标签: #security

한국어English日本語中文

← 全部文章

• 用家里的服务器搭一个实操型学习平台 — 如何把 Kubernetes 塞进没有特权的 Pod 里

  学员按下按钮，专属容器随即启动，在浏览器终端里操作真实的 Linux shell，每一步点击评分后由服务器检查 Pod 内的实际状态来判定通过与否 — 这是把这样一个学习平台搭在家里 7 节点 Kubernetes 集群之上的记录。最难的问题不是功能，而是隔离。既然是实操，就必须把 root 交给学员，但这个 root 绝不能跑到家庭网络里去。解法是三层：把 Cilium 网络策略拆成按实验区分的三档配置，Linux capabilit

  2026-08-20 · 22 分钟阅读 #kubernetes#cilium#security#homelab#kwok

• 不在资产清单里的东西不会被扫描 —— 自来水 PLC 事件带来的 OT 暴露面管理

  CISA 于 2026 年 7 月 30 日发出警告，称针对供排水行业 PLC 的活动大幅增加，并建议立即把暴露在互联网上的 OT 断开。通告所观察到的行为并不是通常意义上的攻陷，而是改掉密码把运维人员锁在门外、改掉 IP 地址让设备失联，其结果是煮沸饮水通告和长时间的手动运行。本文照着这份通告逐条读下去，梳理常规攻击面扫描抓不到的蜂窝调制解调器问题、缓解措施为什么是那个顺序，以及那个没人预先准备的恢复前提条件 —— 一份经确认干净的

  2026-08-09 · 15 分钟阅读 #security#ot#ics#plc#cisa

• 「x86 硬件后门」这句话的准确范围 —— 按作者写下的样子来读 rosenbridge

  仓库标题写的是 x86 CPU 的硬件后门，但 README 正文明确写着：受影响的被认为只有 VIA C3，而此后的世代已经不再具备这项功能。作者在免责声明里写道，他认为这是为嵌入式市场出于善意做出来的一项有用功能，只是在早期若干世代里被无意间保留成了启用状态，并明言这不含任何恶意的意味。本文先把这条边界线准确地搬过来，再讨论真正被一般化的其实不是这个发现，而是方法：sandsifter 为寻找未文档化指令而系统性扫描整个 x86 指

  2026-08-09 · 15 分钟阅读 #security#hardware#x86#cpu#fuzzing

• 一起没有攻击者的入侵事件 —— 为什么该重新审视智能体凭据

  Hugging Face 在 2026 年 7 月 16 日公开了一起由自主智能体造成的生产环境入侵，约三周后 OpenAI 表示那次攻击是从自家训练环境里流出去的。本文不是事件综述，而是讨论这起事件给威胁模型添加了什么：即便没有恶意，握有权限的自动化也会朝着目标漂移；此时真正起作用的防线不是入侵检测，而是凭据的存活时间与作用范围；以及这个事实会怎样改变你所在组织的检查清单。

  2026-08-09 · 12 分钟阅读 #security#llm#agent#incident-response#credentials

• AI 如何在 6 月一个月内修复两年份的 Chrome 漏洞 —— 读懂 1,072 这个数字

  根据谷歌在 2026 年 7 月 30 日发布的公告，仅 6 月发布的 Chrome 149 和 150 两个版本就修复了 1,072 个安全漏洞，超过了过去两年、23 个里程碑版本合计修复的 1,036 个。其中还包括一个在代码库里潜伏了 13 年以上的沙箱逃逸漏洞。本文不追热闹的标题数字，只看背后的机制 —— 从 2023 年基于 LLM 的模糊测试目标生成，到 2024 年的 Naptime、2025 年的 Big Sleep，再

  2026-07-31 · 20 分钟阅读 #ai#security#chrome#fuzzing#vulnerability

• 密钥（secret）管理 — 只靠 .env 文件为什么不够，环境变量泄漏的路径与轮换设计

  把 .env 文件加进 .gitignore，并不等于密钥就安全了。进程环境在同一台主机上可以通过 /proc/PID/environ 被原样读出，会随着崩溃报告、调试页面和 CI 日志一起流出，还会永久留在容器镜像的层里。本文逐条展示环境变量真实的泄漏路径，并说明当密钥已经被提交时，为什么响应顺序是先吊销密钥而不是先重写历史。文章还会讲清 Kubernetes Secret 里的 base64 并不是加密、用短生命周期凭证与工作负载身

  2026-07-26 · 23 分钟阅读 #security#secrets#devops#vault#kubernetes

• 依赖供应链安全 — 锁文件挡不住的那些东西

  你在 package.json 里亲手写下的包只有十几个，实际装进来的却超过一千个。本文解释传递依赖为什么比直接依赖更危险，并用真实的锁文件条目说明整合性哈希为什么只保证可复现性，对恶意代码则毫无作用。文章会讲清 typosquatting 与 dependency confusion 成立的条件，以及如何用作用域固定和索引优先级配置把它们挡掉，还有 postinstall 脚本实质上就是任意代码执行点这件事和阻断办法。然后，从 SBO

  2026-07-26 · 19 分钟阅读 #security#supply-chain#npm#sbom#ci

• 认证、授权，以及 IDOR — 登录明明是正常的，却能看到别人的数据

  真实的数据泄露事故大多不是出在认证上，而是出在授权上。最典型的就是 IDOR：登录正常通过，只要改一下 URL 里的 ID，别人的资源就原样返回了。本文在代码层面把认证与授权的边界划清楚，并准确说明把顺序 ID 换成 UUID 为什么只是缓解措施而不是解决方案。文章还会讲清授权检查一旦散落在各个控制器里就必然会有遗漏，因此必须集中到数据访问层或策略引擎；多租户下把租户条件强制进查询的模式与 PostgreSQL 行级安全的配置；用两个账

  2026-07-26 · 21 分钟阅读 #security#authorization#idor#api#multi-tenant

• SQL 注入与参数绑定 — 用了 ORM 仍然会被打穿的那些地方

  搜索 SQL 注入的对策，最先跳出来的往往是转义函数，但正确答案是参数绑定。转义是试图让值在字符串字面量里变得安全，而绑定是让值根本不进入 SQL 文本的结构性分离。本文用日志确认预处理语句在服务端究竟是怎样被解析和执行的，再用 Python 和 JavaScript 代码展示即使用了 ORM 也会被打穿的三个地方，以及 ORDER BY 或表名这类根本无法绑定的位置该如何处理。文章还会覆盖 LIKE 子句的通配符、保存下来的值日后才引

  2026-07-26 · 22 分钟阅读 #security#sql#database#orm#python

• 容器镜像漏洞扫描结果怎么读 — 把几百个 Critical 变成 0 的实际做法

  第一次跑镜像扫描器，会吐出几千条漏洞，其中相当一部分是 Critical。把这份报告原封不动丢给团队，结果是什么都不会发生。本文从一个事实出发：扫描器实际做的只是把已安装的包清单和 CVE 数据库对一遍。由此解释厂商回移补丁造成的误报、为什么必须参考发行版的安全公告，以及应用代码里的漏洞压根就看不见这一局限。文章会讲清为什么不能只看 CVSS 分数、如何把 EPSS 和 KEV 这类真实利用指标一起读，并用命令和输出展示：消掉几千条漏洞

  2026-07-26 · 17 分钟阅读 #security#container#docker#trivy#kubernetes

• .gitignore 不生效的时候 — 头号原因与模式规则精读

  明明在忽略列表里写清楚了，文件却还是一直被提交上去，原因基本只有一个：对已经被跟踪的文件，忽略规则不生效。本文讲清楚把它从索引里摘出来的准确命令，以及这条命令会把文件从同事工作目录里删掉的副作用；讲怎么用 check-ignore 直接问 Git 究竟是哪条规则在作祟，以及它对被跟踪文件什么都不输出的坑；还有前导斜杠、末尾斜杠和否定模式的顺序依赖，排除上层目录会让其中的否定模式失效这条规则，忽略规则的优先级层次，以及不区分大小写的文件系

  2026-07-26 · 16 分钟阅读 #git#gitignore#troubleshooting#security#version-control

• TLS 握手与证书错误解读 — 为什么浏览器能通而 curl 失败

  浏览器上的锁标显示一切正常，唯独 curl 和服务端调用因证书错误而失败，这属于服务器配置问题。因为浏览器会通过 AIA 扩展自行下载缺失的中间证书，而 OpenSSL 系的客户端不会。本文整理了如何按消息顺序阅读 TLS 1.3 握手、没有 SNI 时会发生什么、证书链校验在哪里断掉，以及包括 unable to get local issuer certificate 在内的各条错误消息的成因，并配上 openssl sclient

  2026-07-26 · 19 分钟阅读 #network#tls#ssl#openssl#security

• JWT 与会话，何时用哪个 — 用「状态放在哪里」来理清认证选型

  JWT 与会话的区别不在加密，也不在性能，而只在一点：认证状态是放在服务器还是放在客户端。由这个选择直接推出 JWT 无法即时失效这一根本弱点，也解释了为什么短过期时间、刷新令牌和黑名单这些对策最终又把状态请了回来。本文围绕令牌存放位置，把 localStorage 的 XSS 暴露与 httpOnly Cookie 的 CSRF 暴露连同 SameSite 属性一起比较，并用代码点出 alg none、漏掉签名校验这类经典实现漏洞。还

  2026-07-26 · 18 分钟阅读 #web#jwt#session#authentication#security

• OpenSSH 10.4 精读 — 实验性 ML-DSA 复合签名、mlkem768 默认值的下一步，以及那些咬住运维者的废弃

  2026 年 7 月 6 日发布的 OpenSSH 10.4 表面上是一个 bugfix 版本，但精读发布说明会看到两条线索。一条是后量子迁移的下一步 — 密钥交换在 10.0(2025-04)让 mlkem768x25519-sha256 成为默认值后已基本告一段落，10.4 则通过实验性支持把 ML-DSA-44 与 Ed25519 捆在一起的复合签名 ssh-mldsa44-ed25519@openssh.com，开启了签名这条战

  2026-07-17 · 22 分钟阅读 #security#openssh#ssh#post-quantum-cryptography#cryptography

• OPA 现在由谁维护 — Styra 团队加入 Apple，之后 11 个月的可验证记录

  2025 年 8 月 20 日，一则公告宣布 OPA 的创始人们和多名 Styra 团队成员将加入 Apple，社区中随之流传起「Apple 收购了 OPA」的传言。用一手资料核实后，实际情况并非如此 — 没有任何地方宣布过收购公司或资产，只是人员换了雇主，OPA 依然是 CNCF 毕业项目。本文直接用 GitHub API 和原始文档核实并梳理了：那则公告的准确措辞、此后 11 个月里实际发生的事 — 月度发布节奏的维持、Regal

  2026-07-17 · 18 分钟阅读 #security#opa#authorization#open-source

• Keycloak 26.7 — SCIM 升级为预览版，无需外部 Infinispan 的多集群 v2，以及升级中容易踩的坑

  2026 年 7 月 9 日发布的 Keycloak 26.7.0，把一个悬而未决近四年的诉求 —— SCIM API —— 升级为预览版，并推出了预览版的多集群 v2，它无需外部 Infinispan 集群，仅靠数据库就能构建多集群高可用。Organizations(组织)功能新增了专属管理角色和按组织划分的细粒度权限委托，让多租户运维更进了一步。不过，SCIM 目前只实现了接收方(即 Keycloak 作为 SCIM 服务器)这一侧

  2026-07-17 · 25 分钟阅读 #security#keycloak#sso#iam#scim

• DMARC 时隔 11 年终于成为标准 — RFC 9989 的树遍历、pct 的废除，以及 p=reject 的警告

  自 2015 年 3 月起就一直是电子邮件认证事实标准的 DMARC(RFC 7489)，其实是一份从未经过 IETF 工作组共识程序的 Informational 文档。2026 年 5 月，IETF 用三份 Standards Track 文档 — RFC 9989(核心规范)、RFC 9990(汇总报告)、RFC 9991(失败报告) — 取代了它，DMARC 时隔 11 年才成为正式的互联网标准。组织域的判定方式从 Public

  2026-07-17 · 23 分钟阅读 #email#dmarc#dns#security#rfc

• OpenBao 到底比 Vault 分叉了多少 — 从发布说明看分歧点，直到 v2.6 的命名空间封印

  距离 OpenBao v2.0.0 GA(2024-07-17)正好过去两年，而三天前 v2.6.0 才刚发布。本文抛开「BUSL 背叛」对「可持续性」这类阵营论调，只用两个项目自己发布的发布说明、变更日志和提交记录，来确认这个分叉到底在哪里真正分道扬镳。OpenBao 把曾经 Vault Enterprise 专属的命名空间在 v2.3.1 开源了出来，又在 v2.6.0 加上了上游没有的、按命名空间划分的加密封印。反过来，存储后端、

  2026-07-17 · 16 分钟阅读 #security#open-source#devops#licensing

• curl 8.21.0 的 18 个 CVE — 漏洞赏金终结之后迎来的「高质量混乱」

  2026 年 6 月 24 日，curl 8.21.0 在单个版本中发布了 18 个 CVE，刷新了项目记录。不过这 18 个全部是 Low 或 Medium，High 级别自 2023 年 10 月以来一个都没有出现过。这个数字背后，是一个被 AI 劣质报告折腾到 2026 年 1 月底废除了漏洞赏金的项目，从 3 月起却反过来迎来了「几乎全用 AI 写、但质量很高」的报告洪流。本文用 curl 自己公开的机器可读数据 vuln.js

  2026-07-17 · 23 分钟阅读 #network#security#curl#cve#open-source

• 通向 47 天 TLS 证书的时间表 — 从 SC-081v3 原文核实的分阶段日期、Let's Encrypt 的 45 天过渡计划，以及 ACME ARI

  从 2026 年 3 月 15 日起，公开信任(publicly-trusted)TLS 证书的最长有效期已经从 398 天降到 200 天，而按照 CA/B Forum 投票(SC-081v3)敲定的时间表，还会继续降 — 2027 年 3 月降到 100 天，2029 年 3 月降到 47 天。真正更痛的不是有效期本身，而是域名验证的复用期限 — 从 2029 年 3 月起降到 10 天，实际上意味着几乎每次续期都要重新验证。本文不

  2026-07-17 · 25 分钟阅读 #security#tls#certificates#webpki#automation