Web应用安全策略：避免0day风险与误操作

在"童志明：WEB应用开发中的安全计算使用策略"一文中，作者童志明，作为安天反病毒引擎研发中心的总经理，针对当前Web应用开发中的安全性问题进行了深入讨论。文章背景设在2012年，当时0day漏洞频发，几乎无网站或应用能够完全确保数据库系统的安全。童志明强调了在这样的环境下，合理利用安全算法对于保护用户数据的重要性。 首先，他介绍了几个关键概念，如HASH，它是一种将任意长度的信息压缩成固定长度摘要的函数，常用于密码存储时增强安全性。他还澄清了术语，指出虽然"加密"和"密文"的术语不完全准确，但在公众理解中是通用的。同时，他关注了计算速度，尤其是在讨论安全算法性能时，通常指单位时间内完成的哈希计算次数。 演讲中提到，近年来发生了多起重大的数据泄露事件，如索尼、世嘉、花旗银行等企业的用户数据遭到侵犯，强调了安全威胁的严重性和普遍性。这些事件提醒开发者，单纯依赖标准的HASH算法并不能提供足够的安全保障。 童志明列举了两种错误的实现策略：一是使用标准的HASH算法，虽然看似可靠，但没有考虑到统计攻击和高频碰撞的可能性。面对这些挑战，他提出应对措施，包括选择更复杂且抵抗碰撞攻击的算法，以及结合其他安全机制，如盐值（SALT）的引入，来增加破解难度。 童志明的演讲旨在教育开发者如何避免常见的安全误区，提升Web应用的安全性，通过科学的策略和技术降低安全应用的门槛，以对抗日益严峻的网络威胁。他的观点和经验分享对于理解和实践安全计算在现代Web开发中的应用具有很高的价值。