春节假期结束啦，继续来谈信息安全的话题。 先顺便说俩事儿： 1. 虽然本文与上一篇博文的间隔超过两周，但俺上一次【网络活动】是2月7日（在回复读者评论）。所以，依然属于【正常静默】。不要担心俺 :) 2. 上一篇博文发出后，经几位热心读者提醒，俺又对“社会工程学”那个章节补充了几点内容。 ★引子 前不久正值【开博十周年】之际，俺写了一篇《为啥朝廷总抓不到俺——十年反党活动的安全经验汇总》。 今天这篇是对前一篇进行补充，主要谈——如何对付警方？看到俺写这样的东西，公安系统的“网监部门”和“技侦部门”，肯定又不爽了…

最近几个月没写技术帖，又有热心读者来催了。正好前几天有读者在博客评论中询问了“黑暗幽灵木马”（洋名叫“DCM”）的相关事宜。本来想从技术层面聊聊这款木马，但是俺发现相关的分析文章已经很多了。为了不落俗套，俺换一个角度——聊聊“如何应对公安部门的网络临侦”。 ★何为“黑暗幽灵木马”？ 先简要介绍一下这款木马的情况。已经了解的同学，请直接跳过本章节，以免浪费时间。 这是4月下旬被腾讯安全团队曝光的木马。这款木马能吸引大量眼球（引发了安全界的严重关注），主要是因为它的两大特色： ◇特色之一，传播手段很特别 …

近期有网友在博客中留言，希望俺介绍散列值校验文件的知识。所以俺干脆写一篇“文件完整性校验”的扫盲教程。由于本文是扫盲性质，尽量不涉及太技术化的内容。 ★啥是“完整性校验”？ 所谓的“完整性校验”，顾名思义，就是检查文件是否完整。那么，什么情况下会导致文件不完整捏？大概有如下几种情况。 1. 感染病毒 比方说你的系统中了病毒，病毒感染了某个软件安装包或者某个可执行程序。那么该文件的完整性就被破坏了。 2. 植入木马/后门 还有一种文件不完整的情况，是被别有用心的人植入木马或后门。比方说某些国内的软件下载站点，它们提供的…

上一个帖子点评了爱国愤青关于拉登同学的几个误区。话说美国佬把拉登灭掉之后不到一星期，从拉登老巢缴获的电脑资料，就开始在美国政府的网站曝光了（比如拉登的生活录像）。另据美国某安全官员说，缴获的电脑资料之多，抵得上一个小型图书馆。单从这点可以判断出：拉登同学对自己手头的存储设备（比如硬盘），没有进行【足够强度】的加密处理。这令俺很吃惊啊！——堂堂的恐怖大亨，竟然连这点常识都没有啊？！ 想当年，陈冠希同学就是因为疏忽了数据加密，导致艳照满世界流传，不光搞臭了一堆女明星，也造福了无数男网民。这回，基地组织估计要…

上一个帖子，介绍了“用图片传播翻墙工具”。今天，来聊一下其中的技术原理。如果你对IT技术没啥兴趣，可以略过本文。 ★图片隐藏信息的用途 先来说说信息隐藏的目的。俺大致总结了一下，信息隐藏可以用于如下几种场合。 ◇规避敏感词过滤 所谓的“敏感词过滤”，常翻墙的同学，应该都很熟悉了。用图片来隐藏信息，可以规避 GFW 的敏感词过滤。 ◇规避肉眼审查 俺在上一个帖子介绍的方法（把翻墙工具嵌入图片中），主要是为了躲开网站管理人员的人工审查。国内的很多网站，对于上传的图片，都会进行人工审查。如果能通过技术手段…

★先插播一段鸣谢和站务通告 前几天（23日）已经把原先存放在 SkyDrive 的电子书全部同步到 Dropbox。另外，电子书清单已经补充了 Dropbox 的下载链接。想下载电子书的网友，今后可以从这两个网盘任选其一。 在此，郑重感谢几十位帮俺扩容 Dropbox 空间的网友，你们的帮助会激励俺分享更多电子书。 顺便提醒一下： 仅仅点击俺的邀请链接进行注册，并不会给俺增加 500 MB 空间；需要在注册成功之后，再安装 Dropbox 客户端才会真正扩容。 另外，根据 Dropbox 的服务条款，免…

这个长假前后出了不少新闻，除了“连环爆炸、TPP、诺贝尔医学奖”，还有一个信息安全方面的新闻——TrueCrypt 被发现存在高危的安全漏洞。这些新闻中，TPP 的影响最大，但不是很紧迫。所以俺先发一篇博文聊聊 TrueCrypt 的替代品（这事儿比较紧急）。 ★引子 ◇为啥到现在才介绍 TrueCrypt 的替代品 当年（2014）TrueCrypt 死亡的时候，俺发过一篇《分析一下 TrueCrypt 之死（自杀 or 他杀？），介绍一下应对措施》。当时俺提到：

前几天写了“文件加密的扫盲介绍”，普及了文件加密的重要性以及挑选加密工具的注意事项。貌似这个话题还比较受欢迎（获得很多转载），而且有读者在评论中让俺推荐一款文件加密软件。今天就来介绍一下，个人比较喜欢的文件加密工具——TrueCrypt。 ★事先声明 TrueCrypt 项目已经在2014年死亡，俺写了一篇《分析一下 TrueCrypt 之死（自杀 or 他杀？）——兼谈应对措施》。 然后，俺在2015年介绍了 TrueCrypt 的替代品，参见《扫盲 VeraCrypt——跨平台的 TrueCrypt…

前几天（5月28日），TrueCrypt 官网突然变脸。全球的安全社区纷纷表示震惊。已经有若干读者在博客留言，希望俺点评一下此事。因为上周恰逢“六四事件”25周年，俺发了相关博文表示纪念。相应地，TrueCrypt 的点评放到本周发布。 ★TrueCrypt 官网的“变脸” 先简单说一下 TC 官网的变脸。 首先是官网的域名 truecrypt.org 自动转向到 truecrypt.sourceforge.net。官网的页面上用醒目的红字警告说：TrueCrypt 已经不安全，TC 项目已经停止开发。然后建议…

自从两年前写了《TrueCrypt——文件加密的法宝》，陆续收到一些网友的来信或博客留言，针对 TrueCrypt 的使用提出了一些疑问。上周发了一篇博文《文件备份技巧：组合“虚拟加密盘”与“网盘”》。又收到好几个读者的留言。所以今天再发一篇博文，汇总一下俺使用的经验，顺便也解答某些的常见提问。 如果你之前没用过 TrueCrypt，强烈建议你先看完《文件加密的扫盲介绍》和《TrueCrypt——文件加密的法宝》这两篇。 ★如何选择“加密算法”？ 先大致介绍一下 TrueCrypt 支持的加密算法和散列…

又有一段时间没写技术博文了。在前几篇博文的评论中，有若干读者催写 Linux 方面的教程。俺准备开始动手，写一点傻瓜教程（面向技术菜鸟）。 很多人切换到 Linux 是出于安全方面的考虑。所以在写具体的 Linux 教程之前，咱们先来聊一下 Linux 安全性方面的话题。 今天这个话题是前些年想聊但是一直拖着没写的（请原谅俺比较懒），如今算是补上了。 ★事先声明 ◇声明1 操作系统间的对比很容易引发口水战。 如果你不同意俺的观点，最好能指出俺哪里说得不对，而不要仅仅停留在“口水战”层面的争吵。 ◇声明2…

　　先插播一个“广而告之”。 　　 上一篇博文 的评论数突破【一千】大关。感谢热心读者的捧场 :) 　　参与讨论的读者增多了之后，俺再次提醒大伙儿：网上的沟通要注意素质，理性讨论，避免过于情绪化。另外，要避免逻辑谬误的陷阱（参见《 扫盲逻辑谬误 》）。 　　评论数猛增也暴露...

这篇教程是半年前就答应要写的，如今已到年底，实在抱歉 :( 另感谢多位网友反复催促，有效杜绝了俺的健忘。 今天这篇是面向菜鸟读者的初级扫盲，先介绍 Tails 的最基本使用。 ★Tails 是啥？ （如果你之前没有接触过 Linux，建议先看俺写的《扫盲 Linux：新手如何搞定 Linux 操作系统》） Tails 是洋文“The Amnesic Incognito Live System”的缩写。作为 Linux 发行版，Tails 衍生自 Debian（Debian 是最有影响力的社区发行版，没有之一）。设计…

★引子 本文要聊的这个话题，俺在5年前的那个《如何保护隐私》系列博文中，已经聊过一次（参见那个系列的第2篇《关于浏览器的基本防范（上）》）。 为啥今天又要老调重谈捏？主要是因为本月初（2018年9月）发布的 Chrome 69 版本出了一个严重的隐私丑闻。这个丑闻如此雷人，俺觉得有必要老调重谈：劝大伙儿弃用 Chrome。 虽然 Google 官方已经承诺在 Chrome 70 版本解决此问题，但俺认为：Chrome 浏览器在隐私方面【根本不值得信任】（下面会聊到这点）。 ★名词解释 ◇Chrome &…

　　今天这篇，可以视作《 弃用 Chrome 改用 Firefox 的几点理由 》一文的后续和补充。

今天这篇算是补之前的欠债——俺在4年前写过几篇关于 CA 证书的扫盲（“这里”和“这里”），之后有不止一位热心读者建议俺写一篇关于 HTTPS 的扫盲。因为俺比较懒，当时没动笔，一拖就是两三年，都有点忘了。正好今年出了两个跟 HTTPS 相关的高危漏洞（Heartbleed 和 PODDLE），于是俺又想起这事儿。 本来想单独写一篇。等写完“背景知识”这一章节，发现篇幅已经很长了。所以就再开一个系列吧。 事先声明： 既然叫做“扫盲”，所以俺尽量避免讲太具体的“技术实现细节”（当然，更不会去讲“代码实现”…

最近1-2周，关于 CNNIC 的 CA 证书问题，网上搞得沸沸扬扬。但是俺发觉，即使是一些 IT 行业的技术人员，也搞不太明白该问题的严重性（至于不懂技术的傻瓜用户，就更甭提了）。主要在于 CA 证书是一个相对专业的东东，大伙儿平时接触不多。 所以，俺打算写3个帖子：第1个用来扫盲 CA 证书的基础知识（也就是本帖）；第2个则用来揭露 CNNIC 这个老流氓的丑恶历史（在“这里”）；第3个介绍如何 CNNIC 证书的危害及清除方法（在“这里”）。为了达到普及的效果，俺会尽量用比较浅显，非技术的语言来讲清楚这事儿。…

前几天已经写了2个帖子（分别是扫盲数字证书的基本知识，CNNIC 干过的那些破事）作铺垫，终于开始来说正题——关于 CNNIC 的 CA 证书。 ★CNNIC到底干了啥事？ 从前面的帖子，大伙应该都看出来，CNNIC 这个老流氓可是坏事做尽啊。最近这段时间，CNNIC 不甘寂寞，又在 CA 领域，搞了点小动作。今天先来说一下，这个老流氓又坑蒙拐骗了哪些主？ ◇Mozilla.org 可能某些IT圈外的同学会问，Mozilla是嘛玩意？简单地说，“Mozilla 和 Firefox 的关系”就好比“微软和…

★引子 很多年来，俺一直用 Startpage 来代替 Google 进行 Web 搜索。一直想写篇博文来介绍一下，但又一直忘了。 前几天，Startpage 的界面作了一次重大改版，让俺终于再次想起之前一直忘记的事情。

先告诉大伙儿一个好消息： 前几天俺把《太子党关系网络》开源到 GitHub 之后，头两天就获得大量网友的关注，以至于俺这个项目至少连续两天排到了 GitHub 的“每日 Trending”（这个排名汇总的是：每一天全球关注程度最高的那几个项目） 非常感谢捧场的 GitHub 用户！！！ ★本文面向哪些读者？ 俺在博客上不止一次提到过，GitHub 是可以【免翻墙】使用的，而且这个网站/公司的管理层，相对来说还是比较靠谱的，不会轻易向咱们朝廷妥协。 因此，GitHub 非常适合用来搞一些敏感的活动（比如：…

前几天（5月12日）爆发的 WannaCry 勒索软件，大伙儿应该都听说了吧。作为一个经常谈论信息安全话题的博客，俺正好借这个机会聊聊【勒索软件】。 考虑到 WannaCry 相关的报道已经很多，针对该蠕虫的防范措施，网上也已经很多。所以俺就【不】再讨论 WannaCry 相关的话题。今天要聊的是:【勒索软件】将成为黑色产业链的最爱，它的危险性，以及菜鸟们的防范措施。 ★名词解释：啥是“恶意软件”？ “恶意软件”也称为“流氓软件”，洋文叫做“Malware”（“Malicious Software”的简…