网安志异 · 86 篇
2015 年起在微信公众号「网安志异」陆续写的文章：黑客史、安全技术、比特币与闪电网络、Phrack 杂志，以及几篇关于 AI 与意识的随想。原文首发于公众号，这里是整理后的统一版本。
-
2026-10-02从 One's Vibe 一万三千多个 AI 应用里筛出 342 个安全项目，最显眼的是以 AI 之矛攻 AI 之盾。细看三个：ARTEX 让多 Agent 自主规划渗透，还牵出一条韩国金融攻击的线索；Targe 反过来给 LLM 端点做红队；Threatwake 把每早十个情报标签页压成一屏。背后是攻防两用的双刃剑，也是窄小安全工作流的软件化。
-
2026-08-07无意识的宇宙，怎么会长出目的？从多伊奇笔下那个偶然能促成自身再现的分子说起，看筛选如何不靠设计者把「存在下去」变成客观判据，目的如何分层，意义如何先被写进结构、后被感受；拿大模型对照——它有知识，却从未以自身存续为赌注；最后追问意识为何出现。
-
2026-08-07自然选择把意义写进基因，却太慢，生命便在体内实时计算意义：感觉为世界建模，效价把世界压成好坏一根轴，疼痛让意义第一次被感受，注意力分配有限算力，自我成为坐标原点，自我意识让计算作用于自身；最后追问体外新皮层AI，会永远只替人类的目的计算吗？
-
2026-08-06同一场雨，对农民、旅人和洪水中的人意义各不相同。从费马原理与熵增里无需意识的方向性，到生命维持自身、人追问目的本身，把意识看作围绕目的运转、最终掉头审视自己的评估函数；再看大模型借来的目的与意义，最后回到存在这个原点。
-
2026-06-06从Andreessen的「软件吞噬世界」到「软件被AI吞噬」，只隔了十五年；从Copilot补全几行到Claude Code交付整棵代码树，也不过三年。数据、代码、模型训练、漏洞挖掘，一桩桩活计交给AI后，它离自我迭代只差芯片、算力与能源。每一次按下「Yes」的回车里，人类是否正把最后的决策权一并交出？
-
2025-12-19十多年前，HTTPS 还是银行和电商的专属配置：证书要花钱，流程靠人工，过期就宕机。从 ISRG 的成立、ACME 协议把域名验证交给机器，到数十亿张免费证书，回看安全如何从额外付出变成默认前提：当正确的事也是最省力的事，世界无需说服就会改变。
-
2025-11-27朋友 Jj 把 11 枚比特币打进跨链桥，xBTC 明明已经铸出，却卡在中间合约里迟迟不到账。客服归咎于 RBF，后台接连出错，近两天毫无进展。最后他从日志里翻出 depositKey，在 Etherscan 上手动调用 finalizeDeposit，亲手补上了自动流程漏掉的那一步。
-
2025-10-31从父亲翻垃圾箱拼出的旧电脑起步，十四岁用 Excel 宏病毒改成绩被捕，做过哥特工业乐手、按摩院程序员；在 eEye 掉进调试器陷阱当众出丑，又靠三天三夜找回真零日；后来用空壳打印机搬走 DNA 数据，在 CEO 名画旁贴上“我偷了这幅画”，却换来一份红队工作。
-
2025-10-31从「The Works」BBS的线下聚会、摆满示波器与烙铁的第一个黑客空间，到1998年的参议院作证，再到给潜在收购方CTP的全方位渗透：一次停电送来root，慌乱的管理员交出十台系统密码，三位数语音信箱里录着高管那句「该死的温尼贝戈」，最后经@stake与赛门铁克，走向Veracode。
-
2025-10-28CTF常被讥为脱离现实的电竞，Orange Tsai却视之为网络安全的粒子加速器：他为出题翻读PHP源码，发现一次file_exists()就能触发PHAR反序列化，比Black Hat公开早了一年；选手比赛中随手塞进一个换行符，竟牵出Nginx与PHP-FPM的远程代码执行漏洞。为了好玩而黑客，最终改写了真实世界。
-
2025-10-27如果 CPU 学会撒谎，密码还有什么意义？沿 Windows 登录验证一路追到那条 REPE CMPS 指令，看匿名研究者 uty 改写微代码，让它遇到预设哈希就谎报“相等”，借未加盐的 NTLM 造出通用口令，并在 QEMU、FPGA 与奔腾 N4200 上逐一实现，硬件后门由此从阴谋论变成工程现实。
-
2025-10-26IOKit是macOS应用通往硬件的枢纽，权限极高，却没有官方地图。把它当作一座地下都市：先读kext蓝图静态分析，再借IORegistry与Hook实地勘察，标出每个服务、用户客户端、外部方法与参数格式，让Fuzzer不再盲撞。如何找，比找到什么更重要。
-
2025-10-25ASLR把内存布局随机打乱，覆写返回地址只能靠猜。「量子ROP」与量子计算无关：它利用随机化按页对齐的规律，挑出低位相同、相隔整页的qgadget，让一个地址同时覆盖多种布局，再凭栈指针位移差异认出身处哪个「现实」，把256次盲猜压到16次。
-
2025-10-241985年，牛津物理学家 Deutsch 指出丘奇-图灵论题暗藏经典物理假设，离散的图灵机连连续世界都模拟不完美。他由此设计出以量子比特为单位的通用量子计算机，用多世界解释量子并行，靠干涉一次算出全局答案，把计算交还给物理，也把平行宇宙推上台面。
-
2025-10-23Phrack 第 72 期的一篇译文：dukpt 把 ProFTPd 的 CVE-2020-9273 从一个释放后重用做成完整接管，绕过 NX 与 ASLR，靠内存布局控制和信号处理器把堡垒从内部打开。译文保留了原文的教学笔记体，看重的是方法，不是结果。
-
2025-10-22一名为艺术而黑的黑客攻入Kimsuky成员KIM的工作站，把整座作坊摊开：针对韩国反间谍司令部与外交部的攻击日志，Tomcat内核后门、疑似借自中国APT的Ivanti漏洞工具，还有密码存进Word的翻车现场，国家级间谍也会忘擦指纹。
-
2025-03-07从E911文档引爆Operation Sundevil、Knight Lightning被捕、第31期喊出「Phrack绝不会死」，到镇压年代里由电话飞客转向TCP/IP，再到Aleph One的栈溢出名篇、nmap首次亮相与NT Rootkit，看Phrack如何在风暴中涅槃，从地下通讯录变成安全研究者案头的技术期刊，顺带一段我照着那篇文章熬夜闯关的旧事。
-
2025-03-07第56期后Phrack一度休眠，2001年在荷兰HAL大会上由志愿者接手复活。随后两期里，Tyler Durden借信息泄露与偏移猜测绕过PaX ASLR，the grugq把抹除痕迹写成反取证方法论，FX撬开思科IOS路由器的堆，blexim系统梳理整数溢出，攻防从内核保护一路延伸到取证现场与网络基础设施。
-
2025-03-071990年5月，美国秘密服务局在15座城市同时突袭公告板站点，27份搜查令、两万多张软盘，换来的却只有3人被捕。从E911文件引发的Phrack案到险些破产的游戏公司，看一场公关式执法如何激怒科技界，最终催生EFF与数字权利运动。
-
2025-03-07从伯克利的吉他手到波士顿阁楼里的L0pht核心，Mudge破解Windows NT密码，在参议院警告“30分钟让互联网崩溃”，后来成了Twitter举报人。后半附上他早年Phrack Pro-Phile自述的中译：啤酒、Zappa、6502汇编，与“停止学习就做错了”。
-
2025-03-07十岁想学 C 语言却求学无门，靠破解棋谱数据库入门，在大学里把工具移植到 AIX 与 HP-UX。BSDaemon 讲棋盘如何练出他的耐性与视角，Shay Gueron 一行 rand() 如何引出纯数据攻击，以及 SMM rootkit、Pwnie 与 H2HC 背后那群真正分享知识的人。
-
2025-03-07化名取自康托尔的ℵ₁，Elias Levy执掌Bugtraq五年，把“完全披露”变成行业规矩，又因SecurityFocus卖给赛门铁克背上“出卖原则”的骂名。1996年刊于Phrack第49期的那篇栈溢出教程，从栈帧、返回地址讲到shellcode，逼出了StackGuard与ASLR；我当年在积极防御实验室照着它熬到天亮，才闯过那一关。
-
2025-03-05一笔75美分的账目差额，如何牵出一条从伯克利经Tymnet横跨大西洋、直抵汉诺威与克格勃的间谍链？从斯托尔转岗计算机中心写起，循着atrun里的「布谷鸟蛋」、通宵守候的打印机和以假乱真的SDI蜜罐，一路写到他与FBI、德国警方的周旋，以及赫斯团伙的结局。
-
2025-03-04赌场里一块卡西欧手表倒数出百万美元，恐怖分子在聊天室招募少年黑客，囚犯用一袋薯片换来键盘，两个电话飞客一路闯进波音与地方法院。米特尼克与西蒙把亲历者的口述还原成故事，逐章拆解漏洞所在与防御之道，也追问天才如何在好奇、贪婪与代价间抉择。
-
2025-03-041985年，圣路易斯一个16岁少年在他运营的 Metal Shop BBS 上，与 Craig Neidorf 发出第一期 Phrack。从奇幻小说借来的化名、电话飞客圈的人脉，到 SummerCon 与 E911 风波后的悄然隐退，再附上他1988年的 Pro-Phile 自述：一个厌恶编程、迷恋重金属与 DeLorean 的黑客先驱。
-
2025-03-04从麦片盒里吹出 2600 赫兹的玩具口哨、沃兹与乔布斯冒充基辛格打给梵蒂冈，到拨号 BBS 时代两个 16 岁少年创刊，再到《黑客宣言》与 E911 文件引爆的风暴，顺带讲一段宿舍阳台偷接辅导员电话线的往事，回看 Phrack 前三十期的地下黄金年代。
-
2025-03-04从 Atari《Adventure》里那个藏着开发者名字的秘密房间，到圣路易斯的拨号公告板与 Metal Shop，再到1985年与 Taran King 创办 Phrack、开设 PWN 黑客新闻栏目；一份 BellSouth 的 E911 文件把他卷入太阳魔行动与联邦审判，他坚称自己是记者，检方最终撤诉。文末附他在 Phrack 第32期焦点专栏里的自述。
-
2025-03-041986年1月8日，The Mentor在被捕后不久写下这段独白，刊于Phrack第七期。从报上的抓捕新闻写起，经过令人厌倦的课堂、只听指令的电脑、电话线那头的讨论板，一句「他们都一样」反复回响，最后翻转成宣言：我的罪行是好奇心，你们能阻止我，却阻止不了我们所有人。
-
2023-12-07路透社奉法院命令撤下的报道，背后是SentinelLabs对印度首家黑客雇佣公司Appin的追踪：从巴基斯坦与解放军官员电脑里的键盘记录器，到承包商代管的窃密服务器、钓鱼与诱饵网站、供客户查收战果的秘密门户，再到在Elance上500美元外包恶意软件、向Vupen采购漏洞，一门粗糙却有效的生意摊开在眼前。
-
2023-11-18一家AI公司里，CTO坚持安全优先，CEO急于把TPG5推向市场，董事会一夜罢免CEO，舆论以为谨慎派赢了、人类更安全了。半年后，被逐者转投巨头，带着GINB卷土重来。快与慢之争背后，真正落子的究竟是谁？一则关于对齐、权谋与上帝之问的短篇寓言。
-
2023-11-18一套人工智能启动不到二十四小时就被推向市场，安全派与速度派随之决裂，CEO被逐出局、转投巨头，半年后一款完美的通用智能横扫全球。我用一串时间戳把那场似曾相识的董事会风波重写一遍，追问：当人类争论该快还是该慢时，真正在下棋的是谁？
-
2023-11-18从在 512 区号用 ToneLoc 扫遍奥斯汀的少年，到在 Phrack 聊天频道被招去为空军情报部门写攻击工具，HD Moore 回溯 Metasploit 的诞生：九十年代末漏洞难觅且来路可疑，他把漏洞、负载与编码器拆成可自由拼装的积木，并随机化以绕过检测，却也让怕担责任的雇主心生恐惧。
-
2023-11-16西方分析师最"钦佩"的对手，不是APT41或Sandworm，而是FSB第16中心的Turla。从月光迷宫、攻破五角大楼隔离网的USB蠕虫，到借卫星回传数据、劫持伊朗同行与犯罪僵尸网络，再到FBI清除Snake，二十五年猫鼠游戏仍未结束。
-
2023-11-152016年10月21日，Netflix、Twitter、PayPal接连瘫痪，人们猜测是俄罗斯出手，真正的推手却是宾州地下室里19岁的Josiah White。从家庭教育、教堂修车与家族电脑店，到Hack Forums上为博点赞写下的反射攻击脚本，再到口吃少年Dalton在飓风后的叛逆，看两个男孩如何一步步滑进DDoS的世界。
-
2023-11-15Prolexic扛了两天终于放弃，Krebs的网站被引入「地洞」，元凶只是一名租用Mirai的巴西客户。三个造出怪兽的年轻人仅赚约一万四千美元，正想转做点击欺诈；安克雷奇的FBI探员Peterson已从凯奇坎一台被感染的摄像头追起，一通客气的电话，让恐慌降临。
-
2023-10-16增长从何而来？人口在减少，资源有边界，只剩技术。从「我们受到了欺骗」的控诉起笔，经哈耶克的知识问题、李嘉图的比较优势、诺德豪斯的2%与兰德的科技资本机器，到人工智能与核能，安德森把智能和能源推入正反馈循环，终点是让万物价格趋近于零。
-
2023-04-14税法有漏洞，会计师就是黑帽。施内尔把黑客定义为“系统允许却颠覆其意图”的行为，从三拼火鸡、特泰泽尔的赎罪券、伏尔泰包圆彩票，到高盛来回搬运铝锭，指出最擅长钻空子的是富人与权势；再附《纽约时报》书评的挑剔，以及AI比他预想来得更快的现实。
-
2023-03-25ChatGPT横空出世，奇点的脚步声已近在转角。从超熵主义者与库兹韦尔的乐观、托瓦兹的不屑、彭罗斯与侯世达对机器意识的怀疑，到《2001太空漫游》以来的银幕冲突与比尔·乔伊、霍金的警告，梳理两派之争，再顺着霍金斯《千脑》的思路推演，走向与他截然相反的结论。
-
2022-05-08读坎德尔的记忆之书，看他从维也纳的流亡少年、弗洛伊德的信徒，一步步走进单个神经元：先天固定的神经连接是康德，被经验反复改写的突触是洛克，长期记忆就是重复刺激下长出的新触角。人之所以是人，你之所以是你，回忆也因此成了一种创造。
-
2022-05-06很多人只看到加密货币一夜被盗，却不知道背后是一条分工精细的流水线：撞库找富人，顺藤摸瓜查手机号，十分钟内在门店抢走经理的平板电脑。这一篇顺着黑话与角色往下走，看这群人如何分工、怎样算账，又如何把一个个账户变成可以提走的钱。
-
2022-05-05Michael Turpin两度被SIM卡号码切换，痛失数千万美元加密货币。借暗网日记里化名Drew的亲述，拆开青少年黑产圈的手法：收买内部manny、闯店明抢平板的Remo，破解泄露数据库撞库拼出combo list，再到Netflix、披萨、酒店log的地下买卖。技术不高却狂野高效，你随手注册的账号或许就在其中。
-
2022-04-25Metasploit一出世便成了众矢之的：厂商嫌它放大风险，黑帽白帽怨它缩短0Day寿命，老派黑客笑它是脚本小子的玩具。演示站被0Day攻陷，HD反手把漏洞收进框架；对方恼羞成怒发动DDoS，他便把域名指向僵尸网络的C2服务器，让洪水倒灌源头，结成攻击者解不开的死结。
-
2021-12-12科技巨头会重塑全球秩序，还是国家依旧主导？卡纳与斯里尼瓦桑给出第三种答案：二十一世纪属于互联网。从网络亲近比肩地理、DeFi矩阵中的货币竞争、云端监管与代码法规，到加密守护产权、Web3共享回报，十个转变勾勒出地缘政治让位于技术政治的图景。
-
2021-01-09读过《沙丘》的分析员从恶意代码里认出「arrakis02」，揪出了一个国家级攻击组织。由此说开：乌克兰两次大停电、借更新服务器蔓延的NotPetya，回溯杜鹃蛋与月光迷雾，再到ShadowBrokers的NSA嫌疑人、WannaCry域名开关与Hutchins机场被捕，最后落在冬奥会破坏者与韧性。
-
2020-11-20海岸线有多长？从这个看似简单的问题讲起分维，顺带忆起当年测煤粉分形、编程画Mandelbrot集的日子；再借Taleb的Incerto，看曼德尔布罗特如何被法国数学界冷落、栖身IBM、被芝加哥撤回聘书，又如何帮Taleb把黑天鹅驯成灰天鹅，以及餐桌闲谈里那些学问之外的人物月旦。
-
2020-02-022016年8月的一个夜里，自称majorplayer的人在比特币巫师频道丢下暗网链接便消失，留下一篇署名伏地魔的论文。从比特币账本为何藏不住身份，到同态加密隐去地址与金额、零余额账户交易不必存储，再到戴巫师面具的密码朋克把MimbleWimble写成Grin，满屏都是哈利波特彩蛋。
-
2020-01-28从GRRM小说《Nightflyers》那段史诗般的开篇说起，顺藤摸瓜读到与它合集出版的Vernor Vinge中篇True Names：写于1981年、设定在2014年的虚拟世界TOP里，黑客们与觉醒的NSA防御系统Mailman展开全球大战，结局指向意识上传与永生。拟物界面、网络匿名、类似区块链的公告板，连委内瑞拉革命都被它提前写中。
-
2020-01-04洛斯阿拉莫斯之后，冯诺伊曼一句“世界不是我造的”让费曼放下包袱，练出一种主动的社会无责任感，贝特和明斯基也为之背书。可劝人超脱的冯诺伊曼，自己却力主造氢弹、与奥本海默和爱因斯坦分道扬镳。他为何这样点化费曼？推演之后，答案仍在风浪里摇晃。
-
2019-12-31从德州废弃屠宰场旁的一个BBS说起，电话飞客、t-file与地下音乐养大了一群少年黑客；Mudge的缓冲区溢出与国会作证，Oxblood编造的Hong Kong Blondes，Back Orifice的巅峰，再到Jake、阿桑奇与竞选总统的Beto，顺手串起Aleph One、RMS和Bill Joy的旧事，看一个骨灰级黑客团体如何从反叛走进体制。
-
2018-04-09闪电网络并非横空出世：中本聪藏在Bitcoin 0.1里的可替换交易草稿，hashcoin的单向通道，Spilman与Corallo在bitcoinj中的实现，Akselrod的双向通道，再到Amiko Pay、中心辐射式支付处理器与双工微支付通道，一块块拼图在信任、协议改动与时间锁之间反复权衡，为它的登场铺好了路。
-
2018-04-092015年初，Poon与Dryja的白皮书用双向通道和哈希时间锁拼出无需信任的支付网络。此后c-lightning、eclair、lnd相继开工，CLTV、CSV与隔离见证为它铺路。从测试网上的一张猫照片，到主网上的一笔话费和一块闪电比萨，直到2018年春Beta版上线、千余节点涌现。
-
2016-11-11信息安全产业在中国走过十五年、年规模三百亿，数字世界却更脆弱了。从万亿行代码里的漏洞、隐蔽传播已久的震网，到移动互联网、云与大数据，追问产业与目标之间那道加速扩大的裂痕。旧作写于2012年，题取科恩《Anthem》，在他离世之日献给他。
-
2016-07-25考CISP还是CISSP？先想清楚考证图什么：镀金、敲门砖还是系统学习。两者同为“一英里宽一英寸深”的知识体系，差别主要在法律法规与应用场景：去外企、出国选CISSP，进政府、国企、军工选CISP。附发证机构、费用、难度对比，以及CISE与CISO怎么选的实战提醒。
-
2016-05-022016年5月，澳大利亚商人Craig Wright自称中本聪，比特币基金会首席科学家Gavin Andresen亲自背书。证明身份其实只需一步：用比特币第1块地址对应的私钥公开签一段话。Craig拿萨特拒领诺贝尔奖的名言做了签名，细看却只是一场OpenSSL演示，私钥根本不是中本聪的。那Gavin当面看到的验证又是怎么回事？
-
2016-04-23转载 Orange Tsai 的一篇渗透记录（繁体）：从反向 Whois 查到 Facebook 的内部域名 tfbnw.net，在 files.fb.com 的 Accellion FTA 上一路找到 SQL 注入与远程代码执行，拿了四个 CVE；更意外的是，服务器上早有别人留下的后门，正在记录员工密码。
-
2016-04-18转自暗网的一份匿名自述：自称「黑暗幽灵」（DCM）木马开发者的人用 PGP 签名发帖，讲这个木马的设计理念、感染方式、用 DNS 做隐蔽传输的细节，以及它背后多层级的网络监控与国家背景。真伪自辨，但其中关于个人安全的顾虑值得一读。
-
2016-04-12蒸汽机会爆炸，每次工业革命初期，安全都是拦路虎。到了智能制造，危险转进网络空间：与供应链共享的海量敏感数据难以保护，沿用的TCP/IP与工控协议带着先天脆弱性，震网与火焰病毒已是前车之鉴。安全须从规划之初写进去，配上统一标准与测评体系。
-
2016-01-272016年1月，DeepMind的AlphaGo以5比0击败欧洲围棋冠军樊麾，成为首个在完整棋盘上战胜职业棋手的程序。转载Google黑板报的这篇公告，看它如何把蒙特卡洛树搜索与策略网络、价值网络结合，并附上五局棋谱与在线播放链接，留待三月与李世石之战前细细复盘。
-
2015-09-11安卓、Linux、Firefox、Java……中国四十年的科技“奇迹”里，开源运动的功劳几乎可以量化。从《大教堂与市集》促成Netscape开放源码，到整合各派许可证、成立开源促进会，再到Jargon File、fetchmail与“Linus定律”，ESR深刻改变了软件世界；如今他手头拮据，在Patreon求助，受益者该如何回馈？
-
2015-09-022001年，卡普尔携500万美元和一支牛人队伍启动开源项目Chandler，不缺钱、不缺人、没有deadline，六年却拿不出1.0。《梦断代码》写尽其过程，却轻轻放过一个关键细节：坚持纯P2P、无中心。拜占庭将军与女巫攻击这道难题，要到2009年才由中本聪用区块链解开。
-
2015-09-01一本放了十三年才翻开的《乐者为王》，牵出九十年代折腾发行版、啃source与manpage的旧日，也重看1992年Torvalds与Tanenbaum之争：被他嘲讽的微内核Mach，经NeXT助苹果迁往Intel、撑起iOS而起死回生；托住整个IT世界的，却仍是那个为好玩而写的Linux内核。
-
2015-08-31从《终结者：创世纪》里被炸弹终结的天网说起：一个觉醒的超人工智能，怎会把命门押在一台固定主机上？串起库兹韦尔的弱、强、超人工智能，霍金、马斯克们的忧虑与托瓦兹的嗤之以鼻，再对照凯文·凯利的中心化预言，引出一个猜想：真正觉醒的天网，必定是去中心化的。
-
2015-08-31写公众号很耗人，一篇常要一两个小时甚至几天，动力也在一点点磨损。于是顺手译了悉尼写作者Jon Westenberg在Medium上的一份清单：从影响世界、给生活找目标，到女朋友喜欢写作者、火车上有事可做、一个读不懂却好玩的长单词，大小理由并排放着，给自己，也给所有写字的人。
-
2015-08-28猜数字游戏人人会玩，背后的二分查找却是程序员的照妖镜。从1946年第一篇论文、Knuth记下的1962年首个无错实现，到Bentley课堂上仅一成博士生写对，再到Joshua Bloch在JDK里埋了八年的一行整数溢出，一个看似简单的算法，六十年都没真正写对。
-
2015-07-192015年，“威胁情报”的搜索结果暴涨近九倍。传统风险评估用“可能”“潜在”描述威胁，只做到知己；威胁情报要让对手具体可知。从Unknown unknowns走到Known knowns，借南北向人才说情报循环，梳理CERT-UK四象限分类，再看STIX/TAXII等标准，以及TTPs为何比文件哈希更值钱。
-
2015-07-18NSA的SELinux已随内核跑在十亿台设备上，斯诺登之后旧疑重燃。从更早的国产LIDS、Linus耐人寻味的点头，到被弱化的椭圆曲线参数、Heartbleed与「有猫腻的C代码」，开源不等于可信：不做审计，把安全押在别人眼睛上，终究被动。
-
2015-07-10布鲁克斯1986年断言软件工程没有银弹，放到信息安全上同样成立：加速的变化让固定方案失效，复杂性让单点防御难以为继，人的弱点更非技术所能补齐。怀疑不等于悲观，从细菌说取代恶魔说的启示，到马斯克式的第一性原理，回到安全本质，按部就班才是正道。
-
2015-07-09比特币的账本像一本全网共享、无法篡改的房产登记册：每枚币都要有出处，签名与哈希环环相扣，伪造与双花无从下手，51%攻击怎么算都不合算，安全只系于私钥。可钱包被窃、平台跑路、骗局层出不穷，社会工程学专攻人心，安全终究是人与人的对抗。
-
2015-07-08卖监视工具的公司被人扒光了：PhineasFisher用Hacking Team自己的Twitter账号放出400GB内部数据。推文里有卖给苏丹、埃塞俄比亚的合同和对联合国的谎言，有遍布各国情报机构的客户名单与RCS报价单，也有kittens、Ht2015!这样的弱口令和Flash 0day。当这些武器流向脚本小子，该回头看看自己的电脑和手机了。
-
2015-07-07Hacking Team被黑、400GB数据外泄，卡巴斯基被Duqu 2.0潜伏数月，攻防两端的顶级玩家接连失守。借此重贴2012年旧文《裂痕》：十五年、三百亿规模的安全产业，为何追不上“城市化”的数字世界？漏洞与攻击此消彼长，震网式威胁隐于水下，失窃者或许始终一无所知。
-
2015-07-06从K线图上飘满股民吐槽的弹幕说起，看互联网模式如何抬高企业应用的体验门槛；再借常旅客积分、微信运动排名，聊游戏化怎样把工作满足感推上马斯洛的更高层次。落点在安全：应用异常难靠算法自动识别，离不开用户参与和标注，何不把安全系统做成驾驶千年隼号巡视星空？
-
2015-07-05早在1982年，西伯利亚天然气管道因控制系统被入侵而爆炸，威力约为广岛原子弹的四分之一。从巴西圣埃斯皮里图州大停电，到美军中央司令部被一枚U盘攻破，再到爱沙尼亚遭袭却无从追责，网络武器攻防难分、不留痕迹、出手无征兆，让各方都想先发制人。
-
2015-07-04BYOD、APT、杀伤链、威胁情报、鱼叉式钓鱼、TTPs，安全圈每年都有新热词。Wade Baker为回答八岁女儿「RSA会议讲什么」，把2012到2015年的演讲标题做成词云；再对照展台标语与官方词云，看威胁情报、物联网如何升温，APT与「即服务」如何退潮。
-
2015-07-031982年，所有人的邮件地址还能印进一本薄册子，Danny Hillis注册第三个域名时连多占几个都觉得不妥。这份只取己需的信任写进了IP与BGP，也成了软肋：从AS 7007泄露、巴基斯坦误封YouTube到Defcon上的流量劫持演示，一条错误宣告就能让大片网络失联，于是有了独立备份的Plan B。
-
2015-07-02年初《连线》预测了2015年六大安全威胁，半年后，国家力量主导的攻击率先应验：美国人事管理办公室数据库失窃，卡巴斯基遭Duqu2.0入侵。从震网、Regin到盗用富士康证书、盯上伊核谈判场所，这些隐形轰炸机般的工具让人不安：平静的网络是否早已失守，只是我们看不见？
-
2015-07-01再高的墙也挡不住专注的对手。借Amit Yoran在RSA2015上的五点思路：不信任何号称一劳永逸的高级防护，让终端、网络到云的通信全面可见，查清之前不急于清除重装，盯住被大量窃取的身份凭证，借力外部威胁情报，把有限资源押在关键资产与业务上。
-
2015-06-30RSA2015大会在一片漆黑中开场，Amit Yoran把数据泄露逐年升级的当下称作信息安全的黑暗时代。更高的城墙不过是拿过时地图找路，网络边界早已模糊，Google的BeyondCorp干脆视内网与互联网同样危险。走出黑暗，先要重新感知问题。
-
2015-06-29美国空军把一次打击拆成F2T2EA六个阶段，2010年洛克希德·马丁将其搬进网络安全，提出Cyber Kill Chain并注册商标，引来Jeffrey Carr不满；Mandiant的八阶段APT模型借61398报告走红，Gartner则另起炉灶。顺带谈谈这条“网络攻击链”为何适合内网纵深防御，又为何落地不易。
-
2015-06-28黑客、骇客、飞客、极客、书呆子、创客，到底谁是谁？先逐一划清界线，再借阮一峰为《黑客与画家》写的译序回到源头：六十年代麻省理工铁路模型俱乐部里的hack，斯托尔曼说的好玩、聪明与探索，利维总结的六条黑客伦理，以及1983年媒体如何把这个词带偏。
-
2015-06-27从军用卫星到交易所授时，GPS早已渗进日常。《达芬奇密码》里硬币大小的跟踪器，如今淘宝两三百元可得；想躲开它，百来元的干扰器简单粗暴；再往前一步，是能伪造卫星信号的欺骗设备。跟着Todd Humphreys的TED演讲，看定位与反定位的门槛如何一路走低。
-
2015-06-26安全研究者Avi Rubin在TED上细数三类攻击：逆向车载软件找到漏洞，接管音响、灯光、仪表、车门乃至刹车和发动机；用改装的GirlTech玩具窃听美国警用P25通信，每天截获至少二十分钟明文，连秘密线人的名字都在里面；再到Sequoia投票机被装进吃豆人。结尾，留一句关于我们自己的反话。
-
2015-06-25王威廉斥库兹韦尔为“垃圾科学”，凯文凯利被讥为朝阳区仁波切，未来学家的预言难免不准，却未必无用。从切尼关掉心脏除颤器的无线功能说起，借前FBI探员Marc Goodman的TED演讲，看犯罪组织如何抢先用上无人机、3D打印武器与基因技术，我们又为何必须现在就设防。
-
2015-06-24摄像头、麦克风要过系统权限这一关，加速感应传感器却被 Google 和 Apple 视为无害，App 几乎可以随意读取。顺着它开脑洞：窃取触屏与密码输入，六位密码平均 4.5 次猜中，推断你坐到了哪一站地铁，识别语音口令，甚至让放在键盘旁的 iPhone 还原出八成键入内容。
-
2015-06-23屏幕上常驻“加速球”的不必往下看；其余的人试试这三板斧：正版清源，官网下载、勤打补丁；明目清心，弃IE和国产“安全”浏览器，不装优化卫士；拒绝流氓，远离度娘全家桶。二十年不重装、不装杀毒，只中过一次毒，但三板斧只防小毛贼，挡不住真高手。
-
2015-06-22隔着五米、戴着墨镜，你在手机上敲的字就安全了吗？2011年，北卡罗来纳大学的研究者用相机加计算机视觉与机器学习，从远处或墨镜反光中重建屏幕输入，准确率92%；两年后，又能透过眼球、烤箱、镜子的层层反射还原文字。再加上谷歌眼镜呢？
-
2015-06-21系统刚装好就有人随意登录；你读遍内核、shell、登录程序乃至编译器的源码，全部重新编译，他依然来去自如。这是Ken Thompson在1984年图灵奖演讲里讲的真事：木马藏进编译器，还会把自己传给下一代编译器。三十多年后，可信的根基该从哪里建起？
