Strive for lofty goals
第一章 总 则 第一条 为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，制定本法。 第二条 本法所称密码，是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。 第三条 密码工作坚持总体国家安全观，遵循统一领导、分级负责，创新发展、服务大局，依法管理、保障安全的原则。 第四条 坚持中国共产党对密码工作的领导。中央密码工作领导机构对全国密码工作实行统一领导，制定国家密码工作重大方针政策，统筹协调国家密码重大事项和重要工作，推进国家密码法治建设。 第五条 国家密码管理部门负责管理全国的密码工作。县级以上地方各级密码管理部门负责管理本行政区域的密码工作。 国家机关和涉及密码工作的单位在其职责范围内负责本机关、本单位或者本系统的密码工作。 第六条 国家对密码实行分类管理。...
Phineas Phisher 在 2016 年对位于马恩岛的开曼国家银行实施的黑客攻击，是一个引人深思的案例。他通过这次攻击非法获得了数十万英镑。结合 Phisher 自己撰写的《如何抢银行》以及普华永道对该银行的网络安全调查报告，我们可以清晰地看到攻击的关键时间节点和步骤。
这一事件对于银行安全领域的从业者来说，提供了宝贵的学习机会。通过分析这一案例，我们能够更深入地了解到银行系统的潜在安全漏洞，以及黑客是如何利用这些漏洞进行攻击的。这不仅展示了黑客的攻击手法，而且对于提高银行系统的安全防范意识和能力具有重要意义。
应用间HTTP接口互相调用非常常见，期间会存在哪些安全风险？如何保证API接口调用时的安全性，防止数据窃取、未授权访问、请求被篡改以及请求被重放等风险？ API安全风险与解决方案 传输窃取 -> HTTPS 接口需要通过HTTPS防止请求在传输过程中被窃取。 让HTTP无法直接访问，会强制跳转到HTTPS。 除了公网，办公网内嗅探窃取数据更为容易，也应该全站HTTPS。 未授权访问 -> API密钥（Access/Secret Key） API接口没有做任何安全措施的话，能够被任何人调用到存在未授权访问风险。因此需要给每一个调用此API的应用在发起请求时带上一个事先约定好不容易被猜到的密钥（Secret Key），如果是多个调用方，还需要是谁调用的，因此还需要约定一个调用方的唯一标示（Access Key或App ID）。...
研发安全检查项（DevSecChecklist，Development Security Checklist） 开发人员视角如何研发出安全的应用？ 服务开放（包含域名、IP、端口、服务、接口等） 原则：仅暴露所需访问范围（服务暴露面的收窄，能有效减少被攻击面） 禁止向互联网暴露除443/80以外的端口，禁止出现HTTP[S]以外的协议，能极大降低各类服务被攻击的情况。 建议全站使用HTTPS协议，避免信息在传输过程中泄露。 建议HTTPS开启HSTS，防止中间人攻击。 建议修改服务器配置禁用TLS1.2。 禁止将管理后台开放到互联网可访问，建议限制只能固定来源IP可访问，能最大降低后台的被攻击面。 禁止公网域名与内网域名混用，建议分开使用不同域名或不同后缀。 建议已不再使用的域名、IP、端口、API接口，需要及时下线。 认证鉴权（包括注册、登录、密码等）...
邮箱邮件安全如何做？从邮件伪造原理和常见的钓鱼邮件入手，看看如何来伪造邮件并提供伪造邮件代码工具。通过SPF、DKIM、DMARC、PTR等方法来组织伪造邮件，并提供一些方法来加固邮件以及提升使用邮件过程中的安全意识。
在2018年最后一个月，坐在从深圳TSRC峰会回杭州的飞机上，我思考了这些年的工作、梦想、不足和未来，旁边哥们的呼噜声和后面阿姨从坐上飞机就开始持续不断的喋喋不休，以及飞机引擎的轰鸣声和颠簸让我有点头痛之外，我的思路还是很清晰，我认定这是一件好事，一件对安全行业有点微薄贡献的好事。
Strive for lofty goals