博科访谈会（二十五）：网盘，安全吗？

历史访谈：以下保留原稿中的研究经历与个人观点。

博士科普采访系列

网盘，安全吗？

上期谈到感觉我们的网络环境并不是很安全，本期让我们来接着聊聊网络防御和攻击吧！

支付宝、微信支付，安全吗？

冰镇泡沫：我认为主流支付平台通常会投入较多安全团队和维护资源，但平台规模不能保证绝对安全。这里提到的PCI DSS是保护支付卡账户数据的行业安全标准，不是一个统一的网络支付通信协议。某个平台具体遵从哪些标准、通过什么评估，需要核对其适用业务和实际证明，不能仅凭本访谈认定。

网盘，安全吗?

冰镇泡沫：我个人对把敏感资料放入网盘很谨慎。身份证、银行卡等照片可能与普通照片一起被自动同步到云端，这需要注意访问权限和分享设置。【编者校订：删除了原稿对某个被掩名网盘“被解密后什么都能看见”的未核实判断。现有资料不能支持对该平台此项行为的认定。】

没有在访谈中听到某个平台的泄露消息，不等于它没有风险；听到未经核实的传闻，也不等于已经证实平台被攻破。应根据具体安全事件、权限和数据保护措施判断。

至于网盘我也经常用，用来和老板互相分享东西。我的建议是可以使用云端，但重要信息应另做适当备份，不要只依赖一份云端副本；数据能否恢复取决于备份、版本记录和具体服务，不能一概说丢失后就无法找回。

【我的“黑历史”】

冰镇泡沫：我当时读博士期间，有一个任务是做攻击序列，就是验证我的防御方法好不好使。因为也没办法在别的地方使，我就用自己的平台，然后我就把自己给黑了。但是可能没设好端口，内部循环了就把我自己黑死了，都解不开，我气死了都。只能重装系统，所以如果没有备份会很惨的。

像我们经常接触的，除非是绝密的，当然绝密的一般也不会走这些公共网络，走公共网络的这些信息也没那么值钱，你的用户的体验舒适度和你对安全的警惕性要平衡，所以大家也不要顾虑太多。

网络是怎么被攻击的？

冰镇泡沫：我们可以用“攻击链”来概括攻击过程。原访谈把它分成若干环节：搜集信息与识别目标、寻找漏洞、准备工具与策略、接触目标系统、获取权限、执行恶意行为，以及掩盖痕迹或退出。这是一种便于理解的概括，不是所有攻击都严格依次经历同一个七步模型。

第一步是进行信息的搜集，发现目标。其实现在可以搜集到很多工具，比如说控制器，可以对于一些大型工厂的控制中心，个人笔记本电脑，进行目标信息的收集，包括个人信息、公司信息、或者配置文件。

搜集完目标之后，一般第二步就是基于这些信息进行分析，找到里面的漏洞，或者是脆弱点。比如说你在网站上，登录了一些个人信息，或者是你上传了个人 ID，黑客就会对这些信息进行分析和分类，再利用这些信息制定攻击的路径和攻击工具。

接下来在执行攻击时，首先要把攻击工具传送到目标位置。比如说传输到你的电脑，比如通过邮件或者网站上挂马邮件，或者是用U盘达到目标位置。之后就开始启动漏洞攻击，通过敏感数据进入你的服务器，获取一些密码文件，证书，或者是个人的信息，这时候黑客已经进入目标系统里了。

进入之后，一般黑客做的第一件事就是提升权限，从而获得更高级的管理权限，从访客变成管理员浏览敏感数据。获得更大权限之后，就开始往电脑上安装控制程序，使我可以长期的潜伏在你的电脑里面，一般我们把它叫做种马，就是安装木马。

这就建立了黑客和目标电脑长期有效的连接，黑客可以源源不断地提取数据，植入一些虚虚假假的信息，或者删除、增加一些东西、甚至是篡改一些数据。

除了搞破坏，达到一些恶意目的之外，还有一个目标，就是掩盖或者删除攻击的证据，避免以后就是溯源的时候追到我头上。黑客会一边提取数据，一边删除证据。

这时候基本上攻击就完成了，最后一步，删掉所有的痕迹，来无影去无踪，之后就撤出了。

黑客的攻击的周期要多久呢？

冰镇泡沫：这取决于供给目标，这种攻击目前是比较隐蔽的，特别高调炫耀性的攻击已经很少了。大都是悄无声息、隐蔽的攻击，我们把它叫做高级持续性的攻击。对一些大型系统，可能潜伏期就要半年甚至一两年的时间；但是对个人来说，其实是比较快的，最快可以几秒钟就可以实现，最慢可能需要几年的时间。

在防守方面有什么策略呢？

冰镇泡沫：防守也是根据上面提到的序列来分析的，你比如说它寻找目标，找攻击面。我们可能被攻击的点就是向外暴露的地方：包括我们的IP地址，一些对外的端口，包括我们的USB或者SD，网络蓝牙，MAC地址这些，还有我们上的网页，这些都是我们的暴露面，我们要尽量能减少就减少。

他们希望搜集尽量多的信息，所以我们要谨慎暴露敏感信息。这里需要区分：把密码直接暴露在网页或文件中，与使用可靠的浏览器或密码管理器安全保存密码不同；密码管理器可以帮助各账号使用不同的强密码，不应将它一概比作把钥匙挂在门上。

他们接下来寻找漏洞，我们也可以做检测和防御。防火墙、异常监测与安全软件可以帮助发现或限制部分攻击；加密主要保护数据的机密性，完整性通常还需要认证措施；加密并不自动检测所有异常。企业还会使用最小权限原则，按工作需要授予权限，并在适用场景区分职责。

从防御体系上来说，一般在架构上就要进行一些纵深防御的设置，就是说我们要分级，根据数据的重要性，对数据进行分级。像企业特别是一些国家级的部门，它会有一些绝密信息，对不同级别的数据要进行分级防护措施的配置，此外还要分层进行控制。

我们的网络分很多层，从最下面物理层一直到最上面的应用层，每一层都有对应的检测和防御措施。而在同一层，我们也有多点配置，比如有防火墙，有报警。还有对边界防护的措施，加密算法，我们要进行多种多样化的多点配置。

我们总能看到“网络密钥”，那么什么是网络密钥？

冰镇泡沫：密钥其实是有很多不同种类的。就像加密算法也是有很多种加密方式的。

例如，数据可能处于传输、使用或存储状态。存储的数据常可使用对称加密保护，即使用相应的秘密密钥进行加密和解密，效率通常较高。能否使用及怎样使用，需要结合数据状态、威胁与密钥管理，不能把“数据库是单向data”当作加密原理。

银行等敏感应用也会结合不同的密码技术。非对称技术使用相互关联的公钥和私钥，可用于认证、签名或建立密钥；实际网络连接常再使用对称加密保护传输数据。它不是简单地“两边各用一套算法”，也不能仅靠这些技术就保证银行不会作弊或完全排除中间人攻击。

哈希（hash，原稿称“海氏算法”）会把输入映射成摘要，并不是“只加密不解密”的加密方法；单凭摘要也不能证明发送者身份。身份验证可能还需要数字签名、消息认证码或其他机制。量子密码相关技术是不同的研究方向，不能仅凭本访谈认定普通5G通信已经采用量子加密。

证书是什么意思？

冰镇泡沫：数字证书把身份信息或域名与公钥等信息联系起来，可用于连接中的认证。HTTP本身不提供TLS传输保护，但这并不等于网站后台源代码完全开放，也不能仅凭协议前缀判断它有无其他防护。

输入支付或敏感信息时，应确认正确域名和受保护的连接。HTTPS是在HTTP通信中使用TLS（原稿“TRS”应为TLS；SSL是较早的相关协议）来保护传输。通常是浏览器验证服务器证书并建立加密连接，而不是证书先替用户验证用户名与密码。HTTPS有助于防止传输途中被读取或篡改，但不能保证网站内容可靠、平台没有漏洞或一定不会诈骗。

饭团：有点像你拿了个护照，证明是你，你才能走出去？

冰镇泡沫：可以把证书理解为浏览器核对服务器身份的一部分，但这个“护照”主要验证服务端，不是证明每一个浏览用户的个人身份。HTTP本身通常是未受TLS保护的传输，HTTPS则保护浏览器与服务器之间的通信；这种保护有边界，不能等同于整个网站或终端绝对安全。

怎样建立防御体系？

冰镇泡沫：首先我们要考虑的是纵深防御。从架构上来说，它是多分层级的，对它进行数据分级的，分层的多点多样化的这种防御。从技术上来说，整个防御体系也同时是一个融合的防御体系。第一步是去阻止，如果阻止失效，我们还能检测到；而当检测也失效的话，还能defend，当它攻击到里面的时候，能够防御回去defense against；最后在防御也失败时，还可以进行应急响应，使系统能够免于更大的破坏。它整体来讲是一个闭环的防御体系。

防御体系，其实就是分析网络系统的异常行为。我们会进行一些多域信息融合，也就是说把多来源的数据融合到一块。现在一般都是用大数据进行深度学习，或者是人工智能的技术来分析系统的安全态势，从而发现一些潜在的威胁，对系统进行加固。

管理上也常讨论零信任架构：不能因为某个人或设备过去被认为可靠，就自动授予所有访问权限。需要根据身份、设备、上下文和权限策略验证并持续评估，而不是将“每件事都多重验证”理解为每一步操作都必须重复输入多因素凭证。

终端、供给面，都要有进出口的控制。还有认证，对威胁提前感知，对不同的用户进行不同的权限管理。不同的网络层进行划区的管理，对人、对技术、对数据都有不同的管理方案，并且都有不同的验证机制。

一般运营的时候，要有安全的管控，管理方法要合理合规。防御虽然说了很多方法，但它整体是一个动态的过程。我们要建立一个动态反应的机制，实时监控实时防御，同时实时更新策略。

这些原则比较抽象，落到个人使用时，安全意识是重要基础，但它不能单独保证安全，也不能据此声称安全性必然“提高一大半”。应同时采用合适的技术与维护措施。

在整体防御过程中，有什么卡脖子技术，或者有发展前景的前沿技术吗？

冰镇泡沫：在原访谈当时，云安全是讨论较多的方向，因为很多工作和企业运营通过云实现。5G、云服务与零信任架构也常被放在相关安全研究和部署中讨论，但它们并不是同一种技术。

量子加密，还有其他一些新型的加密算法也在开发过程中。现在比较流行的是一些敏捷式的，也就是说安全设施和设计过程整体同步的过程，这叫做敏捷性安全开发。

从这种数据处理的角度，机器学习或者是人工智能是比较前沿的技术，把它融入到这种安全里面，其实现在是比较热门的，也是比较需要的一些方向。

中国现在在网络安全研究上处于什么位置？

冰镇泡沫：从安全上来说，其实国内还在起步阶段，而且起步比较晚。但是国内足够重视，在“十四五规划”里面就专门把网络安全作为一项了，每年还有网络安全周。中国虽然起步很晚，但是它的优势在于拥有目前世界最大的数据源，大数据、5G都是非常领先的，包括人工智能的应用在中国都是非常领先的。

关于网络安全，你有什么想说的吗？欢迎留言哦！

科普分享人：冰镇泡沫

编辑：蜜桃乌龙

采访：饭团、卡路里

录音：卡路里

2026-10-10校订：区分PCI DSS标准、对称与非对称密码技术、哈希和TLS/HTTPS证书；修正密码管理器、零信任和加密检测异常的表述，去除未经核实的具体网盘被攻破指控，并保留云端备份与防御过程的历史访谈语境。

补充参考资料

• PCI安全标准委员会：PCI DSS
• 美国NIST：哈希函数
• 美国NIST：密码技术机制概述
• 美国NIST：TLS实现指南
• Mozilla MDN：HTTPS
• 美国NIST：密码管理器与强密码
• 美国NIST：零信任架构