• 数据安全的第一道坎

  业务强耦合

数据安全离业务更近，绝大部分是跟业务强耦合的
网络安全离业务较远，面对的是运维

如果你购买的域名，没有配置SPF值，则黑客可以冒充你的域名后缀发送邮件。

添加TXT记录

1

v=spf1 include:spf.mail.qq.com ip4:1.1.1.1 -all

检测是否有SPF漏洞

Windows下，命令行下输入：

1

nslookup -type=txt 域名

Unix下：

1

dig 域名 txt +short

秒拨IP

利用家庭宽带线路分配得到动态IP的特性，自动断线重连切换IP

零信任概念

零信任：永不信任，始终验证。技术本质是构建以身份为基石的业务动态可信访问控制机制

① 应该假设网络始终存在外部威胁和内部威胁，仅仅通过网络位置来评估信任是不够的
② 默认情况下不应该信任网络内部或外部的任何人/设备/系统，而是基于认证和授权 重构业务访问控制的信任基础
③ 每个设备、用户对业务的访问都应该被认证、授权和加密
④ 访问控制策略和信任应该是动态 的，基于设备、用户和环境的多源环境数据计算出来

隐私集合求交PSI

原理：双方各自都加密，不泄露明文数据，交换加密数据后，（执行同态加密运算）求两者的交集集合/个数，而不泄露非交集合给任何一方

场景1：Chrome Password Checkup密码检查插件

对象存储

Bucket（桶）和Object（对象）

Bucket是一个网络资源，相当于一个文件夹、硬盘。 桶名是独一无二的，全网唯一。不同的Region，可以有相同的桶名

Maven

Maven主要做了两件事：
统一开发规范与工具
统一管理jar/aar/so包

bcrypt在线生成工具

bcrypt组成

• 2a:算法标识符
• 10:轮数，默认是10，即2^10=1024次迭代
  阅读全文 »

目录扫描爆破

Dirsearch
python3 dirsearch.py -u https://xxx -x 403,404,401
可选：
-f -e php,html,jspx，知道网站的应用架构后，限定扫描某后缀
--remove-extensions，去掉字典中所有的后缀，探测子目录

https://github.com/maurosoria/dirsearch
思路：爆破出一个目录后，继续对二级/三级目录进行爆破

HTTP/2对比HTTP 1.1

HTTP/2也被称为HTTP 2.0，相对于HTTP 1.1的新增多路复用、压缩HTTP头、划分请求优先级、服务端推送等特性，解决了在HTTP 1.1中一直存在的问题，优化了请求性能，同时兼容了HTTP 1.1的语义。