我们太过沉醉于自己在密码学领域的卓越成就，以至于忘记了一个事实：大多数静态数据都存放在数据库中，且并未加密。
例如，Skyhigh对加密控制措施的分析发现，81.8%的云服务提供商使用SSL或TLS加密传输中的数据，但只有9.4%的提供商会加密存储在云端的静态数据。越来越多的组织被发现允许不受限制地访问云数据库和AWS S3存储桶，这无异于埋下了随时可能引发严重后果的隐患。
当今的网络防御在很大程度上依赖这样一个事实：即使是性能极强的经典超级计算机，也需要耗费近乎难以想象的时间，才能破解用于保护数据、计算机网络及其他数字系统的加密算法。
来源：<https://it.slashdot.org/story/18/12/05/2342226/quantum-computers-pose-a-security-threat-that-were-still-totally-unprepared-for>
这一说法无可争议。问题在于，密码技术并不能完全保护我们的数据、计算机网络和其他数字系统。它可以保护传输中的数据，如果运气好的话，也能保护静态数据。它还能增强关键系统的访问控制。但现实是，“网络”和“系统”要处理数据并执行逻辑，就必须能够查看未加密的明文数据。对组织而言，未受保护且未修补的应用带来的风险，比数字窥探者造成的风险更大。
这正是数据泄露事件日益频发的根本原因。问题不在于传输中或静态数据未加密，而在于应用和API无法处理加密形式的数据。数据必须先解密，而解密后便存在暴露风险。漏洞也会吸引攻击者。
与这些未加密数据交互并对其进行处理的应用和API，对数据安全与隐私构成的威胁，比量子计算破解密码技术所带来的威胁更为严重。这也是它们频繁成为攻击目标的原因之一。根据F5 Labs对十年间数据泄露事件的分析，“在53%的数据泄露事件中，应用都是最初的攻击目标。”应用不仅是获取数据最容易的途径，而且在加密程度日益提高的数据传输路径中，也是仅有的几个数据仍处于未加密状态、可供数据窃取者直接利用的环节之一。
如今，数据泄露事件频繁发生，令人担忧，我们对此几乎已经麻木。通过应用从某个数据库窃取数百万条记录的新闻已屡见不鲜。尽管各方一直在推动使用加密，例如使用HTTPS而非HTTP，情况依然如此。即使浏览器对用于加密数据、防止“窥探”的算法和密钥长度强制执行加密标准，也未能改变这一现状。
如果当今的“网络防御”确实严重依赖密码技术的强度，那么我们确实陷入了困境。因为，要防止那些频频出现在新闻推送和收件箱中的数据泄露与数据外传事件，仅靠密码技术的强度远远不够。真正关键的是识别并阻止可能导致数据丢失的攻击时所具备的能力，以及日益重要的智能水平。
加密的恶意代码仍然是恶意代码。将加密的被盗凭据批量提交到应用身份验证系统，并不会改变其被盗凭据的性质。消除中间盒，也无法消除以下威胁：存在漏洞的Web服务器或应用服务器可能执行漏洞利用代码，从而访问未受保护的宝贵数据。
如果强化加密的能力反而会将可能利用应用和API漏洞的攻击直接带入数字经济的核心，那么仅仅陶醉于这种能力远远不够。要保护数字资产（应用）及其访问渠道（API），需要采用更全面的应用保护方法：除了强大的加密技术，还要结合智能、身份识别和攻击检测。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。