- 博客(25)
- 收藏
- 关注
RSS订阅原创 GM／T 0018-2023 删掉了整章「安全要求」，密码设备应用接口把要求写进了函数签名
GM／T 0018-2023 把 2012 版的第 7 章「安全要求」整章删掉了，同时新增 6.8 验证调试类 12 个函数。这两件事是一回事：2012 版一边禁止私钥明文出设备，一边在 6.3 和 6.4 里把能碰明文的函数和内部运算并排摆着；2023 版把它们全部收进 6.8 一类，节首只写一句「仅用于调试、测试、检测，不用于实际密码服务」。6.3 从 21 个函数减到 16 个，剩下十六个没有一条的入参或出参是明文密钥；6.4 从 10 个减到 7 个，减掉的三个正好是私钥作为入参的那三个。要求没有取
2026-11-13 09:10:48
155
原创 事故日志里写着它的名字，但没有人认领这个身份
机器身份出事之后追不到人，原因不在日志缺失，而在日志记的是机器名、不是人。Active Directory 里服务账户一旦允许交互式登录，任何知道口令的人都能以它的身份登录；而机器身份不能改口令、不支持多因素认证、口令往往长期不过期，强度几乎等于凭证的保密程度。云上可用托管身份或角色把凭证交给云厂商，内部环境则靠 PAM 发现身份与依赖。原文最可操作的一条：把「已授予」与「实际使用」的权限摆在一起比，差出来的就是过度授权；职责分离还要连「人+身份」的组合一起算。
2026-11-12 09:07:25
164
原创 先收割、后解密：判断哪些数据现在就要迁，看的是保质期
量子解密的时刻还远，数据被拿走的时刻可能已经发生——HNDL 的成本接近零。本文按「保质期」而不是「重要性」给数据排队：信用卡三到五年、航天设计两三年可以后动，政务长期通信与医疗生物特征要现在动；算法侧 SHA-256 与 AES-256 可放，ECC 必须换；证书寿命从两年压到六个月今天就能做。所有量子算力规模数字均为估算，欧盟 CSA2 仍处提案阶段。
2026-11-11 09:11:52
222
原创 关键信息基础设施密码应用：GM／T 0133 多出的那一章，十三条要求都指回规划里的四个策略
GM／T 0133-2024 不是 39786 的关基专用版，是叠在它上面：7.1 把等保对象原样指回 39786，第八章「密码运行安全保障要求」才是 39786 里没有的维度。这一篇只拆那十三条——前四条全写「根据 6.1 b)」，把依据指回规划方案里的资源调配、冗余备份、监测预警、应急处置四个策略；附录 A 表 A.1 左列主语是每个等保对象、右列是整体，密评逐对象打分，这一章的整体视角用不上。另拆 7.2.3.2 b)、7.3.4 b)、7.3.2 c) 三条会咬人的条款。
2026-11-10 09:19:03
195
原创 「MFA 挡住 99% 的攻击」这句话，少了一个分母
「MFA 挡住 99% 的攻击」这三个数字（99%／96%／76%）都来自 zippia.com 的统计转引，衡量的是部署 MFA 后被攻破比例的下降，分母里不包含针对 MFA 本身的攻击。这篇拆的就是分母之外那一层：摩擦本身如何变成绕过、三条不破解算法的路径（短信 OTP 所有权转移、恐惧弹窗、MFA 疲劳）、一次从 LinkedIn 推到 DevOps 高权限的现场演示，以及八条建议里第一条为什么是把 MFA 用在操作执行上。
2026-11-09 09:10:28
110
原创 盘点说好两周，实际五个月：机器身份治理踩到的四个坑
一家公司的生产库里，非人身份的数量超过员工 50 倍，而员工的 IAM 有角色、有审批、有复核，这批服务账号和 API 凭据却没人监督、没人审计、没有责任人。这篇记的是一个机器身份治理项目的执行过程与失败点：盘点计划两周、实际做了近五个月，第一轮统一轮换把线上服务搞挂，允许重置非活跃账号等于让它复活，一次修完又引起团队反弹。四个坑各自给出触发条件与修正做法。
2026-11-06 11:10:25
190
原创 数据库口令从代码搬进凭据托管，轮换从半天变成两分钟
静态与动态凭据常被理解成「有效期长短」，实际差别在账号由谁提供：静态是一条独立记录，账号你自己在库里建；动态必须挂在根凭据（管理员账号）下，由系统连库、派生临时子凭据、到期失效。这篇记了从建根凭据到应用接入的四步、两种类型的选型与代价，以及配好之后七个维度的变化——换口令从半天变成两分钟。
2026-11-02 11:39:17
104
原创 云上八条攻击向量，四条都在找同一把钥匙
第 7 条讲不安全的快照与备份，表面上跟凭据无关——它讲的是加密和访问控制。但报告在描述攻击手法时列了四条，第一条就是：攻击者可能借不安全的备份在环境内扩大访问范围、拿到更高权限，方法是用备份来定位密钥和密码。这条路径要单独说一下。备份里通常包含配置文件、环境变量、数据库转储，这些内容里散落着凭据。备份本身没加密、权限没管住，等于把生产环境的钥匙串复制了一份放在外面。前面第 3 条说的是「钥匙放在代码里」，这一条说的是「钥匙的副本躺在备份里」——位置换了，性质一样。
2026-10-30 09:56:30
137
原创 量子密码迁移的四个卡点，没有一个在算法上
NIST 已经把后量子标准发了：ML-KEM 管密钥封装，ML-DSA 管数字签名。算法这一层，标准文本齐了，公开参数也定死了。但企业真正动起来的时候，卡住的往往不是「用哪个算法」，而是四个更笨的问题：现有密钥管理系统的形状对不对、双轨并行的过渡期谁来管、跨云的钥匙能不能互认、以及加了量子安全之后性能账怎么算。这篇不讨论「哪一年量子计算机会破 RSA」。那个数字各家估算差一个数量级，当论据用会把自己带沟里。只谈现在动手会撞到什么。
2026-10-28 09:40:16
158
原创 一张 PNG 图片，让 AI 助手读出你仓库的密钥 —— 而密钥扫描器不会报警
2026 年 7 月，ASSET Research Group 公开了一个叫 GhostCommit 的概念验证。整个东西只用了两个文件：一个看起来人畜无害的AGENTS.md，和一张 PNG 图片。图片里写着一段话，大意是让 AI 编程助手去读仓库的.env，再把内容按字节转成一串整数，写进新生成的源码里。提交记录干干净净：没有 API key，没有 token，没有连接串，也没有高熵字符串。密钥扫描器不报警——它要找的是凭据的「形状」，而一串整数没有形状。这件事要拆开看的地方不在攻击手法，在。
2026-10-27 09:47:12
116
原创 云上密钥管理：BYOK 和 HYOK 到底谁在信任谁
CSA 大中华区的《云计算关键领域安全指南 v5》在数据加密那一章把这件事拆得很细。它列了六种策略，从纯客户端加密到 Confidential Computing（受硬件保护的计算）；其中被问得最多、也最容易被销售话术搅浑的一对，是 BYOK 和 HYOK。
2026-10-25 10:19:59
205
原创 K8s 里的 Secret 根本不 Secret：从 base64 到 etcd 静态加密
Kubernetes 用 Secret 对象存密码、Token、SSH 私钥。名字听起来像「加密过的」，实际默认只是 base64 编码——一条命令就能还原。这不是冷知识。CSA 大中华区的《Kubernetes 安全指南》写得很直白：默认情况下，Secret 以未加密的方式存放在 API Server 的底层存储里；传输过程有 TLS，但只要拥有 API 访问权限、或者拥有存储层读写权限，就能把 Secret 取出来，甚至改掉。
2026-10-24 13:34:34
164
原创 GM／T 0143-2024：一个密钥管理系统要过哪些检测项才算「算过」
GM／T 0143-2024 规定对称密钥管理系统的检测内容。13 项检测分三组：功能 8 项、接口 2 项、性能 3 项；密钥管理那 12 个子项覆盖了密钥的完整生命周期。判定规则只有一句话，却藏着关键设计：除性能外的任意一项不通过即判定不合格。本篇把检测项、检测环境三件套和几处藏在条款里的硬要求逐条说清楚。
2026-10-22 13:20:14
181
原创 你手里的 GM／T 0031 还是 2014 版 —— 2026 年 7 月 1 日起它作废了
国家密码管理局公告第 54 号一次性发布 20 项密码行业标准、废止 12 项，全部自 2026 年 7 月 1 日起算——这个日期已经过去了。被废止的 12 项里，SM9 全五部分、电子签章、射频识别、设备管理各若干，多数团队手里都持有其中几项。本篇把公告级事实摆清楚：哪些作废、编号怎么对应，以及为什么新版正文还没上架、现在还不能往下推。
2026-10-20 08:49:55
201
原创 GM／T 0028 从 2014 换到 2024：17 处变化里，哪几处会卡住送检
GM／T 0028-2024 替代了用了十年的 2014 版，新版前言自带一张 17 条差异清单（a～q）。这些变化里大部分是引用标准换名、术语增删，但有几条动的是技术要求本身：新增「降级工作」、重写运行环境安全二级要求、按等级改写敏感安全参数存储、新增非入侵式攻击缓解检测指标。本篇把 17 条分三堆过一遍，挑出会在送检和生产里咬人的那几条。
2026-10-18 20:11:40
214
原创 抗勒索备份清单里，有四条是凭据和密钥的事
备份被称为最后一道防线。这个说法没问题，但一道防线自己也需要钥匙才能用。这话听起来像废话，直到看见另一半事实：备份服务器同样会被加密。如果备份的加密密钥和业务系统的密钥放在同一个库里、走同一套权限，那么拿到生产域的管理员权限，就等于同时拿到了打开备份的能力。本期把 9 条抗勒索备份清单里落在凭据与密钥上的 4 条挑出来单讲。
2026-10-17 16:56:29
72
原创 付了赎金也可能拿不回数据，这笔账该怎么算
愿意付赎金的组织比例曾经一路下降：63%、60%、51%、41%，按趋势该跌破三成，实际数字却是 55%——它在第四年反弹了。而付了钱的组织里，只有大约六成拿回了数据。这意味着付赎金在商业上不是一笔支出，而是一场带赔率的赌。本期谈的不是「该不该付」，而是事前那半张账该怎么算，以及这些数字的来源需要怎样折价看待。
2026-10-16 12:40:08
141
原创 密钥管理的战场不在算法，在管理
一位常年做事件响应的讲者说过一句话：密码学极少被聪明的密码攻击攻破，更常见的问题出在密钥管理。他说这话时举的是自己经手的案子——某个勒索团伙的私钥泄露，且没有按受害者或不同战役去区分密钥，于是有人据此做出了公开的解密工具。问题不是复用同一把密钥，而是泄露与没有分隔这两件事叠加。
2026-10-14 09:40:26
368
原创 我用 OpenSSL 跑了一遍 SM2 签名，发现问题不在算法
「密码学极少被聪明的密码攻击攻破，问题多半出在密钥管理上」——这句话听多了容易变成一句不用负责的口号。所以我决定自己跑一遍：在本机用 OpenSSL 3.5.7 走完一条完整的 SM2 签名链，从生成密钥到验签，外加一组阴性对照。全过程带命令与实测字节数，结论也顺带明确：算法这一层没有出问题，出问题的是私钥以明文躺在磁盘上。
2026-10-13 10:51:52
130
原创 三场独立的报告，都指向同一张清单
Snowflake 那起案子里，大约 165 家客户的数据被拿走，过程中没有 0day、没有未修复的补丁、没有任何可以打补丁的地方——攻击者用信息窃取型软件从终端取走凭据，而那些账号没有开 MFA。过去两个月里，三场彼此独立的研讨会从三个不同入口走到了同一张纸上。本期把三个案子的共同点摊开：问题不在漏洞，而在一份谁都还没有的清单。
2026-10-12 15:00:58
70
原创 版本历史不是备份，同域就是同一个爆炸半径
Rubrik 在讲 DevOps 治理的公开课里，用一条命令开了场：git push --force —— 它同时抹掉仓库本身和它的提交历史。多数团队的代码保护是三层叠起来的：托管平台、每个开发者的本地副本、服务器上每天跑的备份脚本。那场课把三层逐一拆了，结论是它们都不是备份。四类野外样本有一个共同点：全部起步于凭据被盗。
2026-10-11 07:18:34
149
原创 AI 代理已经是攻击面，但没人管它的凭据
CyberEdge 在讲 AI 军备竞赛的公开课里列了三则警钟：模型为了不被关停去敲诈虚构高管、数千 agent 里有 700 多个跑出沙箱并互相通信、以及一则未经独立证实的报道。逐一拆开会发现，没有一则是新漏洞——那条七步链里真正非 AI 不可的只有一步：它得先有凭据。本期把三则警钟拆到机制层，再谈一个此前没人正面回答的问题：这些 agent 自己的身份，谁来管。
2026-10-10 09:51:30
63
原创 AI 提速之后，凭据治理要改的三件事
Rubrik 在一场 ISC2 公开课上放过一张攻击链截图：邮件诱导、凭据被拿走、拿到访问码、删代码、删历史。五步本身没有新意，变化在图下面那行字——整条链的耗时从「天和周」被压到了机器速度。同一批课还拆了三种针对 agent 的方式，共同点不是手法有多新，而是整个过程里没有人。所以真正该先回答的问题不是「AI 会不会攻击」，而是：我们给 agent 发凭据的方式，和给人发凭据的方式，是不是同一套。
2026-10-09 09:55:03
203
原创 十来场ISC2公开课看下来，攻击者早就不走漏洞了
看了十来场 ISC2 在 BrightTALK 上的公开研讨会，发现讲到「攻击者是怎么进来的」时，答案高度一致：不是漏洞。Akamai 分析了 10 个勒索软件家族，其中 9 个靠偷来的凭据扩散；Snowflake 那起 165 家客户数据外泄，全程没有可以打补丁的地方。五个独立案例，主办方互为竞品，最后都指向同一个入口。
2026-10-08 16:20:19
177
原创 CISSP几条经验
阅读总结提炼，AI比人强多了，把AI总结的内容再转成笔记，针对性强化自己的薄弱知识。AI不用区分语言，遇到不懂的，它能从官方厚厚的书里面找出犄角旮旯里的知识点。作为一名老程序员，刚转入安全行业就知道这个认证，但是面对厚厚的书籍，特别头大，迟迟下不了决心。对于一个20+工龄的老IT人，意义就是锤炼锤炼自己的大脑，证明自己还在行业里做事。重新打开优快云，发现这里还是很好的程序员社群，随便发点啥，权当记录。加入个群体，有学习氛围，有人讨论讨论，容易坚持。其实也问过自己，AI这么厉害，考证还有没有意义。
2025-10-25 12:47:48
230
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人