<![CDATA[大风起兮云飞扬]]> http://hi.baidu.com http://hi.baidu.com http://img.baidu.com/img/logo-hi.gif http://hi.baidu.com/aullik5 zh-cn www.baidu.com 5 <![CDATA[2009三亚游记]]>
第一晚我们住在亚龙湾的仙人掌酒店，待评五星，也就是还没五星。harry说这是一家墨西哥宾馆？不过无从证实了。




酒店大堂



亚龙湾的海滨浴场




亚龙湾曾经被中国国家地理评为中国最美的十大海湾 ------ 之首



我们都下海游了游，不过我不会水，所以只敢踩着滩地玩水。现在的海水还不是冷的不可接受。

感觉这里的沙滩比泰国的芭东要稍微好点，干净些。

而且亚龙湾是私家海滩，所以人也没那么多。

其实亚龙湾单就海滩论并不一定非常出色，但是他背山面海，风景不错，而且这里的好酒店非常多，服务也非常好。


第二天我们启程前往亚龙湾对面的蜈支洲岛。这个小岛是以水清著名的。小岛因为从天上看下来很像海里的动物 蜈支，因此得名。全岛面积为1.4平方公里。

水果然很不错


岛上一派热带风光，还有放养的孔雀。孔雀带了一群小孔雀在路边找东西吃


岛上有处名为 观日岩 ，视野非常开阔，是看日出最好的地方。站在观日岩上，让人忍不住对天长啸几声以舒心中的澎湃。



海天一线，地球是圆的吧！！



岛上唯一可以下水的浴场沙子非常粗，很多碎珊瑚。但是其他几个不能下水的海滩，沙子则非常细，非常舒服。也就是说“又白又嫩”。





水的颜色确实很漂亮。


我们在岛上住一晚后，第二天回到了亚龙湾，这次住在金棕榈酒店，金棕榈是四星的，也还是不错的


前面临海，后面靠湖，无比惬意



最后讲点我的体会，三亚旅游小贴士：
1、亚龙湾离机场大概40分钟的车程
2、亚龙湾里东西很贵，而且有钱没地方买，便利店都没有，要去市内打车要几十块
3、吃海鲜要去市内的春园海鲜广场吃，不过春园贵，但是附近很多吃海鲜的店，味道都还不错。
4、蜈支洲岛上住宿、潜水都很贵，而且每啥必要，一天能玩完。若非看日出，建议别住。
阅读全文
类别：茵梦湖 查看评论]]> 2009-11-24 17:03 http://hi.baidu.com/aullik5/blog/item/502ade55d1c15852d10906c0.html <![CDATA[淘宝的直通车]]>
我上周末去书店转了一圈，看到书店有不少介绍如何开网店的书，但是却没有看到关于”淘宝直通车“的任何书籍。而互联网上的新闻，似乎也未曾关注到这一对淘宝来说意义重大的产品。

之所以说它意义重大，是因为直通车的模式已经稳定，并具有持续盈利的能力，极可能成为促使淘宝上市的最大动力。

淘宝的直通车，实际上就是一个基于搜索关键词的竞价排名。用户在淘宝上搜索一些产品，直通车将卖家购买了关键词的宝贝对应展示出来，不同卖家可以针对不同关键词进行竞价，价高者得。

而淘宝怎么获利呢？普通用户每点击一次直通车展示出来的宝贝，卖家就要相应付费给淘宝，即便最终买家没有成交。

卖家得到了什么呢？得到了宝贝展示给更多用户的机会，一般一个做直通车比较成功的卖家，销售量会有极大的提高，从而可以投入更多的资金参与关键词的竞价，获取更多的展示机会，行成良性循环。



如图，我搜索 ： "望远镜 夜视 高倍"， 在右边红线框住的部分，既是卖家通过购买直通车关键词得到的结果。而中间部分的搜索结果，则是没有加入任何商业元素的一个计算结果。

这种竞价排名的展示方式，和google是一致的。但是中国有家公司叫百度，他以前的商业竞价排名结果是混杂在搜索结果里的，导致的后果是用户搜出来的第一页可能都是商家买出来的结果，而并非完全按照搜索计算出来的最优结果。

于是这个叫百度的公司，最近做了个叫做“凤巢”的项目，就是把商业竞价排名的结果和google一样移到右边，让商业竞价结果不再影响搜索的结果。我想这个项目不可避免的会对百度的付费用户造成一些影响，至于振荡幅度的大小，就不足为外人道了。

所以google在一开始，就打出一个口号，叫做“不作恶”，因为他知道搜索引擎要作恶，是很容易的一件事情。

对于卖家，在购买关键词上面，其实是非常有讲究的。

一般来说，有两种思路，一是出高价，购买大关键词，获得更多的展示机会。
二是追求长尾，购买大量低价的，但是极其精准的关键词，获取精准的展示机会，这样的用户质量往往非常高，购买意向也会非常高。

再拿上面的图片举例

用户直接购买“望远镜”这个词，可能会非常贵，要出到1、2块钱，就是说，如果竞价成功，那么普通用户在淘宝搜索“望远镜”这个词的时候，右边栏就会展示出该卖家的宝贝，如果这个普通户还去点了这个宝贝，那么每次点击，卖家就需要支付给淘宝2块钱。

而追求长尾的卖家则会这样买词，比如直接买:"望远镜 夜视 高倍"，如果要更精确，可能会再加上望远镜的牌子。那么搜索这些词的用户，不会太多，但他们的针对性会非常强，会有非常强的购买欲望，属于高质量的用户。同时这样竞价，价格会非常便宜，降低卖家的成本。

再回到上面这个图片，一个卖Columbia户外鞋的卖家，购买了"望远镜"的关键词，因为购买望远镜的用户，很可能是户外运动爱好者，那么很可能也有购买户外鞋的需求，所以这个卖家是很聪明的。

购买竞价词，也是一门学问，不是买的越贵越好。

要说淘宝的这个市场有多大？我也不知道，但我有个模糊的感觉，就是光淘宝直通车的市场规模，可能就有百度现在的竞价排名那么大，但我认为其市场潜力也只会在百亿的级别，不会成为千亿级别。如果想上升到千亿级别的市场，淘宝还需要寻找新的盈利模式。


PS: 今天出发前往三亚渡假，周末才回来 阅读全文
类别：乌托邦 查看评论]]> 2009-11-18 11:47 http://hi.baidu.com/aullik5/blog/item/de4de8f958c8e905d9f9fdfd.html <![CDATA[OWASP TOP 10 2010 RC]]>
OWASP 已经开始制定新的 TOP 10

http://www.owasp.org/index.php/File:OWASP_T10_-_2010_rc1.pdf

目前还只是候选，没有正式定稿

有几个比较大的变化，首先是从 07年的 TOP 10 Weakness 变为了现在的 TOP 10 Risk

而且计算风险的模型也变了，结合了漏洞散播、危害度等因素，更加科学，有点像SDL里的 DREAD 模型

以下是新的风险计算方式



在新的TOP 10中，有几个选项发生了变化
首先是07年排名第一的 XSS 和第二的 Injection 互相换了一下位置，这点应无疑义。

其次是04年的“错误配置”再次回归

最后是新增了一个“url跳转”，这是由于近年来基于url跳转的钓鱼、逻辑漏洞越来越多，所以这次就放了进来。



阅读全文
类别：象牙塔 查看评论]]> 2009-11-16 11:34 http://hi.baidu.com/aullik5/blog/item/d55d97ef603189232df53427.html <![CDATA[浅谈互联网公司安全的发展方向]]>
讨论范围限定在互联网公司，是为了避免和一些安全公司打口水战。因为我一向认为互联网公司的安全做到极致后，是不太需要购买什么安全软件或解决方案的，因为一个大的互联网公司，发展到一定程度后，其规模和复杂程度决定了世界上没有哪一家安全公司能够提供这样的解决方案了，一切都得自力更生。当然这句话也不是绝对的，一些非关键领域或者是基础安全领域，还是需要安全厂商的支持，比如防火墙设备、桌面安全设备、防DDOS设备等。

但我今天要说的是互联网公司安全的方向。我的命题是：我们今天做了什么，做的够不够，接下来我们还需要做些什么？

在过去的很长时间内，无论是漏洞挖掘者还是安全专家们，都在致力于研究各种各样的漏洞，以此为代表的是 OWASP 每隔几年就会公布的 Top 10 威胁List。所以在很长一段时间内，互联网公司的安全专家们，包括安全厂商的产品专家们，都在致力于做一件事情：不管是产品还是方案，尽可能的消灭这些漏洞。

因此，我把互联网公司安全的第一个目标，定义为：让工程师写出的每一行代码都是安全的！

为了达到这个目标，微软有了SDL，基于对软件工程的改造，SDL可以帮助工程师编写出安全的代码。微软的SDL达成了“让微软的工程师写出的大部分代码都是安全的”这一目标。所以我认为SDL是伟大的创造，他在无限接近终极目标。

在这个SDL中，我们就有很多东西需要去完善，也促进了相当多的衍生技术研究和技术产品。比如代码安全扫描工具的研究，仅此一项，就涉及到语法分析、词法分析、数据关联、统计学等诸多问题，再比如fuzzing，则涉及到各类协议或文件格式、统计学、数据处理、调试与回溯、可重用的测试环境建设等诸多复杂问题。把每一项做精，都不是那么容易的事情。

所以SDL是一项需要长期坚持和不断完善的工作。但是光有这个，还无法100%保证不会出现安全问题，于是我定义互联网公司安全的第二个目标：让所有已知的、未知的攻击，都能在第一时间发现，并迅速报警和追踪。

这第二个目标也挺宏伟的，涉及到许多IDS、IPS、蜜罐方面的研究，但光有现有的这些技术，还是远远无法完成这个目标的，因为现在已有的商业的、开源的IDS、IPS，都存在着种种局限性，而互联网公司的海量数据和复杂需求，也对这些现有产品提出了严峻的挑战。只有借助大规模超强的计算能力，实施有效的数据挖掘和数据关联工作，或者是建立更加立体化的模型，才能逐渐逼近这一目标。

这个目标也是需要无限逼近，去完成的一个宏伟目标。我目前在公司做的部分事情，就是在向着这个目标进行努力，所以无法在这里详谈、深谈。

光前面两个目标，就不知道需要投入多少人力、时间来努力，但我还有点不满足，所以我定义了第三个目标。

第三个目标：让安全成为公司的核心竞争力，深入到每一个产品的特性中，能够更好的引导用户使用互联网的习惯。

在一开始，我们使用电脑的时候，是不需要安装任何杀毒软件的。但是到了今天，如果一个普通用户新买了电脑，却没有安装任何的杀毒软件或者桌面保护软件，那么大家都会担心他会不会中病毒或木马。这种需求和市场，就完全是病毒和杀毒软件厂商培养和熏陶出来的。所以在今天，很多电脑生产商甚至在电脑出厂的时候就会预装一个杀毒软件。

前两天我去超市，看到乐事的薯片在捆绑销售一盒小的番茄酱。我马上想到了肯德基和麦当劳。我不知道在他们之前是否还有别的速食品是把薯条和番茄酱配在一起销售的，但是我认为肯德基和麦当劳改变了人们吃薯条的习惯：是要蘸着番茄酱吃的。所以乐事的薯片捆绑销售番茄酱，也可以看做是被肯德基做出来的需求和市场。

所以，我认为做互联网公司安全需要达成的一个目标是让安全成为深深植入产品骨髓的一个功能和特性，引导用户使用互联网的习惯，把这个需求和市场做出来。这更是一个需要长期投入和坚持的事情。

我还有最后一个目标：能够观测到整个互联网安全趋势的变化，对未来一段时间内的风险作出预警。

这个预警的目标也是我们部门当初草创时的目标之一，我至今还没有很好的头绪来想这些问题。但是这个目标反而是今天列举的这些目标中最容易达到的一个，因为已经有公司在做了，而且比较成功。比如McAFee 和赛门铁克，每隔段时间都会有互联网威胁报告，国外一些组织比如SANS等也有类似的报告。腾讯这几年一直在做挂马检测方面的工作，所以他们也能在一定程度上预警挂马方面的趋势。

由于有前人的榜样，再借助大规模的客户端或者是强力搜索引擎的海量数据，要做这件事情的路线和方法还是非常清晰的，只是要想做好，还得花上很多的时间和精力。


安全技术一直是依附于技术发展的，不光是技术发展开辟了新的需要安全的领域，技术发展也能给安全技术带来一些更多的想象空间。

比如10年前，甚至是5年前，可能我们都不需要去想手机是否需要安全这件事情，但是在今天，手机安全已经成了刻不容缓的一个战场，比如前两天报道的在澳洲传播的iphone蠕虫，这些已经是实实在在的威胁。

而手机反过来也促进了一些新的安全技术，比如手机认证能够起到与客户端证书类似的作用，甚至比客户端证书更进一步，因为手机不是装在电脑上的，是放在用户的裤兜里的。类似的还有随着计算能力的提升，已经能够处理更大规模的数据，从而使得安全分析会有一些新的发展和变化，这些都是在过去不敢想象的。

在互联网公司做安全一定要有想象力，同时需要紧密关注其他技术领域的发展，这样就不会止步于几种漏洞的研究，而会发现有非常多的有趣的事情正等着去做，这是一个非常宏伟的蓝图。 阅读全文
类别：象牙塔 查看评论]]> 2009-11-11 11:36 http://hi.baidu.com/aullik5/blog/item/de08a28a98be83759e2fb419.html <![CDATA[从屠龙术谈起]]>
意思是有个叫 朱泙漫听说支离益会屠龙之术，他很感兴趣，散尽家财，向他学这种很牛B的屠龙术，三年后，总算学成出山，结果发现找不到一条龙可以让他屠。

这次我去校园招聘，辗转了四个城市，零收获。

有个感觉就是现在大学所教的东西，和生产脱节太严重，尤其是互联网行业。

我在大学里是玩过来的，若干门功课重修，我相信现在的学生大部分也是玩过来的，这很悲剧，因为到临近毕业找工作的时候发现简历上除了学了什么课，做过什么作业，参加了什么社团外，再难找出一点出彩的地方。

少部分学生是天天自习，认真完成功课过来的，这更悲剧，因为到找工作的时候，简历上除了成绩单和奖学金外，再难找出一点出彩的地方。别的学生至少还玩过，谈恋爱过，这4年多不值啊！

只有极少数学生，简历上的经历能够让人有眼前一亮、耳目一新的感觉。

比本科生更悲剧的是很多博士生，好不容易读到博士，跟着导师也做了很多项目，结果发现到公司只能做本科生就能做的工作，但是博士生还得领博士生的薪水呀，怎么办呢？于是跟优秀的本科生竞争起来反而处于劣势了。

原来一切都是“屠龙术”惹的祸！

电从诞生起，到有5000w用户，花了50年时间，电视从诞生日起，到发展了5000w用户收看电视，花了17年时间。唯有互联网，从诞生日期，在短短的3年内，发展到了5000w用户的规模。

3年意味着什么？意味着你从上大学开始，还没毕业，整个互联网的世界就已经全部变了！

我们的教材是什么时候写的？教材的更新速度是多快？

所以，我们学了太多太多的屠龙术！

有的人会说，这些是基础，很重要。我并没说这些不重要，但是一定要明白，还有很多东西更重要，光只在学校看课本上那点东西是没用的。

尤其是互联网这个行业，一定要跳出校园，早点把眼光放在这个行业里面，关注他的一切，才不会迷茫。

我们在校园招聘的时候，首先注重的是考察passion。我们在寻找跟我们一样信仰技术的人。

几个简单的笔试题，居然难倒了绝大多数的面试者，着实让我大大吃了一惊。

这次的主观题大部分是我出的，到后来我们基本就只看主观题，因为已经不用挑剔太多了。好几个客观题做的很不错的学生，主观题答得一塌糊涂。后来面试的时候一问，全部蒙出来的。中国的学生做客观题一向是非常之利害。

我出的主观题，是考察学生是否关注这个行业，也就是考察是否passion。我认为，如果一个人具有对这个行业的热情，热爱自己的专业，才是具有潜力的。

其中有一道题是：0day是什么？你用过哪些0day？

答案千奇百怪，还有回答0day是一种安全技术的，说应该用过，但不记得了。这些来笔试的基本上都是信息安全专业的，他们真的明白自己将来要做什么样的一份事业吗？

在合肥的时候，我面试了一个女孩子，基本上是白卷，我问她，未来想做信息安全中的哪一块？她想了半天说，密码学吧。估计她只学过密码学。于是我继续追问，研究密码学的什么东西呢？发明一种新的加密算法吗？还是研究现在算法中的漏洞？公司需要这种研究吗？她无语，眼泪都快出来了。

互联网公司在什么情况下需要研究自己的密码学？在自己需要实现一个完全可信网络或协议的时候。可惜，有这种需求和魄力的互联网公司在当今世界上掰着指头能够数完。

而现在大学里的信息安全专业，不管是本科还是研究生、博士，大部分都在整密码学、认证啥的，真的作出了成果吗？我看大多数是论文一写就打完收工，生产环境能否用的上才不是那些教授、博导关心的事情。

所以，我们最关注的是激情，但激情不是凭白无故来的，并非空中楼阁。做技术尤其需要脚踏实地，耐得住寂寞。只有跳出了学校的围墙，放眼世界，才会不迷茫，才知道自己到底要什么。这种优秀的学生，很遗憾我这次没有见到，但是云舒那条线，却冒出了许多个，他们发出去了很多offer。由于我老板是所有地方都会跑，都会最后把关，所以有个全局的考察。

最后，在西安回了趟母校，感触良深，物是人非了。当年离开学校时，曾恨恨的说将来发达了一定要回去拆了学院新盖的大楼。这趟回去，发现这点恩怨，已经随风而逝了。 阅读全文
类别：乌托邦 查看评论]]> 2009-11-04 16:10 http://hi.baidu.com/aullik5/blog/item/f442d2127f5e12085aaf53a6.html <![CDATA[校园招聘进行时]]>
明天开始，10天左右要辗转合肥、西安、广州、哈尔滨、济南等5个城市，跨度遍布大半个中国。

希望能发掘到一些有潜力的新人，也希望有志于走上安全这条道路的大学生朋友们能投我们的简历。

阿里巴巴（中国）云计算有限公司信息安全方面的职位，我们的团队越来越壮大了!

会场依次会设立在：

中国科技大学
西安交通大学
中山大学
哈尔滨工业大学
山东大学
阅读全文
类别：乌托邦 查看评论]]> 2009-10-21 17:36 http://hi.baidu.com/aullik5/blog/item/1399f502385bc07d3912bb8f.html <![CDATA[推荐 OWASP - Transport Layer Protection Cheat Sheet]]>
实际上主要是 TLS 的正确部署指导原则，我仔细阅读了一遍，非常不错。(注：TLS 1.0 和 SSL 3.0 差别很小)

Transport Layer Protection Cheat Sheet


最近几年来， SSL方面的问题出的非常多，前不久的blackhat大会上就有两场非常精彩的talk。这方面的问题也越来越引起人们的关注，可以预见到的是，在未来很长一段时间内，SSL漏洞会持续更新。

而我们今天的web应用中，很多即便部署了SSL，但可能由于部署人员对SSL、TLS认识上的不足，导致了很多缺陷，从而引起黑客攻击的可能。所以这份Cheat Sheet 的意义弥足珍贵，从指导性的意义上来说，可以算是填补了一项空白。

国内在SSL攻防方面的研究还处于起步阶段，我现在能够找到的文档大部分都是国外的，国内的具有创新性的研究文档（无论攻防），还没有看到。

这次OWASP的 Cheat Sheet 写的算比较全面，但是具体细节方面还是比较欠缺，很多规则所对抗的威胁只是描述性的文字一笔带过，要知道这里提到的很多东西，我都看到过长篇大论的paper。所以这种概括性的东西，对于网站的安全人员来说，比较难以理解具体威胁，也难以以此为凭据去说服开发人员改变安全策略。

所以为了方便大家使用，我简单注释一下这篇Cheat Sheet 的几个rule。

Secure Server Design

Rule - Use TLS for All Login Pages and All Authenticated Pages

用TLS保护所有登录和认证页面，这个应该很好理解。但是rule中讲到login的landing page也要保护起来。这点是目前很多网站都没有做到的。

就是 http://login.xxx.com/login.html  这个页面，里面包含了一个表单，提交到 https://login.xxx.com/authCheck 去验证用户名和密码。这个 http://login.xxx.com/login.html 也需要改成 https://login.xxx.com/login.html ，为的是对抗攻击者从这个login的 landing page 发起攻击(包括篡改等)，从而窃取密码。

Rule - Use TLS on Any Networks (External and Internal) Transmitting Sensitive Data

敏感信息传输使用TLS加密保护。
文中提到内网也一样要做，很多安全事件是从内部发生的。

Rule - Do Not Provide Non-TLS Pages for Secure Content

安全内容不要提供非安全的页面
比如 https://www.xxx.com/userdata  这是一个敏感页面，这个页面就应该配置为只允许 https访问，如果允许 http://www.xxx.com/userdata，那么就可能被攻击者利用非https页面获取访问的内容。

目前的W3C新标准可以通过新增加一个HTTP头的形式强制客户端浏览器使用https浏览某个域下的所有页面，能够起到更好的保护。不过推广这一标准尚需要时间（浏览器支持与更新、普及的时间成本）

可以参考: ForceHTTPS 的标准

Rule - Do Not Perform Redirects from Non-TLS Page to TLS Login Page

重定向这个可能引起中间人攻击，但是文中也没给出太好的解决方案。而对于现在的网站来说，出于可用性的考虑，一些主要页面在未来很长一段时间内还是需要使用这种重定向的方式.

参考：又一个猥琐的技巧：Surf Jacking

Rule - Do Not Mix TLS and Non-TLS Content

页面中混合了非https的内容的话，可能会引起DOM注入从而使得https的页面受到威胁
这种攻击可以叫 mixed content 攻击

Rule - Use "Secure" Cookie Flag

cookie 的 secure flag可以保证该cookie只在https下发送。如果https的站点cookie没有加这个标志，则可能在http的情况下泄露这个cookie。

注意攻击者只需要攻击上行流量就可以了，即便站点不提供该域的http访问，浏览器也会把这个cookie发送出来，从而可能被sniffer到。

Rule - Keep Sensitive Data Out of the URL

敏感信息不要放在url中
主要是一些referer中包含的信息可能会泄露敏感信息。
我之前另外一篇blog讲过这个问题：anti-CSRF Token布署时需要注意的一点问题
值得注意的是，从 https 跳往http，referer是不会发送的，浏览器出于安全原因屏蔽了referer的发送。
但是 https 跳往 https仍然会发送referer


Server Certificate & Protocol Configuration

Rule - Use an Appropriate Certificate Authority for the Application's User Base

使用一个商业证书（需要从CA签发机构购买，比如VeriSign），如果是自己生成的浏览器会弹窗说不认识，虽然证书也能用，但是证书两大功能之一的认证功能就不能用了。从而使得钓鱼和中间人攻击有机可乘。


Rule - Only Support Strong Cryptographic Ciphers

现在很多网站用的证书还支持弱加密算法
检测的方法可以参考我之前写的： SSL 的那点事
今年曾经爆出的用200台PS3破解MD5也是针对SSL的攻击，有兴趣的可以google一下

Rule - Only Support Strong Protocols

SSL 2.0 已经多次被证明存在缺陷，所以任何情况下都不应该再支持。
推荐使用TLS，但是对浏览器版本有一定的要求。


Rule - Use Strong Keys & Protect Them

文中推荐使用2048bit的key


Rule - Use a Certificate That Supports All Available Domain Names

证书要支持所有的域和子域，因为现在很多CA机构签发证书资质考核不严谨，只要有这个域的邮箱就能够签发这个域的证书了，直接引起了攻击者能够从CA处获得一张合法的证书。而使用0字节等技巧更是可以欺骗浏览器。

参考：BlackHat 的议题听后感

目前这些问题也渐渐被解决了。同时推荐使用 EV 证书，会起到更好的效果( 当然也更贵 )。




最后还是推荐仔细阅读这份文档，并按照其指导性原则来实施，避免好心办坏事，酿成悲剧。 阅读全文
类别：象牙塔 查看评论]]> 2009-10-20 13:28 http://hi.baidu.com/aullik5/blog/item/d2ddb01ddc7ec78187d6b6f0.html <![CDATA[周末去看了建国大业]]>


看完后，非常失望啊！

这部片拍的不是一般的垃圾啊

先说点正面的：

各个国家领导人的演员还是演的非常到位的，语言、形态都很像。

负面的：
1. 影片政治意味浓重
基本上电影的主旋调就是强调怎样和民主党派、民主人士达成一致，影片大概有三分之一的时间都在扯张澜、李济深、宋庆龄等相关的事情，讲把他们请过来多么多么的不容易。

建国大业，民主党派请过来就建国了，真的这么简单吗？为什么要选取这个题材呢？为什么不再讲讲其他更多的更有吸引力的题材呢？再联想到现在的台湾局势，意味深长啊！

2. 许多细节刻画的不到位，叙述意味过浓，到后半部分基本就是部纪录片，有如小学生的流水账
相较于以前的电影《开国大典》，以及三大战役等经典影片，多有不如啊！

一个很细节的例子，当时蒋介石退任后，让李宗仁当总统，但是总统名头前有个“代”字，就是代总统，李宗仁当时还很生气，名不正则言不顺，蒋介石还是在幕后操纵一切。这种细节在《开国大典》里就有情节体现，但是类似这种很重要细节在《建国大业》里缺失的太多，使得整部电影不够丰满。

我觉得不能拿“大场面很难覆盖到细节”作为借口。拍大场面的电影多了，也有表现的很好的，但是《建国大业》完全拍成了一部纪录片，到了后半部出现大量的文字的概括性旁白，而情节稀缺。

3. 商业的噱头
明星确实很多，很多跑龙套的大腕，但也为此多设计出了很多无谓的情节。

如果说范伟的厨师跑去自杀还算有点煽情，那梁家辉那个扯淡情节算啥？冯巩那段呢？纯属浪费时间.

很多情节都是为了让某明星露个脸而设计，对于主题的体现没有什么帮助，纯粹属于吸引眼球。



不过大家基本上都是冲着看明星去的，所以影片本身也就没什么人去关注了。

从电影本身来说，很一般甚至是很差，但是在炒作上，绝对算成功。
阅读全文
类别：乌托邦 查看评论]]> 2009-10-19 12:13 http://hi.baidu.com/aullik5/blog/item/dc3ce6dc336af3e576c638f4.html <![CDATA[2009国庆山西游记 -- 壶口瀑布]]>
临汾意思就是临近汾水的意思，也是一个很有历史文化底蕴的城市。这个城市还挺大的，感觉和太原大小差不多。不过太原在我见过的省会里面属于比较小的了，应该和西宁差不多大小。

在距离临汾不远处有洪洞县，明朝时的迁民大多是从这里出发的（因为灭元后很多省份人口稀少，地没人种了）。当时把人群聚集到洪洞的一棵大槐树下，然后进行长途迁徙。所以有这种说法“问我祖先在何处，山西洪洞大槐树”。

不过当年的那颗大槐树早死了，现在留下的是第三代大槐树，今人又整了些建筑，让人去祭祖。我觉得没啥好看的，就没过去了。

临汾市本身只有一个尧庙可以看看，尧庙边上还弄了个中华门，但是我觉得没啥意思。

尧庙是纪念中华民族的祖先尧而建立的，因为相传尧的部落当年就是在临汾附近，始建于隋唐时期，后来历经数次大火与重修。



我进去大殿后还拜了拜。我不信神佛，不拜佛祖菩萨，但是对于中华民族的祖先，还是怀有一份敬意。

尧庙里的几棵树还是挺好看的，造型独特





第二日前往壶口瀑布。壶口瀑布离临汾170公里，离吉县45公里。所以去壶口瀑布要4个小时左右，来回就要将近8个小时，而且只有一个景点。所以我们在临汾找了个壶口瀑布一日游的团，第二天一大早出发。

千里黄河一壶收，是壶口的由来。在壶口瀑布处，河道突然变窄，又同时形成一个接近68米的落差，使得河水极其壮观。我认为这是中国最“愤怒”的瀑布了。

山西和陕西以黄河为分界线，所以观看壶口瀑布也可以从河两岸看。山西这边的景色要好过陕西的。以前有些攻略上说山西去壶口的路不好走，陕西好走些，但是我这次的行程看来，路还是修得挺好的，都是国道和省道，可能后来路已经修好了吧。

宁静的河谷


壶口是在视线下面的谷底中，水雾腾起，像飘了一层烟一样。有时候还能看到彩虹


黄河在咆哮


愤怒的黄河


听说猪掉进去了毛都不会剩




黄河携带了大量的泥沙激流而下

就在我的脚下


千里黄河一壶收，壮哉！


人掉进去不会有任何幸免的可能


最后再来一张


壶口是我们此行最大的收获。虽然去壶口很累，8个小时的车程，但是我们都觉得很值！

第二日回太原好好休息，本来准备去晋祠的，结果晋祠门票短短时间内从40涨到了70，同时晋祠门外还有很多可以开后门放人进的蛀虫们，大大影响我们的游兴，MM一怒之下，就决定不去晋祠了，所以我们最终也没有去成。

回顾这次山西旅行，辗转了上千公里，感觉还是挺累的。MM多次抱怨我这不是休闲游，所以我决定下次带她去一个地方待着不动，舒舒服服的睡几天。

全国古建筑有70%在山西，山西的旅游资源还是很丰富的。而且历来山西都是兵家必争之地，此处保存完好的多处古迹，比北京少一层光环，非常朴实，窃以为这才是是中华文明最真实的精粹，非常值得细细品味。

但是山西省对旅游的不重视，周边配套设施的欠缺，奸商的欺生，大大影响了游兴。我只能哀叹，晋商的辉煌和风骨，已经一去不复返了！

我想旅游局对现状有不可推卸的责任。同时让我对马云提出的建立“以诚信为本“的新商业文明的必要性有了重新的认识。

阅读全文
类别：茵梦湖 查看评论]]> 2009-10-10 11:17 http://hi.baidu.com/aullik5/blog/item/8d0e36fba0c330839e514646.html <![CDATA[2009国庆山西游记 -- 双林寺，王家大院]]>
有种说法是，来平遥不去双林寺，等于没来。双林寺距离古城只有5公里，打车或者坐三轮车都可以去。

我们本来上了个出租车，结果司机跟我们说，去双林寺不打表，还说都是这样的，太扯淡了！！

人生地不熟的只好吃这个亏。他要了20块，5公里。

还好双林寺并没有让我们失望，它是国家4A级景区，如果不是规模不大的话，我绝对认为它有晋级5A的资格。

我们去的很早，所以人很少，看的也很爽

双林寺的珍贵之处在于它的雕塑，和敦煌莫高窟类似。但是这里管理的没有敦煌严，所以我偷着拍了几张。


金刚怒目




忘了是哪个菩萨了


还是护法天王




判官和十殿阎王


阎罗王



地藏王菩萨



降龙罗汉


伏虎罗汉


古刹


从双林寺出来便准备动身去王家大院

我们在平遥汽车站坐车到介休。

王家大院在介休和灵石两地之间，到哪里都可以。不过我们后来非常后悔没有直接坐车到灵石。

山西的汽车都是要坐满人才开车的。从车站准点发车后，司机居然拉着我们停到了一条小街上，开始不停的拉人，人不坐满不走。

窃以为这部分收入，便是司机的灰色收入。

好不容易人拉满了，开动了，上了省道后，没走多久，居然横穿过一段很不好走的土路，跑到了另一条平行的同方向的省道上，更是笃定了我的这种想法。这部分收入是不需要上税的，这已经是山西交通的一个潜规则了！

比较让我吃惊的是，长途巴士上了高速后，居然可以随便停下来上下客。甚至有的人就站在高速牌子边上等车，牌子上书：严禁在高速上随意停靠上下客。 真是太讽刺了！

好不容易跑到了介休，找了家宾馆入住，然后就准备去王家大院。有公交车坐，过去是4块钱。

太原王家非常出名，有一种说法是天下王家出太原。王家在清朝年间曾经有过做大官的，所以不是乔家这种商贾能比，院落也要气派些，修得像座小城堡。

我个人觉得王家大院比乔家大院更值得一看。

不过看这种院落有很多道道在里面，最好请个导游，或者是去“蹭导游”。



大门








山西窑洞风格



感觉古人没有任何容积率、绿化、采光的概念。房屋之间的间隔都非常的窄，屋子里的光线也非常差，白天都要点灯

深闺小姐的绣楼


很有寓意的一些石刻，我就选一幅吧




就是个墙角，龟背与鹤，寓意长寿，中国人的道道还真多


隔壁家


还有观景台，远处是绵山


雅致的叠翠轩，门边的高台是踏马石


小亭名曰：瞻月


王家大院主要由高家崖和红门堡组成，有桥通往两边，真是个小城堡




门院


这个牌匾很有意思



深宅


台阶也能做这么精致，寓意着什么呢？


四合院



中间这个是？？


老屋


很有层次感的院落，绝对是艺术家建的




比乔家大院大多了！





后来从王家大院出来，又遇到了让我们很不爽的事情。

在大院门口拉客回介休“一窝狗”们，屡屡出言不逊，且拉帮结派，欺压游客。

我们不想做他们车，坚持等公交，因为来的时候问过公交车的人，说最晚到6点。

结果我们从五点半开始等，一直等到六点多，来了两班公交，都说不走了，要回公司。

后来好不容易拉住一辆，司机让我们上去，居然说是算私活，价格要翻倍。MM气不过去和他们理论，6点才交班，要公交公司的电话投诉，结果那司机居然马上改口说不拉了，把我们和其他一些乘客都给赶下车，MM当场就暴走了！

后来我寻思着，他肯定是怕我们跟他公司说他用公司的车拉私活。

边上那些“一窝狗”看着嘴脸就恶心，还不停的用言语刺激我们。这也是我们这次旅行遇到的最恶劣的一次事件，直接影响了我们后来的游兴。
阅读全文
类别：茵梦湖 查看评论]]> 2009-10-09 16:57 http://hi.baidu.com/aullik5/blog/item/ab16bd08c035bf2e6b60fb0f.html <![CDATA[2009国庆山西游记 -- 乔家大院，平遥古城]]>
解放前山西和陕西是中国最穷的两个省，资源稀缺。后来山西靠挖煤发了家，也许是这个原因吧。

这次国庆出游我和MM迟迟未能决定地点，因为刚从泰国回来，心思还没收回来。再就是不想去热门的地方，出国游的话办签证也来不及了。最后在几个候选的地方里面，挑来挑去选了山西，因为想着迟早要走走的。

结果证明山西旅游的人确实要好点，路上交通不算拥挤，酒店也远没有满负荷。但是景点的人数仍然多，但大多数是山西和河北、北京的人，因为近。

山西的主要旅游景点有这么几个：
五台山、北岳恒山，这两个是佛教胜地。恒山脚下有个悬空寺挺有意思的。

古雁门关，应县木塔

云冈石窟 -- 世界文化遗产

太原的晋祠

乔家大院、王家大院、常家庄园等祁县、平遥附近的明清民宅，中国古代民宅的活标本啊

平遥古城 -- 中国保存最完整的一座古城，整座城都是哦！世界文化遗产

壶口瀑布 -- 与陕西共享

太行山大峡谷 -- 与河南共享，被中国国家地理评为中国最美的十大峡谷之一

由于时间关系，我们只选择了南线，放弃了北线。即放弃了云冈石窟、五台山、恒山。专心玩民宅、古城、壶口。





七天六晚，两个人包括来回机票所有花费在5000左右。

10.1因为上午要看阅兵式，所以定的下午的机票，赶到太原后已经是晚上了。在酒店附近的小餐馆喝了碗羊肉汤，非常正点啊！强烈推荐之。

至于刀削面我反倒不那么推荐。以前在北方读大学，吃面食也吃得很多，这玩意做起来简单，想做好难，而且吃惯大米的南方人一般不会习惯的！

第二天直接启程前往乔家大院。在太原的建南汽车站坐长途大巴，买到祁县的票，跟司机说声到乔家大院给放下来就行了。乔家大院就在路边，非常近。（那个地方叫乔家堡）

来到乔家大院也是人山人海，毕竟这里比较出名，因为老谋子在这里拍了《大红灯笼高高挂》，后来又有许多电视在这里取外景。比如《亮剑》里面李云龙求老岳父把小田嫁给他，站在院子里淋雨那一幕，也是这里拍的。






乔家是山西的大富户，从乔贵发走西口出去做生意开始，前后红火的五六代人，生意做遍全国。



慈溪太后后来逃离北京时，路过山西，还找他们家借钱，一借就是30万两白银，最后也没还，就给了两盏破灯抵债。



这里是雕的火车哦！当时乔家的祖先留学回来，为了教育后人要上进，涨眼界，给整了个中国当时没有的火车在门楣上


这就是很多戏都用到了的外景地啦！


再来一张





从乔家大院出来后，坐了个“一窝狗”，赶赴平遥古城。

现在保留下来的平遥古城，主要是明代的建筑风格。主要包括了完整的城墙、县衙、文庙、中国第一家票号：日升昌，镖局博物馆等等。

这是一座活着的古城，因为现在里面还住人！




景点主要集中在城中心的几条街上。



当年的晋商确实很牛，生意遍布全国，可以说是中国最富的地方。晋商还很仗义，诚信是他们所最看重的。可惜今天都已经没落了。有兴趣的可以看看余秋雨的散文《抱愧山西》

镖局哦！有武林高手出没！尚武！！



演武场


古城的街道，人真多呀！


楼梯


在县衙里看戏


县衙后院里的大槐树


后堂


县太爷吃饭的地方，窑洞风格，上面供奉了守印大神


古城


繁华的街道




南城墙(为了还原本色稍微处理了下，哈哈)


走在城墙上，月明星稀



夕阳无限好！！



天黑后，我们就回到了旅馆。旅馆就在平遥城中。但是这里的客栈没有丽江那么多，价格也要贵很多，MM一直为这点愤愤不平。 阅读全文
类别：茵梦湖 查看评论]]> 2009-10-09 14:29 http://hi.baidu.com/aullik5/blog/item/183d940b2cbe6d1594ca6b60.html <![CDATA[我见过最好的关于最近Linux Kernel空指针利用的分析(CVE-2009-2695)]]> 其实应该是指一些利用空指针的方法，包括绕过SELinux和SELinux没开启的情况

The Linux kernel before 2.6.31-rc7 does not properly prevent mmap operations that target page zero and other low memory addresses, which allows local users to gain privileges by exploiting NULL pointer dereference vulnerabilities, related to (1) the default configuration of the allow_unconfined_mmap_low boolean in SELinux on Red Hat Enterprise Linux (RHEL) 5, (2) an error that causes allow_unconfined_mmap_low to be ignored in the unconfined_t domain, (3) lack of a requirement for the CAP_SYS_RAWIO capability for these mmap operations, and (4) interaction between the mmap_min_addr protection mechanism and certain application programs.


前段时间那个沸沸扬扬的linux kernel null pointer漏洞，折腾了好一段时间。

今天看到cnbeta上一篇很不错的分析

翻了一下，原来是翻译的老外的英文版本

Fun with NULL pointers, part 1


Fun with NULL pointers, part 2


其中关于GCC的那段说明极可能国内某大牛想在blog上写，但转眼就给删了，不过还是让我们的planet给抓到个头，可惜一直无缘得窥真容的那篇文章想要提到的问题。

"This is where the next interesting step in the chain of failures happens: the GCC compiler will, by default, optimize the NULL test out. The reasoning is that, since the pointer has already been dereferenced (and has not been changed), it cannot be NULL. So there is no point in checking it. "

中文版：
"这正是这一系列错误中的下一个：GCC编译器缺省会优化掉 NULL 的彻底检验。原因在于，因为这个指针已经被解引用过了（而且也什么都没发生），所以它不可能是 NULL。所以，没有理由再去检查它了。"
阅读全文
类别：象牙塔 查看评论]]> 2009-09-30 10:26 http://hi.baidu.com/aullik5/blog/item/f88284d7b493af2506088b65.html <![CDATA[2009普吉岛游记 -- Phi Phi Islands]]>


而第二天去的Phi Phi Islands, 发音是 "皮皮岛"，但我私下里喜欢叫这个做“屁屁岛”

Phi Phi Islands 主要由两个小岛组成，大的叫 Phi Phi Don, 小的叫 Phi Phi Ley


莱昂纳多的电影《The Beach》就是在小PP岛上拍的。

从Phuket坐船到Phi Phi，快艇可能要将近一个小时，我们坐慢船，坐了将近两个小时

在船头乘风破浪，远眺Phi Phi Islands


坐船那是非常的晕啊，坐快艇估计我们都得吐，所以还是坐慢船稍好点。

我们将在Phi Phi Don上住一晚。

先乘大船在Phi Phi Ley附近转了转，然后换小船，前往Phi Phi Don

一路上可以近距离接触这个岛，Phi Phi Islands 开发还不久，还保留着大量的原始森林。


小船靠不了岸，岸边的海太浅了，还得再换一次长尾船（long tail boat）才能到岸上去

快到我们的酒店了，这里真美!



坐在长尾船上驶向酒店，注意，这里的海水因为是浅海，还是变绿，清澈见底！！


等到近了，我们终于忍不住心中的澎湃开始大叫。这里的海和沙滩是只在电影中见过的！！

无比清澈的海水，细细的白沙，高耸的椰子树，还有岸边那别样风情的草屋，在这远离城市喧嚣的小岛上，一切都那么和谐！




上到岸边的酒店check in，服务生就微笑着给我们递上了一杯爽口的椰子沙冰。




此刻我们深深觉得第一天在patong简直就是浪费时间，这里才是我们要的海滩，这里才是我们的假期！！


沙滩、椰子树、长尾船~!


稍微靠内点还有沙滩排球的场地哦


躲在树林中的草屋


下午我们准备直接出海去浮潜，这几乎是来Phi Phi Islands的必选项目

就是浮在水上，带着潜水镜，吸根气管，看海底的珊瑚和鱼。

有很多浮潜地点可供选择。在这里最好包一条长尾船出去玩，但是每船限坐6个人


去浮潜了！！


从船上往水下拍，真个是清澈见底啊！！


再来一张


海底有很多黑色的长长的针刺的海胆，被轧到了可不是好玩的，所以最好戴脚蹼。

某人在浮潜


鱼不怕生，经常围着人转，一群一群的鱼，有时候还咬人哦！

黄昏，退潮后的海滩！


我们住的屋子哦，一人住一个屋子，很有情调，嘿嘿，超低容积率啊！！


晚上我去这里餐厅，吃了几只Tiger Prawns, 感觉比龙虾味道还好！在泰国还是适合吃Prawns(大虾)


吃完饭我们在海滩上捉螃蟹玩，这里好多螃蟹，晚上海水一涨潮就都给冲上岸了，还跑的贼快。

我们还发现了好几只寄居蟹，有大有小，非常有意思。可惜相机在晚上拍的很不清楚


第三天，热带的早晨


随后我们在岛上的游泳池里玩水。昨天可以泡了一天的海水哦，今天改泡淡水


老外总是很奔放，喜欢晒日光浴，在这里大饱眼福啊



之后在大堂边上的咖啡馆里喝了杯咖啡，等着check out


随后我们又一路坐船返回了patong，在patong再待一晚后，就启程回国了。

回顾这次thailand之行，给我印象最深的，还是Phi Phi Islands 上的海水，椰子树，白沙，草屋，永远忘不掉跳上沙滩时的激动心情。

也有遗憾，Phi Phi Ley的Maya Bay非常的美，也很著名，由于时间关系，所以就没去了。

也有期待，期待未来的马尔代夫之行，期待澳洲的潜水之旅！

Phuket, 一个美丽的地方，相信我会再次来这里游玩的！！ 阅读全文
类别：茵梦湖 查看评论]]> 2009-09-28 10:55 http://hi.baidu.com/aullik5/blog/item/50fe935327095f040cf3e324.html <![CDATA[2009普吉岛游记 -- patong]]>
在携程上订了个普吉岛自由行，主要是包括了机票、酒店、以及中途的一些接送，包括船票等。

携程的这个模式还是很不错的，酒店、路途费用这些最麻烦的包掉后，剩下的就是光玩和吃的花费了，非常的自由。

9.19号，我们从上海浦东国际机场出发，直飞曼谷，然后转机飞往普吉岛。

我们的飞机，泰航的航班，双层的




下飞机后，在曼谷机场有兑换的场所。但是RMB的汇率只有4，要知道在国内中国银行可以兑换到4.9，所以很不划算。事实上，在泰国的街上也就能兑换到4.2，4.3左右，除非能够找到些黑市。

所以我们事先在国内的中国银行把RMB兑换成了美元，在这里再用美元兑换成泰铢，相对就很划算了。美元的买入价是32多，卖出价是33，水分不大。




泰国号称是800年来在东南也唯一没被殖民过的国家。但是我的感觉这个国家受英国影响还是非常深的。英语在这里非常通用，所以在这里说英语就行了。个别服务生也会说中文。

这里的公路都是靠左行的，汽车的方向盘也在右边，和所有英联邦国家一样。

我们到普吉岛的酒店住下时已经是凌晨2点了~~~

我们首先是住在了 Surin Beach 的 Courtyard Hotel，后来才知道这是家连锁，条件还是很不错的。

迷糊的睡了一晚，第二天一早就爬起来去看海。离酒店一条马路就是 Surin Beach 了，是一个小海滩，人不多~~



转了转就回酒店吃早饭了。

本来第一天我是想出海玩的，因为附近的海岛多，有的还很著名，比如有部007电影就是在这附近拍的，所以有个岛就被命名为邦德岛。

结果由于需要提前预定船，我们的行程有点冲突，就没去了，改去巴东海滩玩。

说到普吉岛，最著名和最繁华的就是巴东海滩了 (Patong)

这里有很多同性恋酒吧，特殊服务也很多，曾经一度臭名昭著，最近要好些了。

我们找了个当地的嘟嘟车，就是那种小货车，能装6-7个人的，直接载到了patong。

这里的司机开车太猛了，所有人都跟开赛车一样，而且岛上似乎不许鸣笛！

我们花了400泰铢，从surin开到了patong，以司机那么彪悍的速度，居然都开了差不多半个小时，价格不到RMB100，相对国内差不多。

车上拍的



我们到了patong后直奔海滩，这里的海滩还算不错，很多欧美人在这里玩水、做日光浴。

海滩上租个椅子和伞只要50泰铢，随便坐到什么时候，离开吃饭都不要紧，回来了还可以继续坐。我们当时被宰了，花了100泰铢，后来才知道。不过也就是10块RMB和20快RMB的区别，所以也没太往心里去。



我们在这里戏水了许久，还能喝到新鲜的椰子，让我爱上这种水果了，太棒了！fresh coconut!

嗯，有几个家伙一直在偷拍隔壁的一个有明星气质的美女，我gf和云舒的老婆居然是最起劲的。女人对美女也很兴趣很大啊！听说云舒老婆还把那个美女换衣服全过程给拍下来了！




再看看这个，跟没穿一样！



中午我们在附近的shopping mall里找了家泰式餐馆，叫MK的，价格稍高。


店里的雕像，挺有意思的





下午larry和suddy去做spa和泰式按摩了，而我们就去逛了逛街，然后又去patong beach上睡觉玩水去了。

躺在椅子上看着椰子~~



很多人在玩高空滑翔和水上摩托，我一边睡觉一边看，美好的一天



夜晚是patong堕落的开始



我们找了家吃海鲜的地方，就在海滩边上，叫patong seafood，点了期待了好久的龙虾



这里龙虾还是很贵~~~#_#

后来听yikai说泰国出的是暖水龙虾,不会大,要冷水龙虾才大。每年到了捕获季节后，去美国的三藩市吃龙虾应该是最便宜的。

在这里吃饭花泰铢，一般都是上千的，哈哈哈


泰国很多国民信仰佛教，但是也有南部马来西亚过来的伊斯兰教徒，所以也建有清真寺。

双手合什的姿势在这里表示问好，泰国人一般都这样和你打招呼。泰国是微笑之国，这里的人都是微笑对人，笑起来也很好看。我想起了《拳霸》里的傻小子总是笑，原来如此！

麦当劳叔叔也要入乡随俗了！


然后我们就回到了酒店休息，准备开始第二天的行程~~~

注意事项：
防晒油一定要50以上的才有用，国内难买到的话就在泰国当地的便利店、超市都能买到
热带，但是比国内凉快多了！！就是紫外线强度特别大，所以一定要备防晒油，不要有逞强的心理。我感觉比高原还容易晒伤人

阅读全文
类别：茵梦湖 查看评论]]> 2009-09-27 22:33 http://hi.baidu.com/aullik5/blog/item/e958fb18087d1a70dab4bd1e.html <![CDATA[ForceHTTPS 的标准]]>
今天度假回来一看，已经出来了

http://lists.w3.org/Archives/Public/www-archive/2009Sep/att-0051/draft-hodges-strict-transport-sec-05.plain.html#strict-transport-security-http-response-header-field

paypal 推动的邮件在这里：

http://www.webappsec.org/lists/websecurity/archive/2009-09/msg00060.html

目前noscript里已经增加了对此的支持，chrome的支持好像也出来了。

实现上，服务器端response增加一个头

The ABNF [RFC2616] syntax for the Strict-Transport-Security HTTP Response Header field is:

Strict-Transport-Security = 
        "Strict-Transport-Security" ":" "max-age" "=" delta-seconds [ ";" "includeSubDomains" ]

max-age specifies the number of seconds the UA should remember receipt of this header field from this server. The delta-seconds production is specified in [RFC2616].

includeSubDomains is a flag which, if present, signals to the UA that the STS Policy applies to this STS Server as well as any subdomains of the server's FQDN.

支持这个功能的客户端就知道这个站点只允许https访问了。任何http的访问都会被转到https下


这个功能对安全要求高的站点，比如银行和支付类网站来说，是非常有意义的

因为之前很多针对https的攻击就是在同域下https的页面里混淆了http的请求，造成一种类似 mixed content  的攻击 （可以参考 blackhat2009 里 alex androv 那篇文章），从而造成一些威胁。使用了这个http头之后，就可以杜绝此类攻击了。当然要浏览器支持才行。


刚从泰国度假归来，事情比较多，我会尽快把游记补上来，哈哈，云舒说的对，我肯定会写游记的！
阅读全文
类别：象牙塔 查看评论]]> 2009-09-25 14:10 http://hi.baidu.com/aullik5/blog/item/e190aa00ebb34b0c1d9583b4.html