最近 NSA 被爆出通过入侵华为服务器，进而监控了许多华为员工的电子邮件通讯记录。信息安全一下子又成为了焦点话题。联想到之前的几个大网站的暴库事件，信用卡信息泄漏事件，如果当你我的私人邮件成为监控者茶余饭后津津乐道的谈资，你我的身份信息，密码信息，银行卡成为骇客用来支付他们奢华生活的工具，你还会觉得信息安全还是和自己毫无关系么？
所以，即使一个人不从事安全领域相关的工作，也需要懂点安全知识。
首先，安全涵盖三个基本内容：Availability，Integrity 和 Confidentiality，简称 CIA。
Availability 是指信息在需要的时候可以被授权的用户访问。比如在购物的时候，你的银行卡应该能够跟授权的商户完成交易。没有 availability 的安全毫无价值，就跟埋在地底，无人知晓的财富一样。
Integrity 是指信息在生命周期内完整性能够得到保证。比如说你给朋友发封邮件，告诉他『晚上 7 点聚会』，这份邮件到达朋友手上的时候不该成为『晚上 8 点聚会』。没有 integrity 的安全毫无意义，甚至带来危险。
Confidentiality 是指未经授权，信息不能被访问。当你使用电脑进行网络交易时，为什么需要一个优盾？就是银行需要在整个交易的过程中保证任何信息都不会泄漏给网络中的第三方。没有 confidentiality 的安全不叫安全。
任何安全的手段都围绕着这三点构建，缺一不可。
安全涵盖的内容不外乎下面这些：
(1) 物理安全
(2) 操作安全
(3) 社会工程安全
(4) 网络通讯安全
(5) 应用程序安全
安全手段有下面内容（可能不全）：
(1) 访问控制
(2) 信息加密
(3) 灾难恢复
限于篇幅，本文先讲讲安全涵盖的内容。
首先非常重要的一点认识：对于信息安全，技术从来都是辅助手段，只是用于实现某个安全领域的要求；安全管理才是核心。仅仅追求安全技术是本末倒置。
为什么说安全的重点是管理？假设你有家公司，穷尽了各种高科技手段保护公司的信息资产，但如果窃密者尾随公司员工进入公司，大摇大摆走到打印机旁，拿走最近打印出的一叠文件，然后离开。你说技术在里面能起到什么作用？高级的门禁系统，加密的网络设备在这样的攻击面前一文不值。
了解了这一点，你就能明白为何我将物理安全，操作安全，社会工程安全放在首要地位。
物理安全很好理解。银行尽管有非常严密的技术安全体系，但还需要带有沉重铁门的地下金库，为何？因为就算你将电影中的各种监控手段（激光，热敏，温控等）应用地淋漓尽致，但如果劫匪攻得进来，逃得出去，监控再好有何用？所以厚重的铁门让你攻不进来，地底下的位置让你即使攻进来，想逃出去也很困难。这就是物理安全的重要之处。
操作安全也不难理解。它关乎日志，打补丁（弥补系统漏洞），以及潜在攻击的预防手段和攻击发生后的应对之策。在公司里的服务器上工作，如果你没有"sudo"权限，但执行了"sudo"命令，你会得到一个醒目的提示："This incident will be recorded"，这就是操作安全。它拉出了一条红线，告诉人有所为有所不为，如果做了不该做的事情，会有充分的记录来采取进一步的行动。
我们重点讲讲社会工程安全。社会工程学指的是通过与他人交往，来直接或者间接获得机密信息。在任何的安全体系里，人都是最薄弱的一环，所以是骇客攻击的重点，所有社会工程学攻击都建立在使人决断产生认知偏差的基础上。骇客也许伪装成某个弱势的女性，或者诈称是你多年未见的老朋友，或者以交易中介的形式出现，等等，来套取你的信息，进而进行下一步的攻击。根据 wikipedia 的介绍，社会工程学攻击有这些形式：
首先是假托（pretexting）。某天你突然接到一个电话，说你的 xxx 亲人突然出事，在 xxx 医院治疗，速速汇款至某某账号。你心里一惊，连忙联系你的亲人，发现电话不通，于是在精神高度紧张中颤巍巍汇了钱过去。假托就要起到这样一种效果，通过合情合理的假象，紧张的气氛，让你陷入一种心理学称之为"tunnel vision"的情境中，你的眼睛只能看到隧道终点的那丝光明。
当然，例子中的骗术广为人知，可能对大部分人都不奏效了，但难保骇客建立另外一种你没遇到过的情境，让你陷入到"tunnel vision"中。
第二种手段是调虎离山（diversion theft）。这个多看看抢银行的片子应该就很好理解 —— 押款车既定的路线重重安防，如果让其被迫改道，则实施攻击就容易多了。如果你电脑上有机密资料，想要获取的有心人可以临时叫你出去喝杯咖啡，另外的人就可以在其之上进行信息偷窃。
第三种手段是钓鱼（phishing）。这个估计大家也有所耳闻 —— 给你发封邮件告诉你由于安全事故可能导致你 xx 银行的密码泄漏，然后给你个链接修改密码。打开的页面中，整个界面和 xx 银行的修改密码的界面高度一致，显著（或者不那么显著）的区别在于 url 有差异。如果你注意不到这点，输入了你的卡号和密码进行密码修改，那么你的银行卡的信息就被骇客获得，并由此可能被盗刷。
钓鱼还可能通过各种聊天工具，电话来进行。
第四种手段是下饵（baiting）。这个手段就多的去了，你下载的软件，打开的 email 附件都有可能被注入各种各样的恶意代码。人总是有弱点的，姜太公说：钓有三权：禄等以权，死等以权，官等以权。物质上的（禄），感情上的（死义），精神上的（官，权力）弱点都可以拿来『钓』。具体一些来说，就是马斯洛的需求金字塔的每个层级都能用来下饵。比如说骇客发个『最新最全 2015 年岛国片大全』，就能勾住有生理基本需求的人，发个『互联网公司高层薪资实名大揭密』就能钓到那些有社交需求的人。
第五种手段是等价交换（quid pro quo）。心理学中人们对权威有一种盲从，甚至『怕屋及乌』，对特定的服饰也有敬畏感。当假扮的公司 IT 人员向你索要账户密码，你可能会乖乖就范；当西装革履的『纪委』人员把你拖走，你立马该招的不该招的都抖了出来；在异国他乡，穿着警服的问你要护照查看，你可能连反问的勇气都没有。所以，当骇客采取这些种种手段时，很容易攻破你的防线。
以上种种还只是社会工程学的一部分，凡心理学中谈到的人性的弱点（或者优点）都能被深谙社会工程学之道的骇客采用，作为攻击的第一步。所以应对社会工程学之策，就是学点心理学，再看看社会工程学相关的书籍，知己知彼。
最后讲讲网络安全和应用程序安全。
网络安全是个很大的课题，无法用一两句话解释清楚。但它的目标很明确，就是让通讯双方的通讯内容在网络传输的过程中尽可能减少安全威胁。
比如说你访问 gmail 邮箱就要比 163 邮箱安全地多。因为 gmail 使用了 https，在端对端进行了严格的加密，而 163 邮箱的一切传输都暴露在互联网之上，你的隐私就像披上了皇帝的新装。
但网络安全并不能保证信息安全。它只是你和通讯另一端之间假设了安全的通道。在里面的信息仍然会受到安全威胁。比如 LP（先确定是你 LP 哈）要你的身份证号，你用 gmail 给她回了封邮件：我的身份证号是 xxx。这个信息只能保证在你和 gmail 之间是安全的，不代表 gmail 后面的组织（google）或者对 gmail 感兴趣的组织（NSA）不去破坏这种安全。前一阵子某网站被暴库，数据库里的密码都是明文的，这样即便网络在 https 的控制下是安全的，网路背后的系统不安全也无济于事 —— 这就是应用程序安全。
回到身份证号问题。最安全的途径是你先用你 LP 的 PGP 公钥对你的邮件内容加密，然后你 LP 用她的 PGP 私钥进行解密。这样，即便 gmail 被攻破，你的身份证号也是安全的。
先说这么多，过两天接着聊。
相关文章
