令牌化与加密的本质分歧：为何支付数据保护不能只靠密码学
2013年12月，美国零售商Target遭遇了一场改变支付安全行业格局的数据泄露事件。攻击者窃取了约4000万张信用卡和借记卡信息，另有7000万客户个人信息外泄。事后分析表明，攻击者从Point of Sale（POS）系统中直接提取了明文主账号（Primary Account Number，PAN）。如果这些系统当时使用了令牌化技术，即使攻击者完全攻破网络，他们能获取的也只是一堆毫无价值的随机字符串。 ...
密码学
密码学的阿喀琉斯之踵：为什么「随机数」从来不是真正随机的？
2008年5月13日，Debian项目发布了一份紧急安全公告。公告的核心内容令人不寒而栗：过去近两年间，Debian及其衍生发行版中OpenSSL生成的所有密钥，都可以被轻松预测。 ...
TLS握手为何需要两轮往返：从协议设计到性能优化的十年演进
2014年，IETF TLS工作组收到了一份来自Eric Rescorla的提案。这份题为《draft-rescorla-tls13-new-flows》的文档开宗明义地提出了TLS 1.3的两大设计目标：减少往返次数、移除不安全特性。四年后，RFC 8446正式发布，TLS 1.3将握手延迟从2-RTT压缩到1-RTT，会话恢复场景更是达到了0-RTT。 ...
一个推行了二十年的安全政策为何被NIST正式废弃
2017年8月，美国国家标准与技术研究院（NIST）发布了一份修订版的数字身份指南。在密密麻麻的技术规范中，有一行不起眼的文字：“验证者不应要求记忆型密码被随意更改（例如定期更改）。” ...