区块链在保护“数据隐私安全”中的应用

随着5G商用时代的到来,移动互联网、云计算和大数据技术的飞速发展,孕育并产生了各种新的服务模式和应用,数据化、智能化更是贯穿于社会生活的方方面面,例如打车、外卖等基于位置的服务。这些服务和应用一方面采集用户的相关信息,另一方面为用户提供精准化、个性化的服务,给人们的生活带来了极大便利。

然而,所采集信息中往往含有大量包括病史、收入、身份、兴趣及位置等在内的敏感信息,对这些信息的共享、收集、发布、分析与利用等操作会直接或间接地泄露用户隐私,给用户带来极大的威胁和困扰。

在这样的背景下,区块链技术被认为是解决用户隐私问题的最佳利器之一,甚至不少人提出了通过区块链技术保护隐私等方案,并尝试落地应用。

区块链在保护“数据隐私安全”中的应用

身份与数据分离
区块链上的交易数据,包括交易地址、金额、交易时间等,都公开透明可查询。但是,交易地址对应的所有者身份,是匿名的。

借鉴区块链加密技术,可以通过加密算法,实现用户身份和用户数据的分离。比如一款购物App,可以将用户的身份信息进行哈希计算,得到的哈希值作为该用户的唯一标识,类似于比特币的钱包地址。用户在该App上的行为数据,和前面得到的哈希值进行捆绑,而不是和用户身份信息进行捆绑。这样一来,用户产生的数据是真实的,而使用这些数据做研究、分析时,因为不能通过哈希值还原对应的用户名、电话、或是注册邮箱,起到了保护隐私的作用。

加密存储和分布式存储
除了上面提到的身份与数据分离,收集到的用户数据进行加密存储和分布式存储也是解决隐私问题的一个途径。
加密存储,意味着访问数据必须提供私钥。相比于普通密码,私钥的安全性更高,几乎无法被暴力破解。
而分布式存储,则在一定程度上降低了数据全部被泄漏的风险。中心化的数据库存储,一旦数据库被黑客攻击入侵,数据很容易被全部盗走。

用户完全掌握自己的数据并可交易
身份与数据分离、加密和分布式存储,难度相对较低,更容易落地。一些人畅想将来用户可以完全自己掌握自己的数据,加密存储,如果服务提供商或是第三方需要数据,则需要用Token向用户购买使用权,授权后才能访问。这种“用户隐私受保护,数据完全自己掌握并可参与交易”的畅想,难度相对较大,但未来一切皆有可能,值得我们期许。

卖二手硬盘?小心个人数据泄露!


二手硬盘

许多人升级硬件时,会将旧的电脑、各种存储设备转让给其他人。如果是转给亲戚好友,问题可能不太大,但更常见的是放在淘宝、论坛上出售给别人。此时应该提醒自己一下,里面是否曾经存有个人数据等隐私内容?

近日,英国信息专员办公室的一项调查表明,接近半数的二手硬盘中仍然存有之前用户的个人数据。因此,如何从存储设备中安全抹除个人甚至企业重要信息,成为二手设备销售过程中一个非常重要的问题。

调査中发现,48%的二手硬盘中含有残存的数据。其中11%含有各类私人信息,3%含有敏感的个人材料,例如护照扫描件、驾驶执照扫描件、岀生证明、纳税记录、银行及财务信息,以及健康、医疗相关的数据。而1%的内容已经足以构成有针对性的信息盗窃了。

这项调査从多种来源的硬盘进行了调查,包括那些负责跟踪和记录某些敏感信息的公司等。

在那些无法恢复和获取数据的硬盘中,只有38%是真正干净的硬盘(即进行过安全抹除)。剩下的14%属于受损并无法读取数据的,不过报告中没有提到受损的具体情况以及数据恢复工具是否恢复了数据。

这些数字只能告诉我们一些信息,而个人或企业用户在驱动器数据安全上真正应该注意什么呢?如何才能确保数据已被安全抹除了呢?

原则就是:一次清空或格式化效果不够,请多次抹除。比如,快速格式化等选项只会将磁盘扇区标记为“空闲空间”,而根本不会修改扇区里的已有数据。在该扇区全部被新数据覆盖以前,通过数据恢复工具都能轻松读取旧的数据。而多次抹除,也就是安全抹除则不一样,它会多次重写该扇区。

磁盘加锁专家软件更新至2.68版

功能强大的磁盘级的数据保护软件——磁盘加锁专家已经更新至2.68版。本次更新修复了软件卸载时的一个安全性BUG,另外还对软件进行了一些方面的改善。

磁盘加锁专家软件信息:

软件大小:4.92MB

最新版本:V2.68

更新时间:2019年4月30日

系统要求:Win2000/XP/VISTA/Win 7/Win 8/Win 10

软件分类:系统安全软件

软件语言:简体中文

软件授权:试用版

下载地址:http://www.jiamisoft.com/drivelock/download.html

磁盘加锁专家 2.68版更新内容:

– 修复了软件卸载时的一个安全性BUG。

– 包含其他改进和错误修复。

磁盘加锁专家软件简介:

磁盘加锁专家软件更新至2.68版

磁盘加锁专家一款功能强大的工具软件,可以彻底隐藏电脑中的硬盘分区和光驱,禁止使用USB存储设备和只读使用USB存储设备,此外还可以禁止使用未分配的盘符,加强对USB存储设备的控制。

硬盘分区高级加锁隐藏后,在任何环境下无法找到,可以确保分区内存放数据的安全性和保密性。

文件加锁功能可以对NTFS分区的磁盘、文件夹和文件进行访问权限的修改,通过修改可以禁止访问或将禁止访问修改为允许访问。

另外磁盘加锁专家还可以对系统的安全性进行设置和对系统进行优化。

使用热键无法调出超级秘密文件夹怎么办?

低调的奢华 8:56:14
你好

Cherry 9:01:36
您好,我是夏冰软件在线客服,很高兴为您服务 。请问有什么我可以为您效劳的?

低调的奢华 9:01:50
怎么软件无法打开了?

Cherry 9:01:56
请问无法打开有什么提示吗?

低调的奢华 9:02:18
点热键ctrl+alt+h没有的反应。

Cherry 9:02:28
请问您使用的是超级秘密文件夹吗?

低调的奢华 9:03:24
嗯嗯

Cherry 9:04:02
请您点击开始-运行,输入hf点击确定,看一下能否调出呢?

低调的奢华 9:04:33
可以耶,这是怎么回事呢?

Cherry 9:05:37
说明超级秘密文件夹的热键和您电脑上其他软件或设置的热键冲突了,所以无法调出。您可以将超级秘密文件夹的热键修改一下。

低调的奢华 9:06:02
哦哦,谢谢。

Cherry 9:06:08
不用谢,这是我们应该做的呢。

低调的奢华 9:06:17
怎么修改呢?

Cherry 9:06:21
请您调出软件,点击“软件设置”-“设置软件热键”,就可以在弹出的窗口中修改热键了。

Cherry 9:06:33

修改热键

温馨提示:如果使用热键(默认ctrl+alt+h,可修改)无法调出软件,可以在运行窗口输入hf调出软件。
超级秘密文件夹下载页面:http://www.jiamisoft.com/secretfolder/download.html

U盘超级加密3000软件更新至7.57版

专业的U盘加密软件和移动硬盘加密软件——U盘超级加密3000目前更新至7.57版。具体更新内容请参考下文。

U盘超级加密3000 V7.57更新信息:

软件名称:U盘超级加密3000

最新版本:V 7.57

软件大小:8.92MB

软件分类:U盘加密软件 移动硬盘加密软件

软件语言:简体中文

软件授权:试用版

运行平台:Win XP/Vista/Win 7/Win 8/Win 10

更新日期:2019年04月19日

下载地址:http://www.jiamisoft.com/udisk/download.html

U盘超级加密3000 V7.57更新内容:

* 改善了只读用户的操作界面。

– 其他若干改进和错误修复。

U盘超级加密3000软件简介:

U盘超级加密3000软件更新至7.57版

U盘超级加密 3000软件可以几秒内加密U盘和移动硬盘里面的全部或指定需要加密的文件和文件夹,解密时也可以解密全部或需要使用的加密文件和文件夹。

软件的只读加密功能,可以实现文件和文件夹加密后,只能打开查看,无法复制、删除和移动。

U盘或移动硬盘加密后,不受电脑限制,可以在任意一台电脑上使用,具有完美的移动性。

软件保密性极高,没有正确密码无法进入软件主界面,也无法使用软件的加密和解密功能。数据加密后,不解密任何人无法看到和使用里面的加密文件和文件夹。

此外,U盘超级加密3000是一款纯绿色免安装软件,不会在系统里写入任何数据,安全方便。

浅析挖矿机制(pow)里所采用的算法

区块链世界通过共识算法、加密、点对点网络以及奖励机制等,可以形成一个自治的社区,形成一个通过挖矿机制(POW)来达成一种不通过中心机构来达成的信任,最终实现点对点的价值流通。

浅析挖矿机制(pow)里所采用的算法

我们介绍一下挖矿机制里所采用的各种算法:

【Hash函数】
我们经常说的POW算法本质是一个Hash函数。Hash函数是一个无比神奇的东西,学习比特币应该从学习Hash函数入手,理解了Hash函数再去学比特币原理将事半功倍,不然将处处感觉混沌,难以开窍。已经有很多Hash函数被设计出来并广泛应用,不过Hash函数一般安全寿命都不长,被认为安全的算法往往没能使用多久就被成功攻击,新的更安全的算法相继被设计出来,而每一个被公认为安全可靠的算法都有及其严格的审计过程。

【SHA256算法】
SHA是美国国家安全局 (NSA) 设计,美国国家标准与技术研究院 (NIST) 发布的一系列密码散列函数,经历了SHA-0,SHA-1,SHA-2,SHA-3系列发展。2012年Keccak算法最终获胜成为唯一官方标准SHA-3算法,但还有四种算法同时进入了第三轮评选,分别是:BLAKE, GrøSTL, JH和SKEIN,这些算法其实也非常安全,而且经受审查,被各种竞争币频繁使用。

比特币采用SHA256算法,该算法属于SHA-2系列,被公认为最安全最先进的算法之一。随着比特币被更多人了解,大家开始对SHA256的安全性发表各种意见,到目前为止,没有公开的证据表明SHA256有漏洞,SHA256依然牢牢抗住保卫比特币安全的大旗。当然大,没有永远安全的算法,SHA256被替代是早晚的事。

【SCRYPT算法】
与SHA256算法相比,SCRYPT占用的内存更多,计算时间更长,并行计算异常困难,对硬件要求很高。很显然,SCRYPT算法具有更强的抵御矿机性,莱特币还将区块时间改为2.5分钟,在那个山寨币还凤毛麟角年代,莱特币依靠这两点创新大获成功,长期稳坐山寨币第一宝座位置。后来有人在SCRYPT的基础上稍作修改形成Scrypt –N算法,改进思路都一样,都是追求更大的内存消耗和计算时间,以有效阻止ASIC专用矿机。很快,莱特币的成功催生了各种各样的算法创新,2012至2014年间,算法创新一直都是社区讨论的热门话题,每一个使用创新算法的币种出现,都能刮起一阵波澜。

【串联算法】
重新排列组合是人类一贯以来最常用的创新发明方法。很快,有人不满足于使用单一Hash函数,2013年7月,夸克币(Quark)发布,首创使用多轮Hash算法,看似高大上,其实很简单,就是对输入数据运算了9次hash函数,前一轮运算结果作为后一轮运算的输入。这9轮Hash共使用6种加密算法,这些都是公认的安全Hash算法,并且早已存在现成的实现代码。

被曝泄密漏洞?你的手机用的是高通芯片吗?


高通

据EETOP论坛27日报道,英国安全业者NCC Group公布了藏匿在逾40款高通芯片的旁路漏洞,可用来窃取芯片内所储存的机密资讯,并波及采用相关芯片的Android装置,高通已于本月初修补了这一在去年就得知的漏洞。

此一编号为CVE-2018-11976的漏洞,涉及高通芯片安全执行环境(Qualcomm Secure Execution Environment,QSEE)的椭圆曲线数码签章算法(Elliptic Curve Digital Signature Algorithm,ECDSA),将允许黑客推测出存放在QSEE中、以ECDSA加密的224位与256位的金钥。

QSEE源自于ARM的TrustZone设计,TrustZone为系统单晶片的安全核心,它建立了一个隔离的安全世界来供可靠软件与机密资料使用,而其它软件则只能在一般的世界中执行,QSEE即是高通根据TrustZone所打造的安全执行环境。

NCC Group资深安全顾问Keegan Ryan指出,诸如TrustZone或QSEE等安全执行环境设计,受到许多行动装置与嵌入式装置的广泛采用,只是就算安全世界与一般世界使用的是不同的硬件资源、软件或资料,但它们依然奠基在同样的微架构上,于是他们打造了一些工具来监控QSEE的资料流与程序流,并找出高通导入ECDSA的安全漏洞,成功地从高通芯片上恢复256位的加密私钥。

Ryan解释,大多数的ECDSA签章是在处理随机数值的乘法回圈,假设黑客能够恢复这个随机数值的少数位,就能利用既有的技术来恢复完整的私钥,他们发现有两个区域可外泄该随机数值的资讯,尽管这两个区域都含有对抗旁路攻击的机制,不过他们绕过了这些限制,找出了该数值的部份位,而且成功恢复了Nexus 5X手机上所存放的256位私钥。

NCC Group早在去年就发现了此一漏洞,并于去年3月知会高通,高通则一直到今年4月才正式修补。

根据高通所张贴的安全公告,CVE-2018-11976属于ECDSA签章代码的加密问题,将会让存放在安全世界的私钥外泄至一般世界。它被高通列为重大漏洞,而且影响超过40款的高通芯片,可能波及多达数十亿台的Android手机及设备。

数据库加固可防范重要数据和公民信息泄露

数据库加固是一项纷繁复杂的工作,不但需要解决数据库存在的安全问题,更要针对每种安全问题,多种安全加固方案,权衡利弊,保证业务系统的正常和稳定。

数据库加固可防范重要数据和公民信息泄露

1、数据库漏洞加固
数据库漏洞是数据库加固的核心,也是各种检查也渗透测试的关键点。如何既消除数据库漏洞,又保证系统稳定则是摆在所有人面前的难题。
(1) 数据库版本升级加固办法
通过数据库漏洞扫描工具对数据库进行检测后,会通过识别数据库组件、版本、补丁号等关键信息过滤出数据库存在的安全漏洞列表,形成《数据库安全检测报告》,针对数据库存在的漏洞,会提供每一个漏洞的补丁链接。用户可以选择通过下载数据库补丁升级,解决存在的数据库漏洞。
(2) 第三方工具加固办法
对于比较紧急的情况,不建议通过升级数据库漏洞,解决安全问题。建议采用有虚拟补丁功能的数据库防火墙产品,以串联方式部署于数据库之前。

2、 数据库弱口令加固办法
(1) 修改弱口令加固办法
弱口令的加固最直接的办法就是把弱口令修改成强口令。直接修改数据库账号的密码并不复杂,复杂的是衍生问题。如果同时有多个业务系统使用同一数据库账号,会要求多个业务系统一起修改访问数据库的密码。过程中可能会出现遗忘而导致业务中断等问题。
(2) 第三方工具加固办法
密码桥是用来做数据库和应用系统密码映射的软件,串联在应用和数据库之间。应用使用密码访问数据库,密码桥会通过改登陆包的方式把应用的错误密码映射成数据库的正确密码,帮助应用连上数据库。

3、数据库身份认证加固办法
(1) 提高数据库自身身份认证能力
数据库身份认证的加固需要按照不同的情况进行加固。如果是数据库缺乏数据库身份认证能力,需要通过升级到有数据库身份认证功能的数据库版本。如果只是数据库身份验证功能未开启,只需要通过调整参数开启数据库身份认证功能即可。
(2) 第三方工具加固办法
如果数据库升级遇到困难,但数据库又缺乏身份认证能力。也可以退而求其次利用数据库防火墙的ip/mac绑定,锁定允许访问数据库的固定机器,在一定程度上弥补了缺乏数据库身份验证的问题。

4、数据库网络安全加固办法
(1) 提高数据库自身网络加密功能力
数据库网络安全加固需要按照不同的情况进行加固。如果是缺乏数据库网络加密功能力,需要通过升级到有网络加密功能的数据库版本。如果只是数据库网络加密功能未开启,只需要通过调整参数开启网络加密功能即可。
(2) 第三方工具加固办法
网络加密的目标是防止中间人攻击。退而求其次利用数据库防火墙的ip/mac绑定,锁定允许访问数据库的固定机器,在一定程度上弥补了网络明文引起的安全威胁。

5、数据库审计和日志安全加固办法
(1) 开启数据库审计和日志加固办法
数据库审计和日志有助于帮助客户对攻击进行溯源。所以加固的主要方式是开启审计和日志,并设置严格的策略。
(2) 第三方工具加固办法
审计日志开启会对数据库性能造成影响,除了开启数据库自身的审计和日志外。还可以通过第三方数据库审计工具完成数据库审计日志的安全加固任务。

6、数据库权限配置安全加固办法
(1) 数据库自身权限配置加固办法
基于数据库账号/角色权限配置清单和客户数据库管理员进行沟通。按照最小化权限原则削减数据库账号的权限。

(2) 第三方工具加固办法
在数据库之外在做一层数据库权限设置。这样既避免了数据库自身权限的混乱,又解决了数据库权限不符合最小化原则的问题。

7、数据库安全策略加固办法
在不影响业务的前提下,通过对数据库安全策略配置,可以完成数据库安全策略加固。

8、数据库后门/木马清理办法
发现疑似数据库后门/木马的触发器或存储过程,在DBA确认确实和业务无关后,需要进行清理和追踪。

OPPO手机怎么加密照片?

在当今生活,隐私这个话题一直被大家重点关注。就算是明星大腕,也因为不注重个人隐私没少栽过跟头。小米手机的国内用户不在少数,今天小编就为大家介绍一下OPPO手机怎么加密照片以便保护。

方法一:使用OPPO自带的加密功能

1.在手机的主页面打开【文件管理】,进入文件管理页面。


进入文件管理

2.在文件管理页面选择【文件保险箱】,点击进入,设置密码。

进入文件保险箱

3.添加要加密的文件,有音频、视频、图片、文档、其他五个分类。

加密文件

4.如果还需要添加加密文件,可以进入保险箱,点击下方的【添加文件】,同时也可以随时更改自己文件保险箱的安全密码。


添加加密文件

方法二:使用misuo加密

misuo是一款高强度手机文件加密软件,可以加密照片、视频、音频、文档等常见文件类型,重要文件可以一键全选加密或解密,并且可以设置伪装登录密码,使用伪装密码进入软件后,无法看到加密的文件且不能进行任何操作。让你的加密数据更加安全隐秘。

misuo

有两种加密方法,一种是根据文件类型分类选择加密,比如要加密图片,打开misuo,进入【图片】分类,点击右下角的+号,就可以看到手机中全部图片,再找到你要加密的图片选择加密。

一种是根据文件路径选择加密,打开misuo,进入【其他】分类,点击右下角的+号,先选择SD卡或内部存储,再找到文件所在路径选择加密。

在线教育平台加密技术详解

知识付费已经成为网络主流。网校蓬勃发展,在线教育的讲师们获利丰厚,但我们也不难发现,随便搜索一下,都会有“新东方课程破解”、“泸江网校课程破解”、“中公网校课程破解”、“233网校课程破解”及“金程网校课程破解”等知名网校的相关信息,如某些有名的课程,直接搜索也会有若干条相关信息。

那么,在线教育平台怎么样才能做好课程被破解翻录的防范呢?

一、视频本身做加密处理
对视频文件本身要做加密处理(比如使用金钻视频加密专家),这样即便被下载,也不能正常播放。常看到有人说用防盗链,可以防止下载,但是一样是可以下载的。所以文件本身的加密,才是最佳的选择。
在线教育平台加密技术详解

二、播放时需要专用播放器:视频授权播放(视频授权观看)
在用户网站中,除了可以通过session、cookie判断学员是否有权限访问网站上的某些视频页面之外,还可以通过点量播放器去实现学员权限验证播放的功能,从而实现了对学员权限的双重验证。

三、对播放器做域名限制
播放器做域名限制是指,设定允许观看视频的域名。例如,设定视频只能在域名dolit.cn下观看,被域名abc.com调用了也不能正常播放的。

四、用户ID水印、跑马灯功能(防录屏)
用户ID水印、跑马灯功能的主要用途是防用户录屏,通过设定,可以实现设定文字在视频上不规则的跑动,如客户可以通过代码获取到访客的ID后,将ID以跑马灯或水印的方式展现在视频的上方,这样可以大大的增加盗版者的录屏成本,同时可以给予提醒和警告
在线教育平台加密技术详解

五、插播问答小视频或动画
在不固定的时间点,弹出问题,实现学员与网络课程之间的互动,学员只有正确回答课件视频中弹出的问题之后才能往后继续播放,有效的避免了挂机的现象;通过互动问答的方式,加强学员对知识点的记忆,同时可以评估学员的学习效果;大大降低盗版视频的观看体验,让录屏后的盗版视频毫无价值。

超级加密3000加密的文件夹是否可以用文件夹保护3000来打开呢?

玉林西15:26:01
我想咨询一下,超级加密3000、文件夹保护3000、U盘超级加密3000等等,这些加密软件都有啥区别啊

Ice  15:26:10
不同加密软件的区别:http://jiamisoft.com/soft_qubie.html

超级加密3000加密的文件夹是否可以用文件夹保护3000来打开呢?

Ice  15:26:44
您可以看一下,或者您可以说一下您的加密需求,我这里为您推荐合适的加密软件。

玉林西15:29:21
我就想加密文件夹,然后别人没有密码打不开,也不知道文件夹里有什么,也不能通过相关记录打开文件夹内文件。

Ice  15:29:33
文件夹加密超级大师下载页面:
http://www.jiamisoft.com/folderencryper/download.html

Ice  15:29:51
这款软件的功能比较全面,您可以下载试用一下。

玉林西15:33:48
我之前下载的是超级加密3000。

Ice  15:34:08
嗯嗯,这些要求超级加密3000也可以满足的。您也可以试一下。

玉林西15:36:46
但是我觉得超级加密3000一套158有点贵,我觉得文件夹保护3000就可以满足我的需求。

Ice  15:37:31
可以的,您都可以尝试一下呢!

玉林西15:39:16
那我之前使用超级加密3000加密的文件夹,现在卸载了,购买文件夹保护3000后,影响以前的加密文件吗?

Ice  15:40:10
使用超级加密3000加密文件夹之后,如果没有解密就卸载了软件,那么加密文件还是在加密状态呢,并且也没有了打开方式。需要您重新安装超级加密3000,解密加密文件夹,然后再卸载,以后安装文件夹保护3000就不受影响了。

注意这些网络安全预警提示!


网络安全

如果想保证网络基础设施的安全,企业网管必须要监控路由器、交换机和其他网络设备的状况。而这种可见性将使网管能够快速检测和调查对外围安全的威胁,然而一旦出现了下面的4个网络安全预警提示后,可千万不能将其忽略视之。

预警一:未经授权登录

虽然大多数登录到网络设备的尝试都是由网络管理员执行的有效操作,但有些则不是。异常事件包括管理员在工作时间意外或节假日对设备的访问、登录尝试失败,或修改访问权限等等。而无法及时检测到可疑的登录尝试,将导致企业容易遭受攻击者的暗算。

对可疑事件的即时警报让IT人员能够在网络受到威胁之前采取行动。这种做法也有助于合规性审计,因为它提供了证据,可对特权用户及其相关设备上行为活动受到密切监控。例如,谁登录了什么设备,以及多久登录一次等等。

预警二:随机配置设备

与网络设备相关的主要威胁还有配置的不当。一次不正确的设备调整可能会削弱网络外围的安全性,在监管审计期间引发问题,甚至会导致代价高昂的系统中断,从而使网络业务陷入困境。

例如,防火墙配置错误可以让攻击者轻松访问企业内网,进而引发持久的破坏。因此,了解谁改变了什么,将为运维人员提供对网络设备的洞察与控制。而持续的审计流程还能让员工有更好的用户责任感,并在潜在安全事件引发更大麻烦前,快速检测并消除掉到它们。

预警三:扫描出安全威胁

不法黑客常常通过网络扫描,来了解一个企业的网络架构与防御响应程度,从而对该网络实施精准打击。如果将网络设备上扫描到的安全威胁忽视掉,又没有完善的设备可视化体系,那么攻击者的恶意行径无疑会被错过,直至企业敏感数据被破坏。

因此为了加强对扫描威胁的保护,将数据泄露的风险降至最低,请确保对网络设备进行持续监控。而这种可见性将有利于运维人员了解哪个主机和子网被扫描了,他们是从哪个IP地址开始扫描的,以及进行了多少次扫描尝试等等。

预警四:异常VPN登录

虚拟专用网(VPN)接入是许多企业提高远程连线安全性的常用方法,但却存在着许多安全风险。实际上,VPN连接通常由企业中任何人在未经任何批准的情况下使用。实践表明,没有100%的安全VPN,任何VPN连接都是一种风险。

主要的风险场景包括通过公共Wi-Fi连接的用户(因为有人可能会窃取他们的登录凭证)或通常不使用VPN的用户突然开始使用它(这可能表明用户丢失了设备,而其他人正在尝试使用它登录)。而只有对网络设备保持可见性,才能有效跟踪每次VPN登录尝试。但通过网络的可见性将会提供有关尝试访问网络设备的用户、每次尝试身份验证的IP地址,以及每次VPN登录失败的原因的信息等。此外建议,只有经过适当的监管批准,并且仅向那些由于业务需要不得不使用VPN访问的员工,提供通过VPN访问的权限才行。

洛阳夏冰软件技术有限公司2019年劳动节放假安排

根据《国务院办公厅关于2019年部分节假日安排的通知》,并结合我公司实际情况,现将我公司劳动节放假安排通知如下:

2019年5月1日至4日放假调休,共4天。4月28日(星期日)、5月5日(星期日)上班。

五一劳动节放假安排

劳动节放假期间公司各项工作安排如下:

软件正常销售:我们采用的是激活码自动发送系统,任何时间支付成功后,激活码就会立即发送到您填写的邮箱中。

客服邮箱(fuwu@jiamisoft.com):您的邮件我们会在48小时内给您回复。

客服QQ(800028980):暂停服务。您可以留言,我们会有值班人员进行处理。

客服电话(4008259908):暂停服务。

值班电话:0379-61299638

值班微信:18539592895

在放假期间给您造成的不便之处,敬请谅解。

洛阳夏冰软件技术有限公司

2019年4月25日

B站源代码泄露,你的bilibili帐号还安全吗?

4月22日下午六点,有微博用户爆料,B 站整个网站后台工程源码泄露,并且「不少用户名密码被硬编码在代码里面,谁都可以用」。

据查验在 GitHub 平台上确实存在一个由用户 openbilibili 创建的 go-common 代码库,项目描述「哔哩哔哩 bilibili 网站后台工程 源码」并获得了 6597 个标星和 6050 个fork,目前该代码库已无法查看。

在消息发布后的一个小时,bilibili弹幕网在微博回应源代码泄露,“经内部紧急核查,确认该部分代码属于较老的历史版本。”B站表示,已经执行了主动防御措施,确认此事件不会影响网站安全和用户数据安全。B站已第一时间报案,并将彻查源头。

B站回应

对于B站的回应,可能存在另外一种解释:

部分工程代码(指全部的后端代码),较老的历史版本(指六小时前),主动的防御措施(指更换了阿里云所有sso的akey)

这样很可能说明,对于此事的源代码泄露,事出突然,B站官方本身是没有预料到,也没有预想到,自身方面也没有任何应急措施或解决办法。

对于B站被泄露的源代码:

很有极大可能,B站就是靠这个工程代码部署整个网站,更因为历史久远,这段代码可能是当初构建B站的底层代码,在现在看来,可能会隐藏着根本性的漏洞,而且这些漏洞恐怕会很难去修改。

对于泄露代码会带来的危害:

最明显,也是最直观的就是B站会暴露出很多安全隐患。可能在短时间内,这些隐患还可能没法暴露出来。但在源代码泄露的这段时间,很有可能代码已经被clone,而作为B站的底层构建,修复它们应该是极其困难。

B站本身的代码水平在业界只能处于中游,所以面对底层代码所可能带来的隐患,我想说B站可能无力解决,总不能重新构架,耗时耗力的重写。

所以接下来B站要面临的就是只要有人想搞B站,那B站肯定只能被针对,而且是那种不能还手的。

哔哩哔哩股票会不会跌不知道,但能知道的这时候的哔哩哔哩一定是最难受的时候。

源代码泄露可能的原因:

据称是一个被裁员的程序员的报复。

但不管怎样,如果这件事是真的,那么这个恶意上传代码的程序员的职业生涯已经结束了。互联网再也没有他的容身之所。

水坑攻击对网络安全的威胁

“ 水坑攻击 ”是网络犯罪分子用来破坏组织在线信息系统的众多技术之一。在网络水坑攻击中,网络犯罪分子在网站上设置了陷阱,他们的目标受害者经常被发现。 通常情况下,陷阱网站是较小的,利基网站往往安全性有限。这些网站可以包括业务合作伙伴网站或向目标公司或行业提供特定产品,服务或信息的小型网站。访问时,受感染的网站会使用键盘记录程序,勒索软件和其他类型的恶意软件感染目标最终用户计算机或设备。

水坑攻击如何发挥作用

水坑攻击是经过精心设计和执行的攻击,通常包括以下阶段:

攻击者最初会分析其目标,以了解他们经常访问的网站。

然后,攻击者会对那些经常访问的网站进行探测,识别出任何有漏洞和漏洞的网站。

攻击者使用各种技术破坏易受攻击的网站。一种常见的方法是注入JavaScript或HTML代码,将受害者重定向到托管恶意软件的备用站点。

当目标用户的浏览器连接到恶意站点时,网站上运行的代码会与受害者的浏览器进行交互,并探测受害者的PC或设备,以查找未修补且易受攻击的应用程序或操作系统。

如果在受害者的设备上发现漏洞,恶意网站会在受害者的计算机上安装恶意软件。一旦被感染,用户设备上的恶意软件将根据所涉及的恶意代码类型尝试进行各种恶意活动。它可能会扰乱用户的数据并请求赎金来恢复它,或者捕获用户输入的ID,密码和支付卡数据。

水坑攻击对网络安全的威胁

水坑攻击对网络安全造成重大威胁

虽然水坑攻击不一定常见,但它们确实构成了重大威胁,因为它们很难被发现。受感染的网站通常是受信任的实体,个人和组织可能无法对其进行全面审查。在某些情况下,它们属于没有强大安全程序的业务合作伙伴。这增加了与他们交互的任何组织或个人的风险。

水坑攻击的另一个问题是难以培训员工避免受感染的网站。组织可以培训员工如何识别和避免大多数网络钓鱼电子邮件,但用户无法在没有专门设计的工具的帮助下识别受感染的网站。

防止水坑攻击

组织可以采取一些措施来保护自己免受水坑攻击。首先,每家公司都应该强制执行或至少鼓励遵守以下规定:

将所有常用软件和操作系统修补并更新到最新版本;

确保正确配置防火墙和其他安全产品;

检查员工访问的所有热门网站,并定期检查这些网站是否存在恶意软件;

立即阻止所有受感染网站的流量并通知网站所有者;

检查自己的网站,甚至内部网站,以确保它们是免费的恶意软件;

在实际可用的范围内,配置浏览器或其他工具以使用网站信誉服务来通知用户已知的坏网站;

网络安全监控至关重要

除了上述基本步骤外,为防止复杂的水坑攻击,组织必须部署先进的网络安全监控工具。

复杂的水坑攻击使用以前看不见的漏洞和战术,通常被称为零日威胁。由于传统的基于签名的控制依赖于过去的威胁知识,因此无法有效地检测复杂的水坑和其他攻击。因此,组织必须部署额外的高级威胁防护层,例如网络安全监控和行为分析。

水坑攻击是网络犯罪分子绕过典型企业安全控制并针对特定受众的有效方式。因此,他们不太可能很快消失。网络安全管理员需要预测他们的存在并采取适当的对策。

Scrypt不止是加密算法,还是莱特币的挖矿算法

在密码学中,scrypt(“ess crypt”)是2009年发明的金钥推衍函数,2016年,scrypt算法发布在RFC 7914。scrypt的简化版被用在数个密码货币的工作量证明上。

Scrypt不止是加密算法,还是莱特币的挖矿算法

Scrypt算法简介
Scrypt是内存依赖型的POW算法,莱特币采用此算法。第一个使用Scrypt算法的数字货币是Tenebrix,而后该算法被莱特币使用。莱特币创始人在莱特币创世帖中介绍了莱特币采用的共识机制,挖矿算法,发行总量,挖矿难度等相关重要信息。说明了莱特币所使用的挖矿算法为数字货币Tenebrix所使用的Scrypt算法,是一种符合PoW共识机制的算法。Scrypt算法过程中也需要计算哈希值,但是,Scrypt计算过程中需要使用较多的内存资源。

其它使用Scrypt算法的数字货币还有数码币(DigitalCoin)、狗狗币(DogeCoin)、幸运币(LuckyCoin)、世界币(WorldCoin)等。

Scrypt的诞生
由于比特币将hash算法作为pow工作量证明的重要手段,后续的各种采用pow的数字货币也延续了这个设计,以SHA256、MD5为代表算法在设计之初属于算法都是算力敏感型,意味着计算资源是瓶颈,主频越高的 CPU 进行 Hash 的速度也越快。这个设计直接导致后来的矿机出现,采用ASIC芯片的矿机更是将这种运算能力成倍提升,更多矿场的出现使得当时的比特币面临算力中心化的威胁

为了限制计算能力的依赖,人们开始寻求新的算法,我们说过现代计算机是“存储转发结构”,既然要限制转发CPU的能力,目光自然投向存储依赖,也就是内存依赖,莱特币率先使用内存依赖型的scrypt算法作为pow核心,因此奠定了第一山寨币的地位。

Scrpyt算法是由著名的FreeBSD黑客 Colin Percival为他的备份服务 Tarsnap开发的,当初的设计是为了降低CPU负荷,尽量少的依赖cpu计算,利用CPU闲置时间进行计算,因此Scrypt不仅计算所需时间长,而且占用的内存也多,使得并行计算多个摘要异常困难,因此利用rainbow table进行暴力攻击更加困难。scrypt没有在生产环境中大规模应用,并且缺乏仔细的审察和广泛的函数库支持。所以Scrpyt一直没有推广开,但是由于其内存依赖的设计特别符合当时对抗专业矿机的设计,成为数字货币算法发展的一个主要应用方向。

数据加密在网络通讯安全中的应用

一般的数据加密可以在通信的3个层次来实现:链路加密、节点加密和端到端加密。


加密系统的构成

1、链路加密

对于在两个网络节点间的某一次通信链路,链路加密能为网上传输的数据提供安全保证。对于链路加密(又称在线加密),所有消息在被传输之前进行加密,在每一个节点对接收到的消息进行解密,然后先使用下一个链路的密钥对消息进行加密,再进行传输。

在到达目的地之前,一条消息可能要经过许多通信链路的传输。由于在每一个中间传输节点消息均被解密后重新进行加密,因此,包括路由信息在内的链路上的所有数据均以密文形式出现,这样,链路加密就掩盖了被传输消息的源点与终点。由于填充技术的使用以及填充字符在不需要传输数据的情况下就可以进行加密,这使得消息的频率和长度特性得以掩盖,从而可以防止对通信业务进行分析。

2、节点加密

尽管节点加密能给网络数据提供较高的安全性,但它在操作方式上与链路加密是类似的:两者均在通信链路上为传输的消息提供安全性,都在中间节点先对消息进行解密,然后进行加密。因为要对所有传输的数据进行加密,所以加密过程对用户是透明的。然而,与链路加密不同,节点加密不允许消息在网络节点以明文形式存在,它先把收到的消息进行解密,然后采用另一个不同的密钥进行加密,这一过程是在节点上的一个安全模块中进行。

节点加密要求报头和路由信息以明文形式传输,以便中间节点能得到如何处理消息的信息,因此这种方法对于防止攻击者分析通信业务是脆弱的。

3、端到端加密

端到端加密允许数据在从源点到终点的传输过程中始终以密文形式存在。采用端到端加密(又称脱线加密或包加密),消息在被传输时到达终点之前不进行解密,因为消息在整个传輸过程中均受到保护,所以即使有节点被损坏也不会使消息泄露。

端到端加密系统的价格便宜些,并且与链路加密和节点加密相比更可靠,更容易设计、实现和维护。端到端加密还避免了其它加密系统所固有的同步问题,因为每个报文包均是独立被加密的,所以一个报文包所发生的传输错误不会影响后续的报文包。端到端加密系统通常不允许对消息的目的地址进行加密,这是囚为每一个消息所经过的节点都要用此地址来确定如何传输消息。由于这种加密方法不能掩盖被传输消息的源点与终点,因此它对于防止攻击者分析通信业务是脆弱的。

微软:可直接拔出USB存储设备

微软

经过多年不厌其烦地警告用户对USB接口要“安全拔出设备”,微软现在做了一件不可想象的事情:终于支持直接拔下USB接口上设备的行为。

自打USB成为标准配置以来,Windows告诫计算机用户要规范地移除外部硬件(如U盘和移动硬盘),方法是在拔出插入设备前将其安全弹出。

该协议已经存在多年,并且有充分的理由。在Windows的早期版本中,甚至在Windows 10中,在拔出USB存储设备(以及其他外部设备,如闪存卡)之前未安全弹出可能存在文件丢失的重大风险,尤其是在将数据写入外接存储设备时。安全弹出USB的提示,随着时间的推移已成为无数meme的素材。

值得庆幸的是,Windows 10最近的更新避免了这一繁琐步骤。更新实际上是在去年年底推出的,但是由于微软新的支持文档,它现在得到了更广泛的关注——从Windows 10的1809版开始,你现在可以随时拔下USB存储设备。

在早期版本的Windows中,处理外部媒介的默认策略被称为“更好的性能”,需要在拔出USB存储设备之前安全弹出它们。

在1809更新版本中,“快速删除”是所有驱动器格式的新默认值,可以随时保留设备,并且无需使用“安全删除硬件”进程。

尽管有了变化,但是当你在转移数据时,可能不希望通过拔出USB存储设备来考验运气。但如果U盘只是插在那里,什么事情都没有做,现在就可以直接拔下来了。

节约了几秒钟的安全弹出操作,那么这些新的空闲时间你要怎么分配?小心哦。人们说,可以自由地使用时间是幸福的关键,但只在你能合理化分配时间的情况下才是如此。

小米手机怎么加密照片?

在当今生活,隐私这个话题一直被大家重点关注。就算是明星大腕,也因为不注重个人隐私没少栽过跟头。小米手机的国内用户不在少数,今天小编就为大家介绍一下小米手机怎么加密照片以便保护。

方法一:使用小米自带的加密功能

1、打开相册,里面有三个选择【照片,本地,云】。“照片”是按照你保存的照片来显示,不分类别;“本地”是分类相册,保存在手机里面占用手机内存的数据:“云”就是上传到云空间的数据,不会丢的数据。这三个里面的照片都可以设成私密照片。这里以框里的图片为例。

长按设为私密

2、点击想要设置的私密图片,选择 右下角的 【更多】— 【设为私密】,则将照片设成私密照片了。如图所示,会有提示“设为私密成功”。

设置隐私密码

3、如何查看设置的私密照片呢,是不设完就看不到了,怎么查看,需要进入“云”里才能查看。

进入云查看

4、进入云,手指触摸屏幕从上到下滑动,就会进入私密相册,首次进入需要设置密码,已设置的直接输入设置的图案密码就可以进去了。

设置密码

方法二:使用misuo加密

misuo是一款高强度手机文件加密软件,可以加密照片、视频、音频、文档等常见文件类型,重要文件可以一键全选加密或解密,并且可以设置伪装登录密码,使用伪装密码进入软件后,无法看到加密的文件且不能进行任何操作。让你的加密数据更加安全隐秘。

misuo

有两种加密方法,一种是根据文件类型分类选择加密,比如要加密图片,打开misuo,进入【图片】分类,点击右下角的+号,就可以看到手机中全部图片,再找到你要加密的图片选择加密。

一种是根据文件路径选择加密,打开misuo,进入【其他】分类,点击右下角的+号,先选择SD卡或内部存储,再找到文件所在路径选择加密。

怎么避免鱼叉式网络钓鱼攻击?

网络攻击

如果您认为自己是正在被鱼叉式网络钓鱼攻击,解决非常简单:不要惊慌失措!只打开包含恶意附件或链接的电子邮件不会使您的计算机受到影响。

以下措施可以帮助您检测并尽量避免鱼叉式网络钓鱼攻击:

1、如果您认为自己确实被鱼叉式网络钓鱼活动攻击了,请立即断开计算机与网络的链接。

2、不要把它想得太简单,与同事讨论。将电子邮件标记为网上诈骗,并将潜在的网络钓鱼诈骗信息报告给企业IT团队,他们会告诉您接下来怎么做。

3、主动一点。扫描网络钓鱼/恶意软件(尤其是打开附件的时候)。

4、改密码。这是每个月都必须要做的常规工作,并鼓励其他人遵守网络安全规范,保护好个人信息。

5、尝试了解恶意电子邮件的来源。检查您的信息是否因数据泄露事件而被泄露。

6、理智一点。当发现来自“朋友”的邮件要您提供个人信息(包括密码和其它敏感数据)时,仔细检查邮件地址是否合法,或者直接联系该朋友。

传统安全措施通常无法防止鱼叉式网络钓鱼攻击,因为它们是定制的。员工犯得一个小错误错误可能会给组织带来严重后果,在不适当的时候采取适当的安全措施也会导致敏感信息泄露。

数据泄露事件发生后,通常会有攻击发起欺诈活动,企业和个人应该对此做好准备。这也是为什么必须尽早检测数据泄露的原因——通知、警告员工免受鱼叉式网络钓鱼攻击。