如果安全是一個(gè)過程(確實(shí)如此)，那么理所當(dāng)然的，不同的項(xiàng)目(及其貢獻(xiàn)者)的情況各有不同。有些應(yīng)用程序經(jīng)歷了多年的安全測(cè)試，由在信息安全領(lǐng)域工作了幾十年的人員所設(shè)計(jì)。而另外一些則是由開發(fā)人員在他們的第一個(gè)開源項(xiàng)目中開發(fā)的全新項(xiàng)目。毫不奇怪，這十大安全文章囊括了代表這一范圍的經(jīng)驗(yàn)。我們有介紹基本安全實(shí)踐的文章，也有深入探討更高級(jí)主題的文章。

[[311709]]

無論你是新手還是想要增加你在傳奇職業(yè)生涯中獲得的技能，2019 年十大安全文章中都有適合你的內(nèi)容。

《安全強(qiáng)化你的 Linux 服務(wù)器的七個(gè)步驟》

安全如舍，地基不牢，房屋不穩(wěn)。Patrick H. Mullins 的杰作《 安全強(qiáng)化你的 Linux 服務(wù)器的七個(gè)步驟 》讓你從 Linux 服務(wù)器的基本安全步驟開始。即使你有很多管理服務(wù)器的經(jīng)驗(yàn)，本文也提供了一個(gè)很好的清單以確保你掌握了基礎(chǔ)知識(shí)。在此基礎(chǔ)上，你可以開始添加額外的安全層。

《使用防火墻讓你的 Linux 更加強(qiáng)大》

七步捍衛(wèi)你的 Linux 服務(wù)器中的一步即是啟用防火墻。但什么是防火墻，它是如何工作的呢? Seth Kenlon 在《 使用防火墻讓你的 Linux 更加強(qiáng)大 》一文中回答了這些問題，然后詳細(xì)描述了為了更好的安全性應(yīng)如何配置你的防火墻。使用 firewalld 與 Network Manager，你可以為不同的網(wǎng)絡(luò)設(shè)置不同的防火墻配置。例如，這允許你在家庭網(wǎng)絡(luò)上進(jìn)行信任配置，并在你最喜歡的咖啡店的 WiFi 網(wǎng)絡(luò)上進(jìn)行更多疑的配置。

《用集中日志減少安全風(fēng)險(xiǎn)》

保護(hù)系統(tǒng)安全，只有開始，沒有結(jié)束：安全是一個(gè)過程而不是狀態(tài)。保持系統(tǒng)安全工作的一部分即是密切關(guān)注所發(fā)生的事情。集中化日志是實(shí)現(xiàn)這一點(diǎn)的一種方法，尤其是在管理多系統(tǒng)時(shí)。在《 減少集中日志的安全風(fēng)險(xiǎn) 》中 Hannah Suarez 分享了要如何開始(她這篇文章基于她在 FOSDEM'19 [自由及開源軟件開發(fā)者歐洲會(huì)議] 中的閃電演講)。

《在 SSH 中使用 GPG 密鑰》

大多數(shù)人都會(huì)為 SSH 的密鑰認(rèn)證使用 SSH 密鑰。為什么不呢?畢竟 SSH 就在名字里。從安全的角度來看，這些方法非常好。但若想簡化某些形式的密鑰分發(fā)與備份還有另一種方法，Brian Exelbierd 的三部曲系列介紹了《 如何啟用使用 GPG 子鑰的 SSH 訪問 》、《 如何導(dǎo)入現(xiàn)有 SSH 密鑰 》、《 如何將備份量減少到單個(gè)密鑰文件 》

《使用 Seahorse 圖形化管理 SSH 密鑰》

并不是所有人都喜歡用 GPG 作為 SSH 密鑰，但這并不意味著你在密鑰管理上會(huì)不順利。Seahorse 是一個(gè)在 GNOME 桌面中用于管理 SSH 密鑰及其他身份驗(yàn)證方法的圖形化工具。Alan Formy-Duval 的《[使用 Seahorse 圖形化管理 SSH 密鑰》對(duì)新手用戶特別有幫助。

《安全掃描你的 DevOps 流程》

如今到處都是容器。但它們?nèi)菁{著什么?了解容器滿足你的安全策略是保持安全性的重要部分。幸運(yùn)的是，你可以使用開源工具來幫助自動(dòng)化合規(guī)檢查。Jessica Cherry(原名: Repka)的《 安全掃描你的 DevOps 流程 》是一個(gè)循序漸進(jìn)的教程，向你展示了如何使用 Jenkins 構(gòu)建系統(tǒng)和 Anchore 檢查服務(wù)為容器鏡像和注冊(cè)庫創(chuàng)建掃描流程。

《4 種開源云安全工具》

云服務(wù)的一大優(yōu)點(diǎn)是你的數(shù)據(jù)可以從任何地方訪問。云服務(wù)的一個(gè)缺點(diǎn)是你的數(shù)據(jù)可以從任何地方訪問。如果你使用的是 “-as-a-Service”(LCTT 譯注: 某某即服務(wù)，如 IaaS、PaaS、Saa)產(chǎn)品，那么你需要確保它們是經(jīng)過安全配置的。Anderson Silva、Alison Naylor、Travis McPeak 和 Rich Monk 聯(lián)合推出《 4 種開源云安全工具 》以幫助在使用 GitHub 和 AWS 時(shí)提高安全性。如果你正在尋找被不小心提交的機(jī)密信息，或嘗試從一開始就阻止這些機(jī)密信息被提交，這篇文章提供了工具。

《如何使用 OpenSSL：哈希、數(shù)字簽名等》

許多信息安全是基于數(shù)學(xué)的：特別是用于加密數(shù)據(jù)和驗(yàn)證用戶或文件內(nèi)容的加密函數(shù)。在《 開始使用 OpenSSL：密碼學(xué)基礎(chǔ) 》中進(jìn)行介紹后，Marty Kalin 深入討論了《 如何使用 OpenSSL：哈希、數(shù)字簽名等 》的細(xì)節(jié)，解釋了如何使用 OpenSSL 實(shí)用程序來探索這些常用但不常被理解的概念。

《使用樹莓派和 Kali Linux 學(xué)習(xí)計(jì)算機(jī)安全》

廉價(jià)硬件與開源軟件構(gòu)成了一個(gè)很好的組合，特別是對(duì)于那些希望邊做邊學(xué)的人來說。在《 使用樹莓派和 Kali Linux 學(xué)習(xí)計(jì)算機(jī)安全 》這篇文章中，Anderson Silva 介紹了面向安全的 Kali Linux 發(fā)行版。這是一篇短文，但它滿是關(guān)于文檔和安全相關(guān)項(xiàng)目的有用的鏈接，你可以在自己的樹莓派上使用它們。

《量子計(jì)算會(huì)打破現(xiàn)有的安全體系嗎?》

這篇文章的余下部分是浪費(fèi)嗎?量子計(jì)算會(huì)讓我們對(duì)安全的所知變得過時(shí)嗎?好消息是：回答是否定的，但是量子計(jì)算仍然可以在更廣泛的范圍內(nèi)對(duì)安全和計(jì)算世界產(chǎn)生深遠(yuǎn)的影響。在《 量子計(jì)算會(huì)打破現(xiàn)有的安全體系嗎? 》一文中，Mike Bursell 剖析了它好壞兩方面的影響，當(dāng)然，量子計(jì)算可能會(huì)讓加密的破解變得更容易，但如果壞人一開始就無法獲得你的數(shù)據(jù)，那也沒有關(guān)系。

展望 2020

安全永遠(yuǎn)是重要的，(正如那篇量子計(jì)算文章所建議的)未來幾年將是該領(lǐng)域的一個(gè)有趣時(shí)期。在 2020 年，我們的文章將著眼于開源安全的前沿，并幫助向不斷增長的開源社區(qū)解釋基礎(chǔ)知識(shí)。如果你有一個(gè)你想要我們報(bào)導(dǎo)的主題，請(qǐng)?jiān)谠u(píng)論中分享它，或者更進(jìn)一步 —— 如果你想寫一篇文章，就寫給我們吧。