從開發(fā)到用戶，關注互聯(lián)網(wǎng)安全
2月25日，CSDN在北京舉行了TUP第20期活動：互聯(lián)網(wǎng)安全。本次研討會匯集了來自安天、安恒和xsign等公司和組織的眾多技術高手，就算法策略、安全防御與漏洞補殺、用戶身份認證和移動安全等話題和與會者進行了深度探討。與會者包括來自互聯(lián)網(wǎng)/IT公司技術高管CIO/CTO/CSO、運維管理人員、程序員、網(wǎng)絡安全研究人員。共計兩百多人參與了此次研討會。
2012年冬春，互聯(lián)網(wǎng)安全的多事之際。我們見證了大規(guī)模的網(wǎng)站密碼泄露事件，多個語言或框架的安全漏洞也被曝光，新平臺的安全問題也浮出水面。要做互聯(lián)網(wǎng)，重視安全問題已經(jīng)刻不容緩。如何保證互聯(lián)網(wǎng)網(wǎng)站安全平穩(wěn)地運行，用戶的隱私權益得到充分的保障？來自安天實驗室反病毒引擎研發(fā)中心的研發(fā)經(jīng)理童志明、來自安恒信息安全服務的部門經(jīng)理劉志樂、來自xsign的移動安全專家張亞一，以及pr0zel windows安全研究員李敏怡，分別闡述了自己的觀點并帶來了相應解決方案和技術講解。本文總結(jié)了嘉賓的演講內(nèi)容并提供了演講資源下載，《Web應用開發(fā)中的安全算法使用策略》、《“泄密門“帶給我們的警示》。
安天童志明：Web應用開發(fā)中的安全算法使用策略
安天實驗室反病毒引擎研發(fā)中心經(jīng)理童志明發(fā)表《Web應用開發(fā)中的安全算法使用策略》主題演講。
童志明談到，在當前0day橫行，幾乎沒有網(wǎng)站和應用可以絕對保證自己數(shù)據(jù)庫系統(tǒng)的安全的情況下，如何合理的利用現(xiàn)有的安全算法，可以獲得更多安全的保障，是我們需要討論的問題。
在演講中，童志明通過對APM實現(xiàn)的展開進行深入的討論，讓目前還在明文保存密碼的網(wǎng)站和使用相關算法策略并不合理（比如那些聯(lián)合使用HASH或者加入單一SALT的情況）的網(wǎng)站，能夠了解如何科學使用這些數(shù)學方法，降低安全應用的門檻；同時，他通過大量案例的分析，希望打消那些中小網(wǎng)站試圖自己研究一個算法的努力。放棄這些已經(jīng)被經(jīng)過理論和實踐檢驗過的算法實現(xiàn)，而徒耗心力和人月，是不值得的。
安恒劉志樂：“泄密門”帶給我們的警示
安恒信息安全服務的部門經(jīng)理劉志樂做了名為《“泄密門“帶給我們的警示》的主題演講。
劉志樂指出，目前75%的安全隱患來自于Web應用系統(tǒng)所存在的安全漏洞，三分之二的WEB站點都相當脆弱，易受到攻擊。Web應用安全嚴峻的現(xiàn)狀。
他在常見Web應用安全漏洞的說明，主要從兩方面來闡述：一方面從權威的OWASP統(tǒng)計顯示2010年名列前十的安全漏洞；另一方面，通過從漏洞產(chǎn)生原因、危害以及加固建議三個方面來描述目前常見的高危WEB應用安全漏洞。
接下來劉志樂從整體的安全產(chǎn)品防護、安全服務兩個方面來闡述如何對Web應用系統(tǒng)進行安全防護。安全產(chǎn)品防護主要是描述WEB應用安全產(chǎn)品的部署防護，安全服務主要是描述Web應用系統(tǒng)的安全服務體系概述、安全服務內(nèi)容以及安全服務主要實施技術和工具。
最后，劉志樂在演講中對敏感信息泄露的防范提供了幾點建議：將敏感信息統(tǒng)一定位在安全目錄下；正確設置訪問權限；敏感目錄和敏感文件名不要默認命名等等。
xsign張亞一：2011年Android惡意軟件分析
xsign成員張亞一做了《2011年Android惡意軟件分析》的演講。
張亞一指出，2011年是Android惡意軟件試水的一年，以隱私、廣告和推廣為主題的產(chǎn)業(yè)鏈慢慢浮現(xiàn)。同時Android惡意軟件的演進速度也明確加快。在演講中他就通過分享幾個Android病毒管中窺豹式地分析了2011年惡意軟件的發(fā)展狀況。
在演講結(jié)束后的討論中，與會者踴躍提問，提出自己遇到的實際問題，尋求技術指導與交流探討。嘉賓們也做了耐心的講解與深入的探討交流，現(xiàn)場氣氛熱烈而融洽，并針對本次講座的主題與業(yè)界熱點話題，發(fā)表見解并分享自己工作中的技術心得和經(jīng)驗積累。
這種在開放式的交流，與會者與演講嘉賓無疑加深了對目前安全現(xiàn)狀的了解和安全問題的認識。
