December, 2011

Just the day before yesterday, the biggest developer community website in China, CSDN, was cracked, and the database is leaked. In the leaked database, the password was stored in plain text. People are tweeting password and security related message around...

在 昨天的研究 中，发现 BCrypt 最大的隐患在于性能。 BCrypt 的安全性是通过牺牲性能来获取的。 BCrypt 比传统 hash+salt 要安全一万倍，但是代价是使用 BCrypt 做认证对比密码和密文时候，性能也比 hash+salt 要慢一万倍。 所以，我得出一个结论。如果使用传统 hash+salt 需要 N 台认证服务器的话，那用 BCrypt 就需要添加 10000*N 台服务器才能达到同样的性能。比如一个邮件系统使用了 2 台服务器来专门作认证，那使用 BCrypt...

今天在 weibo.com 上看到一则消息说 , 用 md5/sha1+salt 的方法保存密码是不安全的 . 文章中用连续 9 个 Bcrypt 加感叹号来强调 , 保存密码一定要用 Bcrypt. 这个消息非常应景 , 因为 csdn.net 两天前把数据库弄丢了 , 里面的密码是明文保存的 . 我对密码和安全没有研究 , 但是在我粗浅的记忆中 , hash+salt 是非常主流的方法 . 如果说这样也不靠谱 , 那我正好借这个机会复习一下 . 我把密码安全分为两个等级 , 黄色和红色...

The Chinese version is available here (中文链接在): http://blogs.msdn.com/b/lixiong/archive/2011/12/03/win8.aspx Learning how things work internally has always been my favorite. The first thing I did was to launch debugger when I got Win8 installed....

我安装好Win8 CTP后做的第一件事情就是用调试器研究Win8各个组件的协作关系. 从我半天的研究结果看来, Win8真是一个让我爱不释手的产品. Win8里面涉及到的很多技术正好也是我的兴趣所在. 这篇文章简单回顾一下这些技术的变迁, 优缺点, 和对Win8的影响. 注意, 下面提到的对Win8的分析, 是基于公开的Win8 CTP来做的. 相信Win8面世的时候, 这些技术和细节, 都会发生重大改变. 所以这篇文章不具备实践上的指导价值. COM -Component Object...