安全基础
该标签下有 19 篇文章
如何清除浏览记录、Cookie 和已保存的密码（电脑和手机上的 Chrome、Safari、Edge、Firefox）：泄露后该删除什么，以及删除前先保留什么
本文按照各厂商官方帮助中的标签，介绍如何在 Chrome（Windows、Mac、Android、iPhone）、Safari（Mac、iPhone、iPad）、Edge 和 Firefox 中删除浏览记录、Cookie（网站数据）、缓存、已保存的密码和自动填充数据。删除浏览记录并不能收回已被复制的内容，也无法防御威胁。能减少后续损害的是处理登录状态（Cookie）和已保存的密码：从安全的设备修改密码，并退出所有会话。如果打算报警，请在删除前记录威胁邮件和可疑的扩展程序。如果开启了同步，删除操作也会从同一账号的其他设备上移除这些数据。在 2026 年 10 月的 Onamae.com Desktop Cloud 事件中，GMO Internet 的第六份通知要求客户在完成设备检查之前保持浏览器同步处于关闭状态。
GDPR 是什么：欧盟的个人数据保护规则与泄露时的通知义务
GDPR（General Data Protection Regulation）是保护欧盟境内个人数据的欧盟综合性规则，只要向欧盟的人提供服务，即便是境外商户也可能适用。它要求合法依据（如同意）、明确目的、数据最小化、当事人权利（查阅/删除），以及向监管当局的泄露通知（原则上 72 小时内），重大违规还有高额罚款。技术上的要点可归结为：只收集、只持有需要的个人数据，安全地保护它，并能在泄露时迅速检测并通知。
OWASP Top 10 是什么：Web 应用十大安全风险的权威清单
OWASP Top 10 是非营利组织 OWASP 每隔数年发布一次的『Web 应用十大最严重风险』清单，被广泛用作开发者与运营者的共同语言。现行的 2025 年版（2025 年 11 月公布）仍以『访问控制缺陷（Broken Access Control）』居首；安全配置错误升至第二，并新增了『软件供应链失败』和『异常情况处理不当』两个类别。SSRF 被并入访问控制缺陷。它们是风险的『类别』而非单个攻击手法，正确用法是把它当作审视自己应用的观点。
公钥密码是什么：用公钥与私钥这对密钥进行加密与签名
公钥密码使用『公钥（可以随意分发）』和『私钥（只有本人持有）』这一对密钥。用公钥加密的内容，只能由对应的私钥解密；用私钥生成的签名，可以用公钥来验证。这种非对称性正是 TLS（HTTPS）密钥交换、数字签名与 Passkey 的基石。防御要点：不要自造加密（使用标准协议与经过验证的库）、严密保护并能够吊销私钥、把密钥长度和算法保持在最新推荐值。
认证与授权的区别：只加登录，并不能保护其他用户的数据
认证＝确认『你是谁』；授权＝决定『这个人可以做什么』。两者是两回事，只加一个登录并不等于做了授权。数据若没有按所有者（user_id）做收窄，就会变成『登录 = 看到全部数据』——OWASP 排名第一的 Broken Access Control（访问控制缺陷）。再叠加上注册功能一直开放的认证脚手架，陌生人就能注册后进入。防御：把每一条查询都收窄到所有者／关闭不需要的注册／对管理面做纵深防御／在事故发生之前就备好审计与访问日志／检测新注册。
大家都把密码存在哪里？数据告诉你真相 —— 以及安全的做法
权威调查显示，约 54% 的人靠记忆，约 33% 把密码写在纸上，只有约 36% 使用专用密码管理器 —— 还有约 25% 在重复使用密码。与此同时，Verizon 的 DBIR 发现约 38% 的数据泄露涉及凭据被盗，而泄露数据中约 74% 的密码是被重复使用的。总之：最常见的保管习惯，最容易被攻击者利用。安全的基本做法是一个管理器（每个网站一个唯一密码）＋为重要账号开启 passkey/MFA。
AI 时代的安全防护｜个人开发者现在就该夯实的基本功（按优先级排序的清单）
AI 强化的不是『新弱点』，而是『自动、大规模地利用既有弱点』那一侧。所以比起特别的新对策，按正确的顺序夯实基本功才是最好的准备。CVE 立即打补丁＋依赖监控、停止密码复用＋MFA、清除暴露的机密、最小权限、收缩公开面、日志/IOC 的准备、备份——全都用一份按优先级排序的清单讲清楚。
AI 时代有效的安全对策与无效的对策：为什么小站也会成为目标
纠正 AI 时代的 4 个误解。①太小不会被盯上→自动化攻击不需要由人来挑选目标②需要特别的新对策→基本功依然最有效③装个产品就安心→比起检测，先做到『不让它发生』的设计④AI 生成代码又快又安全→可能带着漏洞上线，上线前必须复查。真正有效的，是按正确顺序把不起眼的基本功做扎实。
备份基础：3-2-1 规则与抵御勒索软件的恢复计划
备份只是「有做」还不够，只有「已确认可以恢复」的备份才有用。基础是 3-2-1 规则（3 份副本、2 种介质、1 份异地）。要防勒索软件，还需要至少 1 份「离线或不可变（immutable）」副本，因为长期连着的备份会连同原件一起被加密。云同步不是备份（误删和加密也会被同步）。多版本管理和定期恢复测试才算完整的做法。
多因素认证(MFA)如何正确选择：「抗钓鱼」是什么，SMS 为什么弱
MFA 组合不同类别的因素。手动输入的验证码可能被钓鱼中继，SMS 还依赖对手机号的控制。重要账户应优先考虑通行密钥或 FIDO2 安全密钥等抗钓鱼方式，并检查用户验证要求和恢复流程。
还在用 Windows 10 的人请注意：支持终止后的安全风险
通常版 Windows 10 Home/Pro 系列 22H2 已于 2025 年 10 月 14 日结束支持。2026 年 10 月 16 日核对的官方说明将个人 ESU 期限列为 2027 年 10 月 12 日，已登记者自动延续。请检查设备登记与更新状态、所在地区的条件，并优先迁移到持续更新的操作系统。LTSC/IoT 与企业 ESU 属于不同制度。
携带笔记本电脑外出时的安全防护 — 应对失窃、丢失与窥屏
携带笔记本外出的前提是『总有一天会丢、会被偷』。主要的防护是做好设置，让设备即使丢了内容也不泄露：磁盘加密（BitLocker/FileVault）、强登录+短自动锁定、远程锁定/位置追踪。随着HTTPS普及，公共Wi-Fi被窃听的风险下降，真正的威胁是伪AP、窥屏、离座。不要过度依赖VPN，先把设备本身设置好。
密码管理器安全吗？工作原理与云端、本地的区别，以及如何选择
密码管理器帮助你为每项服务使用强且不重复的密码。零知识加密旨在提供方泄露加密数据时保护内容，但安全性还取决于主密码强度、加密设置和设备安全。通过 MFA 防止未经授权的登录，并按用途选择云端型或本地型。
公共Wi-Fi的危险：比起窃听，更要注意假接入点和证书警告
公共Wi-Fi的『窃听』在HTTPS普及后大多已被加密，优先级下降。真正的风险是：①自己主动连上假AP（evil twin）②无视证书警告③把设备暴露在同一网络里。最有效的对策很简单：用手机热点、相信HTTPS和证书警告、不自动连接陌生SSID。VPN是其次的追加手段。
个人开发 / 小规模运营的安全底线：按优先级排列的行业标准对策
最低限度的对策并非『全都一样重』。本站的优先级 ＝ ①管理账户·域名·邮箱（多因素认证）②密钥与代码 ③应用本体 ④补丁 / 检测 / 恢复。资源有限的个人，按这个顺序从上往下填才是正解。多数事故并非新型攻击，而是这些基本对策的缺失造成的。
组织的安全底线：从 2026 年日本的真实事故倒推的 6 个优先事项
组织的“底线”应该由真实事故被突破的位置来决定，而不是产品清单。把 2026 年日本的事故排在一起，入口各不相同——VPN 设备、第三方软件、查询功能、未公开——但让损害扩大的原因可以归结为 6 个：①按期限封堵面向互联网的设备②收窄维护、外包、离职人员的账号③监视数量与时间④日志保留到能回溯的期限⑤不保留不再需要的数据⑥用 KEV 重新排定优先级。本站结论＝底线就是决定“谁、看哪个数字、何时发现”。
安全资产盘点：个人运维多台服务器时最易忽略的 7 项检查
个人运维多台服务器的事故，往往源于「没掌握的状态」而非「缺少防护」。要守的边界是放置密钥的电脑。2FA 按「哪个账号能恢复其他账号」排定优先级（邮箱最先），列出哪把 SSH 密钥能打开哪台服务器，并删除重复、未使用和残留的注册，明文密码从云端清除，整改要可逆且逐项进行，台账里不写机密。比起花哨的新工具，盘点更优先。
安全使用手机的基础：保护集中了密码、支付和身份证的那一台设备
手机是把二要素、邮件、银行、身份证集中到一台设备上，一旦丢失就会影响许多服务（单点故障）。最有效的防护不是安全 app，而是①强锁屏＋短自动锁屏（密码就是加密的钥匙）②OS／app 自动更新 ③官方商店＋权限复查 ④事先设好丢失时的远程锁定／擦除 ⑤二要素的“备份”（纸质备份码）。OS 默认已做加密与沙箱隔离。
把密码存到 Google Drive 安全吗？正确的保管方法
把密码以明文形式保存在 Google 文档/电子表格里很危险：一个 Google 账号会成为全部密码的单点故障，账号被盗、恶意关联应用、钓鱼都能让全部密码一次性泄露。最安全的选择是专用密码管理器（即使同步，内容也保持加密）。如果非要用 Drive，就只放加密过的管理文件，并为账号开启抗钓鱼 MFA。