在过去的两年里，我的演讲中始终包含关于安全、隐私与便利之间平衡的讨论。在开发产品和服务时，这三者之间总是存在权衡，其中便利性往往成为关键要求。以活动追踪器和语音激活的家庭自动化设备为例，这是在连接设备世界中这一现象的一个典型例子，其中很少考虑收集到的信息的隐私和安全可能被滥用或误用。超过20年的时间里，我一直试图理解为什么服务产品的用户没有对产品和服务实施者因这种不平衡而负责。简而言之，我发现：便利性总是首要考虑；在大多数情况下，实施适当的安全和隐私功能是困难的；有很多人指出问题，但很少有人提供解决问题的知识，或者更重要的是，提供关于产品或服务默认行为的信息透明度和详细信息。每次我为网络运营商教授安全研讨会时，他们通常也负责与安全相关的运营监督，我都会从实施良好密码学的根本原则开始，并建议他们向供应商提出哪些问题：你们如何在密码学实现中实现随机性？你们支持哪些加密算法？你们在密码学实现中使用哪些模式（ECB、CBC、OFB、CFB等）？你们的默认密钥长度是多少？密钥是如何交换和更新的？这些问题对于大多数人来说都是枯燥的，没有人关心这些细节。网络运营商，就像他们的最终用户一样，只想以最少的努力配置一个便利的解决方案。然而，我们不断地被提醒这是一个悖论。一个例子是SSL/TLS，这是一种用于保护网站的流行技术。浏览器中的SSL/TLS实现开始使用几个默认受信任的根证书，以及与其他可互操作默认设置一起，成为部署加密保护通信的一种简单方式。它只需“工作”即可，比IPsec更具吸引力，因为IPsec需要理解技术才能正确配置。然而，当在广泛使用的实现中发现几个高调且严重的漏洞时，需要了解SSL/TLS实现细节的需求变得明显。2014年，有两个严重的SSL/TLS实现漏洞，Heartbleed和Poodle，使得恶意行为者能够破坏看似受保护的通信。许多由于通过SSL/TLS受到保护而被信任为安全的网站实际上并不安全。恶意行为者可能...
便利性与安全隐私的权衡
在产品和服务开发中，便利性通常被视为首要考虑，而安全与隐私往往被牺牲。以活动追踪器和家庭自动化设备为例，这些设备在收集用户信息时，很少考虑隐私和安全问题。用户对便利性的追求往往导致对安全细节的关注不足。
实施安全与隐私的挑战
实施适当的安全和隐私功能通常是一项艰巨的任务。在安全研讨会中，作者强调了密码学实现中的关键问题，如随机性、加密算法、密钥长度和密钥交换等。然而，这些问题往往被忽视，因为网络运营商和用户都希望以最少的努力获得便利的解决方案。
SSL/TLS 的案例研究
SSL/TLS 是一种广泛使用的加密技术，用于保护网站通信。然而，由于默认设置和实现漏洞，如Heartbleed和Poodle，SSL/TLS 的安全性受到了挑战。这个案例表明，即使是最受欢迎的技术也可能存在安全风险，需要深入了解其实现细节。
结尾：对于运维和网络工程师来说，理解安全、隐私与便利之间的平衡至关重要。通过深入了解技术细节，他们可以更好地评估和实施安全解决方案，同时确保用户能够以便利的方式使用这些服务。
原文: APNIC Blog（2020-04-22）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog