從開發(fā)到用戶，關注互聯網安全
2月25日，CSDN在北京舉行了TUP第20期活動：互聯網安全。本次研討會匯集了來自安天、安恒和xsign等公司和組織的眾多技術高手，就算法策略、安全防御與漏洞補殺、用戶身份認證和移動安全等話題和與會者進行了深度探討。與會者包括來自互聯網/IT公司技術高管CIO/CTO/CSO、運維管理人員、程序員、網絡安全研究人員。共計兩百多人參與了此次研討會。
2012年冬春，互聯網安全的多事之際。我們見證了大規(guī)模的網站密碼泄露事件，多個語言或框架的安全漏洞也被曝光，新平臺的安全問題也浮出水面。要做互聯網，重視安全問題已經刻不容緩。如何保證互聯網網站安全平穩(wěn)地運行，用戶的隱私權益得到充分的保障？來自安天實驗室反病毒引擎研發(fā)中心的研發(fā)經理童志明、來自安恒信息安全服務的部門經理劉志樂、來自xsign的移動安全專家張亞一，以及pr0zel windows安全研究員李敏怡，分別闡述了自己的觀點并帶來了相應解決方案和技術講解。本文總結了嘉賓的演講內容并提供了演講資源下載，《Web應用開發(fā)中的安全算法使用策略》、《“泄密門“帶給我們的警示》。
安天童志明：Web應用開發(fā)中的安全算法使用策略
安天實驗室反病毒引擎研發(fā)中心經理童志明發(fā)表《Web應用開發(fā)中的安全算法使用策略》主題演講。
童志明談到，在當前0day橫行，幾乎沒有網站和應用可以絕對保證自己數據庫系統的安全的情況下，如何合理的利用現有的安全算法，可以獲得更多安全的保障，是我們需要討論的問題。
在演講中，童志明通過對APM實現的展開進行深入的討論，讓目前還在明文保存密碼的網站和使用相關算法策略并不合理（比如那些聯合使用HASH或者加入單一SALT的情況）的網站，能夠了解如何科學使用這些數學方法，降低安全應用的門檻；同時，他通過大量案例的分析，希望打消那些中小網站試圖自己研究一個算法的努力。放棄這些已經被經過理論和實踐檢驗過的算法實現，而徒耗心力和人月，是不值得的。
安恒劉志樂：“泄密門”帶給我們的警示
安恒信息安全服務的部門經理劉志樂做了名為《“泄密門“帶給我們的警示》的主題演講。
劉志樂指出，目前75%的安全隱患來自于Web應用系統所存在的安全漏洞，三分之二的WEB站點都相當脆弱，易受到攻擊。Web應用安全嚴峻的現狀。
他在常見Web應用安全漏洞的說明，主要從兩方面來闡述：一方面從權威的OWASP統計顯示2010年名列前十的安全漏洞；另一方面，通過從漏洞產生原因、危害以及加固建議三個方面來描述目前常見的高危WEB應用安全漏洞。
接下來劉志樂從整體的安全產品防護、安全服務兩個方面來闡述如何對Web應用系統進行安全防護。安全產品防護主要是描述WEB應用安全產品的部署防護，安全服務主要是描述Web應用系統的安全服務體系概述、安全服務內容以及安全服務主要實施技術和工具。
最后，劉志樂在演講中對敏感信息泄露的防范提供了幾點建議：將敏感信息統一定位在安全目錄下；正確設置訪問權限；敏感目錄和敏感文件名不要默認命名等等。
xsign張亞一：2011年Android惡意軟件分析
xsign成員張亞一做了《2011年Android惡意軟件分析》的演講。
張亞一指出，2011年是Android惡意軟件試水的一年，以隱私、廣告和推廣為主題的產業(yè)鏈慢慢浮現。同時Android惡意軟件的演進速度也明確加快。在演講中他就通過分享幾個Android病毒管中窺豹式地分析了2011年惡意軟件的發(fā)展狀況。
在演講結束后的討論中，與會者踴躍提問，提出自己遇到的實際問題，尋求技術指導與交流探討。嘉賓們也做了耐心的講解與深入的探討交流，現場氣氛熱烈而融洽，并針對本次講座的主題與業(yè)界熱點話題，發(fā)表見解并分享自己工作中的技術心得和經驗積累。
這種在開放式的交流，與會者與演講嘉賓無疑加深了對目前安全現狀的了解和安全問題的認識。
