关于“蹭免费 wifi 有没有风险”的争论，@奥卡姆剃刀 和@yuange1975 谁说的更有道理一些？

[whilgeek]

今天看到他们吵了起来，相关微博： http://weibo.com/1820201245/BpOlsr0NY

[binux]

我觉得他们争论的焦点在于，一个说一千次里（虚数）只要有一次能抓到银行卡帐号密码就行，另一个在说你每次都能抓到银行卡密码才算。

[xavierskip]

以我理解的剃刀的意思，

如果连接是https的话，中间的链路是否安全已经不是很重要了。只要保证https连接是正确的，（银行提供这种安全的连接方式），你的网络数据被攻击者获取，他是无法破解的，因为加密过，从而保障安全。

从这一点看，连接来路不明的wifi，就算你获取了我的网络数据，我也不怕。

当然这个个非常单纯的想法，真实的环境远远没有这么简单，攻击者还有更多其他的方式来获取你的信息。


1.你可以挖系统漏洞来在让别人电脑被你远程操控。

2.你也可有诱骗小白用户点击安装来路不明的文件来挂马。

这两种情况，第二种真的是不安全吗？

[Jimrussell]

奥在本行之外的理论姿势被多次打脸了。不过公开网络里黑产给自己贴金的言论也不是一次两次了。如果奥的微博偏向于实现个人优越感和增加网络话语权，那黑产和安全那一方的言论则偏向于直接利益相关了。

袁是圈内一哥能说明什么呢？他的理论姿势v2的人不能理解吗？

最后10万不是怂了吗？而且赌约里面只是说“搞到网银密码”。人家有意识防范了，你随便什么方法搞中间人攻击，都很难了。

黑出明文密码这种，按我的理解，都是针对大量小白用户的手段，而且黑出来了怎么用也是难题。对银行账户这类来说，除了密码，现金操作过程中的手机验证更是一大麻烦事。除了纯技术方面，你社工花的时间精力可能更多而且收益不能保证。

像电影里面那种，为了黑一个超级富豪，hacking+社工N个月，然后冒着巨大风险转账成功并逍遥法外的黑客。我不知道在现在的2014年的中国是否还存在。

[Jimrussell]

我反感黑产嘴炮的原因是，他们很多流行言论的逻辑是：“我们圈里有XX个大神闷声发财了”+“我家后院有一只隐形的喷火龙，你没见过不能证明不存在”。

而实际上我了解到的闷声发大财的黑产“大神”，其年靠的是早年网游虚拟物品甚至q币“发财”的。然后转行做安全以后故事大家也都懂了。

[revival83]

@hjc4869 这个指的是vpn吗

[yaoye0o]

我觉得用猎豹360畅无线什么的连cmcc chinanet挺好

[sdysj]

那个剃刀就是要丢天朝真正的专家的脸来的，安全这行最幼稚就是在缺乏完备规则的擂台上单挑，扯谈自然就肯定了，而且天朝特色谈论安全最讨厌的就“你现在不能黑掉我，你是装逼”，而不是讨论技术本身可行性，这点天朝安全界就太缺乏，都藏着捏着，真正分享技术的还是不够国外来的多而且规范，剃刀这类人就抓这点赖死，在这个畸形国度希望大家都认识到且尝试改变吧。。。

[ctexlive]

@mornlight 腾讯的这篇文章，讲了国内制作app的时候，为了贪图方便绕过google的标准api，而采用自己验证公共ca证书的代码。结果省却了验证这个缓解而导致丧失安全性。这是人为的错误。
目前支付宝，UC、opera浏览器等主流可支付的app都不会验证ca证书吗？

[Owenjia]

那个奥卡姆剃刀最后被打脸了还在那嘴硬，最反感的是他的行为，首先是骂人，然后王思聪回复就开始彬彬有礼的称别人王xx先生～～还有对自己不熟悉的领域妄加评论～～

[20150517]

看到很多人坚称https密不可破，其实是不对的
https的安全性取决于证书，和证书链，但现在问题是你能保证所有的证书颁发都是通过合法的证书链？谷歌已经不是第一次发现一些流氓证书颁发机构发不合法证书了，而且你能保证所有证书颁发机构密钥都没泄露过？我随便颁发一个银行域名的证书，一些浏览器照样会以为是合法证书，不过好像firefox29已经开始处理这类问题了
证书链这一环破了，https安全性从何谈起？

[ryd994]

https只是保证传输安全而已。想获得密码方法多得是，不一定就要和https死嗑。
加密的只是一个通道，进通道前，出通道后，都不是https能管得了的。
不过现在在外面达WiFi坑人的我觉得还是小毛贼居多。对付这种小毛贼，保证本机基本安全，认准https，拒绝带http资源的https页面，应当是足够的。
挂l2tp当然更好，前提是备好CA证书。pptp就没啥意思了。
剃刀这样和yuange死嗑，最后无非就是被证明技术上可以被坑罢了。其实也不意味着公共wifi今后就不能用了，毕竟还有成本受益摆着。

[janxin]

@ctexlive 当然会

[shen2014]

@mornlight

如果未来都采用Hotspot 2.0技术免费WIFI会更安全。只是目前设备厂商（主要）、运营商不乐意推广。 因为WiFi作为和LTE竞争的技术，WIFI漫游问题一旦解决那运营商真的坐不住了。 WIFI从室内走向室外，LTE从室外走向室内，这条技术路线WIFI明显有优势，美国执意WiFi全频率开放的目的就是为了从内往外攻。 ---------------Wi-Fi CERTIFIED Passpoint于2012年作为一项行业范围的解决方案推出，它优化了热点中的网络接入流程，无需用户在每次连接网络时都进行网络查找和身份识别。通常来说，用户在每次连接网络时均须查找并选择一个网络，然后再请求连接到访问点，而且在多数情况下，用户需要重新输入他们的身份识别凭据。然而Passpoint能自动完成以上整个程序，实现热点网络和移动设备之间的无缝连接，与此同时还能提供最高级别的WPA2安全防护。

已经支持iOS7终端设备（iPhone5/5s/5c/6/6Plus、iPad3、iPadMini、iPadAir、iPadMiniRetina，iPodTouch第五代）以及运行OSXMavericks的苹果笔记本电脑。

[hjc4869]

@revival83 IKE或者IKEv2或者L2TP over IPSec三种vpn

[mornlight]

@ctexlive 连接公共wifi毫无疑问在任何环境下都是危险行为，SSL加密当然应该认为可信，但危险性并不仅仅来自https本身。我现在不想聊这个问题了，某刀新的几条微博简直是不要脸，不值得为这种人扯。

[jasontse]

@shen2014
802.1x 早就不是什么新鲜事情，公共场合除了 CMCC-AUTO 我还没见过哪个 WiFi 这么干。

[virusdefender]

@ctexlive 支付宝，UC、opera浏览器这几个我不清楚，我反正知道半年前很多银行的app是存在上面的那个漏洞。

[revival83]

@hjc4869 请问前辈购买vpn的时候如何判断是哪种？

[Bakemono]

redrain的demo已经很明确了.
虽然不严谨但是redrain爷爷也没必要弄个假的来骗人.

[palxex]

@Bakemono redrain那个视频怎么涉及https的我表示没看懂。那就是个opera上的网页，没怎么用过这个浏览器也看不清url，但是上面没有任何表示ssl链接的icon还是能看清的。