More than one billion people were affected by the loss of personal data through 13 data breaches at 11 different companies in the past year, according to personal virtual private network service provider NordVPN.

The biggest breach of the year exposed the data of half a billion customers of the Marriott hotel group’s Starwood properties , including the St Regis, Westin, Sheraton, Aloft, Le Meridien, Four Points and W Hotel brands.

Marriott said hackers had broken into its booking system and accessed customer data over the past four years. Stolen data included customers’ names, addresses, phone numbers, card numbers, passport numbers and even information about where and who they were traveling with.

“Because this information wasn’t used for any known financial gains or identity thefts, there are rumours that it could have been a state-sponsored attack,” said Daniel Markuson, digital privacy expert at NordVPN

“As a former British intelligence officer said, the aim of this attack could have been to get valuable information on spies, diplomats and military officials who have stayed in Marriott hotels over the years. It is strange that the attack remained unnoticed for such a long time and that none of the information was monetised.”

The second largest breach was at Twitter, affecting 330 million users when a software bug exposed passwords in plain text.Twitter said there was an issue with its password hashing system, which failed to encrypt passwords and was saving them in plain text.

“Twitter’s investigators claimed that no one had actually accessed the data, but if any of the affected accounts had been hacked, their passwords would have been visible to the attacker,” said Markuson. “Their information could then be used to access other accounts.”

Twitter advised a number of users to change their passwords as a precaution and said the bug had been fixed.

Next up is My Fitness Pal , a food and nutrition app owned by Under Armour, which leaked the data of 150 million users.

“Once the company noticed the breach, it notified its users in almost record time compared with other companies of just four days,” said Markuson.

Under Armour said hackers accessed usernames, email addresses and hashed passwords, but other information, such as credit card numbers, was not compromised because it was stored separately from generic user information.

It is still unknown how hackers broke into the systems, but Under Armour said it was working with data security firms to investigate the attack and take precautionary measures to avoid further break-ins.

Firebase, a Google-owned development platform, leaked the sensitive information of over 100 million users during the year. “The platform might not be well known to everyone, but it is widely used by mobile developers,” said Markuson.

Appthority researchers scanned 2.7 million iOS and Android apps that connect to, and store, their data on Firebase. They found that more than 3,000 of those apps were connected to a misconfigured database that could be accessed by anyone.

“These apps with ‘leaky back-ends’ had been downloaded on the Google Play Store over 620 million times and could have exposed highly sensitive data, including user IDs, plaintext passwords, users’ locations, bank details, bitcoin transactions, social media accounts and even health records,” said Markuson.

The question-and-answer website Quora was also hacked, putting 100 million users at risk . Quora representatives said they had noticed that a “malicious third party” had accessed sensitive information on the database. Compromised data included users’ names and IP addresses to their Q&A history, access tokens and private messages.

“Quora claimed that none of its partners’ financial information or any anonymous Q&As had been affected,” said Markuson. “The attack is under investigation, and no further comments have been made by the company.”

My Heritage, a company that can test people’s DNA to find their ancestors and build their family trees, leaked the email addresses and hashed passwords of more than 92 million users.

The attack was noticed in June when the company’s security researcher found users’ data sitting in a private server that does not belong to the company.

My Heritage said the most sensitive user data, such as DNA information and family trees, is stored on separate systems that were not compromised.

One of the biggest brands hit by data breaches in 2018 was Facebook, with 147 million accounts exposed in three breaches.

The first came to light in March, when it emerged that political consulting firm Cambridge Analytica was given permission to use more than 50 million Facebook profiles for “research purposes”, but instead collected user information to create psychographic profiles to influence the US presidential campaign in 2016.

“This data mining and data analysis company was employed by Donald Trump and helped him shape and predict the votes,” said Markuson.

Then, in September, Facebook hit the headlines again when it compromised the security of almost 90 million users . A bug in Facebook’s “View As” feature was discovered that could be used to steal users’ access tokens, which keep the user logged into a website or an app during a browsing session.

“Access tokens do not save the user’s password, so Facebook logged out everyone potentially affected to restore the security,” said Markuson. “However, hackers still managed to steal usernames, genders, and information about their home towns.

“Facebook claims that, so far, it has not noticed any suspicious behaviour on compromised accounts. However, this doesn’t mean this data won’t be used at a later date.”

In December, user confidence in Facebook was shaken even further when another bug was announced.“It appears that hundreds of third-party apps had unauthorised access to seven million users’ photos,” said Markuson. “Worst of all, these included pictures people might have started uploading but never posted.

“It is unknown whether anyone had seen these photos or used them in any malicious way. However, this shows how much data Facebook collects and how little control they have over their cyber security.”

Although Uber admitted in November 2017 that it had covered up a data breach in 2016 that affected 57 million customers and drivers , Markuson said the company is worth a mention because of the resultant fines in 2018.

“Lack of communication with its users and failing to follow the procedures of the ‘bug bounty reward scheme’ resulted in Uber receiving a hefty fine of$148m in the US and385,000 in the UK,” he said.

【编者按】“星融网”网络规模庞大、组成结构复杂、拓扑变化频繁，涉及卫星系统、临近空间平台、地面网络等不同的层面，因此，必须设计科学、合理、可扩展的网络体系结构，才能满足未来网络部署和应用的需求。本文围绕“星融网”安全体系结构设计的问题，从安全保障体系、安全协议体系、安全机制分析三方面提出未来“星融网”网络安全体系结构设计的构想。

“星融网”在未来的重要地位使得其具有极高的安全性要求，为了保障空间通信和应用的安全性，必须在整个网络的架构中贯穿并融合安全体系结构的设计。在安全体系结构的研究中，需要根据“星融网”网络的特点和典型应用，深入分析来自不同方向和层次的网络攻击行为，总结“星融网”可能面临的安全威胁，从不同角度探讨“星融网”网络的安全需求，结合网络通信协议，从整体上定义安全服务、安全机制等元素以及元素之间的关系，并针对不同的协议层次建立适当的安全机制和安全策略。安全体系结构的设计是一个循序渐进的过程，需要和其它的网络技术相互协调并进行联合设计，促进整个“星融网”网络架构的不断完善。

本文从安全保障基础设施、安全协议和安全机制三个方面，对“星融网”安全体系的框架结构进行分析。首先应建立层次化的安全保障基础设施，为整个“星融网”网络中的通信安全和端系统安全提供基本的保障；然后分析“星融网”网络通信协议栈每一层中可能使用的安全协议和安全机制，为通信协议的运行安全建立指导原则；最后针对空间组网中可能面临的安全问题，提出主要的安全机制在具体设计与实施时需要遵循的原则和基本的安全解决方案。

从技术层面上讲，“星融网”的安全技术保障结构未来可分为应用环境安全、应用区域边界安全、网络和通信传输安全、安全管理中心和密码管理中心五个环节，即在两个中心支持下的三重保障体系结构。

“星融网” 安全保障体系结构

应用环境安全：应用环境包括空间段设备、地面段设备、用户段设备、以及其中运行的各种指挥控制系统软件、管理软件、应用软件和安全防护软件等，共同构成可信的系统应用环境。“星融网”可能面临各种安全威胁，因此必须根据空间任务的安全需求，合理高效地采取身份认证、访问控制、数据加密、安全审计、入侵检测、容错、灾难恢复等机制，并严格各种安全管理制度以保证应用环境的安全。

应用区域边界安全：通过部署边界保护措施控制对卫星网络、临近空间网络以及地面网络等骨干网络的访问，保证“星融网”网络系统的安全。由于空间链路的特点，“星融网”网络中并不存在明显的网络边界，但这也意味着任何一个骨干网络节点都是网络的边界，需要通过采取安全接入、安全网关、防火墙等隔离过滤机制，将“星融网”与非法的接入节点隔离。

网络和通信传输安全：包括实现卫星网络、临近空间网络与地面网络内部以及两两之间的互联安全，确保通信的机密性、完整性和可用性。采用数据加密、完整性校验和实体鉴别等机制，实现可信的安全连接；根据“星融网”的安全需求，分别在物理层、链路层、网络层、传输层和应用层实施安全机制以达到安全的信息传输。在具体实现时，每一层都可进行身份认证和密钥交换，如在网络层采用IPSec协议，传输层使用S SL或T L S协议，从而保证通信数据的保密性和完整性，并能抵抗重放攻击、鉴别数据的来源。

安全管理中心：提供卫星网络、临近空间网络和地面网络中节点和子网的接入认证、授权、访问控制策略等服务；建立授权管理基础设施PMI(Privilege Management Infrastructure)，由PMI负责向应用系统提供相关的授权服务管理；除此之外，安全管理中心还负责对安全策略的建立、配置、实施和变更进行管理。

密码管理中心：提供互连互通的密钥配置、公钥证书和传统的对称密码管理，为“星融网”提供密码服务。通过建立层次型的密码管理中心，为“星融网”的骨干节点和各级用户提供安全机制所需的密钥的全生命周期管理。其中，公钥基础设施PKI提供对用户证书的颁发、索引、认证等公钥相关服务，密钥管理基础设施KMI(Key Management Infrastructure)包括密钥生成服务器、密钥数据库服务器和密钥服务管理器等组成部分，提供统一的密钥管理服务。

“星融网”安全体系结构具有综合防护、多层立体设计的特点，在协议栈各层都有适当的安全机制，并且各层之间并不一定独立，可以存在反馈信息，由位于各层的多种安全防护系统共同构成安全保障体系结构。

参考OSI安全分层及各层的安全服务配置，并考虑网络的特点，“星融网”安全服务在各层的分配应遵循以下基本原则：实现同种安全服务的不同方法越少越好；在多个协议层次上提供安全保护；只要一个实体依赖于低层实体提供的安全机制，那么任何中间层安全机制不能违反低层安全机制的要求；考虑各层的相关性，不孤立地研究各层的安全性。

根据空间任务的实际安全需求，安全服务可以在“星融网”网络协议中的一个或多个层次上实施。“星融网”的协议栈分为物理层、链路层、网络层、传输层和应用层，按照上面的原则，各层提供的主要安全服务可以配置如下:

物理层：提供连接机密性、业务流机密性服务，提供完整性和可用性服务；

数据链路层：提供连接机密性和无连接机密性服务，同时提供完整性、可用性和认证服务；

网络层：可以在一定程度上提供认证、访问控制、机密性和完整性服务；

传输层：可以提供认证、访问控制、机密性和完整性服务；

应用层：必须提供所有的安全服务，并且也是唯一能提供不可否认性服务的协议层次。

根据“星融网”网络的特点和空间应用的要求，本文提出了分层立体的安全体系结构模型和安全协议框架。但是，这种严格分层的体系结构使得网络协议的设计缺乏足够的适应性，不符合网络动态变化的特点，往往可能使网络的性能无法得到有效的保障。为了满足“星融网”的特殊要求，可以采取跨层设计的思想，设计一种能够在协议栈的多个层次支持自适应和性能优化的跨层安全体系结构，综合利用各层的信息，避免重复的操作或功能模块，有可能显著地提高网络的综合性能。不过，跨层设计的安全协议也破坏了传统协议层次的抽象、透明的特点，不可避免地存在与现有协议的兼容性问题，并且增加了网络管理的复杂性。因此，在进行跨层的安全体系结构和安全协议设计时，需要在性能、兼容性和可维护性等指标之间进行综合权衡，并且应慎重决策。

为了实现“星融网”网络间的各项安全服务，必须综合应用包括认证、加密、数据完整性、访问控制等主要安全机制，形成多层次全方位的安全技术防护体系，保障“星融网”的通信安全和应用安全。

在“星融网”的主要应用和大部分安全协议中，认证机制是实现真实性安全服务的基本手段。认证机制是通过密码或其它技术使得一个实体向另一个实体证明某种声称的属性的过程，其目的是阻止假冒攻击，防止非授权节点接入和访问网络。认证机制一般体现为通信双方交互的认证协议，可进一步分为实体认证(身份认证)协议、数据源认证、认证及密钥交换协议等。认证机制的实现主要涉及加密算法、数据完整性算法和数字签名算法等密码学方案。

“星融网”的军事应用对认证机制提出了更高的要求，不仅对认证过程本身的安全性要求很高，而且要求认证速度快，信息传输量尽可能地少；另外“星融网”是一个多层次的异构网络，需要频繁地进行跨域认证、重认证以及异构网络认证，要求认证过程具有高效性和可扩展性。因此，在“星融网”应用中，应根据不同具体应用的场景、安全需求和安全级别，设计高速接入认证，跨域认证与异构网络认证等不同的认证方案和协议。

由于“星融网”军事应用的高安全性要求，必须保证敏感信息的机密性，防止非授权用户得到传输信息的内容。信息加密机制是保证信息机密性的唯一方法，是“星融网”中的一项基本安全机制。

一般来说，“星融网”中密码算法的选择应遵循安全强度高、加解密速度快、算法易于实现等基本原则，只有这样，才能满足空间应用对密码算法的安全性和实时性要求。对称密码算法和公钥密码算法均存在一些优势和局限性，应根据这两种密码算法的特点，结合具体空间应用或网络协议的安全需求，选择最适合的密码算法。在“星融网”网络安全体系结构中，两种密码算法是互相补充、互相配合的关系。在某些需要提供认证、签名或者密钥加密等功能的场合，宜采用公钥密码算法，可以在RSA、ECC(椭圆曲线密码学)、IBC(基于身份密码学)等密码方案中进行选择；而在需要高速加密运算的场合下，则宜采用对称密码算法，可以在DES、AES、RC4等分组密码算法或流密码算法中进行选择。

在空间网络环境下，实现传输数据的完整性校验可以借鉴地面网络中的方法，但必须结合“星融网”通信的特点，特别是减少通信开销。单个数据单元的完整性可以通过完整性校验字来实现，也可以使用单向杂凑函数方案；而数据流的完整性通常采用包的序列号和时间戳来实现。HMAC、各种数字签名方案均为典型的数据完整性方案。

在设计空间网络中具体的完整性方案时，还需要对传输的数据进行分类，如可简要地分为控制数据(信令、指令)和用户数据(普通用户数据、敏感用户数据)等。由于不同类型的数据在数据长度、完整性需求等方面也不尽相同，必须针对不同的数据类型分别设计相应的数据完整性保护方案。例如，对于控制数据，重放攻击带来的危害最为严重，因此必须保证控制数据包的序列号、新鲜数或时间戳的完整性；对于用户数据，最严重的威胁可能来自于对数据内容的篡改，因此必须保证用户数据包整体的一致性。因此，对于控制数据，由于数据量小，实时性要求高，可以使用基于对称密码算法的完整性机制；对于用户数据，由于数据量大，可以采用基于杂凑函数的数据完整性机制；而对于安全性更高的数据，则可采用基于公钥密码算法的方案。总之，对于“星融网”网络中传输的各种不同的数据类型，需要根据实际情况进行合理分析，选择并使用最适合的数据完整性机制和算法。

访问控制是针对非授权使用者越权使用资源的防御措施，其目的是限制访问主体(用户、进程、服务等)对访问客体(文件、系统、资源等)的访问权限，使系统在合法范围内使用，保证各类网络资源不被非法访问和使用。访问控制是“星融网”中最重要的安全机制之一。

一般来说，访问控制机制和策略没有优劣的区别，只是在某些方面具有更好的安全性保护，或者说更适合于某种场合。在“星融网”中，不同的系统有不同的安全需求，对一个特定系统的访问控制策略并不一定适用于其它系统。因此，必须根据“星融网”具体应用的特点和安全需求，选择最适合的访问控制机制。另外，由于可能存在几种访问控制策略共同实施的情况，还必须考虑不同策略的整合方法，实现策略之间的信息交换。

本文针对“星融网”未来建设中网络体系结构可能存在的风险，提出“星融网”安全体系结构设计构想，从安全保障体系、安全协议体系、安全机制分析三方面研究“星融网”安全体系结构，找准网络体系结构设计的关键环节，为下一步开展“星融网”安全防护方案和关键技术研究奠定了基础。

本文刊登于《网信军民融合》杂志2018年11月刊

声明：本文来自网信军民融合，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如需转载，请联系原作者获取授权。

当地时间2018年12月27日，德国莱比锡，第35届C3混沌通信大会在当地举行。来自世界各地的1.6万余名黑客、行业研究人员、数字技术爱好者等宾客济济一堂，就计算机隐私、安全、伦理、社会问题以及与数字技术相关等问题举行研讨会。

小贴士：欧洲黑客大会始于1984年，由欧洲最大的黑客联盟组织――德国混沌电脑俱乐部主办，所以称之为混沌通讯大会（Chaos Communication Congress）。该会议主要研讨计算机和网络安全问题，旨在推进计算机和网络安全。大会开始多是热爱计算机的黑客参与，之后不断吸引科学家、安全专家和计算机爱好者参加。

在本届混沌通讯大会（35th C3）上，名为Wallet Fail的三人团队表示，他们可以通过不同技术手段黑进市面上的加密货币冷钱包，并且以常见的冷钱包品牌为例，在台上演示了整个破解过程，其中包括Ledger以及Trezor等知名钱包。该团队分别从四个层面归纳了冷钱包的攻击方式：供应链层、固件层、信道层和硬件芯片层。

接下来，链壳团队向各位读者介绍攻击的详细情况：

一、针对钱包销售环节发起的攻击：

攻击目标：卖给个人用户前，在渠道商和销售商手中的冷钱包

攻击范围：有外壳的冷钱包

实施成本：低

危害范围：小

攻击原理：在冷钱包中植入监听设备

造成后果：获取用户注册时的助记词、冷钱包密码等

攻击步骤：

1、使用电吹风完整取下防伪激光标备用

2、被取下防伪标的设备留下实施攻击，然后继续投递给用户以免耽误快递引起疑心。（此类情况已大量出现）

3、一个冷钱包，拆开外壳暴露出主板

4、准备一个大小合适的监听设备，如图

5、将监听设备焊接在冷钱包主板上，准备重新盖上外壳

6、外壳盖好后，可继续销售给最终用户，但是这个设备已经可以在用户不知情的情况下被无线监听。

二、冷钱包系统驱动攻击

攻击目标：自带嵌入式操作系统钱包

攻击范围：所有冷钱包

实施成本：中

危害范围：中

攻击原理：在钱包启动时更改系统入口，使黑客完全控制冷钱包上所有其他元件控制权，包括存储私钥的安全芯片

造成后果：可直接使用私钥签名交易，盗取冷钱包中私钥所控制资产。

攻击步骤：

1、分析钱包硬件结构

2、分析钱包软件系统架构和指令

3、找到系统启动步骤进行替换

4、完成系统替换，来玩一把贪吃蛇

三、测信道攻击

攻击目标：通过密码控制权限的冷钱包

攻击范围：带有PIN输入界面的冷钱包或热钱包

实施成本：高

危害范围：大

攻击原理：监听PIN输入设备输入PIN时的能量变化，获取PIN验证过程中的能量特征后近场监听获得密码

造成后果：黑客背着包包站在身边就能知道你的“Keystore密码”或者“钱包密码”了。

攻击步骤：

1、将监听设备放在一款钱包旁开始收集信号，随意进行PIN的试探。

这一步可以通过机器人配合来完成

2、分析获取的信号数据，提取密码按键信号特征

3、获取各个按键的信号图样。（“0”和“7”的信号图样，一条黄线，一条蓝线）

4、带着设备等这一款钱包产品用户使用钱包并输入正确密码

5、密码GET

这一类攻击方法在区块链IOT设备上同样适用！

四、芯片配置时攻击

攻击目标：冷钱包

攻击范围：所有用户密码验证由MCU控制的冷钱包

实施成本：中

危害范围：大

攻击原理：在冷钱包启动时记录所有存储加载的数据，分析数据获得钱包密码

造成后果：冷钱包被窃后黑客比用户更快的转移钱包私钥控制的资产。

攻击步骤：

1、分析钱包硬件结构

2、找到和记录启动时内存中跑的数据

黑客只需有这样简陋的设备

3、将数据分析整理后输出成文件。（现场演示的破解只需要在数据里查找类型为 “string”的数据，看到1234了吗，这就是钱包密码）

冷钱包一直在业界被认为是最安全的钱包解决方案。实际冷钱包的设计和制造也有多种实现方式和解决方案。在众多方案中，MCU控制输入输出，SE（SecureElement）存储私钥又被认定是最安全的。

但通过Wallet Fail在混沌通讯大会上的展示，我们可以看出冷钱包的安全漏洞贯穿产品的全部组成模块和生命周期。当前的众多冷钱包并没有实现整体的设备安全目标。

区块链行业的设备安全是链壳科技团队一直一来专注的方向。我们来自金融行业设备安全厂商、阿里IoT安全厂商，长期面向银行、物联网等行业提供密钥安全产品和服务。也参与编写多个国家级、行业级密码系统和产品规范的制定，设计和实施了多种应用于各个领域的创新密码产品。

链壳科技旗下安全实验室BitLab是由一支技术实力过硬的密码设备产品安全测试团队组成。

团队拥有丰富的密钥软硬件产品攻击经验；

实施过多款硬件安全芯片、软件、APP、系统和手机安全方案的攻防；

拥有行业顶尖的攻击设备和技能，能够实施侵入式攻击和非侵入式攻击，包括激光注入、侧信道攻击等等；

攻破过多个金融级别PC、手机软件应用和USB、IC卡形态的安全芯片硬件产品。

由于设备安全领域专、门槛高，一直一来被区块链从业人员所忽视。链壳认为区块链安全是代码安全、合约安全、网络安全、密钥安全与设备安全共同组成，也愿与区块链同行们一同构建数字资产保护的新标准。

重要通知！！！想知道自家钱包会不会被攻破吗？想证明自家钱包不会被攻破吗？

链壳科技与数链评级共同发布的“更安全的设备钱包”评选活动已正式启动，软件钱包、冷钱包、交易所钱包均可报名参加一展安全技术实力。

链壳科技提供的设备钱包服务包括：

1.为加密货币硬件钱包厂商提供硬件漏洞筛查服务，可重现攻击并给出解决方案。

2.为丢失了密码或助记词的冷钱包个人用户提供有偿恢复服务。

详情请发信至Info@chainshells.com或Seven15811133310

数链评级提供的评级服务包括：

1.提供区块链项目、企业、交易所、DAPP以及数字资产钱包的评级服务。

2.评级报告发布渠道包括30多家行情交易平台和行业主流媒体（www.shulianratings.com）。

详情请发信至rating@gongxiangcj.com或18317095316（微信同号）

密码朋克奠定了互联网的许多底层技术和通信协议，从 RSA 到 HTTPS，从 Tor 到区块链。上一篇聊了暗网，这次我想聊聊它背后的密码学。

密码学远不是一篇文章可以聊清楚，大概连当目录都不够。因此，我的目标仅仅是，写一篇小学生也能懂的密码学入门。

看过一个有意思的说法，宇宙如此纷繁，但归根结底就是三件事：信息、结构和通信。物质则是一种结构化的信息。

整个宇宙无尽的信息汪洋中，万物有无数种通信方式。而人类，进化出眼睛、耳朵、鼻子、舌头等接口与外界进行信息交换，导致神经系统或细胞物质的变化，再由大脑解码分析出外界的信息，从而达到通信的目的。

另一方面，毕竟人类不能像阿凡达一样，可以通过头发接入神树来与同类进行通信。建立在通信需求上，则产生了语言，而非面对面通信的需求又进一步产生了文字。

借由文字，我们可以做到跨越时间和空间的通信，例如各种古代器物上的铭文。

（西周 散氏盘 局部）

在摩尔斯电码中，字母「A」使用「-」表示。

在 ASCII 码中字母「A」使用十六进制数「0×41」表示。

在 Unicode 码中汉字「山」使用十六进制数「0x5c71」表示。

密码，本质就是信息的非标准编码。

古代密码术通常使用两类方案进行加密：

符号替换法

顺序改变法

如先秦兵书《太公兵法》就有记载使用「阴符」进行军队通信，就是通过特定长度的「符」来表示不同的信息，属于符号替换法。

大胜克敌之符，长一尺；

破军擒将之符，长九寸；

降城得邑之符，长八寸；

却敌报远之符，长七寸；

警众坚守之符，长六寸；

请粮益兵之符，长五寸；

败军亡将之符，长四寸；

失利亡士之符，长三寸。

同样在公元前，古希腊时期，斯巴达军队捕获了一名从波斯帝国回雅典送信的雅典信使。可搜查了好大一阵，除了从他身上搜出一条布满杂乱无章的希腊字母的普通腰带外，别无他获。斯巴达军队统帅莱桑德百思不得其解，直到有一天，无意中把腰带缠绕到剑鞘上，杂乱的字母竟组成了一段文字，因此获得了情报取得了战争的胜利。

这就属于加密方案中的顺序改变法。

经过近年来谍战片的熏陶，密码学这个词，在大众的认知里，往往和「战争」和「情报」等关键词联系在一起。相关从业人群的桌面大概是这个画风。

（电报发报机）

事实也确实如此，尤其是在20世纪的两次世界大战中。由于无线电和摩尔斯电码的问世，密码学也迎来了空前的繁荣。数学开始深刻地参与到密码学，也逐渐发展出了现代密码学。

「加密」与「破译」成为信息保密传输与情报获取的激烈对抗领域，双方斗智斗勇。其中，最著名的就是一战时期，英国成功破解德国「齐默尔曼电报」，使美国放弃中立地位而对德宣战，最终以英国为首的协约国赢得了战争胜利。

二战时期，纳粹德国启用了著名的「恩尼格玛」密码机，一时，盟军完全无法破解出德国的情报。直到密码学家组合「波兰三杰」及图灵为破解恩尼格玛作出巨大贡献，为盟军破解了大量德军的情报。

从设 电报发报机 备可以看出，这个阶段，密码学已经进入机械化阶段。

进入计算机时代，终于迎来了密码学的黄金时期。同时，诞生了一些极重要的理论，例如后面会重点介绍的消息摘要、非对称加密。这些算法需要较强的计算能力支持，在没有计算机的时代难以应用。同时，也正是这些密码学理论奠定了互联网的底层安全特性。

（电影《黑客帝国》剧照）

说到密码学，普通人想到的多是前面提到的摩尔斯电码、移位加密、字符替换之类。在一些小说里，「字母 e 在英文里出现频率最高」这种基本的破解方法很多人也都耳熟能详。

但真正说到密码学研究什么，大家其实都比较陌生。密码学关注的事情主要有两点：

加密解密的数学算法本身

如何在现有算法基础上实现各种安全需求

这两点的差别是什么呢，以防止「消息泄漏」举例，我们首先想到的防止消息传输过程被第三方截获，比如说话被偷听、邮件被偷看、网络数据被截获。而事实上，小偷是防不住的，但我们可以保证数据被偷到了也没有用，只需要双方事先约定一套加密解密的方法，以密文的方式传输信息，就可以很好地防止信息泄漏。

但有时候「消息泄露」的内涵要更复杂，加密算法的方案并不适用。

考虑这样一个情形：公司某小组有 8 个员工，他们想知道组内平均月薪是多少，但是大家都不愿意透露自己的月薪数额，公司制度也不允许讨论薪水。有什么办法可以得出答案又不泄漏薪水数额？

其实办法很简单，甚至不需要用到密码学知识：

就这样，没有人泄漏敏感信息又得到了需要的结果，还没有违反公司制度！

以上两种情况分别对应了密码学的两个研究方向，可以看到，密码学不仅研究加密解密的数学算法。更多的时候，密码学研究保护信息安全的策略，我们称之为「协议」。

《一代宗师》中，叶问靠咏春三板斧「摊、膀、伏」闯关金楼。

（电影《一代宗师》剧照）

在密码学中也有类似的三板斧，对于科普读者来说，无论是希望理解 HTTPS 、暗网，还是比特币等密码学应用，其实只需要理解三个概念：

单向散列（Hash）

对称加密

非对称加密

下面逐一解释：

现在设想这样一个场景：周末公司有临时事务要加班， Alice 和 Bob 商量谁去处理，但大家都不想去。于是 Bob 想了一个办法，说：「我扔一个硬币，你猜是正面还是反面？如果猜对了，我就去加班。如果猜错了，嘿嘿 …… 」。

如果 Alice 和 Bob 此时是面对面在一起，那么这个策略可以说相当公平，甚至可以用更简单的办法做到，两人玩一盘石头剪子布就好了。可是如果他们是通过网络聊天在商量呢，那 Alice 显然不会同意这个办法，因为她担心自己无论猜正面还是反面， Bob 都会说她错了。

有没有办法在网络聊天也能做到公平扔硬币呢，有人会说，那我们给扔硬币的结果加个密吧。现在假设任意奇数都代表硬币的正面，任意偶数都代表硬币的反面。 Bob 随便想一个数，然后乘以另外一个数，把结果先告诉 Alice ，比如 1234 * 531 = 622254 ， Bob 想的是 1234 ，然后把 622254 告诉 Alice ，并声称另一个秘密数 531 是密钥，由他自己保管。这样显然也不行，因为验证结果的时候， Bob 可以谎报说 1234 才是密钥， 531 是结果，这样 Bob 依然立于不败之地。但是如果 Bob 事先把密钥公布出来呢？这样也不行，因为 Alice 知道密钥后就能直接计算出原文了，便失去了保密作用。

传统的加密方法不能公开的原因是，知道了加密方法也就知道了解密方法，只需要反过来计算就好了。那么，有没有一种加密方法，使得即使知道了加密方法，也不能恢复出原文呢？有的，只需要在加密过程中加入一些不可逆运算就行了。这次 Bob 又设计了一种方案：

假设 Bob 想的依然是 1234 ，按照上面的过程依次得到：

Alice 拿到的结果是 401719 ，既可以验证 Bob 有没有撒谎，同时 Alice 又很难根据 401719 算回 1234 。

但这样也不能 100% 保证 Bob 不作弊，如果 Bob 想作弊，他就必须事先找到一奇一偶两个数，按照上面的运算能得到一样的结果。这个难度取决于上面算法的难度。

在密码学中把这种会丢掉一部分信息的加密叫做「单向加密」，也叫做哈希（ Hash ）算法。 一个可靠的哈希算法至少需要满足下面几个条件：

真实世界的哈希算法比上面的过程要复杂得多，但原理是类似的。而且即使对于很长一段数据，仅仅改变一个字母，也会造成2次哈希结果的巨大差异。被认为安全且在互联网中被广泛使用的哈希算法包括 MD5、SHA-1、SHA-256 、国密 SM3、等。比如「1234」使用 MD5 算法计算的结果是「81DC9BDB52D04DC20036DBD8313ED055」。

这种单向加密算法，并不能用来进行普通的信息传输，更多的是用来进行数据的完整性验证。

对称加密就是大众心里认为的那种加密，使用密码 A 加密，同样使用密码 A 解密。这其实是最符合直觉的一件事情。

比如我向左移动了3米，要回到原点，那么就再向右移动3米就好了。

比如做了个乘法，要还原数字，就做一次同样的除法就好。

传统的密码学其实使用的都是对称加密，无论是移位、变换、混淆、扩散，本质上都可以通过逆运算恢复原始信息。

所以，这块不详细解说，只需要知道这叫做 对称加密 就好。常用的对称加密算法有 DES、3DES、AES、国密 SM4，算法细节本文不细聊。对称加密具有优秀的性能和安全性，关键就在于如何商定密钥，此时就需要下面的非对称加密了。

来看真正要进行秘密信息传输的情况。

假设 Alice 和 Bob 要通过互联网进行一份绝密情报的传输，如何阻止第三方在网络上截获信息？

简介

在过去的两年中，我们一直在系统的收集和分析恶意软件生成的数据包捕获。在此期间，我们观察到，有一种恶意软件是使用基于TLS的加密来逃避检测，而这种恶意软件的样本百分比正在稳步增加。2015年8月，2.21％的恶意软件样本使用TLS，而到了2017年5月，数据增加到21.44％。在同一时间段内，使用TLS但是没有和HTTP进行未加密连接的恶意软件，从0.12％增加到4.45％。

识别加密网络流量中包含的威胁会带来一系列独特的挑战。监控这些流量，使他们不受恶意软件威胁和侵害是非常重要的，这样做也是为了维护用户的隐私。由于在TLS会话时，模式匹配效果较差，因此我们需要开发一种新方法，即能够准确检测恶意软件的通信。为此，我们利用使用流的各个数据包长度，以及到达时间间隔来了解传输数据的行为特征，并使用ClientHello中包含的TLS元数据，来理解传输数据的TLS客户端。 我们将这两种视图结合在一个受监督的机器学习框架中，这样我们便能够在TLS通信中检测已知和未知的威胁。

为了更直观的了解，图1提供了TLS会话的简化视图。在TLS 1.2中，大多数有趣的TLS握手消息都未加密，在图1中我们用红色标记。我们用于分类的所有TLS特定信息都来自ClientHello，它也可以在TLS 1.3中访问。

在这个项目的整个生命周期中，我们一直认为数据是我们成功的核心。我们与ThreatGrid和Cisco Infosec合作，获取恶意包捕获和实时企业数据。这些数据反馈对我们的帮助是巨大的，它能够引导我们的分析，并且发展出最具信息量的流动特征。我们所分析的数据特性是十分有趣的，为了让大家理解有趣在那里，我们首先关注一个特定的恶意软件样本，bestafera，它是著名的键盘记录和数据泄露软件。

通过数据包长度和时间进行行为分析

图2显示了两个不同TLS会话的数据包长度和到达间隔：图2a中的谷歌搜索和图2b中的bestafera启动连接。 x轴表示时间，向上的线表示从客户端（源）发送到服务器（目的地）的数据包大小，向下的线表示从服务器发送到客户端的数据包大小。红线表示未加密的消息，黑线是加密的应用程序数据记录的大小。

谷歌搜索遵循一种典型模式：客户端的初始请求位于一个小的出站数据包中，然后是大量响应，它跨越许多MTU大小的数据包。这几个来回的数据包是谷歌在我还在输入时，自动完成的搜索。 最后，谷歌认为它对我输入的内容有自己想法，所以发送了一组更新的结果。 bestafera与之通信的服务器首先发送一个包含自签名证书的数据包，这可以看作是图2b中第一个向下的细红线。握手后，客户端立即开始将数据泄露到服务器。然后是暂停，服务器定期发送计划命令和控制消息。针对会话内容，数据包长度和到达时间间隔无法提供更深入的见解，但它们确实有助于推断会话的行为方面。

TLS ClientHello消息提供了两个特别有趣的信息，他们可以用来区分不同的TLS库和应用程序。客户端向服务器提供了一个列表，这其中包括在客户端的优先级中订购的合适密码套件的列表。每个密码套件定义了一组方法，例如加密算法和伪随机函数，这些方法将使用TLS建立连接和传输数据。客户端还可以发布一组TLS扩展，它可以向服务器提供密钥交换所需的参数，例如ec_point_formats。

在提供的唯一密码套件的数量和提供的不同子组中，密码套件提供的向量是可以变化。类似的扩展列表也会根据连接的上下文而变化。因为大多数应用程序通常有不同的优先级，所以，在实践中，这些列表可以而且确实包含大量歧视性信息。例如，桌面浏览器倾向于更重的重量，更安全的加密算法，移动应用程序倾向于更高效的加密算法。他默认的密码套件提供与TLS库捆绑的客户向量，而且他通常提供更广泛的密码套件，这样可以帮助测试服务器配置。

大多数用户级应用程序，以及在野外看到的大量TLS连接，都使用流行的TLS库，如BoringSSL，NSS或OpenSSL。这些应用程序通常具有唯一的TLS指纹，因为开发人员会修改库的默认值，这样便能优化它的应用程序。更明确地说，OpenSSL 1.0.1r中s_client的TLS指纹很可能与使用OpenSSL 1.0.1r进行通信的应用程序不同。这也是为什么bestafera的TLS指纹既有趣又独特的原因――它使用OpenSSL 1.0.1r的默认设置来创建其TLS连接。

对于本文，我们关注的是三种数据类型的简单特性：传统的NetFlow、数据包长度以及从TLS ClientHello获取的信息。这些数据类型都是从单个TLS会话中提取的，但我们还开发了包含多个流的特征模型。在训练之前，将所有特征都归一化为具有零均值和单位方差。

我们使用了传统NetFlow中存在的5个功能：流的持续时间、从客户端发送的数据包数、从服务器发送的数据包数、从客户端发送的字节数以及从服务器发送的字节数。

我们创建一个长度为20的特征向量，其中每个条目都是双向流中相应的数据包大小。从客户端到服务器的数据包大小是正数，从服务器到客户端的数据包大小是负数。

我们分析了提供的密码套件列表，以及ClientHello消息中包含的广告扩展列表。在我们的数据中，我们观察到176个独特的密码套件和21个独特的扩展，这导致了长度为197的二进制特征向量。如果密码套件或扩展名出现在ClientHello消息中，则相应的功能设置为1。

所有的结果都使用了scikit-learn随机森林实现。基于我们之前进行的纵向研究，我们将集合中树木的数量设置为125棵，并且将树的每一次分裂所考虑的特征数量设置为特征总数的平方根。随机森林模型使用的特性集由遗留特性、SPL、TLS特性的某些子集组成，具体需要看实验情况。

我们从ThreatGrid的一个企业网络Site1和324,771流量中抽取了1,621,910个TLS流量，然后训练我们的随机森林模型。然后，我们模拟了从单独的企业网络Site2中看不见的数据部署模型，以及在上一个数据集之后的两个月内，收集的恶意软件数据。表1显示了该实验在不同阈值下的结果。0.5是分类器的默认阈值，并且阈值越高，训练的模型就越确定TLS流是由恶意软件生成的。恶意软件/良性的准确性是分开的，这样便能证明特征子集超过了一个特定的类。例如，Legacy可以在良性集上实现接近完美的准确性，但这些功能无法推广到恶意软件数据集。

在0.99的阈值处，使用Legacy / SPL特征的分类器正确的分类了98.95％的良性样本和69.81％的恶意样本。如果我们将有关应用程序（TLS）的信息与网络流量（SPL）的行为特征相结合，这些结果将得到显着改善。Legacy / SPL / TLS的组合是良性和恶意软件样本上性能最佳的模型。 在0.95的阈值下，该模型分别对于良性和恶意保持数据集实现了99.99％和85.80％的准确度。

结论

由于涉及隐私、法律义务、费用或不合作的端点，解密解决方案在所有设置中都不理想。思科投入了大量时间来开发研究产品，以填补这些空白，并且完善现有的解决方案。我们对真实网络数据的验证研究表明，我们可以在最小误报的情况下实现可靠的检测。除了让思科的产品团队进一步开发这项工作外，我们还通过开源和学术论文吸引了更广泛的外部受众。

2018年结束

对过去一年的网络安全事件

进行了概括总结，正文如下

员工电子邮箱成为所有公司需要面临的最大威胁。电子邮件是最受欢迎的威胁媒介之一，它越来越多地被网络犯罪分子用作网络钓鱼、恶意软件和企业电子邮件泄露(BEC)诈骗的媒介。根据2018年电子邮件安全趋势报告，93%的漏洞包括网络钓鱼(或鱼叉式网络钓鱼)元素。

降低风险需要将网络安全的技术方面，包括采用人工智能驱动的工具以更好地检测威胁与实际操作相结合。然而，后者是组织经常落后的地方。为了能够自卫，他们需要为员工配备相关技术来发现可疑电子邮件，并将其与更先进的网络安全培训方法相结合。

根据身份盗窃资源中心(ITRC)统计，到目前为止，2018年迄今已有多达1,100多个数据泄露事件，总计达到561,700,000个暴露记录。由Ponemon Institute和IBM安全机构赞助的2018年数据泄露研究成本发现，数据泄露的全球平均成本现在为390万美元，比2017年增加了6%。

以下是2018年最大的10个数据泄露事件：

虽然勒索软件在2017年占据了网络威胁榜首，其中WannaCry和NotPetya尤为引人注目。2018年的勒索攻击频率有所降低。根据卡巴斯基的勒索软件和Malious Cryptominers 2016-2018报告，勒索软件感染过去下降了近30% ，12个月，加密货币开采同期增长了44.5%。

虽然勒索软件的数量正在减少，但随着网络犯罪分子升级攻击手段，复杂程度也在提高。新的勒索软件变种的数量比去年增长了46%，这意味着勒索软件仍然是许多企业的威胁，特别是涉及医疗保健和金融领域是勒索软件攻击的两个最热门目标。

尽管如此，即使你在网络安全方面做得很好，也很难避免不出错误。为了降低勒索软件攻击造成数据丢失的风险，企业等机构应该专注于实施数据保护策略，该策略不仅包括自动备份，还包括轻松恢复。

根据Check Point的网络攻击趋势(2018年中报告)分析：42%的组织在2018年上半年受到加密恶意软件的影响，而2017年下半年这一数字则为20.5%。如上所述，它甚至超过了勒索软件作为2018年最大的网络安全威胁。事实上，2018年上半年发现的三大最常见恶意软件变种都是加密货币矿工。

加密恶意软件允许网络犯罪分子接管不知情的受害者的计算资源，并使用它们来挖掘比特币等加密货币。各种因素导致恶意软件引发的安全事故频率螺旋式上升，包括恶意挖矿软件价格的上升以及易于使用的工具的可用性提升，以便在设备、网络和网站上释放加密挖掘脚本。

加密恶意软件的直接影响往往与性能无关。它会降低设备速度，使电池过热，有时会使设备无法使用。相比之下，会对企业机构有更广泛的影响，加密恶意软件在其内部环境传播会使网络有被关闭的风险。

毫无疑问，美国和欧洲的新隐私法，例如通用数据保护条例(GDPR)和加州消费者隐私法案(CCPA)迄今为止一直占据着头条新闻。虽然它们并不完全相似，但它们都致力于保护消费者对隐私的需求以及对个人信息的控制。

美国其他州也引入了数据保护法，为消费者提供更大的透明度和对数据的控制。例如，佛蒙特州的新数据隐私法除了扩大违规通知规则外，还要求组织在处理，记录和存储个人数据方面做出重大改变。

随着网络犯罪分子利用臭名昭着的暗网日益复杂的工具和方法加强攻击，白帽专业人员需要尽可能的帮助来准备和应对网络安全事件。

根据最近的估计，到2021年，网络安全行业将有多达350万个空缺职位。人才严重短缺使许多组织陷入困境，因为很难找到优秀的安全工程师，他们在需要的时候需要六位数的工资。当然，犯罪分子也会瞄准利用那些无法预防，检测和应对网络攻击的人员短缺的组织，以便趁虚而入。

目前的物联网网络安全状况不容乐观。过去曾出现可怕的黑客攻击，消费者正逐渐意识到保护物联网系统面临的独特挑战。但是与此同时，物联网硬件供应商的相应速度仍然很慢。

如今，物联网设备容易受到诸多威胁。首先，漏洞没有及时得到修补，设备制造商忽略安全因素。其次，物联网设备面临被操纵执行DDOS攻击的危险。

此外，RFID欺骗也可用于危害物联网设备。它们使网络犯罪分子能够通过创建伪造的RFID信号来读取和记录数据传输。然而，物联网专家面临的最大安全挑战是克服软件威胁，因为网络攻击者依赖恶意软件，特木马病毒和恶意脚本来禁用物联网系统。

2019年最需要关注的网络安全趋势是什么?

2018年各类网络安全事件频繁出现，

随着新出现的网络威胁攻击浮出水面，

新的APT集团现身，

以及围绕数据隐私的更多规定，

2019年将是网络安全领域的又一个重要年份。

以下是2019年最值得关注的网络安全趋势。

在研究人员在2018年发现了两个关键的Apache Struts 漏洞之后，他们认为很快就会出现另一个重大漏洞，这个漏洞源于该软件的缺陷，它一直是Equifax漏洞的核心。“Apache Struts提出了一个独特的挑战，因为它被许多其他面向互联网的程序所包含，这意味着传统的漏洞扫描程序可能无法检测到Apache Struts，但僵尸网络扫描漏洞将会发现它， “Recorded Future的Liska说。

2018年伊始，两款基于硬件的侧通道漏洞――Spectre和Meltdown被曝光，引发了轩然大波。这两家公司影响了过去10年在电脑和移动设备上广泛使用的微处理器，包括那些运行Android、Chrome、iOS、linux、macOS和windows的微处理器。安全专家预测，Spectre变种将在2019年继续被发现。Enveil首席执行官Ellison Anne Williams在一封电子邮件中表示:“2018年宣布的芯片缺陷，可能是迄今为止我们所见过的最普遍的内存攻击表面漏洞，但肯定不会是最后一个。”

物联网(IoT)市场即将爆发――但许多此类设备的制造很少甚至没有考虑到安全问题。自2016年Mirai僵尸网络出现以来，研究人员已经看到物联网设备被恶意利用来发动一系列威胁性攻击，包括加密、勒索软件和移动恶意软件攻击。未来形势可能会更加糟糕:“到2019年，物联网威胁将变得越来越复杂，从僵尸网络和游离的勒索软件感染，发展到到APT监控、从而进行数据过滤，直接操纵现实世界，以扰乱运营，”Armis产品副总裁乔利(Joe Lea)表示。

当涉及到网络威胁时，infosec社区预计加密(攻击)会从网络上消失，勒索软件也会回到一线。对许多网络罪犯来说，加密攻击并不像他们最初希望的那样有利可图，事实证明，只有当攻击者能够感染数万或数十万台设备时，他们才能赚钱。然而，勒索软件仍然有利可图:“例如，SamSam已经从使用开放RDP服务器作为入口的赎金软件攻击中赚取了近600万美元，”record Future的高级技术架构师Allan Liska说。我们已经开始看到新的勒索软件变种复制这种模式，我们希望看到新的一批勒索软件家族家族继续扩展这种攻击方法。

随着远程监控在工业环境中的应用越来越广泛，操作技术(OT)和IT正在融合，所以关键系统越来越容易受到网络攻击。智能连接设备将成为制造工厂，公用事业和其他具有关键基础设施的领域的标准，其中数字化与物理操作相结合，将增加远程攻击的可能性。这些攻击破坏或破坏机器人，传感器和其他设备，而这些设备驱动我们日常生活中的大部分机械和基础设施。

随着漏洞补丁在2018年成为人们关注的焦点，围绕漏洞披露过程的叙事也从披露时的90天准则演变为更及时地发布补丁。“由于供应商越来越重视漏洞――无论是通过错误赏金计划,变异分析或测试，发现――修补――公开所需的时间从90天缩短到30天甚至更少。”Semmle平台工程的联合创始人兼副总裁Pavel Avgustinov表示。

生物识别技术已经成为2018年银行和其他机构进行人员身份验证的首选方法。然而，2019年可能会发生更多与生物识别系统相关的安全事件。卡巴斯基实验室的研究人员尤里纳梅斯尼科夫和德米特里贝斯图日耶夫表示:“已经发生了几起重大的生物识别数据泄露事件。”

Zscaler的Depth Desai在一篇文章中表示，到2019年，“我们将看到网络犯罪分子继续专注于攻击关键的软件供应链基础设施，以实施更大规模的攻击。”攻击者已经开始认识到供应链攻击的优势――从2017年6月的NotPetya 活动开始，随后迅速蔓延，从全球数千台电脑上清除数据。2018年发生了大量针对供应链的攻击，涉及达美航空(Delta Airlines)和百思买(Best Buy)等公司。

2018年几起大型数据隐私丑闻在浮出水面，最引人注目的是Facebook的剑桥分析事件安全研究人员认为，2019年在数据隐私方面将会有更多的立法和监管措施。

Claroty负责威胁研究的Dave Weinstein表示:“安全与隐私在国会形成了特别的关系，极左激进派与自由主义保守派结成了搭档。”议员们可能会效仿欧盟的做法，从GDPR的许多方面入手学习。也就是说，他们的律师和游说者早就预料到这一天的到来，因此，应该由硅谷(而不是华盛顿)来制定隐私规则。

虽然欧盟在2018年实施了《通用数据保护条例》(GDPR)，但安全专家认为，2019年将真正开始显示，该条例的实施将对数据隐私和透明度产生哪些始料未及的影响。“到2019年，我们将看到企业引入更多的员工、工具和培训，以解决数据混乱的问题，这样它们就可以在遵守GDPR的同时利用有价值的数据，”Looker首席数据专员Daniel Mintz表示。

本文由安恒风暴中心发布，风暴中心将会陆续在CodeSec媒体平台上，发布各类专题技术报告、年度安全报告及最新技术研究，欢迎各位关注我们，参与交流和讨论。

智慧城市安全风暴中心是杭州安恒信息技术股份有限公司顺应当前信息化发展中云计算化、大数据化、SaaS化的大趋势，专门设立的网络安全态势监测、感知、防护、分析及预警部门。曾先后为北京奥运会、国庆60周年庆典、上海世博会、广州亚运会、抗战七十周年、连续四届世界互联网大会、G20杭州峰会、厦门金砖峰会、上合峰会、进博会、联合国世界信息地理大会等众多重大活动提供网络信息安全保障。

本次我们用数据说话，依据安恒十一月先后参加的中国国际进口博览会、第五届世界互联网大会以及联合国世界地理信息大会这三大国际型会议的安全态势报告，带大家走进安恒技术！

2018-10-23至2018-11-11, 玄武盾参与防护上海区域网站群共计受到攻击448.27万次。在玄武盾专业、稳定云防护服务与安全服务工程师积极有力的应急响应下，网站所有攻击均被有效阻断，未造成攻击成功或篡改成功的安全事件，有效地保障网站安全、平稳地运行。以下是部分攻击趋势图：

注 深红色段为进博会举办期间攻击趋势

根据风暴中心拦截攻击趋势分析，会议期间的攻击数据保持较高的态势，而在活动前的预热阶段与活动闭幕后的余热阶段，每日攻击态势依旧不容乐观。如图，攻击时间段趋势如下：

根据时间段攻击趋势分析，白天的攻击量明显高于夜晚，且白天的攻击量与活动举办的时间段有关，如9：00-11：00，13：00-17：00这两阶段的攻击数据明显高于其他时间段。17：00-23：00，攻击态势依旧保持较高的状态，介于15万-20万之间，而在凌晨的0：00-8：00，攻击态势处于全天中的低谷阶段。

与此同时，根据风暴中心数据大脑安全分析，境外攻击源主要是通过肉鸡、跳板机对网站发起恶意攻击，具体攻击区域分布见下图：

此间，网站群累计遭受515个IP的扫描攻击，封锁次数为11,632次，玄武盾识别到扫描行为后立即封锁IP，未对网站造成影响。

2018-11-01至2018-11-10，玄武盾对省重点网站开展远程安全扫描监测，根据后台统计数据显示，期间监测防护站点累计遭受866.99万次攻击。 在安恒信息安全服务事业部、天鉴事业部、安全研究院和风暴中心四大部门集中赋能提供专业、稳定的云防护服务下，网站所有攻击均被有效阻断，未造成攻击成功或篡改成功的安全事件，有效地保障网站安全、平稳地运行。

注 深红色段为世界互联网大会举办期间攻击趋势

上图是11月1日-10日重点网站所受到的攻击趋势图，可以看出：会议筹备前夕，网络攻击趋势比较平稳，平均保持在50万次/天；在世界互联网大会开幕的前一天，攻击量开始攀升，达到112.71万次，同比增长约2倍。

而在世界互联网大会举办期间，网络攻击数量大增，攻防对抗激烈，攻击态势整体保持在170万次左右。大会闭幕期间，相比会议期间，网络攻击的数据下降，但总体攻击依旧较高，平均处于65万次/天，依旧高于前期会议筹备阶段的攻击数量。由此可见，在大型国际会议或活动时期，网络空间的安全威胁不容小觑，网络攻击流量巨大，网络攻防势力对抗激烈。

安恒信息安保小组实行7×24小时全天候的安全值守，制定周密的应急响应机制，结合机器学习技术、网络攻防技术、威胁情报技术与人工经验分析，积极打击网络攻击势头，确保防护站点的安全性。

值守全天总体态势分析：攻击数据最高时段集中在10：00―12：00，14：00―17：00，18：00―20：00；攻击低时段处于凌晨2：00―7：00，该时段的攻击数量均处于30万以下；其中，12：00，13：00，17：00，这三个节点明显出现洼地现象。趋势解析：全天候时间段攻击数量的多少，与大会召开的时间段相关，也与网络攻击者的生活习性有关。

期间Web攻击类型以SQL注入攻击、命令注入攻击、漏洞防护等居多，主要攻击类型分布如图：

根据风暴中心数据大脑安全分析，境外攻击源主要是通过肉鸡、跳板机对网站发起恶意攻击，具体攻击区域分布见下图：

2018-11-18至2018-11-23，玄武盾省重点网站开展远程安全扫描监测，根据后台统计数据显示，期间监测防护网站群共计遭受1817.29万次攻击。 在安恒信息安全服务事业部、天鉴事业部和风暴中心的集中赋能提供专业、稳定的云防护服务下，网站所有攻击均被有效阻断，未造成攻击成功或篡改成功的安全事件，有效地保障网站安全、平稳地运行。 以下是部分时间段网站群安全态势：

注 深红色段为联合国世界地理信息大会举办期间攻击趋势

本届联合国世界地理信息大会的网络攻击趋势严峻，从11月18-23日，网络攻击态势一直居高不下，平均保持在300万/天，网络空间的安全保障攻坚战异常艰巨。

安恒信息安保小组实行7×24小时全天候的安全值守，制定周密的应急响应机制，结合机器学习技术、网络攻防技术、威胁情报技术与人工经验分析，积极打击网络攻击势头，确保防护站点的安全性。攻击时间段趋势如下：

从时间分布上看，9：00-11：00，14：00-17：00，23：00-凌晨1：00，是网络安全攻防的高峰期；凌晨2：00-8：00，网络攻击相对较为平缓，保持在65万/小时左右。本次时间分布趋势图比较独特的地方在于：午夜时间段，网络攻击态势处于猛烈状态，22：00-23：00的攻击量超过100万次，与白天攻击态势最高峰的数据量几乎持平。

扫描攻击详情：累计遭受1,014个IP的扫描攻击，封锁次数为43,885次，玄武盾识别到扫描行为后立即封锁IP，未对网站造成影响。

根据风暴中心数据大脑安全分析，境外攻击源主要是通过肉鸡、跳板机对网站发起恶意攻击，具体攻击区域分布见下图：

从以上三次大型安全保重事件中得出经验，风暴中心建议网络运营方应该多关注攻击者常用的攻击类型，查漏补缺，定期对网络资产进行风险扫描与分析，及时修补漏洞；重视代码审计与渗透测试技术的重要性，有效管理网络资产安全；同时，注重安全能力的提升，完善安全机制。

加固网站服务器安全

加强网站服务器的日常维护，做好网站服务器的访问控制，限定开放访问IP白名单，限定开放高危端口/服务，定期对网站服务器进行安全体检，及时消除可能存在的安全隐患。

加强网站弱点修复

定期对网站开展安全风险评估，进行风险扫描与分析，及时消除网站的漏洞风险，提升网站本身的安全性。

及时清理网页后门

网站发布、升级、迁移前和日常运维过程中，都要对网站源文件进行网页后门扫描和彻底清理。

加强管理账号管理

加强对网站管理后台账号、FTP/SSH/VNC/远程桌面等远程维护工具账号的管理，尽量使用强密码，并定期更新密码。

- End -

安恒风暴中心

编者按：

上周，宋星老师的一篇长文《万字深度剖析：互联网用户数据和隐私――中国的现状和下一步》，揭开了中国互联网营销新的变化：数据在营销和推广中越来越重要，对数据隐私和安全的漠视也积累到一个爆发点，越来越多的人开始关注自己在互联网上的隐私安全，国家也将数据安全立法提上了议程，同样，业界也展开了更多关于数据安全和隐私的讨论。

我们每个人都身处互联网和快速发展的大数据时代，大数据和科技的发展的确给我们的生活、工作、育儿、养老、医疗等都带来了以往任何时代都不曾有的红利。但是，我们也同样正在遭受大数据带来的“疯狂”。你每天收到的骚扰电话、短信，甚至是诈骗电话，他们不仅知道你的手机号码，甚至还知道你的住址、身份证号码、以及你的其他家庭情况，等等……，你一定很愤怒，是谁窃取了我的隐私？

针对个人信息数据隐私、数据违规乱用等侵害公民权益的违法行为，国家早已在立法层面推出了相关法律法规，甚至已经被列入在刑事法规中。早在2013年9月1日，中国工信部就发布了《电信和互联网用户个人信息保护规定》，规范了个人信息数据应用的法律条款；2015年11月1日，全国人大常委会《刑法修正案（九）》再一次明确了“个人信息”受法律保护的重要性，明确了在履行职责或者提供服务过程中对获得的公民信息出售或者提供给他人的给予重罚；2017年6月1日，全国人大常委会发布《中华人民共和国网络安全法》、同时最高人民法院、最高人民检查院发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》关于“个人信息”数据保护和刑事处罚的法律法规。

一起来看一下最近两年公安部、最高检察院督办的特大侵犯个人信息专案：2018年5月公开审理的“数据堂”侵犯个人信息案牵出11家数据交易公司，涉及57名犯罪嫌疑人；2017年10月，全国首例爬虫获刑案宣判，今日头条前高管侯某、宋某等人因为触犯非法获取计算机信息系统数据罪，被判九个月至一年不等的有期徒刑，并处罚金；2017年7月，车来了创始人兼CEO邵凌霜犯非法窃取计算机信息系统数据罪，罚金10万元，判处有期徒刑三年、缓期四年执行，其他参与数据窃取人员均获刑等等。

尽管我国在立法、司法和执法等方面都对网络数据安全进一步加强保护，但近两年“个人信息”数据泄露和乱用的刑事案例仍然屡见不鲜，在利益的驱动下，本来可以合理、合规使用的大数据科技被严重污染了。

根据2018年5月1日国家标准化委员会颁布的《信息安全技术个人信息安全规范》和2018年11月30日公安部网安局发布《互联网个人信息安全保护指引（征求意见稿）》再次明确规定了个人信息的定义和范围，主要指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。个人信息包括姓名、 出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、 账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

以IMEI、MAC地址等设备ID为主的数据也被列入个人信息的保护范围，由此一来}f数字营销行业带来的震撼可想而知。难道我们正在做的精准营销从此开始违法了？众所周知，没有设备ID的参与，精准营销和程序化营销变成了空谈；没有他们的参与，营销领域的人工智能更无从谈起，全球数字营销将倒退回到互联网初级时代。面对国家法律政策的收紧，以设备ID为主的个人信息数据是否还可以在数字营销中继续使用？

答案是肯定的。没有一个国家、和一个法律条款说任何个人信息都是不允许使用的，只要在合理合规的标准下使用数据，无论对于企业、或是消费者自身都是受益的。我国《个人信息安全规范》规范规定，在取得消费者“明示同意“和“授权同意”后，企业可以在“协议”规范的范围内使用个人信息数据。

虽然有法可依，但营销数据乱用现象仍呈猖狂态势，正在蚕食品牌和企业的利益……看完以下内容，请思考：“我的数据安全吗？我的数据应用合法吗？”

这部分违规主要是指数据收集未经消费者允许，收集并获取了某些可供标识个人信息的数据，且利用此数据进行持续的骚扰触达，如：广告、推销行为。例如，某些商家通过某些途径获取用户的手机号，但未经消费者同意，主动发短信或电话触达消费者，推销自己产品。

尽管数据方在获得个人信息主体授权的前提下获取了数据，但是在数据的使用过程中没有进行脱敏、加密等去标识化处理，这样的数据应用也是不合规的。去标识化主要是符合数据隐私法的规范，让数据无法再识别到个人信息。

数据使用方，在未经与个人信息主体确认的情况下，在授权外的其他商业场合复用了此数据。例如，仅授权平台在营销场景中的应用，但平台方将数据用于其他场景；又或在数据流转过程中，平台存储了本身对广告投放业务无用的数据，转而将此数据转移给它方进行其他非授权场景下使用。例如数据仅用于去标识化下的分析场景，但使用方将数据用于广告触达，或数据不经任何保护措施转移给未经授权的，不安全的环境或对接方。

不遵守数据删除的相关规定，或数据持有方不能进行数据的删除。比如用户或对接方，没有任何渠道去删除在某个平台的自己产生的数据，或平台未按照约定删除历史数据。例如，数据来源方规定6个月后需删除数据，但数据使用方长期保存数据，或删除后仍可复原数据。

等等……

关于规范数字营销领域的数据应用，保护消费者、广告主/企业和合法数据方的权益方面，国家立法、执法再次加强，营销大数据“污水”治理严阵以待，而数据企业也需要主动出击，行业领先的数据智能技术提供商 nEqual 曾经也发表过一篇关于数据安全的文章《 致数字化转型：数据安全的重要性如人类对安全的需要！ 》，同样引发了业内的重视和讨论。

目前，世界最严格的数据隐私法规就是欧盟的GDPR，中国虽然没有按照GDPR执行，但是在2018年5月1日国家标准化委员会颁布的《信息安全技术个人信息安全规范》，进一步强调针对个人信息面临的非法收集、滥用、泄露等安全问题，规范个人信息控制者在收集、保存、使用、共享、转让、公开披露等信息处理环节中的相关行为，遏制个人信息非法收集、滥用、泄漏等乱象，最大程度地保障个人的合法权益和社会公共利益。从《信息安全技术个人信息安全规范》来看，中国对数据隐私的法律法规也越来越严格了，或者说已经开始部分趋同于欧盟的GDPR了。

综述，随着国家法律政策的收紧，我们必须正视并且呼吁全行业合规合理的使用“个人信息”，确保所在企业利益、品牌主利益、行业利益、个人自身利益不被侵害，不触及法律的边缘，在国家法律规范下合理利用数据驱动企业在数字时代、AI 时代的革新和发展。

下周五，2019年第一期WAW数据沙龙，同样是聚焦《深入探讨个人信息数据保护新规之下的互联网营销》，nEqual 首席技术官卢亿雷先生、京东黑珑的张泽华老师和WAW创始人宋星老师将分别从信息法规、营销应用和数据保护变迁的角度进行分享。

Across industries, organizations are deploying an increasing number of cloud services and cloud-enabled products. This digital transformation has led to the adoption of SaaS and multi-cloud solutions. To extend the benefits of these changes to the entire network, customers need to re-think their WAN design for efficient and secure access. Without such changes, digital transformation can strain WAN infrastructure, damage performance, reduce visibility, and impact the user experience. To overcome this challenge, many organizations have begun to look toward adopting SD-WAN solutions.

An SD-WAN infrastructure amplifies the benefits of an integrated and efficient WAN edge. However, it is essential for organizations that upgrade to SD-WAN that they upgrade their security tools as well. That’s because SD-WAN solutions are simply not sufficiently secured by traditional perimeter defenses.

Modern SD-WAN solutions not only need to offer uninterrupted performance, but must also be reinforced with features to secure distributed networks from advanced cyberattacks, especially for those branch offices that also include direct Internet access to online and cloud-based resources. This stark reality is why 72% of executives surveyed in a recent Gartner report stated that securing their SD-WAN deployment was their top concern.

FortiGate Secure SD-WAN

To meet the security demands of modern networks, Fortinet’s FortiGate Secure SD-WAN solution incorporates all of the security features organizations need to protect their distributed networks. It is application aware, offers single-pane-of-glass visibility and management, includes integrated advanced threat protection, improves cloud application performance, and reduces costs by leveraging multi-broadband connectivity.

FortiGate Secure SD-WAN has been well received by the industry, earning a “Recommended” rating from NSS labs and positive feedback from users on Gartner Peer Insights . Hear what some of our users had to say about our secure SD-WAN solution below.

“ Easy To Deploy And Use ”

Network Security Administrator, $3B-$10B Energy and Utilities Company

“The FortiGate Firewalls are currently among the best in the Market for their extremely simplified UI, ease of deployment and maintenance.”

“ Easy Integration With Excellent Hardware Architecture ”

Infrastructure and Operations, $3B-10B Finance Company

“Integrated easily into our environments. Hardware architecture is a competitive advantage to manage policy processing.”

“ Simple SD-WAN Solution To Replace Costly MPLS ”

Network Engineer, Education

“We wanted a solution that was built into a firewall for ease of deployment and cost savings. After evaluating all of the vendors, we ended up going with Fortinet largely for the SD WAN offering. After doing a proof of concept, we found that using the SD-WAN solution actually resulted in less latency between sites compared to our MPLS. We were able to save at least $10k a month by removing the MPLS, which was a huge return on our investment. Not only was the SD-WAN offering great, but the entire package of Fortinet products paired together greatly improved our overall security posture and gave us more insight into our network.”

“ Fast Set Up And Scalability For SD-WAN ”

Senior Information Security Manager, $3B-10B Manufacturing Company

“SD-WAN as it is, is a technology advance for a new era of WAN solutions, in particular Fortinet has a fast set up and scalability with all features inside NGFW.”

“ Easy Implementation And Help Us To Simplify Our Connections ”

Sr. Global IT Security, $500M-1B Services Company

“Excellent solution, very flexible and easy to operate, with FortiGate SD-WAN we could remove our MPLS and simplify our operations worldwide.”

Final Thoughts

As enterprise networks become more distributed, SD-WAN will become the preferred networking choice to ensure performance along with essential agility and simplicity for critical business applications. However, organizations must be careful that they do not employ these solutions without considering how to effectively address their unique security needs. Fortinet’s Secure SD-WAN is the only solution available on the market today that ensures an optimized WAN experience that includes a fully integrated suite of advanced security measures.

Gartner Peer Insights reviews constitute the subjective opinions of individual end users based on their own experiences, and do not represent the views of Gartner or its affiliates.

Read more about how Fortinet’s security-first approach to SD-WAN continues to gain momentum.

Read our blog: “ IT Leaders Are Concerned About SD-WAN Security ”

Read the Gartner report: “ Survey Analysis: Address Security and Digital Concerns to Maintain Rapid SD-WAN Growth ”