验证（Authentication）是具备权限的系统验证尝试访问系统的用户或设备所用凭据的过程。相比之下，授权（Authorization）是给定系统验证是否允许用户或设备在系统上执行某些任务的过程。 简单地说： 身份验证：你是谁？ 授权：你能做什么？ 身份验证先于授权。也就是说，用户必须先处于合法状态，然后才能根据其授权级别被授予对资源的访问权限。验证用户身份的最常见方法是用户名和密码的组合。用户通过身份验证后，系统将为他们分配不同的角色，例如管理员、主持人等，从而为他们授予一些特殊的系统权限。 接下来，我们来看一下用于用户身份验证的各种方法。
我以为我最初遇见他是在宝塔面板上，因为他可以方便的帮助我们进行身份验证。其实我们早就相遇在QQ安全中心手机版的口令里面（此处不确定是否是使用同一种算法，不过原理类似）。当初遇见他，我并不知道他是离线的。我以为谷歌身份验证器肯定是绑定谷歌账号的。后来找了半天，原来他只是个离线的软件。相信有很多同学和我一样的想法：离线身份验证器如何能使我们登录在线的场景？
密码作为我们平时最常使用的用户身份验证方式有其便捷性，但是仔细思考你也不难发现其中存在着较多的安全问题。首先我们的密码是由用户自我定义设置的，期间不排除用户设置弱口令密码或者使用键盘布局的脆弱密码(当然部分考虑安全的系统会制定对应的密码策略对其进行限制)，其次即便我们使用了极为复杂的密码，也不能完全规避"社工钓鱼"和"中间人"攻击等威胁，攻击者可以通过脱浏览器端的凭据信息等方式获取用户的密码，再者就是用户都有一个特征就是"惰性"，很多用户在多个网站可能会使用同一个登录密码，故此攻击者可以通过找寻被泄露的账户密码获取到真实的账户密码信息并实现登录操作，基于以上多个风险层面，我们接下来对用户的身份认证进行简易的探讨并结合业务、测评等维度给出关联的安全设计
本文分享的writeup是关于谷歌某生产系统的一个LFI漏洞，作者通过Redirect重定向组合构造方式发现了该漏洞，最终可以远程在目标服务器上实现本地系统命令运行，获取到系统敏感运行信息，最终获得了谷歌官方奖励的$13,337。
大家应该对两步验证都熟悉吧？如苹果有自带的两步验证策略，防止用户账号密码被盗而锁定手机进行敲诈，这种例子屡见不鲜，所以苹果都建议大家开启两步验证的。
一、authenticator解决了什么问题二、authenticator的原理三、springboot集成authenticator四、做成可复用starter五、参考
你能想象有一天访问各种应用时，无需再输入复杂密码就能实现各个平台的登录和切换吗？对于经常忘记密码的用户来说，无密码验证可以说是十分省心了。
最近也是服务器各种被入侵，所以在安全上，要万分注意，特此记录，借助Google的身份验证插件，获取动态验证码完成SSH登陆。
Google Authenticator(谷歌身份验证器)，是谷歌公司推出的一款动态令牌工具，解决账户使用时遭到的一些不安全的操作进行的“二次验证”，认证器基于RFC文档中的HOTP/TOTP算法实现 ，是一种从共享秘钥和时间或次数一次性令牌的算法。在实际应用中可以通过认证器方式对账户有更好的保护
如果你有谷歌账号的话，为了安全，最好是开启两步验证功能——即在原来的基础上增加手机验证码这一关。谷歌中涉及到两步验证的技术是Google Authenticator ，目前已经开源了。本文所说的为WordPress 博客开启两步验证功能其实是通过Google Authenticator 技术，所以Jeff 在标题说“技术支持：谷歌”。到这里又想说赞美谷歌的话了，这次还是免了吧。 Google Authenticator 开源项目官网：点击进入 WordPress 博客开启两步验证功能·准备 前提：一部智能手
谷歌，微软和Mozilla的网络浏览器很快将为用户提供由FIDO联盟和万维网联盟（W3C）构建的新的无密码认证标准，目前正处于最终审批阶段。 W3C已将新的认证标准WebAuthn推进到候选推荐标准（
谷歌近期刚刚发布完Android 12 beat 3，现在又宣布停止维护Android 2.3.7及更低版本的设备。
Chrome新版本的好处显而易见。在新版本中，Chrome浏览器将默认尝试加载经过传输层安全（TLS）保护的网站版本。这些网站在Chrome Omnibox中显示出一个封闭的锁，也就是我们大多数人所熟知的Chrome地址（URL）栏。但坏消息是，一个网站如果仅仅因为被HTTPS保护就完全信任它，是不合理的。
漏洞详情：Hadoop是一款由Apache基金会推出的分布式系统框架，它通过著名的 MapReduce 算法进行分布式处理，Yarn是Hadoop集群的资源管理系统。此次事件主要因Hadoop YARN 资源管理系统配置不当，导致可以未经授权进行访问，从而被攻击者恶意利用。攻击者无需认证即可通过REST API部署任务来执行任意指令，最终完全控制服务器。
普通情况下的服务器登录，是 “服务器+密码” 这种直白的验证方式，但是这种方式太过简单，一旦密码泄露，服务器就有危险。 于是为了安全我们就要在登录上再加一把锁，那就是使用 Google Authenticator（谷歌身份验证器）这个工具，在登录的时候进行一次验证，只有 “验证通过了”+“密码正确” 才能登陆服务器。
资源服务器是 API 服务器的 OAuth 2.0 术语。资源服务器在应用程序获得访问令牌后处理经过身份验证的请求。
新版本的“Cerberus”安卓银行木马将能够窃取谷歌认证应用程序生成的一次性代码，并绕过受2fa(双因素认证)保护的账户。
互联网时代，密码已成为生活中的必需品，每个人都有非常多密码，例如银行密码、社交账号密码、游戏账号密码等等。我们的数字生活大多数时候都依赖密码做安全保护，然而，密码本身的安全性却很差，原因主要有两方面：
在知名密码管理服务公司NordPass每年公布的“全球200个最常用密码榜单”里，其中“123456”的榜首地位常年未能被撼动。
Google身份验证器 Google Authenticator 是谷歌推出的基于时间的一次性密码(Time-based One-time Password，简称TOTP)，只需要在手机上安装该APP，就可以生成一个随着时间变化的一次性密码，用于帐户验证。
作者 | Nsikan Essien 译者 | 刘雅梦 策划 | 丁晓昀 GitHub 的 CI/CD 服务产品 GitHub Actions 现在支持使用 Open Identity Connect 凭证对 Hashicorp Vault、AWS、Azure 和 GCP 等云提供商进行身份验证，而无需使用长期凭证或密码。 云的现代开发通常需要针对云提供商对持续集成和持续部署（CI/CD）服务器进行身份验证，以便对已配置的基础设施进行更改。从历史上看，这是通过在云提供商中创建一个身份来实现的，CI
德国墨卡托咨询集团（Mercator Advisory Group）的一份新报告显示，全球生物识别市场已经从基于硬件的技术转变为以移动为中心的软件驱动产业，行为解决方案将发挥越来越重要的作用。 报告援引了谷歌在安卓上取得的成果，指出了持续和被动的身份验证系统的兴起，这将成为未来五到八年内主要的身份验证模式。行为识别系统在为消费者身份验证建立信任因素和建立持久的身份中发挥越来越重要的作用。 同时，移动设备是这种生物识别解决方案的基础，并随着谷歌和苹果完善其认证技术变得更为重要。这种对智能手机的依赖将有助于建立
勒索软件（Ransomware）攻击、身份盗窃，以及在线信用卡欺诈，这些都可能是具有毁灭性的，然而它们只是众多类型的恶意软件与网络攻击中的冰山一角。如果你从来没有成为破坏活动的受害者，那算你走运，但不要因此自鸣得意。
双因子身份验证就是指，需要两种身份验证才能完成账号有效性的验证，可以是密码、SSH 密钥，也可以是第三方服务，比如 Google Authenticator。这意味着单个验证方式的缺陷，不会影响账号的安全。本文我们将介绍如何在 Debian 服务器上启用双因子验证。
欢迎大家围观小阑精心整理的API安全最新资讯，在这里你能看到最专业、最前沿的API安全技术和产业资讯，我们提供关于全球API安全资讯与信息安全深度观察。
安全性是运行WordPress网站最重要的方面之一。我们中的许多人都倾向于认为黑客不会打扰我们的网站，但实际上，未经授权的登录尝试是在公共互联网上运行服务器的常见部分。
客座文章作者：Onkar Bhat，工程经理和 Deepika Dixit，软件工程师，Kasten by Veeam
FreeOTP 是一个双因素认证应用系统，利用 OTP 一次性密码协议，支持 Android 和 iOS。可通过扫描二维码或者手工输入方式轻松添加 Token。
如今，安全比以往更加重要，保护 SSH 服务器是作为系统管理员可以做的最为重要的事情之一。传统地，这意味着禁用密码身份验证而改用 SSH 密钥。无疑这是你首先应该做的，但这并不意味着 SSH 无法变得更加安全。
二次验证是目前比较常用的安全手段，通过设置二次验证，我们可以有效的避免账户密码可能的泄露导致的账户信息泄露，因为每次登陆前我们都需要获取一个一次性验证码，没有验证码就无法成功登陆。二次验证也叫两步验证、两步验证等。本文中老唐将说明如何在 Ubuntu 20.04 上使用 Google Authenticator PAM 模块进行 SSH 和 sudo 身份验证。
Textplus 是一个像 textfree 一样的免费短信和通话应用程序。与 Textfree 不同，Textplus 不提供网络客户端。这限制了我们只能与移动应用程序交互。没关系，让我们启动我们的 Android 模拟器和代理。我决定开始使用 charles 代理，因为它提供了更好的布局，而且我发现它很容易使用，即使它不是免费的。就像我的 textfree hack 一样，让我们从查看应用程序开始，看看我们是否能发现任何会破坏交易的东西（我寻找 recaptchas、反机器人软件，以及应用程序是否与 TOR 配合使用）。
原文链接：https://cointelegraph.com/news/decentralized-identity-is-the-way-to-fighting-data-and-privacy-theft
许多站长都知道应该将网站迁移到HTTPS，但是为什么需要这样做呢？这就得先从HTTP和HTTPS的区别开始说起。
为了在设备被盗或丢失时保护您的个人敏感数据，一款名为「盗窃检测锁」的全新人工智能自动屏幕锁会在检测到与盗窃企图相关的动作时锁定屏幕，比如小偷从您手中抢走设备的动作。
谷歌的API使用的OAuth 2.0协议进行身份验证和授权。谷歌支持常见的OAuth 2.0场景，如那些Web服务器，安装，和客户端应用程序。
你可能已经注意到，在刚结束不久的RSA大会上大量讨论围绕“身份”展开，而且很多公司也开始将自己的产品贴上“身份与访问管理（IAM）”的标签，大谈“身份治理”、“身份背景/上下文”、“特权访问管理”、“隐私”、“行为生物特征识别”、“生物识别平台”以及“以人为中心的安全”等问题。对于这种趋势，请尽可能地习惯它！
除了以上这些常见的验证码之外，还有IM消息验证码、动态身份验证器验证码等。今天分享一些验证码不错的项目。
去年，微软成功拦截了数百亿次针对Office 365和Azure Active Directory (Azure AD) 客户的暴力破解和网络钓鱼攻击。
天威诚信、奇安信、数字认证、腾讯安全、华为、飞天诚信、派拉软件、亚信安全、芯盾时代、卫士通、通付盾、中孚信息等
虽然 Android 12 对该平台来说是开创性的，但我认为 Android 13 将走安全路线。开发人员和设计师团队将花费大量精力改进 Material You，不仅要修复错误，还要改进它以获得更高的稳定性和性能。升级后的 UI 外观和性能将比以往更好。
安全套接字层（SSL）是负责互联网连接的数据身份验证和加密的技术。它加密在两个系统之间（通常在服务器和客户端之间）之间通过互联网发送的数据，使其保持私密。随着在线隐私的重要性日益增加，您应该熟悉SSL端口。
作者 | Gilad David Maayan 译者 | 明知山 策划 | 丁晓昀 什么是零信任模型 零信任安全模型是一种设计和实现安全 IT 系统的方法。零信任背后的基本概念是“从不信任，总是需要验证”。这意味着用户、设备和连接在默认情况下永远不受信任，即使他们在连接到公司网络或之前已经通过身份验证。 现代 IT 环境由许多互相连接的组件组成，包括内部服务器、基于云的服务、移动设备、边缘位置和物联网（IoT）设备。传统的安全模型保护所谓的“网络边界”，在这种复杂的环境中是无效的。 攻击者可以
ngrok是一个全球分布的反向代理，无论您在哪里运行，它都能保护、保护和加速您的应用程序和网络服务。您可以将ngrok视为应用程序的前门。
5月4日，代码托管平台GitHub 宣布了一项新的账户保护机制，所有上传代码的开发者及用户账户必须在2023年底前启用一种或多种形式的双因素身份验证 (2FA)。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
