文件同步让生活更轻松(1)

坚果云最大的功能是文件同步,  帮助用户在不同设备上随时随地访问任意文件.  我们努力让坚果云在任何情况下都能正常工作, 正所谓”just works“.

做为开发者和极客,  我们也有一些小小的心得体验,  发现简单的文件同步能让你的生活更轻松. 我们在系列的文章中, 会做些介绍. 如果你也有一些技巧, 别忘了告诉我们, 一同分享.

现在基于互联网的服务越来越多, 大部分网站都要求用户注册账号, 你是如何管理这些密码的?

最简单的办法是使用同样的账户和密码, 但这是个坏主意.  因为, 很多网站密码存储上欠考虑,  一旦出现问题,  黑客能够轻易恢复出用户密码. 犯下这种错误的甚至包括很多知名网站, 例如Apache,  Plenty Of Fish 和 GoDaddy.

想想, 如果你在某个八卦论坛上的账户被泄漏或攻破,  你的坚果云, 邮箱, 社交网络信息都可能被黑客获知, 这是多么糟糕的事情!

我的办法是:

  1. 设置一个核心密码, 这个密码不会在任何互联网服务上使用
  2. 对不同网站使用不同用户名和密码,  将它们保存在一个文件里, 再对这个文件利用核心密码进行最高强度的加密
  3. 加密后的文件利用坚果云自动同步到我的所有设备上.
  4. 需要时, 打开密码文本并解密,  复制黏贴账号和密码就行了

就算有上百个网站记录, 也不用担心忘记密码的问题.

看到这里是不是觉得很崩溃? 别急,  有开源软件能帮你自动进行上面的步骤, 这就是KeePassX. 如果只在Windows上使用, 也可以用KeePass.

将KeePassX的数据库保存在坚果云中, 每次添加的账户密码将自动同步. 在需要时, 只需点击右键复制用户名和密码.

再也不用担心密码丢失和被攻破了,  还能搜索账户, 是不是很棒?

年后离职潮，企业网盘保障公司数据安全

俗话说“金三银四”，在流动性高的行业中，有超过35%的企业员工会考虑在3、4月份选择跳槽，而看情况而定的则占27.8%，收假后是招聘的活跃季，也是企业员工离职高峰期。春节后的大规模离职跳槽似乎已经成为很多企业不约而同面临的一个问题，跳槽员工大部分为有资本跳槽的优秀员工，并且一定程度上担任着公司的管理岗位，掌握着的公司数据和信息更是比普通员工多得多。

云存储服务坚果云，利用Google身份验证器保护账户安全

摘要：近年来，随着Dropbox的走红，各大媒体纷纷推出自己的云存储服务。然而在国内复杂的网络环境中，这样的服务虽便捷，却危机重重：攻击者利用泄露的密码可以很容易入侵你的文件。坚果云是国内云存储的新秀，它利用Google身份验证器，推出动态身份验证功能，可有效防止因密码泄露导致账户被入侵的问题，该功能值得国内其他产品借鉴。 继续阅读 →

收费还是免费，企业级云存储产品的生存之道

摘要：
“互联网+”的时代，基于云的各种服务开始向各个传统行业拓展，各种企业级互联网产品纷纷站上前台，积极开拓市场。这其中，云存储算是非常突出一项业务，毕竟对于大多数还并不太熟练互联网的传统行业从业人员而言，替代U盘是个很容易理解也亟需解决的问题。鉴于此，各大互联网公司都推出了自家的云存储业务，希望以此作为流量入口吸引用户，然后逐渐将公司的其他产品推荐给客户，比如Google的Google Drive、微软的Sky Drive、阿里的OSS等，当然也有只专注于云存储领域，垂直发展的公司，比如Box、Dropbox、坚果云等。 继续阅读 →

如何安全的存储密码

过去一段时间来, 众多的网站遭遇用户密码数据库泄露事件。这也给大家提醒，到底应该如何存储“密码”呢？
一句话的结论就是，存储bcrypt, scrypt等算法输出的内容，不要用salted hash的方式存储密码，不要用加密的方式存储密码，当然，更不要明文存储。
菜鸟方案-使用明文或者加密存储

加密存储的方式其实和明文存储没有区别。密码加密后一定能被解密获得原始密码，同时管理员也存在获取原始密码，利用同样的帐号登陆其他互联网服务的可能。

入门方案-将明文密码做单向哈希后存储
单向Hash算法（MD5, SHA1, SHA256等）可以保证管理员几乎不能恢复原始密码。但它有两个特点：
1）从同一个密码进行单向哈希，得到的总是唯一确定的摘要
2）计算速度快。随着技术进步，尤其是显卡在高性能计算中的普及，一秒钟能够完成数十
亿次单向哈希计算
结合上面两个特点，考虑到多数人所使用的密码为常见的组合，攻击者可以将所有密码的常见组合进行单向哈希，得到一个摘要组合, 然后与数据库中的摘要进行比对即可获得对应的密码。这个摘要组合也被称为rainbow table。
更糟糕的是，一个攻击者只要建立上述的rainbow table，可以匹配所有的密码数据库。

进阶方案-加盐的哈希

将明文密码混入“随机因素“就是所谓的盐，然后进行单向哈希后存储，也就是所谓的”Salted Hash”。
这个方式相比上面的方案，最大的好处是针对每一个数据库中的密码，都需要建立一个完整的rainbow table进行匹配。 因为两个同样使用“passwordhunter”作为密码的账户，在数据库中存储的密码摘要完全不同。

10多年以前，因为计算和内存大小的限制，这个方案还是足够安全的，因为攻击者没有足够的资源建立这么多的rainbow table。 但是，在今日，因为显卡的恐怖的并行计算能力，无需建立完整的rainbow table, 这种攻击已经完全可行。

专家方案-可调整强度的特定密码哈希算法

这类算法有一个特点，算法中有个因子，用于指明计算密码摘要所需要的资源和时间，也就是所谓的计算强度。计算强度越大，攻击者建立rainbow table越困难，以至于不可继续。典型的算法包括PBKDF2, bcrypt, scrypt等。

也就是说，故意延长一个密码匹配的计算时间，如果一个密码匹配需要1秒钟，那么匹配1000万个密码组合就需要115天，这个开销就非常大。

这类算法也可以保证即使计算能力不断提高，只要调整算法中的强度因子，密码仍然不可能被轻易的攻破，同时不影响已有用户的登陆。关于这些算法之间的具体优劣比较，请参考原文。