安全术语表
通俗易懂地解释与密码安全相关的专业术语。
ア行
RBAC
通过角色而非直接向用户分配权限的访问控制模型。作为 ANSI/INCITS 359 标准化，通过将权限归入命名角色简化大型组织的权限管理。
IAM
统一管理身份和访问权限的机制。通过 RBAC、ABAC 等模型统合控制认证与授权，实现最小权限原则。云环境中的配置错误是重大安全事件的主要原因。
IDS/IPS
检测 (IDS) 并自动阻止 (IPS) 网络和系统非法入侵的安全系统。
身份提供商
集中管理用户凭证并通过 SAML 或 OIDC 签发断言的服务。Okta、Azure AD 和 Google Workspace 是企业环境中的主要代表。
IP 欺骗
伪造源 IP 地址来隐藏身份的攻击手法。
IP 黑名单
拒绝来自恶意 IP 地址访问的列表。
账户接管
非法访问他人账户的攻击。包括撞库、钓鱼、SIM 卡交换等多种手法，邮箱账户被接管后往往引发连锁反应。
访问控制
管理用户和系统可以访问资源范围的机制。
广告软件
强制显示广告的软件，有时也兼具间谍软件功能。
Argon2
2015 年密码哈希竞赛的冠军算法。内存硬设计使其能抵抗 GPU 和 ASIC 的并行攻击，是 OWASP 最优先推荐的密码哈希算法。
加密
将数据转换为第三方无法读取的格式，保护信息机密性的技术总称。
事件响应
安全事故发生时的应对程序和体制。
气隙隔离
通过物理隔离网络来确保安全的方法。
HSM
安全保管和处理加密密钥的专用硬件。
HSTS
强制浏览器对域名使用 HTTPS 的安全头。防止 SSL 剥离攻击，可预加载到浏览器中实现首次访问保护。
API 密钥
用于服务间认证的字符串。用来识别请求来源，但一旦泄露就会被滥用，因此需要严格的密钥管理。
SSL/TLS
加密互联网通信，防止数据被窃听和篡改的协议。
单点登录
通过一次认证即可访问多个服务和应用程序的机制。
SQL 注入
在数据库查询中插入非法 SQL 语句，进行数据窃取和篡改的攻击手法。
scrypt
内存硬密码哈希函数。由 Colin Percival 于 2009 年为 Tarsnap 设计，通过要求大量内存使 GPU 和 ASIC 并行攻击变得困难。
SBOM
列出软件所有组件的清单。美国第 14028 号行政令推动了其普及，Log4Shell 事件使其成为供应链安全的关键要素。
MFA 绕过
通过实时钓鱼代理、SIM 卡交换和 MFA 疲劳攻击等方法绕过多因素认证的技术。了解这些威胁是选择抗钓鱼因素的关键。
端到端加密
从发送方到接收方全程加密，中间方无法读取内容的通信方式。
端点安全
保护 PC、智能手机等终端设备的安全措施。从传统杀毒软件发展到 EDR 和 XDR，通过行为检测和遥测实现高级威胁发现。
熵
用比特数表示密码预测难度的指标，数值越大，对暴力破解攻击的抵抗力越强。
OAuth
无需共享密码即可将访问权限委托给第三方应用程序的授权协议。
OpenID Connect
在 OAuth 2.0 之上添加身份层的协议，提供标准化的用户认证。返回包含用户声明的 ID 令牌，实现跨 Web 和移动应用的单点登录。
OSINT
从公开信息中收集的情报。社交媒体、WHOIS、DNS 记录等是信息来源，攻击者的侦察阶段和防御方的威胁分析都会使用。
カ行
密钥管理
安全地进行加密密钥的生成、保管、分发和销毁的流程。
键盘记录器
秘密记录键盘输入内容，窃取密码和个人信息的恶意软件。
CASB
监控和控制云服务访问的安全解决方案。通过可见性、合规性、数据安全和威胁防护四大支柱管理包括影子 IT 在内的云使用。
CAPTCHA
区分人类和机器人的认证测试。
威胁情报
收集和分析网络威胁信息并用于防御的活动。
威胁建模
系统性识别和评估系统威胁的设计方法。使用 STRIDE 和 PASTA 等框架在设计阶段发现安全风险。
云存储
通过互联网保存和管理数据的服务。需要理解服务端加密与客户端加密的区别，并注意共享链接的管理。
点击劫持
通过在合法页面上覆盖透明框架诱骗用户点击隐藏元素的攻击。X-Frame-Options 和 CSP frame-ancestors 指令是主要防御手段。
加密劫持
未经授权利用他人计算资源进行加密货币挖矿的攻击。通过恶意软件或浏览器脚本实施，CPU 使用率异常升高是检测线索。
凭证填充
将泄露的 ID 和密码组合自动输入到其他服务中，尝试非法登录的攻击。
凭证泄露
密码或访问令牌等认证信息外泄。通过数据库入侵、钓鱼、恶意软件等多种途径发生，是撞库攻击的根源。
跨站脚本攻击
在网页中注入恶意脚本，在浏览者的浏览器上执行非法操作的攻击。
权限提升
从普通用户权限非法获取管理员权限，夺取系统控制权的攻击手法。
公钥密码学
加密和解密使用不同密钥的密码方式。RSA 和椭圆曲线密码是代表性算法，是 TLS 握手和数字签名的基础技术。
攻击面
攻击者可能入侵系统的所有切入点的总和。分为数字、物理和社会三个领域，最小化攻击面是安全的基本原则。
CORS
控制哪些来源可以访问其他域资源的浏览器机制。CORS 头配置错误可能使 API 暴露于未授权的跨域请求。
代码审查
由他人检查源代码以发现缺陷和漏洞的质量管理方法。
个人可识别信息
能够识别个人身份的信息总称，也称 PII。分为直接标识符和准标识符，受 GDPR 等隐私法律的严格约束。
合规
维持符合法律法规和行业标准的安全措施。
サ行
最小权限原则
仅授予业务所需最低限度权限的安全原则。
网络杀伤链
将网络攻击分为七个阶段的框架。由洛克希德·马丁公司于 2011 年提出，用于系统性地规划各阶段的防御措施。
网络保险
赔偿网络攻击造成损失的保险产品。
SASE
将网络和安全融合为单一云交付服务。结合 SD-WAN、CASB、ZTNA 和 FWaaS，为分布式员工提供安全访问，无需传统 VPN 瓶颈。
供应链入侵
在软件的开发和分发过程中介入，混入恶意代码的攻击。
SAML
基于 XML 的标准，用于在身份提供商和服务提供商之间交换认证和授权数据。仍然是企业单点登录部署的骨干。
沙箱
在隔离环境中运行程序，防止对整个系统产生影响的安全技术。
CSRF
利用用户已认证的会话发送非法请求的攻击。
CSP
限制网页可执行资源的安全头。通过 script-src、style-src 等指令控制资源加载来源，有效缓解 XSS 攻击。
GDPR
欧盟关于个人数据保护的综合性法规。
CVE
为已公开的漏洞分配唯一标识号的国际命名规则。
SIEM
集中收集和分析安全事件以检测威胁的系统。
JWT
用于在各方之间传输声明的紧凑型 URL 安全令牌。广泛用于 API 认证，签名验证不当或算法混淆可能导致严重漏洞。
业务连续性计划
在灾害发生时也能继续业务运营的计划和体制。
字典攻击
使用常用单词和短语列表来猜测密码的攻击手法。
SIM 卡交换
非法重新发行手机 SIM 卡以劫持短信认证的攻击。
影子 IT
员工未经 IT 部门批准自行使用的 IT 服务和设备的总称。产生数据泄露和合规风险，造成账户管理盲区。
证书透明度
要求证书颁发机构将所有签发的证书记录在公开的只追加日志中。使域名所有者能够快速发现错误签发或欺诈性证书。
肩窥
从他人肩后偷看屏幕或键盘输入来窃取密码等机密信息的行为。
单点登录
用户只需认证一次即可访问多个应用程序。提高生产力和安全态势，但如果被攻破则成为单点故障。
间谍软件
秘密收集用户行为和个人信息并发送到外部的恶意软件。
鱼叉式钓鱼
针对特定个人或组织，利用事先收集的信息精心策划的钓鱼攻击。
分割隧道
VPN 连接时仅让部分流量通过 VPN 的设置。
短信钓鱼
利用短信进行的钓鱼攻击。短信的打开率高于邮件，伪装快递未送达通知的手法急剧增加。RCS 消息的普及带来新的风险。
漏洞
软件或系统中存在的安全缺陷，是可能被攻击者利用的弱点。
生物识别认证
利用指纹、面部、虹膜等身体特征进行身份验证的认证方式，用作密码的替代或补充。
负责任披露
在公开之前私下向供应商报告安全漏洞的做法。协调披露时间线和漏洞赏金计划使这一过程正式化。
安全编码
避免引入漏洞的编程方法和原则。
安全启动
在启动时验证固件和操作系统加载程序数字签名以防止引导套件和 Rootkit。构成从硬件到操作系统的信任链的第一环。
安全意识培训
提升组织和个人安全素养的举措。钓鱼模拟和游戏化培训正在取代传统的年度培训，成为主流方式。
安全审计
由第三方评估组织安全措施有效性的活动。
安全密钥
用于强认证的物理设备，通常使用 FIDO2/WebAuthn 协议。通过 USB、NFC 或蓝牙提供抗钓鱼的双因素或无密码登录。
安全令牌
认证时使用的物理设备或软件，用于生成一次性密码或保管加密密钥。
会话令牌
登录后为识别用户而签发的临时凭证。以 Cookie 或 JWT 形式管理，一旦被窃取就会导致会话劫持。
会话劫持
窃取或猜测有效的会话 ID，冒充正规用户非法使用服务的攻击。
零知识证明
在不泄露信息的情况下证明知识拥有的密码学技术。是无密码认证方案和零知识加密服务的基础。
零日攻击
利用修复补丁发布前的未知漏洞进行的攻击，防御极为困难。
零信任
无论网络内外，对所有访问都不信任并进行验证的安全模型。
社会工程学
不使用技术手段，而是利用人类心理弱点来获取机密信息的攻击手法总称。
社交登录
使用 Google、Apple 等社交账号登录第三方服务的机制。基于 OAuth 2.0 或 OpenID Connect，便利性高但存在权限过度授予和隐私风险。
SOC
全天候监控和应对组织安全的专业团队。
盐值
在密码哈希化时附加的随机数据，使相同密码也能生成不同的哈希值。
タ行
暗网
普通浏览器无法访问的高匿名性网络空间，也被用于泄露信息的买卖。
暗黑模式
诱导用户做出非本意行为的欺骗性 UI 设计。从难以取消的订阅到操纵性的 Cookie 同意横幅，影响隐私和安全设置。
域名抢注
利用正规域名的拼写错误设置虚假网站的攻击。
纵深防御
叠加多层安全措施以消除单点故障的策略。
多因素认证
结合知识、持有物、生物特征三要素中的两种以上进行身份验证的认证方式。
中间人攻击
在通信的发送方和接收方之间插入，进行数据窃听和篡改的网络攻击。
传输加密
加密网络上传输的数据以防止窃听的技术。
DNS over HTTPS
通过 HTTPS 加密 DNS 查询以保护隐私的协议。
DNS 欺骗
伪造 DNS 响应将用户引导至虚假网站的攻击。
DNS 过滤
通过拦截 DNS 查询阻止对恶意或不需要的域名的访问。无需在每台设备上安装代理即可提供全网保护。
DMZ
设置在内部网络和外部网络之间的缓冲区。
TOTP
基于时间以固定间隔生成变化的一次性密码的认证方式，广泛用于双重认证。
DDoS 攻击
发送大量请求使服务器或网络过载，导致服务停止的攻击。
TPM
基于硬件的安全芯片，负责加密密钥的生成、存储和安全启动验证。Windows 11 强制要求 TPM 2.0，是 BitLocker 和通行密钥的基础技术。
深度伪造
利用深度学习技术精巧伪造音频和视频的技术，存在被用于身份冒充诈骗的风险。
DMARC
基于域名的邮件认证协议。整合 SPF 和 DKIM 的验证结果，让域名所有者控制伪造邮件的处理方式。
灾难恢复
从灾害或系统故障中恢复的计划和程序。
数据最小化
将个人数据的收集和保留限制在严格必要的范围内。作为 GDPR 的核心原则，减少泄露影响并简化合规义务。
数据分类
根据信息的机密程度对数据进行分类，并应用适当保护级别的方法。
数据脱敏
对机密数据进行匿名化或假名化以安全使用的技术。
数据泄露
组织持有的机密信息或个人信息因非法访问或配置错误而流出到外部的事故。
尾随入侵
跟随合法人员进入受限区域的物理入侵方法。是社会工程学的物理版本，安全闸门和防回传系统是有效对策。
数字证书
将公钥与身份绑定并由证书颁发机构验证的凭证。TLS 证书保护网站安全，代码签名证书验证软件真实性。
数字签名
利用公钥加密进行数据篡改检测和发送者认证的技术。
数字取证
安全事件后收集、保存和分析数字证据的过程。正确的证据链程序确保调查结果可采纳且可操作。
DevSecOps
将安全融入开发流程的方法。在 CI/CD 管道中集成 SAST、DAST 和 SCA，通过左移策略在早期发现和修复漏洞。
Tor
通过多层加密实现匿名通信的网络。由美国海军研究实验室开发，经过三个中继节点路由以保护通信源的匿名性，也是访问暗网的途径。
令牌化
将机密数据替换为无意义的令牌来保护数据的方法。
数据匿名化
不可逆地移除个人标识符使个人无法被重新识别。技术包括泛化、抑制和差分隐私，各有数据效用方面的权衡。
路过式下载
仅通过访问被入侵或恶意网页就安装恶意软件的攻击。漏洞利用工具包针对浏览器和插件漏洞，及时打补丁是最佳防御。
特洛伊木马
伪装成正规软件侵入系统，进行后门安装和信息窃取的恶意软件。
ナ行
ハ行
漏洞赏金
向漏洞发现者支付奖金的安全计划。
通行密钥
使用公钥加密代替密码进行认证的、基于 FIDO2 标准的无密码认证方式。
通行密钥同步
通过 iCloud 钥匙串或 Google 密码管理器等平台云服务跨设备复制 FIDO2 凭证，解决传统安全密钥的单设备限制。
口令短语
由多个单词组合而成的长密码。比随机字符串更容易记忆，只要长度足够就能获得较高的熵值，适合用作主密码。
密码喷洒
将少数常用密码对大量账户进行尝试的攻击。
密码疲劳
管理大量密码带来的心理负担。导致密码重用和简化等危险行为，需要通过密码管理器和通行密钥来解决。
密码哈希
将密码进行不可逆转换后存储的技术。结合加盐和拉伸消除明文风险，在泄露后抵抗离线破解攻击。
密码策略
组织或服务制定的密码创建和管理规则，规定最低字符数和字符类型要求。
密码管理器
将多个密码加密后统一管理，并提供安全生成和自动填充功能的软件。
无密码认证
用生物识别、安全密钥或魔法链接取代传统密码的认证方式。降低钓鱼风险和密码疲劳，同时改善用户体验。
密码轮换
定期更改密码的做法。NIST 现在建议除非怀疑发生泄露否则不要强制轮换，因为这往往导致更弱的密码选择。
备份
将数据副本保存到其他位置。推荐采用 3-2-1 规则进行设计，离线备份作为勒索软件防御手段日益重要。
后门
绕过正规认证访问系统的隐藏通道，被攻击者用于非法入侵。
哈希
将任意长度的数据转换为固定长度值的单向函数，用于密码的安全存储。
补丁管理
有计划地应用软件修复程序以消除漏洞的运维工作。
蜜罐
用于引诱攻击者并分析其手法的诱饵系统。
bcrypt
基于 Blowfish 的密码哈希函数，设计于 1999 年。具备可调节的成本因子和自动盐值生成，是长期受信赖的标准算法。
PKI
公钥基础设施。进行数字证书的发行、管理和验证的体系。
PBKDF2
从密码派生加密密钥的函数。在 NIST SP 800-132 中标准化，被 Wi-Fi WPA2 采用，但因 GPU 抗性不足建议迁移到 Argon2 或 bcrypt。
OAuth PKCE
保护 OAuth 2.0 授权码流程免受拦截攻击的机制。最初为移动应用设计，现在推荐所有 OAuth 客户端使用。
商业邮件欺诈
冒充企业高管或合作伙伴发送邮件骗取汇款或机密信息的诈骗。FBI 统计累计损失超 500 亿美元，AI 深度伪造使手法更加高级。
语音钓鱼
利用电话进行的钓鱼攻击。冒充银行或技术支持是典型手法，AI 语音合成与来电号码伪造相结合使攻击更具欺骗性。
防火墙
监控网络通信，根据设定的规则阻止非法访问的安全机制。
FIDO/WebAuthn
实现无密码认证的国际标准规范。利用公钥密码学提供抗钓鱼的认证流程，是通行密钥的技术基础。
无文件恶意软件
完全在内存中运行或滥用合法系统工具的恶意软件，不留下传统文件痕迹。绕过基于签名的杀毒软件，需要行为检测来识别。
模糊测试
通过输入随机或异常数据来发现软件漏洞的测试方法。
钓鱼攻击
通过伪装成正规服务的虚假网站或邮件骗取用户认证信息的网络攻击手法。
抗钓鱼 MFA
通过认证器与来源之间的密码学绑定阻止凭证拦截的 MFA。FIDO2 安全密钥和通行密钥是主要实现方式。
VPN
通过构建加密的虚拟专用通道来安全传输数据的技术。
隐私设计
从设计阶段就将隐私纳入的原则。基于 Ann Cavoukian 博士提出的七项原则，在 GDPR 第 25 条中被明确为法律义务。
浏览器指纹
通过浏览器设置和环境信息识别用户的技术。与 Cookie 不同无法删除，在欺诈检测中有用但存在隐私风险。
借口攻击
编造虚假场景套取信息的社会工程学手法。冒充 IT 支持或人事部门是典型手法，常作为商业邮件欺诈的前奏。
暴力破解攻击
通过穷举所有密码组合来找出正确密码的蛮力攻击手法。
代理服务器
位于客户端和服务器之间的中继服务器。分为正向代理和反向代理，用于内容过滤、缓存和负载均衡。
渗透测试
从攻击者角度验证系统漏洞的实践性安全评估方法。
鲸钓攻击
针对企业高管和管理层的高级钓鱼攻击，旨在造成大规模经济损失或信息泄露。
端口扫描
探索网络上开放端口以发现漏洞的侦察行为。
静态数据加密
加密存储在存储设备上的数据，防止物理盗窃或磁盘非法读取的技术。
僵尸网络
远程操控大量被恶意软件感染的计算机，用于 DDoS 攻击和垃圾邮件发送的网络。
マ行
ラ行
横向移动
入侵后在网络内横向移动的攻击手法。通过 Pass-the-Hash、RDP 滥用等方法接近高价值目标，扩大损害范围。
勒索软件
加密文件使其无法使用，并以恢复为条件索要赎金的恶意软件。
恢复代码
主 MFA 设备丢失时用于恢复账户访问的一次性备用代码。必须安全地离线存储，因为它们绕过了正常认证。
重放攻击
截获并重新发送合法通信数据以实现非法访问的攻击。随机数、时间戳和挑战-响应机制是有效对策，FIDO/WebAuthn 在结构上具有强抗性。
Rootkit
潜伏在系统深处并隐藏自身存在的恶意软件。
彩虹表
从哈希值反查原始密码的预计算表，对未加盐的哈希有效。
速率限制
限制一定时间内请求数量以保护服务的机制。
红队
从攻击者视角验证组织安全性的专业团队。比渗透测试范围更广、持续时间更长，包括物理入侵和社会工程学在内的实战评估。
泄露通知
数据泄露时向受影响个人和监管机构通知的义务。GDPR 要求在 72 小时内通知，延迟可能面临罚款和信任损失。