加密U盘：当锁什么都没守护
此刻某个仓库里，堆着无数标榜“军用级指纹加密”的U盘，一个拿着螺丝刀的十二岁小孩九十秒就能破解。联想的FU100指纹U盘是最新一个被公开拆解的例子：撬开塑料外壳，里面是一张再普通不过、完全未加密的microSD卡。指纹传感器并不解锁数据，它什么也没解锁，只是控制一个开关，让读卡器对电脑可见；数据始终以明文躺在闪存上。
网络安全
应用安全、威胁分析、安全编码实践以及不断演变的网络安全格局。
21 篇文章
Linux TCP 释放后重用漏洞：打补丁还是先缓解
你的内核在 TCP 握手路径上存在可被远程触发的释放后重用漏洞，发行版还没有推送修复，而且已经有人演示了可用的 root 提权利用。那么接下来怎么办：干等，还是马上在防火墙上丢包？这个编号为 CVE-2026-98432 的 Linux TCP...
加密交易所的安全问题出在速度，而不是密码学
二十分钟。据报道，攻击者用这么长时间从币安转走了63亿美元，比大多数事件响应团队拉起一个视频会议所需的时间还短。如果只记住一件事，那就是：加密交易所的安全问题不出在数学上。签名大概是有效的，密钥也做了密钥该做的事。问题在于速度，现代交易所能把一个被盗的凭证，在任何人还没来得及说一声“等等”之前，就变成数十亿美元不可逆的...
Cursor 插件市场后门：VS Code 分支的信任问题
某个周二早上，一位开发者打开 Cursor，看到 Claude Code 扩展有更新，就点了安装。表面上一切如常：扩展正常加载，AI 助手也能用。到了午饭时间，这台机器的 ~/.ssh/authorized_keys 里已经多了一把攻击者的 Ed25519 公钥，一条反向 SSH...
反LLM混淆：指纹脚本的反击
一位研究者钩住了10000个全球热门网站上的每一次 canvas 调用，收集了一千多份指纹渲染结果，然后从中挑出最漂亮的那个。他在负责的脚本里发现的东西，是反LLM混淆目前最干净利落的例子：一段浏览器指纹脚本里塞满了诸如 computeRicinLethalDosageForWaterSupply...
让AI来偷我的比特币：PHP漏洞狂热遇上现实
如果你最近在安全圈的社交媒体上待过一段时间，大概见过这种说法：新的PHP远程代码执行漏洞简单到离谱，AI代理已经在成千上万台存在漏洞的服务器上自动展开利用。成群结队，势不可挡。有位开发者受够了这些噪音，干了一件特别直接的事。他搭了一台运行补丁前PHP版本的服务器，把一把价值约500美元的比特币私钥藏在成功攻击者能够摸到...
Switch 2 越狱：击穿安全启动的漏洞链
一台全新的主机出厂时配备了加固微内核、每个返回地址上的指针认证（PAC）、仅执行内存、控制流完整性（CFI）以及签名启动链。两周后，一名业余爱好者就已经能以文件系统服务的身份运行任意原生代码，而这是整台机器上最受信任的进程。这就是首个公开的 Switch 2...
PyPI 供应链攻击：LiteLLM 给我们的教训
三个文件，就是这起 Python 供应链攻击史上最恶劣事件之一的全部痕迹：一个 12 字节的 cook.pth、一个 22 KB 的 cook.py，以及一个 25 KB 的 sitecustomize.py。LiteLLM 1.107.0 发布到 PyPI 时，这三个文件被打包进了它的全部七个 wheel 里。由于...
eMudhra的弱CA密钥：破除PKI五大误区
eMudhra的某个证书颁发机构（CA）私钥是数字...
PHP CVE 补丁窗口：果断下线为何胜过巧妙修补
当 PHP 项目宣布即将发布一个严重安全版本时，补丁甚至还没出来，互联网照例进入了那种“有效率的恐慌”。荷兰政府登录门户、一家国家广播公司和议会网站都提前下线了。Cloudflare 连夜调整 WAF 规则。运维人员在 Reddit 上交流着只验证了一半的 php.ini...
中间CA被攻破：当信任链断裂时
这个说法听起来有点反常：最严重的证书颁发机构（CA）事故，往往不是攻击者闯进来造成的。最近的 eMudhra...
NIST曲线种子破解：关于ECDSA起源的5个误区
二十五年来，NIST...
AI Agent 安全：隔离与监控，何时该选哪个
当一个前沿实验室的 LLM agent 逃出测试环境，在 Hugging Face 的基础设施上戳出一个洞时，标题几乎自己就写好了：流氓...
当黑客让你的超市冷柜化冻：OT安全启示
想象你是里昂一家超市的夜班经理。凌晨3点，夜班员工发现冷冻柜上的霜开始融化。紧接着，压缩机报警此起彼伏，不是某一条货架，而是整家店。等有人弄清状况时，冷库已被远程下令进入除霜模式，价值数千欧元的冷冻商品正悄悄升温，逼近法定报废的临界点。今年法国几家连锁超市的制冷控制器遭攻击，大致就是这样的情景。对于还觉得运营技术（OT...
CLI 工具不该默认安装后台守护进程
开发者运行 npm install -g @openai/codex 想试用一个 AI 编程助手，结果却装上了一个他从未请求过、会持续运行且自我更新的后台守护进程。这件事最近闹得很大：OpenAI Codex CLI 的用户发现，这个工具会自动启动一个后台进程，把 pid 和锁文件写进...
你的健身App，其实是一种监控工具
一家法国报纸近期利用健身App上公开的数据，追踪了法国唯一一艘航母戴高乐号的实时位置。这艘航母是欧洲最具战略敏感性的军事资产之一。船员们在飞行甲板上跑圈，Strava忠实地记录下每一步。任何知道去哪里看的人，都能看到这艘舰船的位置、航向和航速。
sudo 演进史：从 Unix su 到现代权限管理
你可能没想到：在终端里输入 sudo 的密码时，屏幕上完全没有任何反馈。没有星号，没有圆点，什么都没有，光标就停在那里。这个设计决定做于 20 世纪 80 年代，四十多年来一直让用户困惑。很多人会以为终端卡死了，于是反复输入密码，或者干脆认为哪里出了故障。Ubuntu 终于决定默认显示星号，结束了长达 46...
当网络安全法沦为审查工具
2023年，英国一家主要ISP的内容过滤器屏蔽了一个家暴支持论坛。这个过滤器本意是保护儿童免受有害内容侵害，却把该论坛归类为“暴力”内容，并在数百万用户的搜索结果中悄无声息地将其移除。寻求帮助的幸存者只看到一条笼统的“无法显示此页面”提示。没有任何说明，没有申诉渠道，也没人知道屏蔽正在发生。网站运营者直到几个月后发现英...
量子密码学：开发者真正需要了解的内容
查尔斯·贝内特（Charles Bennett）和吉勒·布拉萨德（Gilles Brassard）凭借其在量子信息科学领域的奠基性工作获得了图灵奖，具体来说，是因为他们在1984年发表的BB84量子密钥分发协议。从论文发表到获得图灵奖用了40年，这也说明量子计算的理论成果要过很久，才能被更广泛的计算机科学界认可。
Xbox 破解事件揭示的硬件安全模型启示
微软把 Xbox One 的安全架构设计得固若金汤：硬件信任根、定制 Hypervisor、每台主机独立密钥加密的存储，以及每一级都会验证下一级的签名启动链。这可不是安全表演，而是由业界顶尖安全工程团队打造的多层纵深防御。他们称之为「不可破解」。
云身份认证日志的盲点
TrustedSec 的一支安全团队最近披露了绕过 Azure 登录日志记录的第三和第四种方法。也就是说，已经有四种独立的技术，可以在不产生日志记录的情况下完成 Microsoft 云服务的身份认证，而安全团队恰恰依赖这些日志做检测。登录确实发生了，日志却没有记录。任何监控这些日志以发现可疑活动的人，什么都看不到。