法可能会引入歧义，在此重新定义一下，所谓的“数据库提供”指的是，数据库服务端（严格来说是具体到SQL分析引擎）接收到的就是“带参数的SQL语句+参数值”二者分离，与之相对的“非数据库提供”指的是，数据库服务端接收到的是一条单独的SQL语句，其中的参数已经被处理成了具体的值，这个过程是由客户端（可能是最终程序，也可能是某些框架，或者数据库驱动）完成的，这二者是有本质区别的，在第一种实现中，SQL语法引擎明确地知道参数的位置是一个整体，不会再对其进行语法及语义处理，而第二种则不然，参数值仍然会被进行语法及语义处理，客户端所做的就是通过验证、转义等方式尽量地避免参数被解析成语义动作，不同于第一种方式，没有从根本上解决&b&用户的输入可能被作为指令&/b&这一隐患&br&&br&从题主的评论来看题主应该是清楚这个机制的，那现在我们来再次回答题主的问题，设想一下为了达到这个目标我所能想到的数据库这边可以做哪些尝试（欢迎补充）&br&1. 废弃plain SQL ，强制使用参数化查询（并且是上述的真o参数化查询）&br&
这其实没有解决任何问题，首先，使用plain SQL的需求是真实存在的，当然我们假设可以通过空的参数列表来变相进行plain SQL的查询，那这和plain SQL又有何区别，其次，参数化查询仍然是由“带参数的SQL”和参数列表两部分组成的，无法识别和避免程序员在第一部分采用拼接&br&2. 完全抛弃SQL，提供结构化的接口，例如类似select(tableName, fields, condition)这种机制&br&
这会使得接口异常复杂，且不一定应付得了复杂查询，想想LINQ吧&br&&br&所以结论仍然是，数据库本身在这个问题上已经做到足够好了，前提是使用者正确地使用其提供的功能
首先反对目前排名较高的 及 两位对参数化查询的理解第一，参数化查询是DB本身提供的功能第二，各种语言的库在实现参数化查询时可以采用以下两种策略，姑且称之为真o参数化查询：将带参数的语句及参数分别发送给DB，这种情况能100%防注入，因…
来自子话题：
可惜了，我没下决心认真照顾好入门的同学。第一次写书也造成书的跳跃性有些夸张，还望吃力的同学谅解，因为我肯定这本书有足够的含金量。&br&&br&只要你有认真看，尤其是我在第二章说了，基础很关键，我不会去教科书般的介绍基础，其实第一章与第二章是全书的基础。如果理解不好，注定会是半吊子。&br&&br&但是第二章篇幅很大，要全部看明白又需要很多真正的基础，这些基础就是：javascript, html, dom, css, actionscript等。尤其是javascript。我在第二章内容中实际上是有推荐一些快速入门javascript和dom的书的，比如《javascript dom编程艺术》，可能你们没注意。至于actionscript，这是flash安全必掌握的，flash安全属于前端安全一个非常重要分支，只是很多人都是半吊子，没真正去玩，书里我感觉已经介绍够详细了，还扔出个google flash xss 0day，虽然是鸡肋，不过很经典。&br&&br&我给大家一个建议：这本书既然都这样了，又有足够含金量，那大家多baidu/google去扩展学习所涉及到的基础，多跟进实战，多融会贯通，大不了加我Q，我也许还能抽空指点一二。我保证你会受益匪浅。&br&&br&最后，希望大家能独立找到属于自己的一条方法论。
可惜了，我没下决心认真照顾好入门的同学。第一次写书也造成书的跳跃性有些夸张，还望吃力的同学谅解，因为我肯定这本书有足够的含金量。只要你有认真看，尤其是我在第二章说了，基础很关键，我不会去教科书般的介绍基础，其实第一章与第二章是全书的基础。…
来自子话题：
首先&br&出一本像这样的三十多页安全白皮书(&b&详细而明确的说明&/b&它如何做到了声称的安全特性)，才能获得观众的信任点：&br&&blockquote&观众希望这些信息可信，经得住考验&/blockquote&&a href=&/ipad/business/docs/iOS_Security_Feb14.pdf& class=& external& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://www.&/span&&span class=&visible&&/ipad/business&/span&&span class=&invisible&&/docs/iOS_Security_Feb14.pdf&/span&&span class=&ellipsis&&&/span&&i class=&icon-external&&&/i&&/a&&br&&blockquote&谁都知道以华为的实例，决不可能没有本事提供类似的详尽说明&br&而是它不做(黑一个：不至于是对自己的产品没信心卖出去而懒得做吧)&br&&br&很自然地，我们会去想：它的态度不怎么样&/blockquote&iOS的白皮书：&br&1，Apple要为白皮书中较为详尽的内容&b&背书&/b&&br&2，多年来对iOS设备的越狱工作中获得的信息(越狱确实很困难)与白皮书的内容&b&吻合&/b&&br&2，激活锁导致销赃时只能采取拆解卖配件/用社工法套取新机的非技术措施，也是&b&吻合&/b&的&br&所以大家都能认同iOS安全性。&br&&br&&br&Android的源代码是开放的，所以开发者可以做到非常清楚它的各个安全模块的作用，能抵御诸如『SELinux是间谍软件』的谣言。&br&这会带来一个不利项目：漏洞很容易被利用于越狱&br&&br&所以我们能猜到的第一件事：&b&这只手机在root后，如何保守消费者秘密？&br&&/b&&br&已知的三星的做法：&br&三星的手机在刷过非官方提供的rom后，有一个KNOX的eFUSE寄存器会熔断，导致KNOX强行失效(且无法访问已有的KNOX container)，从而确保了私密性与完整性。&br&&br&再比方说，iPhone5S的指纹锁使用的芯片是和主板(或者可能AP)绑定的，放到别的主板后则失效。这件事情经过验证。&br&&blockquote&可以猜测华为也有类似的设计，来防止硬件级别的hack&/blockquote&再有&br&iPhone5S的指纹锁有可行的，通过一系列复杂步骤打印指纹后绕过的措施&br&把相同的措施用到华为的该手机上会怎么样？考虑到两只手机的指纹识别原理相同&br&&br&Android有一个(与iOS相比)蹩脚的全盘加密，但是它没有像iOS的默认强制全盘加密那样，很好地与解锁密码/Apple账号结合成完整的信任链&br&&blockquote&于是黑客只能从icloud云端导出若干明星使用的&b&未设防&/b&账号所储存的裸照&br&这件事情苹果的过失在于icloud未设定(应对弱密码/暴力破解的)登录失败尝试频率&/blockquote&&br&苹果的文档能说到这么详细，让人一看就明白：&br&为什么华为做不到？&br&引用&a href=&/post/625398/& class=& wrap external& target=&_blank& rel=&nofollow noreferrer&&Mate7如何做到超越iPhone5s安全水准&i class=&icon-external&&&/i&&/a&&br&&blockquote&&p&在苹果发布的文件中，苹果对A7处理器进行指纹识别授权的描述是：A7和Touch ID之间通过一个串行外设接口总线进行通信。A7处理器将数据发到“Secure Enclave”，但并不对数据内容进行读取。加密和身份验证都是使用Touch ID和“Secure Enclave”之间的共享密钥。通信密钥交换使用双方提供的一个随机AES密钥，并随机建立会话密钥和使用AES-CCM传输加密。&/p&&p&iPhone5s在发布指纹解锁后，为了让大家放心使用该功能了，于是发布了长达33页的安全白皮书（看的我好辛苦），白皮书内容包含了整个IOS系统安全机制说明，不过咱们主要看Touch ID部分&/p&&br&&br&&p&根据白皮书的描述，苹果公司在A7芯片中划分了一块Secure Enclave（安全区域），用来管理、核对、和存储用户的指纹信息。Secure Enclave是一个独立的系统，有自己的安全启动顺序和软件升级机制。用户按下Home键的时候，Touch ID会进行一次88x88像素，500 ppi的光栅扫描，数据暂时存储在Secure Enclave的加密的内存里，等待矢量化分析。Touch ID会从各种角度不断学习用户的指纹，在已有的指纹图谱上添加新的节点。陌生人如果想要用Touch ID解锁设备，大概只有五万分之一的成功几率。&/p&&p&设备完成指纹数据处理和分析以后，就会删除这些数据，不会发送到iCloud、iTunes或者苹果公司。就算设备内部的A7处理器也不能直接处理Touch ID数据。&/p&&p&由于指纹传感器和Secure Enclave内建一个共享的秘钥A，然后系统再由这个共享秘钥随机生成一个唯一的秘钥B，来加密保护Touch ID数据。如果使用中要调用指纹数据，整个过程都会有AES秘钥随机加密保护。同样也由于传感器本身与Secure Enclave共享唯一密钥A使得每一台设备上的指纹传感器与手机主板上的A7处理器绑定！&/p&&p&&strong&由此可见，&/strong&&strong&Secure Enclave&/strong&&strong&（安全区域）即为保障&/strong&&strong&iPhone5s&/strong&&strong&指纹安全核心所在！那么&/strong&&strong&Secure Enclave&/strong&&strong&是什么呢？苹果当年为了满足&/strong&&strong&iPhone5s Touch ID &/strong&&strong&的硬件需求，选择了具有原生的安全性能并且有专门的区域供隔离和加密基于&/strong&&strong&ARMv8&/strong&&strong&架构的&/strong&&strong&A7&/strong&&strong&芯片。并以&/strong&&strong&ARM TrustZone/SecurCore &/strong&&strong&（信任区域&/strong&&strong&/&/strong&&strong&安全核心）技术为基础高度优化，做出了&/strong&&strong&Secure Enclave&/strong&&strong&！基于&/strong&&strong&TrustZone&/strong&&strong&技术的&/strong&&strong& A7 &/strong&&strong&芯片精密结合并通过&/strong&&strong&AMBA AXI &/strong&&strong&总线和特定的&/strong&&strong& TrustZone System IP &/strong&&strong&块贯穿系统层面。这种布局意味着保护外围设备不受软件攻击成为了可能。不过安全白皮书中未对“&/strong&&strong&Secure Enclave”&/strong&&strong&未做过多解释，我们无法进一步去了解。&/strong&&/p&&/blockquote&---------------------------&br&(水军删评拉黑举报，自己看着办)
首先出一本像这样的三十多页安全白皮书(详细而明确的说明它如何做到了声称的安全特性)，才能获得观众的信任点：观众希望这些信息可信，经得住考验谁都知道以华为的实例，决不可能没有本事提供类似的详尽说明而是它不做(黑一个：不至于…