@moudy #12

"有人想在路由器上配置 log 自动上传 hotmail ，跑到 ms answer 上问 smtp 验证怎么办"

这个场景中，他已经知道什么是路由器，什么是 log ，知道使用自动化，知道除了 qq 邮箱以外还有 hotmail ，懂得在正确的地方询问问题，知道 smtp 术语，且知道 smtp 需要验证。

以上，这不是一个小白。

真正的小白：

“师傅我家不能上网了，麻烦您帮忙看下”
“你路由器里面显示连接正常么？”
“我昨天还能上网的，今天回来就不能了”
“我是说你路由器界面有显示无法连接互联网？”
“能的呀，流量没问题”
“。。。。。”

op ，请精确的写出你行业的名字，是加密货币行业，不是加密行业，前者是币圈，后者是研究数据信息保护和安全领域的，完完全全不是一个东西。

进来前还说了解一下目前安全行业的日常，结果。。。

你说的 app password 本质是一串 token ，用于为不兼容的、第三方的 app/sdk 提供访问支持。对于 token 你应该限制它使用的权限并严格保密，比如 aws IAM ，如果你知道了某个 root 用户的 ak ，那么可以无视全部的访问权限。所以确实像你说的，app password 需要用户有很强的安全意识，并且严格遵循使用规范，但需要用到这东西的场景也决定了使用者不是纯小白。


@moudy #9

“ passkey 会有这个问题（想象一下小偷在地铁上看了你的解锁密码再顺走手机…..）” “而且没了 passkey 想登陆你的账号可没那么容易。”

passkey 是软件/硬件的安全密钥，很多网站在添加之初就让你添加两个，互为备份。对于硬件密钥，比如 yubikey ，有些型号是有生物认证的，本身也有有 PIN 码进行保护，输错 3 次后只能用 PUK 解锁，而且盗窃者也不知道你的 key 用于那些账户；对于软件 passkey ，现在大部分解锁方式都是生物识别，几乎没有渠道获取你手机访问权限，即便盗窃者获取到了你手机访问权限，在你 passkey app 层面还是需要二次验证的。如果你没有使用生物认证而使用密码的方式，盗窃者需要追踪你一段时间获取到手机密码，还要继续追踪你 直到某一天你再次使用了 passkey 登录验证，并且此时捕获你 passkey app 的密码，这成本相当高昂，几乎不可能实现。

@ThinkCat 感谢推荐，等我把手里的这本读完就去看看你说的

@julyclyde 啊。。这个。。。原谅我极差的文学素养，我从小学起语文就不好的，当时脑子里突然就蹦出了那句话，而且也想不到什么其他的表达了。。

@zsqduke 那是个让人讨论的话题，并不是一个辩论的课题，所以我没有必要有自己的观点，只是参与了部分讨论。

别人攻击我无所谓，只是我认为对方没有搞清楚我想说什么，所以尽可能的不要产生误解。同时我也很喜欢看到一个对我有敌意的人，在我一步步的说明后开始对我不再有敌意的感觉。后来发现，那人就是个喷子，既然这样也就没必要和他说什么了。

至于你说的“然后你感觉你被人攻击，于是你又发了现在这个帖子”，其实这个帖子我之前就想发了。当时已经写了大半截，但一瞬间大脑一片空白，再也想不起来自己是要说什么内容，逻辑也都乱了，不得已只好把当时写好的内容全都删掉。他的对话恰好让我再次想起了当时想要表达的观点，趁此机会写了下来。

@Rendex 嗯？好像没有吧，没有找到五花肉的光驱位机箱。他家那个 2400 的机箱倒是看着不错，做工貌似也很扎实，有打算下个 nas 买他的（在黑色宝藏盒 pro 和他之间犹豫）。

3D 打印不行，之前有试过 3D 的机箱，强度太差了，无论是做工还是质量都不能比。我可以接受 3k 买一个满意的机箱，但不接受买回来的东西有硬伤。

@susimonxu4203 win10 10240 的壁纸感觉一般，但后来忘记哪个版本开始，换上了新的亮色（浅色） win10 logo ，这个真的好看

@ztm0929 我说的有些模糊了，让我详细说一下。各种系统防范的都是外部的人，对内很少防护，因为很多系统设计之初是没有考虑对内防护的，而且对外未授权访问的危害总是比内部大的。这就导致，即便内部有一些防护措施，也很容易被绕过，包括但不限于 测试帐号，绕过大门走窗户（操作逻辑），简单的 sql 注入（这在外包、xx 项目中很常见）。

简单来说，很多对公司内部的鉴权、记录都是防君子不防小人的。还有一点，如果一个系统是对外开放的，人们发现漏洞后厂商会修复，尽最大可能缩小受影响范围及时间。但公司内部系统不一样，只要不影响正常业务，一般没有人会去修的，这就意味着，如果真的有不管是逻辑层面、代码层面的漏洞可以绕过某些防护，这个方法会一直可用。

以上只是说我在企业中发现的一些问题。

@ztm0929
“后面提到的关联信息查询也是我很好奇的点，也许内部人员可以通过网号查询，不知道有什么内部防范措施。”

内部为什么要有防范措施？为什么要把自己人关在外面？

@ztm0929 最开始的时候他们说，你们的 qiang 自己可以留着，我们不管，只是需要登记一下；后来他们说，你们的 qiang 自己可以留着，但是别人都登记了，你的没有登记，属于黑 qiang ，要管；再后来，他们按照登记的信息收掉了所有人的 qiang ；现在，犯人没抓住可以，但是 qiang 丢了，这辈子没了。

最开始的时候，github 是可以上的，后来，他们 ban 了，人们不满意，他们又开了，一段时间后，开始干扰，效果是有些人能上，有些人上不去，有些人网速慢。这时，用户开始相互指责了，——我能上去你为什么不能，瞎说。

我曾经一直好奇一件事，当时那个年代又没有计算机，怎么可能那么多犹太人被赶尽 sha 绝，没有监控，随便隐姓埋名不就好了，德国又是怎么知道具体人数呢？即便上门询问，随便躲到地下室不就行了？后来我知道了，他们以人口普查为由，挨家挨户上门核实，这种行为很正常，人 chu 无害。后来，他们给每人发了身份证，犹太人有了正式的可以证明自己是合法犹太公民的身份。再后来，他们凭借获取到的信息挨家挨户搜，但没过多久，开始觉得身份证上标识不够明确，处理信息效率太低了，此时恰好有人发明了打孔卡和读卡机，这也是计算机的雏形，他们为每一位犹太人发了印有三代血统的打孔卡，配合读卡机，精准的识别每一个犹太人。在那之后，由于这套全新信息处理系统的充分运用，极大的加速了人口筛选过程，也使得犹太人再无逃脱的可能。而那位发明了打孔卡和读卡机的人很有商业头脑，——他只出租读卡机，从不售卖，这让 jun 方重度依赖他们，也让他赚的盆满钵满，同时这也是他人生赚到的第一桶金。由此，IBM 诞生了。

@lloovve #17 和犹太人有关的那个

@NoOneNoBody #21 不不不，我不是在呼吁人们应该保持客观，也不是说我们应该怎么应对，单纯只是在谈这个现象。

@zsqduke #16 对于这点，我想还是有必要说一下的，并不是所有时候都有立场

第一，如果想搞清楚对方的立场，可以直接问，“所以你是同意 xxx 观点对吗?”，而不是先把对方当成敌人。

第二，有时候不表明自己立场是因为我没有立场，就比如手机监听的帖子，我既不认为手机用其他传感器监听是空穴来风，也不认为他真的在这么做，这个事情有很多地方无论正反都说不通，已知的信息不足以让我下定论。

第三，讨论是为了互补不知道的信息，未必要有立场。需要有立场的，应该是辩论，双方各执一词，列出支持己方观点，然后分个输赢。


@zsqduke #18

“不要先入为主的道理是对的，但这个道理只能用在我们自己身上。我们要尽量避免对别人先入为主。但我们碰到别人先入为主我们，我们只能去接受并且尽量沟通解释”

抱歉，我觉得谈不上你说的事情。
对别人先入为主也好，自己先入为主也好，都只是发生了的事情，只是这些事情有时对正常讨论会有影响，然而大部分人没有发现，所以拿出来摆在桌上。至于我们要不要这么做，这是另一件事，什么时候去做，什么时候不去做，都是个人在某种情况下选择，不存在好与不好；

对于他人对我的主观臆断，我可以接受，也可以不接受，又或者忽略，又或者解释，怎么都可以，听自己内心的声音即可。

@hylqs #13 啊。。怪我，本来不想继续那个讨论的

@min #5
@coderluan #6
@hylqs #7

https://i.imgur.com/5nNR7jw.png

@hylqs #7 他在另一个帖子有自己说。