标签：IT 人生

1、看起来参会人员似乎和去年差不多，可房间却十分紧张，最后挤在四人间，而且距离会场较远，TechED 渐有成为唯一的微软年度盛会之势，PDC 已经两三年不见了；

2、有幸见到一位厉害人物，VB 产品组的总经理潘正磊，从 Access 1.0 做起一直到现在 14 年，参与主持开发的产品很多，虽然自己现在 VB6, VB.NET 基本上用的 少了，但受到其个人魅力吸引，两堂课都听了，很受感慨，要是在中国，能找到这样一位14年编写代码，做产品规划和管理，还能在课上大讲 Debug 技巧与 Tricks/Tips 的人吗，一行一行调试代码的人吗？

3、Vista/Longhorn Server 的远程显示协议（RDP） 到 V6.0 ，支持 Gateway ，更安全（类似于 Outlook 的 RPC Over HTTPS），支持NAP（网络访问保护），可以直接支持远程应用程序，这个特性很 Cool，不过似乎很象 Citrix 的东西；

4、SharePoint 中的工作流基于 WF（为什么不叫 WWF 了？这和WPF、WCF不匹配呀）真不错，Kaneboy 演示的例子也非常好，看来也是精心准备的，可惜 kaneboy 问的问题没太有把握，没敢举手，没有拿到礼物，回头买一本支持一下，自己翻译过书，也知道写书、翻译书挺累的，要尊重作者劳动和知识 产权，呵呵，顺便夸奖一下 Kaneboy 的美女同事 TingLi ，技术、演讲能力都不错，同 Team 的其他成员都不错。回头再做开发的时候，要好好考虑一下能不能用 Infopath + SPS 2007 搞定，这样能避免大量无聊的代码了，开发生产力第一；

5、最近是国内各大银行网上银行的多事之秋，传统的“用户名+密码”的安全弱点已无法承担此重任，使用数字证书也仍然在端点上存在一些问题，Vista 的 CardSpace（InfoCard）技术来得正是时候，不过我估计给银行的决策人员介绍是可以，要用的话，估计还得段时间，要使用它，还是需要一些魄力与技术洞察力的；

6、今年听了一些 MOM 的课，东西是好东西，可如何说服领导花钱购买这个东西，提高管理水平，这似乎是个问题；

7、今年的动手试验室不错，但时间还是感觉紧张，脚本也没有翻译成中文，绝大多数人都做不完，不过能开放16个小时也不错，晚饭后还做了两个 Biztalk 2006 的试验，可惜没有带大硬盘，把这些虚拟机和资料 Copy 回家自己慢慢看；

8、今年的赞助商似乎不如去年，缺少去年 AMD 的那种气势；

9、今年的 MVP 活动感觉不如往年，没有很好的机会聚在一起好好聊聊，缺乏交流致使大家都不怎么互相认识，感觉比较陌生，而且把自己喜欢的一张 MVP 海报拉在房间里了，依旧感谢 MVP Lead 为我们申请的门票；

10、日程安排得挺紧张，有点累，得好好休息一下了，刚好凑够10条，呵呵。

先列出大家都了解的一些常见的与安全相关的名人堂：

• 病毒 － Virus
• 蠕虫 － Worm
• 木马 － Trojan Horse
• 假病毒 － Hoax
• 恶作剧 － Joke
• 后门 － Backdoor
• 间谍程序 － Spyware
• 规模传播的邮件病毒 － Mass Mailer
• 僵尸程序 － Bot
• 广告软件 － Adware
• 恶意代码/脚本/代码 － Malware/MalScript/MalCode
• 网络钓鱼 － Phishing
• 键盘记录软件 － KeyLogger
• 行为记录软件 － Track Ware
• 窃取程序 － Stealer
• 垃圾邮件 － Spam
• 拨号软件 － Dialer
• 逻辑炸弹 － Logic Bomb
• 漏洞利用代码 － Exploit Code
• 流氓软件

现在又有新成员Ransomware － 勒索软件加入了，大家鼓掌欢迎，这里简要介绍一下它的政治面貌：

勒索软件（RansomWare）是黑客用来劫持用户资产或资源并以此为条件向用户勒索钱财的一种恶意软件。勒索软件通常会将用户系统上多种类型的文件，如文档、邮件、数据库、源代码、图片、压缩文件等，进行某种类型的加密操作，使这些文件不可用。勒索软件还可能通过修改系统配置文件，干扰用户正常使用系统的方法使系统的可用性降低。然后，通过弹出窗口、对话框或生成文本文件等的方式向用户发出勒索通知，要求用户向指定帐户汇款来获得解密文件的密码或者获得恢复系统正常运行的方法。

查看：勒索软件详细介绍 |  全国首例传播电脑病毒敲诈案告破 

function act(no)
{
if(document.all.item(“x”+no).style.display==””) document.all.item(“x”+no).style.display=”none”;
else document.all.item(“x”+no).style.display=””;
}

前几天，思归提到数据库安全是个大问题，我深有同感，感觉现在大家在外围、应用安全上做的工作比较多，往往忽视了数据库的保护，而这部内容恰恰是最关键的信息资产，正好本人与同事最近刚翻译完成了一本这方面的著作，《数据库加密——最后的防线》近期将由电子工业出版社出版，本书中详细介绍了如何对数据库的数据进行加密，同时给出了 Java 样例代码。

译序节选>>   (单击显示/隐藏)

安全性本身涉及的内容和范围非常广泛，从整体层次上来说，包括安全策略、安全管理、物理安全、网络安全、主机安全、应用安全、数据安全等许多领域，针对这些主题，业界已经提供了大量成熟的解决方案和最佳实践，从微观上来说，安全基础技术——密码学的发展也相当成熟。通过在以上各个层次中合理地使用密码技术，能够有效地满足绝大多数安全需求，关于这些内容的安全资料和书籍非常丰富，但是唯一令人遗憾的是，关于密码学在数据库中的应用这个领域，即数据库加密，却被很多安全专家和技术人员所忽视，很少有人去研究，因此也鲜有相关著作，其主要原因是大家一般寄希望于数据库管理系统来保护数据的安全性，但是在实际应用中，数据库管理系统所能提供的保护作用是有限的。

大多数情况下，应用系统中最有价值的资产就是商业数据，尤其对一些特定行业，如金融行业来说，数据的机密机至关重要，甚至事关企业的命运和发展。例如去年美国付款信息处理公司CardSystems遭受黑客入侵，造成了美国史上最大一起的数据泄露事件，此次泄密事件波及的信用卡用户多达4000万人，严重影响了全世界范围的数千万客户，甚至包括中国的数千名用户，这使得银行和信用卡公司不得不为所有客户重新换发所有信用卡，这不但带来了巨大的业务损失，更重要的是，对公司的声誉、客户的信心带来了沉重的打击。

由此可以看出，数据安全在整个系统安全中非常重要的一个环节，虽然应用程序和数据库管理系统可以为数据提供相当程度的安全保证，但是要看到，由于数据在物理上一般存储在单独的服务器上，攻击者可以很容易破解或绕过应用程序而直接访问数据库，另外，由于数据库管理系统使用不当或者攻击者绕过数据库管理系统来直接访问数据库所对应的原始文件，数据库管理系统所提供的安全保护也失效了，除此之外，那些合法的用户，如数据库管理员、应用开发人员都有可能轻易读取数据库中的内容，从而破坏数据的机密性。因此，如果不在数据库内部实施额外的安全措施，如数据库加密，就难以完全保证数据的安全性。

考虑到数据库系统的复杂性，因此保护数据库并对其进行加密也是一个非常错踪复杂的问题，如密码算法和模式的选择、密钥的管理等，如何才能有效地入手呢？《数据库加密——最后的防线》，这本来自业界领先的安全公司 Symantec IT应用与数据库安全项目主管的著作，将带给你这些问题的答案。

在本书中，作者Kevin Kenan全面地介绍了与数据库加密这个主题有关的方方面面的问题。包括了解保护数据的必要性，如何构建一个真正的数据库威胁模型，加强数据库安全的需求分析、对数据进行分类、如何编写与密码系统安全交互的数据库应用程序、避免常见的威胁数据库安全的漏洞和问题，以及如何在测试、部署、保护及终止过程中保护数据库应用的安全性等。

本书分为四大部分，第一部分首先介绍了安全性的基本含义及其在数据库中的具体体现，随后讲述了密码学和数据库的一些基础知识和密码学在数据库中的应用。在第二部分中，介绍了密码系统的基础架构和密码系统中的各个组件，如密钥库、密钥管理器、密码提供者、密码引擎等。

第三部分介绍了密码系统的项目管理，描述了一个项目开发生命周期的各个阶段应該注意的安全问题，如在需求阶段进行需求定义、确定策略、标准及算法，在设计阶段，提到了应該遵循的安全设计指南及最佳实践，并介绍了威胁建模及安全模式方面的内容。在开发阶段，介绍了应該注意的最主要的安全开发实践；在测试阶段，主要介绍了安全功能测试和穿透测试，前者是从正面的角度测试各种功能是否存在，而后者是从攻击者的角度来测试系统安全措施的有效性如何，是否存在任何漏洞。最后，介绍了应用程序在部署、运行及终止阶段应該注意的安全问题，这是一部分很容易被忽视的重要内容。

在第四部分中，作者针对之前描述的各种理论、技术与实践，给出了一个数据库加密系统的Java实现，这是本书中非常有价值的一部分内容，通过这部分代码，读者可以更准确、更深入地了解本书中的内容，最后，给出了这个示例系统的运行演示。这些代码可以在少量修改后，就可以应用到实际的项目中去。这部分代码可以从作者的网站（http://www.kevinkenan.com）上下载，其中包括了相关的使用说明，包括如何建立初始数据库等。

目录节选>>   (单击显示/隐藏)

第一部分：数据库安全
1、数据库安全问题
1.1、数据库面临的攻击
1.2、保护数据库的外部需求

2、使用加密保护数据库
2.1、数据库知识的快速复习
2.2、密码学是什么
2.3、密码学应用
2.4、加密的风险
2.5、加密面临的攻击
2.6、混淆
2.7、传输加密

第二部分：加密基础设施
3、加密基础设施概述
3.1、应用程序架构
3.2、加密系统加构
3.3、加密密钥

4、加密引擎和算法
4.1、本地引擎
4.2、专用引擎
4.3、加密算法

5、密钥存储库、清单和管理组件
5.1、密钥存储库
5.2、密钥清单
5.3、密钥管理组件

6、加密提供者和使用者
6.1、提供者
6.2、使用者

第三部分：加密项目
7、加密项目的管理
7.1、安全意识
7.2、客户参与
7.3、项目范围
7.4、项目角色

8、增强需求的安全性
8.1、安全需求、策略和标准
8.2、一般需求
8.3、需求复查
8.4、确定加密标准
8.5、数据分类

9、提高设计的安全性
9.1、数据流图
9.2、设计指南
9.3、威胁建模
9.4、安全模式
9.5、设计密码系统

10、安全开发
10.1、安全开发指南

11、测试
11.1、安全功能测试
11.2、穿透测试

12、部署、保护与终止
12.1、部署
12.2、保护
12.3、终止

第四部分：示例代码
13、示例说明
13.1、工具和通用服务
13.2、引擎与密钥库示例

14、密钥库
14.1、本地密钥
14.2、本地密钥的存储
14.3、访问本地密钥

15、清单
15.1、密钥别名

16、密钥管理程序
16.1、密钥工具-KeyTool

17、引擎
17.1、本地引擎

18、票据与提供者
18.1、加密请求与解密结果
18.2、票据
18.3、提供者

19、使用者
19.1、客户信息
19.2、信用卡信息
19.3、客户管理对象

20、异常

21、示例系统运行演示
21.1、设置密钥
21.2、操作客户信息
21.3、替换密钥
21.4、替换加密密钥的密钥

查看：Amazon 原版信息

之前提到的网银安全的事有结果了，大家了解一下网银大盗的作案手法，很有教育意义，希望大家可以举一反三，不，说错了，是很有警示意义，希望大家可以以此为戒，加强防范，呵呵。

某报讯，在互联网上兴风作浪将近一年的“新网银大盗”电脑病毒作者已经被捕。这位16岁的电脑高手通过在被害人电脑中“种植”电脑病毒的形式，盗窃工行网上银行用户密码账号，然后通过多次转账的形式提取现金。截至案发时，刘某已经窃取现金62500余元。

　　据悉，犯罪嫌疑人刘某系厦门市某中专校在校生，被捕时年仅16岁。刘某入侵了吉林搜狐网，将其中部分网页链接改造成可偷偷打开事先设定的恶意网页的“陷阱”链接，从而在点击者的电脑中“种植”电脑病毒。他制作的电脑病毒“新网银大盗”一旦发现用户登录工行个人网上银行的界面，就开始记录用户的键盘输入内容。如果卡号长度为19个字符，并以“95588”开头时，病毒就会将记录下的卡号、密码和验证数字等信息加密后自动传送给电脑病毒作者。通过这种形式，刘某盗窃工行网上银行用户密码账号，然后通过多次转账的形式提取现金。据警方介绍，仅仅通过侵入吉林搜狐网传播木马病毒，刘某就获取了124张银行卡的网上银行资料。网络警察在一个与他相关的网站上还发现了数百张银行卡资料，最终查明刘某前后一共盗走12名受害者银行卡内的钱款62500多元。

一位少年就可以对资产达几千亿的超大银行的系统造成威胁，这种不对称就来自于满山遍野的黑客工具和银行科技人员的不作为，要不是警察叔叔帮忙，真为这些银行的客户担心。

参照Microsoft网站及一些搜索引擎的结果，总结如下：

欢迎大家补充。

注：这里主要指的是行业应用，并没有列出一些一般的非关键应用、小型应用或桌面应用，如OA等，如果这样列，那就多了去了，那家金融机构没有用Windows呀。

查看：Microsoft Customer Evidence (这里可以查找微软的行业解决方案与应用案例)

前两天CCTV报道说X行的网银又出事了，好几个客户被转走了卡内的全部资金，而且不是直接转走，而是先转移到一些中间帐户（已经被黑客掌握），经过几次折腾，最后才被取走…，看来X行的网银已经成为一些黑客的“僵尸帐户”了。

银行一般碰到这种事，只会把责任全部推给客户，因此据报道说，这些受害的客户甚至成立了一个“X行网银受害者“的QQ群，来专门和银行交涉，里面损失最多的达六七十万…

再看看这个我的某个 Post 后的 Comment：

出售工商银行网银木马
出售(可以测试后满意再买)
工商银行小马(限量) 价格:面谈
工商银行木马生成器 价格:面谈
工商+农行(带键盘截图)生成器 价格:1600/套

联系QQ:50103XXX

首先，这些银行的科技人员应为此感到汗颜！其次，再次提防大家小心，谨防木马，尤其是在这些银行开通网上银行的客户。

大约几年前，Oracle 的电子邮件系统的广告频频出现在诸如《网络世界》等媒体上，广告好象都是两页整幅的，本身做产品广告并不是什么稀奇的事，但是当时广告中的内容确让我记忆犹新，自夸为最安全的邮件系统，永远攻不破的邮件系统，比 MS 的邮件系统强多少多少之类的…

由于当时对邮件系统（包括 Exchange ）还是了解一些的，看到如此广告，强烈怀疑其是否在做秀（就像托普要招1000名工程师一样），但一直没有机会去试用这个所谓最强的邮件系统，今天在 CSDN 上终于看到有用户对他的评价了：

……

Oemichen写道，“我在看到OCS系统是大吃一惊，因为这明明就是一个落后了当今技术四、五年的系统。参加培训的人员都吃惊的对视着，不断摇头。该系统竟然能够成为该州所有机构背后的支持系统，无论用户是使用Novell Groupwise还是Microsoft Exchange;这实在是不可思议的事情。我不禁要问这到底是谁决定的，把如此重要的任务托付给了如此垃圾的系统。(我已经退休了，所以我也没什么好担心的。)回答是——它很便宜!这的确是一个事实。但是如今网络上很多的评论认为这是Oracle公司的一种尝试手段，想借此增加一定的市场份额，以与该市场的巨头们竞争。而该州就成了这种尝试的牺牲品。……该产品实在是比较差劲，并且在微型机上的管理成本也是蛮高的;这样以来，它就很难对IT遇到的各种问题进行解决，因此也就很难完成任务。”

……

全文见此：Oracle电子邮件系统危机重挫CIO

最近在看 Rod Johnson?的《Expert one-on-one J2EE Design and Development》的中译本《J2EE设计开发编程指南》（由电子工业出版社出版）时，发现一些令人啼笑皆非的译法，举例如下：

• Cluster – 聚类 （正确应为“群集”）
• Markup – 置标 （正确应用“标记语言”，如 HTML 等）
• Callback – 回叫 （正确应为“回调”）
• Refactoring – 再加工（正确应为“重构”）
• Bug – 隐错 （正确为“（软件）缺陷”）
• Own – 拥有 （正确应为“负责”，如 Who owns the project）
• Servlet – 小服务程序 （专用词汇，最好不翻译）
• Singleton – 单元素集 （应遵照惯用译法“单件”）
• “chatty” calling – 唠唠叨叨式的访问 （应该意译为“频繁访问”）
• …

这些被误翻的词语在书本中大量出现，严重影响了阅读体验。如果译者没有技术背景，也确实难为他们能想出这些词，所以要想翻译好技术书籍，还是要懂点技术的好，如果技术不太懂，至少要勤快点，像以上词语在 google 中 Search 的时候，肯定会找到最适合的译法的。

另外从我翻译书籍和看别人翻译书籍的经验来看，如果太遵循英文原著的句式或表达方式，译文往往非常生硬、不易懂。老外的长句子很多，尤其是很长的定语从句一定要拆开，英文中的两个句子（用“.”隔开的）往是有因果关系的，但如果译成中文时用句号隔开，就不能体现这种关系，所以不仅仅是文字的翻译，标点的翻译也很重要，如并列关系的“a,b,c”应翻译为“a、b和c”。

2005 年最后一天了，基本上没什么大事，全是整理今年的一些文档资料和未竟事宜。

翻译的新书终于上架了，这是一本针对 CEO 和 CSO 的安全指南，主要介绍了在公司内实施信息安全的方法论、人员/过程/技术及信息安全路线图等内容。

原书名“The Executive Guide To Information Security”，翻译为《信息安全实施指南》已有点不能反映本意，结果出版社又在前面加了一句很不专业的“没有任何漏洞”，预计会遭到不少专业人士的批评，无论如何，该书对于一些在企业做安全管理的人员来说，还是值得一看的，尤其有用的是方法论及书本中一些可以实际应用的评估模板。

主目录如下：

序
前言
第1章 信息安全挑战
第2章 信息安全概述
第3章 制定信息安全计划
第4章 人员
第5章 过程
第6章 技术
第7章 信息安全路线图
第8章 展望未来
第9章 总结
附录A 安全评估框架
附录B 信息安全网站
附录C 可用的安全标准
附录D 安全职位界定的范例

新的一年要开始了，已经和几位在 Blog 上留言的人差不多组织好了，准备翻译这本 NIST 专家的 “Role Based Access Control”（《基于角色的访问控制》），主要目的是 Learning by Doing ，呵呵。

查看：《信息安全实施指南》图书信息