时代在进步：十大注定要被淘汰的安全技术

实现和配套的密码学出现，我们如今使用的大多数公钥加密技术：RSA、迪斐·海尔曼（Diffie-Hellman，DH）等等将很快变成可读状态，这可能会让一些人大吃一惊。很多人长期以来都认为可使用级别的量子计算再过几年就要到来了，但这种估计属于盲目乐观。如果研究人员真的拿出了量子计算技术，大多数已知的公钥加密方式，包括那些流行算法，都会非常容易破解。世界各地的间谍机构经年累月地秘密保存着被锁死的机密文件，等着技术大突破。而且，如果你相信一些流言的话，他们已经解决了这个问题，正在阅读我们的所有秘密。

　　一些密码学专家，比如布鲁斯·施耐尔（Bruce Schneier），一直以来对量子密码学的前景存有疑问。但批评家无法拒绝这种可能性：一旦它被开发出来，所有使用RSA、DF，甚至椭圆曲线（Elliptic Curve Cryptography，ECC）加密的密文瞬间变成了可读状态。

　　这并不是说不存在量子级的加密算法。的确有一些，比如基于格（Lattice）方法的加密、超奇异同源密码交换（Supersingular Isogeny Key Exchange）。但如果你使用的公钥不属于这类，一旦量子计算开始普及，你的坏运气就要来了。

　　No.4：IPsec

　　如果启用，IPsec会保护两点或多点间数据传输的完整性和隐私性，也即加密。这项技术发明于1993年，在1995年成为开放标准。数以百计的厂商支持IPsec，数百万计的计算机使用它。

　　不像本文中提到的其它例子，IPsec真的有用，而且效果很好，但它却有着另一方面的问题。

　　首先，虽然它被广泛使用并部署，但从没达到大而不倒的规模。其次，IPsec十分复杂，并不是所有厂商都支持它。更糟的是，如果通讯双方中的一方支持 IPsec，另一方如网关或负载平衡器不支持它，通讯经常会被破解。在许多公司中，IPSec通常作为可选项存在，强制使用它的电脑很少。

　　IPsec的复杂性也造成了性能问题。除非你在IPsec隧道两侧都部署专门硬件，不然它就会显著减缓所有用到它的网络连接。因此，大型的事务服务器，比如数据库和大多数Web服务器根本无法支持它。而这两类服务器恰恰是存储最重要数据的地方。如果你不能用IPsec保护大部分数据，它又能带来什么好处呢？

　　另外，尽管它是一个"公共"的开放标准，IPsec的实现却通常无法在各个厂商之间共用，这是另一个减缓乃至阻止IPsec被广泛部署的原因。

　　但对IPsec而言，真正的丧钟是HTTPS得到了广泛使用。如果你启用了HTTPS，就不再需要IPsec。这是个两者必择其一的选择，世界作出了它的决定。HTTPS赢了。只要你有一份有效的TLS电子证书，一个兼容的客户端，就能使用HTTPS：没有交互问题、复杂度低。存在一些性能影响，但对大多数用户而言微不足道。全球正迅速变成一个默认使用HTTPS的世界。在这个过程中，IPsec将会死亡。

　　No.5：防火墙

　　无处不在的HTTPS基本上宣告了传统防火墙的末日。早在三年前就有人写过相关文章，但三年过去，防火墙依旧无处不在。但真实情况呢？它们大多数未经配置，几乎全部都没有配备"最低容许度，默认屏蔽"规则，然而正是这种规则才让防火墙具备了价值。相信不少人都知道大多数防火墙规则过于宽松，甚至"允许所有XXX"这样规则的防火墙也不稀罕。这样配置的防火墙基本上还不如不存在。它啥都没干，只是在拖网速后腿。

　　不管你怎么定义防火墙，它必须包括一个部分：只允许特定的、预配置的接口，只有这样它才能算是有用。随着这个世界向着HTTPS化迈进，最终，所有防火墙都会只剩下几条规则：HTTP、HTTPS和DNS。其它协议，比如ads DNS、DHCP等等，也会开始使用HTTPS-only。事实上，很难想象一个不是以全民HTTPS化告终的世界。当这一切来临，防火墙何去何从？

　　防火墙提供的主要防御功能是保护脆弱的服务免遭远程攻击。具有远程脆弱性的服务通常极易破坏，远程利用缓冲区溢出是最常见的攻击方式。看看莫里斯蠕虫（Robert Morris Internet worm）、红色警戒（Code Red）、冲击波（Blaster）和蓝宝石（SQL Slammer）吧。你能回忆起最近一次世界级缓冲区溢出蠕虫攻击出现在哪年吗？应该不会超过本世纪头几年。而这些蠕虫都还远不及上世纪八九十年代那些的威力。基本上，如果你不使用未打补丁、存在漏洞的监听服务，就不需要传统防火墙。你现在就不需要。对，你没听错。你不需要防火墙。

一些防火墙厂商经常鼓吹他们的"高级"防火墙拥有传统产品远不能及的功能。但这种所谓的"高级防火墙"只要它们进行"数据包深度检查"或签名扫描，只会导致两种结果：其一，网速大幅度下降，返回结果充斥着