安全
2021-11-18安全
术语
黑客：通过非法手段破坏网络安全来赚取利益或者伤害他人人身安全。就是通常意义上理解的坏人。
白客：他们是黑客的对立面，受雇于政府或者公司，通过他们的网络信息技术来设计网络安全系统、修复漏洞、阻挡非法入侵等。也就是通常意义上理解的好人。
灰客：这个世界当然不是非黑即白的，灰客就是一批游走于灰色地带的人。不同于白客，他们通常会在被攻击方不知情的情况下入侵对方网络。但是不同于黑客，入侵后他们不会窃取金钱或者造成其他伤害。有时候灰客入侵网络后会通知网络主人，如果网络主人愿意付给他们钱，他们也会提供修复漏洞的方法。
红客：他们是激进的骇客。虽然也出于正义的目的对付黑客，但是红客们一般采取“以暴制暴”的方式。例如对DOS攻击黑客的系统让其瘫痪，或者远程入侵黑客的电脑，删除其所有资料。
蓝客：他们是编制外的“临时工”。与白客不同，他们不受雇于某个组织或公司。但是这些组织或者公司部署好网络安全系统之后会邀请蓝客来做渗透测试，即尝试攻击系统来测试安全系统的可靠性。
绿客：“绿”字有点“愣头青”的意思。他们指一批勤于学习网络安全知识，但是学艺未精的人。由于技术欠佳，绿客经常会在进阶过程中造成意外伤害和攻击，而自己也不知道怎么修复。
RSA
RSA是1977年由Ron Rivest、Adi Shamir和Leonard Adleman一起提出的。
https://mp.weixin.qq.com/s/A7JCTffgFQHljLeQYMNoFg
理解RSA算法
https://mp.weixin.qq.com/s/9mDvyrQY3o_a6RFlNil0-w
世界上迄今为止最安全的加密算法（RSA算法）
https://mp.weixin.qq.com/s/UNjMKLZYYVnTsT5nkeHQcg
什么是RSA算法
前向安全
1997年，Anderson提出了前向安全数字签名的概念。前向安全的签名把公钥的生存期划分为很多时段，每个时段的私钥各不相同，在当前时段的签名私钥泄露后不影响在泄露以前时段的私钥与签名的安全。
https://blog.csdn.net/RuoMu/article/details/81483140
前向安全性
https://mp.weixin.qq.com/s/X0yoRdozKKlF1qDUNHyrDw
ECDHE算法
统一身份认证
单点登录：（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。
单点登录网络生活中随处可见，比如登录了QQ客户端，然后你可以打开腾讯微博，QQ空间，QQ邮箱，校友录等等一系列的应用，这时候我们不需要在一个个再输入用户名和密码了，作为受信任的站点，就可以直接登录了。
X.500是一系列涵盖电子目录服务的计算机网络标准。
X.500系列是由国际电信联盟（ITU-T）的电信标准化部门开发的，于1988年首次获得批准。目录服务的开发是为了支持X.400电子邮件交换和名称查找的要求。
X.500定义的协议包括
DAP（目录访问协议）
DSP（目录系统协议）
DISP（目录信息屏蔽协议）
DOP（目录操作绑定管理协议）
由于这些协议使用OSI网络堆栈，因此开发了DAP的许多替代方案，以允许Internet客户端使用TCP/IP网络堆栈访问X.500目录。DAP的最著名替代方法是LDAP（Light weight Directory Access Protocol）。近年随着企业对LDAP需求的不断增加，绝大多数有认证机制的软件都会首先提供对LDAP的支持。
用户的所有信息都存储在LDAP Server中。终端用户在需要使用公司内部服务的时候，都需要通过LDAP服务器的认证。
https://www.cnblogs.com/franzlistan/p/12228623.html
统一身份认证
https://www.cnblogs.com/jpfss/p/11021948.html
Linux下LDAP统一认证解决方案
https://zhuanlan.zhihu.com/p/165306642
X.500系列标准列表
文件校验和
计算文件校验和，一般采用MD5和SHA算法。在Ubuntu中，这些算法的命令包括：md5sum、sha1sum(160-bit)、sha224sum(224-bit)、sha256sum(256-bit)、sha384sum(384-bit)、sha512sum(512-bit)等。
sha256sum a.data>a.sha256.txt
参考：
https://mp.weixin.qq.com/s/FPf2EMwHPsNetxx_sCBzNA
MD5算法和SHA-1算法
google有一套完整的覆盖了有关哈希的分布、碰撞、性能的测试工具：smhasher。
代码：
https://github.com/aappleby/smhasher
xxHash是目前最快的Hash算法。它已被应用于MySQL、Spark等知名项目。
代码：
https://github.com/Cyan4973/xxHash
参考：
https://scienceasdf.gitee.io/%E7%AE%97%E6%B3%95/2020/05/04/xxhash_benchmark/
xxhash算法与md5的benchmark比较
openssl中也包含了一些计算哈希的算法。
https://blog.csdn.net/liangjisheng/article/details/79644189
OpenSSL中文手册之EVP库详解
杂谈
硬件/软件工程师Robert Ou最开始在Pwned Passwords上发现“ji32k7au4a83”竟然有141次使用，他觉得这不太正常，因为这个字符串太“偏”了，于是他在社区提问。
随后就有人指出了原因（估计就是使用者），原来“ji32k7au4a83”是汉语注音符号系统中“我的密码”的对应字符串。
https://mp.weixin.qq.com/s/3XyG6KmH0naPsScqFE2vsw
为什么那么多人用 “ji32k7au4a83” 作密码？
2021.7
最近，公司被LockBit病毒入侵，损失惨重。幸好我用的是ubuntu，毫发无伤。
姚期智在1982年提出的百万富翁问题应该是开创了安全多方计算的先河，后面涌现了茫茫多的协议算法，比较常见的是利用同态加密来实现。
https://www.zhihu.com/question/66376147
两富人比谁钱多。如何能实现互相保密但可以比出谁钱多？
该诉状指出，王永铭在离职前，用公司配发的电脑下载免费软体CCleaner，将相关使用纪录都清除，然后再将电脑还给公司。
但他可能没想到，这个软体，可能没有他想像的那么好用。
事实上，事后美光还是还原出他在离职前几个月使用电脑的多数动作，包括从公司下载多笔机密档案到随身碟，以及离职前的4月23日当天，他在Google输入一连串查询“如何清除电脑使用纪录”，以及安装CCleaner整个过程，都还原出来，并成为日后起诉他的罪证。
国内顶尖的数位鉴识专家、鉴真数位总经理黄敬博解释，CCleaner虽宣称可清除浏览纪录、暂存档，但没做进一步覆写动作，只要受过专业训练的人员，都能用特殊工具复原被消除的电脑档案，“只要没有覆写，资料都有机会救回来”。
一般被大众所知的网络隔离手段有GFW（长城防火墙）+DNS污染（错误指定国外域名解析），而对SNI这个技术讨论较少。只是因为SNI是更加严苛的网络封锁和阻断技术，它通过侦测你访问的服务器应答名并比对网络服务商（国家网络安全处）内部的白名单进行放行。如果是不希望你建立起链接的服务器名，他们会直接进行屏蔽（丢帧操作），从而让你的设备无法得到服务器的回答帧，进而判断丢失链接，进而阻断网络访问。
举个例子，你想向你小学同桌证明你会解一元二次方程，但是你并不想向他透露一元二次方程的求根公式。
那么为了向他验证你的这种能力，一个可行的方案就是你让他给你随便写10个一元二次方程，如果你马上全部解出来了，那么就有足够理由让他相信你已经掌握了一元二次方程的求根公式。如果他不信的话，可以让他再出10个，你迅速给出答案（代入验算发现果然是正确的），以此重复，可以让他足够相信你的能力——这就是零知识证明的完备性。
这种方法的好处是显而易见的，你收获了威信的同时并没有透露出你的求根公式，在没有提供任何有效信息的前提下完成了证明。
原来电信部门侦测到http信息，就用iframe给它嵌入了一段广告，这样用户就能在浏览器右下角看到一刀999之类内容。。。
在运营商劫持横行、HTTPS 未普遍之前，基本上你不可以信任任何非 200 的响应码。比如你返回一个 404，它会把你的返回完完全全变成另一个 HTML 代码（对，即使你是 JSON），里面全是运营商劫持的广告，甚至有些就是运营商官方的一些页面（升级宽带、网速测试云云）。这就是当年我为什么一直用200，且在JSON中再写个状态码。
https://blog.csdn.net/wr410/article/details/25594273
分析深圳电信的新型HTTP劫持方式
https://www.zhihu.com/question/513865370
为什么那么多公司做前后端分离项目后端响应的HTTP状态一律200？
现在所谓的安卓模拟器实际上不是真正的模拟器，而是安装在win上的x86版安卓虚拟机（是x86版安卓虚拟机而不是ARM版），这些游戏会检测你用的是x86库还是arm库。所以你用小米平板2之类英特尔处理器的安卓平板玩一样会被封号，这些游戏只会检查你的安卓是x86版还是arm版，分不清你是物理机还是虚拟机。
阿拉伯之春的时候，埃及就有黑客使用tor，但是因为发布帖子和住宅的流量分析一致，因此被抓。
参考
https://mp.weixin.qq.com/s?__biz=MjM5NjQ5MTI5OA==&mid=2651748921&idx=2&sn=04ee8977545923ad9b485ba236d7a126
前端安全系列之一：如何防止XSS攻击？
http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html
理解OAuth 2.0
https://my.oschina.net/u/4231722/blog/3154805
IM的扫码登录功能如何实现？一文搞懂主流的扫码登录技术原理
https://mp.weixin.qq.com/s/QsKceFcxELbUDSbehs8QpQ
解读https的正确姿势
https://www.cnblogs.com/linianhui/category/929878.html
一个认证授权方面的专栏
https://mp.weixin.qq.com/s/OLg_wocXJz7VGDabTtxdWQ
Web登录很简单？开玩笑！
https://mp.weixin.qq.com/s/agS2-wu6HGO__QfbIt7Esw
数字签名是什么？
https://mp.weixin.qq.com/s/YNMw8u7O6u7Bc4-mnrwRXg
老听别人说加密算法，现在给你个机会深入了解下
http://www.xfyun.cn/share/?p=2626
开发者常犯的十大加密错误
https://mp.weixin.qq.com/s/nWoo-Pr50341WJNwtSZq1w
工程师的灵魂拷问：你的密钥安全吗？
