【51CTO.com快譯自12月15日外電頭條】因特網(wǎng)安全行業(yè)出現(xiàn)過(guò)各種各樣失敗的安全解決方案。雖然也有例外，但是一個(gè)人可以根據(jù)事情失敗的原因?qū)W到一些通用的原理。下面則是一些這方面意見的總結(jié)。

最薄弱環(huán)節(jié)

“安全措施的好壞只取決于最薄弱環(huán)節(jié)的強(qiáng)度”。這可能是最著名的格言。然而令人驚訝的是，很多安全措施都是因?yàn)檫@個(gè)而失敗的，因?yàn)樽畋∪醯沫h(huán)節(jié)往往不能很明顯的看出來(lái)。加密業(yè)務(wù)的幾個(gè)例子很好的證明了這一點(diǎn)。拿你可以找到的具有最長(zhǎng)密鑰長(zhǎng)度的最好加密算法做例子。我們假設(shè)它百分之百安全。那么在選擇加密鍵值的時(shí)候你使用同樣級(jí)別的技術(shù)了嗎？如果你的加密鍵值是基于一個(gè)密碼，舉個(gè)例子，可能只是基于一個(gè)位數(shù)較少的數(shù)字，然后通過(guò)加密軟件擴(kuò)充到位數(shù)更多的密鑰。然而，它的安全性能還是取決于那個(gè)較少位數(shù)的數(shù)字，比你想象的要脆弱的多。

然后就是你怎么拿這個(gè)密鑰跟別人通信的問(wèn)題。很多時(shí)候，通信交流是最薄弱的環(huán)節(jié)。一個(gè)經(jīng)典的例子就是OTP的使用，這個(gè)東西在第二次世界大戰(zhàn)時(shí)期就已經(jīng)開始用了。OTP密鑰基本上跟普通加密的文檔一樣長(zhǎng)，因此能夠證明OTP可以提供完美的安全。那么真是這樣的嗎？不是的，弱點(diǎn)存在于你怎么跟別人通信交流這個(gè)OTP的過(guò)程中，以及你以后怎樣使用它。

即使你給別人發(fā)送了一個(gè)攜帶那個(gè)密鑰的消息而且保證沒(méi)有被破解，然而一旦在運(yùn)行過(guò)程中出現(xiàn)普通的問(wèn)題都會(huì)讓這個(gè)過(guò)程變得非常的脆弱。如果由于某些原因，你不止一次的使用了某些OTP，那么就會(huì)有簡(jiǎn)單的解密方法允許第三方破譯并閱讀你的交流內(nèi)容。美國(guó)能夠破譯蘇聯(lián)的一個(gè)間諜網(wǎng)絡(luò)靠的就是這個(gè)原理。就像你所看到的，弱點(diǎn)經(jīng)常存在于安全措施主要部分（你知道或者認(rèn)為非常穩(wěn)固的）的周邊。

行業(yè)標(biāo)準(zhǔn)vs專用解決方案

使用專用解決方案可能會(huì)有些優(yōu)點(diǎn)由于“無(wú)名安全（隱蔽運(yùn)作安全）”，但是使用沒(méi)有廣泛驗(yàn)證的解決方案會(huì)很危險(xiǎn)。加密又是一個(gè)很好的例子。

使用像AES這樣的行業(yè)標(biāo)準(zhǔn)意味著很多的專家已經(jīng)研究過(guò)這個(gè)算法，而且沒(méi)有發(fā)現(xiàn)嚴(yán)重的問(wèn)題。如果他們確實(shí)發(fā)現(xiàn)過(guò)問(wèn)題，你也會(huì)知道。拿第一代的WiFi加密方法做例子。這個(gè)方法很快就被發(fā)現(xiàn)存在嚴(yán)重的漏洞。由于他是一個(gè)標(biāo)準(zhǔn)，所以很快就被禁止了，并且被更加強(qiáng)有力的方法代替。尤其是要警惕那些不公開算法而對(duì)其技術(shù)實(shí)力信口開河的的供應(yīng)商。——51CTO鮮橙加冰：以前一直覺(jué)得公共安全算法沒(méi)有自己寫的安全，后來(lái)發(fā)現(xiàn)自己寫的未經(jīng)嚴(yán)格論證過(guò)的算法，在職業(yè)破解人員面前完全不堪一擊，一反就反出來(lái)了。

文不對(duì)題

如果想使安全措施有效，那么你需要清楚的確定到底是什么問(wèn)題。否則，你最后只能發(fā)現(xiàn)你自己有一個(gè)好的方案但是卻不能解決你的真正問(wèn)題。以防火墻為例。雖然它對(duì)于某些問(wèn)題來(lái)說(shuō)是較好的解決方案，但是如果你有個(gè)數(shù)據(jù)庫(kù)在防火墻后面運(yùn)行，那么它將不能阻止應(yīng)用層的攻擊，比如SQL滲透。這些雖然是普通的危險(xiǎn)攻擊，但是大多數(shù)防火墻技術(shù)都不能搞定他們，這個(gè)問(wèn)題需要專門的解決方案。

人的因素

“如果你依賴用戶處理，那么安全問(wèn)題會(huì)很多。”如果你依靠最終用戶，而且最終用戶對(duì)此不是很懂或者不能被打攪，那么安全就會(huì)嚴(yán)重滯后。下面的幾個(gè)例子可以說(shuō)明這個(gè)問(wèn)題。首先，我發(fā)現(xiàn)大多數(shù)的個(gè)人防火墻沒(méi)有用處。什么是一個(gè)好的防火墻，如果問(wèn)一個(gè)沒(méi)有經(jīng)驗(yàn)的用戶“你想允許微軟MAPI協(xié)議嗎？”用戶應(yīng)該說(shuō)什么呢？想？不想？如果你回答錯(cuò)了，你可能會(huì)阻擊一個(gè)重要的服務(wù)，也可能會(huì)給攻擊者敞開大門。

一個(gè)更嚴(yán)重的問(wèn)題是網(wǎng)絡(luò)釣魚欺詐。這可能是最難防御的。基本上，如果有人能夠利用網(wǎng)上的假表格來(lái)騙你輸入你的銀行賬戶密碼，或者甚至通過(guò)電話能得手的話，那么這無(wú)疑會(huì)成為id盜賊的欺詐方法。為什么這個(gè)很難防御呢？因?yàn)檫@涉及到人的因素。現(xiàn)在你不可能控制或者知道這種花招是否是在行騙，如果你只用密碼進(jìn)行認(rèn)證的話那么就遭了。就算是你在銀行網(wǎng)站使用兩重因素認(rèn)證系統(tǒng)，你還是可能會(huì)把有價(jià)值的信息（比如你的社保號(hào)碼）泄露給錯(cuò)誤的人。

可用性

安全措施必須能夠使用才能成功。最好的安全是切斷所有的鏈接，然而這是極端的做法，而且一點(diǎn)用也沒(méi)有。所有，配置簡(jiǎn)單和使用簡(jiǎn)單是讓他安全的東西。畢竟，如果你不能或者將來(lái)不能使用它，也就沒(méi)有安全性可言了。

我腦袋里馬上想到的一個(gè)例子就是入侵檢測(cè)系統(tǒng)（IDS）。雖然這個(gè)系統(tǒng)很重要，但是很多人已經(jīng)不用他們了，因?yàn)樗麄儠?huì)產(chǎn)生太多的輸出和日志。所以，這個(gè)解決方案不是非常的有效，除非你有足夠的帶寬來(lái)查看所有的這些日志。類似的，很多入侵防護(hù)措施和數(shù)據(jù)丟失防護(hù)措施會(huì)產(chǎn)生錯(cuò)誤肯定，因此可能阻止授權(quán)的網(wǎng)絡(luò)流量。這就是為什么很多公司不會(huì) “成行的(in-line)”使用他們。通常情況下，只有最基礎(chǔ)的、最明顯的流量是通過(guò)“成行的”進(jìn)行控制的，其余大多數(shù)流量只是寫入日志以便管理員日后查看。很明顯，這也不是一個(gè)理想的方案。

總結(jié)

上面所講的內(nèi)容都是說(shuō)起來(lái)容易做起來(lái)難。安全是難以捉摸的，而且一直在變化。然而，在做安全決定的時(shí)候記住這些原理是非常有幫助的。好好的確認(rèn)你的問(wèn)題，找到最薄弱環(huán)節(jié)，符合行業(yè)標(biāo)準(zhǔn)，盡量減少用戶的參與并且盡量讓使用變得簡(jiǎn)單。