纵深防御:构建安全应用的堑壕战原理- Anastasiia Voitova，哥萨克实验室

因此，通过整个安全领域，现在我们将重点关注数据安全。好吧。明白了。太棒了。

我叫安娜斯塔西娅，多年来我一直在开发手机应用程序，在某种程度上，我…这是意想不到的副作用。所有好吗?我能继续吗?是吗?好吧。

在某个时候，我转到了安全领域，我是一名安全软件工程师，现在我的头衔是产品工程师，或者是首席产品官，如果你愿意的话，在一家提供安全解决方案的公司。

所以我在密码学和闪亮的密码学世界，现代思想，以及应用工程，没有密码学博士学位的人，但仍然想要创造好的应用程序之间取得平衡。

我在一家名为哥萨克实验室的公司工作，我们来自哥萨克实验室的研发和军事加密。我们制造的工具类似于军用的神秘工具，我们试图让中小企业能够使用它们，让他们开始工作。首先，我们认为，如果我们要做的不仅仅是密码学，还要给人们提供易于使用的密码学，开发人员会非常兴奋地使用它，它会很好，不。它是这样工作的吗?不。

我们没有尝试教开发人员创建更安全的应用程序，而是说:“好吧，好吧。我们将创造易于使用、不易误用的工具。”因此，如果您的公司没有任何安全团队，仍然以正确的方式应用正确的工具，我们将能够降低安全事件的风险，并提高攻击者获取您的数据的门槛。

否则，在演示过程中，我们会有很多链接和图表，所以幻灯片已经在网上提供了，如果你们看所有的幻灯片会比较复杂。所有这些你都可以扫描二维码在手机上下载幻灯片。

好的,很好。这是我们的计划，在接下来的40分钟里，我们要复习几个步骤。首先，我将解释当前市场上关于数据安全的困境，然后我们将看看现代网络架构的风险。这包括深度防御的概念，如何对数据应用深度防御，以及更重要的是，使用哪些工具，因为很明显。

首先，你以前听过深度辩护吗?你知道深度防御这个词吗?请举手。你可以骗我，别担心。你读过这些书吗?不。预期。所以纵深防守并不是什么新鲜事。基本上，在网络安全中没有新的术语，所有这些术语都来自战争，来自战争，所以防御要深入。但是我们在计算机科学中使用深度防御当我们讨论网络安全，创建互联网，创建参数，等等。 And now we switch, like a pro would switch angle a little bit and we’re talking about defense in depth for data, not only for your network, not only for your infrastructure.

为什么我们关心数据?嗯,很明显。首先，如果我们不关心数据，我们就会受到监管的压力，对吧?罚款是疯狂的，竞争对手可以窃取我们的数据库，你知道所有的事情。当然，用户也会不高兴，这是我喜欢的，因为他们显然在推销它。我真正喜欢的是，法规开始对大公司和大型供应商施加压力，如果你作为一家公司使用服务提供商提供的服务，服务提供商就会开始对你施加压力。我稍后会解释一下。

你知道GDPR。如果有人对你说GDPR只是关于复选框和电子邮件，给他们看看这张幻灯片，因为GDPR也是关于解密的。第32条和第35条是关于数据处理和数据加密。第33/34条是关于在数据泄露和事件发生时的监控。

第32条，考虑到yada yada yada yada yada，您应该使用假名和个人数据加密。你知道有什么不同，对吧?你知道假月经是什么。对我撒谎。是的,太棒了。正确的。

所以如果有人告诉你，“好吧，GDPR和加密没有任何关系。”不不不，是第32条。但GDPR是关于人权的规定，不是技术法律，它没有规定使用什么样的密码，使用什么样的协议。

顺便说一下，在一些国家，GDPR就像伞状法规，对吧?所以在一些国家，他们根据GDPR制定了自己的内部法律，内部法规，并指出了确切的密码。比如在葡萄牙，他们有自己的法律，他们实际使用的是什么密码。我不知道，他们把所有的密码都放在那里，不是最先进的。我不知道葡萄牙的公司，至少是国内的政府公司是怎么处理的，但是。

GDPR并没有规定使用哪种密码，使用哪种加密，但是美国国防部做了规定。去年他们发布了一份文件，他们的内部文件，如何正确地构建软件，如何构建美国国防部会使用的软件。所以软件是为他们自己准备的。这份文件包含了十条原则。所以软件会更好更快，美国国防部会比他们所有的攻击者和对手更酷。读起来很有趣。这里有一个链接。

10条原则，第9条原则说数据应该一直加密，除了被计算的短时间。这意味着TLS是不够的。这意味着基于数据的加密是不够的。这意味着TLS加上基于数据的加密是不够的。除了被计算、被处理的数据外，所有的数据都应该加密。所以数据应该对每个应用程序、每个用户进行加密，只有一些受信任的服务可以解密。

这听起来很酷，但是有一些应用程序可以做到这一点。我的意思是，这不是不现实的事情，这是完全现实的事情。如果你听说有一个要发布现场加密，最近，昨天，我不知道我倒时差了，我不知道那是哪一天。字面意思就是字段级加密，他们说，“哇，字段级加密，你知道，对于每个数据库字段，它太棒了，太现代了。”大家加油，[听不清00:09:34]已经来了。例如我们的东西，它是开源和免费的，已经在市场上存在三年了。它不那么新，也不那么现代。

还记得我说过的服务提供商向使用它们的公司施压吗?比如谷歌，谷歌说，这真的很有趣，谷歌说如果你是一家使用谷歌API收集谷歌用户数据并在自己的服务器上出售这些数据的公司，你必须作为一家公司，你必须做安全评估并向谷歌提供安全评估的结果。而安全评估，谷歌预计安全评估可能会花费你公司1.5万到7.5万美元，你支付这笔钱，不是给谷歌，不，是给那些为你做安全评估的公司。谷歌显然会有一些完全独立的公司。

不管怎样，我们的一些客户收到了这类邮件，现在他们需要在年底前做安全评估，以显示一些东西。谷歌认为这真的很有进取心，我想这么说。例如苹果，他们不做这个推送，他们只是更新安全政策，非常轻微如果你在做应用，如果你在上传你的应用到App Store，你可以看到数据安全政策是如何改变的。如果你的应用是针对儿童的，你不能使用任何广告，你不能在应用中添加任何分析或广告追踪器，所以苹果在以一种更舒适的方式推动这些东西。

你当然听说过OWASP Top-10，对吧?对我撒谎。

是的。

太棒了。当我们谈论数据保护时，我们究竟要保护什么?因为有不同种类的数据。我们都知道用户数据，也就是商业数据，对我们的业务来说是可靠的数据，很简单。我们经常忘记服务数据，因为PM通常不知道我们的服务分离了一些技术数据，比如API令牌和密钥，这些部分的数据保护通常不是一张[听不清00:12:02]票。

而开发人员，他们往往会忘记他们也有这些数据，但在现实世界中，我们操作不同类别的数据，我们需要保护所有这些数据，因为丢失这些数据会对我们的公司产生不同的影响。丢失客户数据，显然是一种合规风险，在法律上我们可以反驳，但丢失技术数据，丢失服务数据意味着有人可以在我们的服务网站上计算比特币，这也不太好。

这张幻灯片很重要。客户，通常是用户，最终用户通常没有办法了解你在数据保护方面做得有多好，所以这是你的责任。现在让我们来看看技术层面的东西。如果你想拍照，可以。所有的好。

好的，图表，图表，图表，图表。这是我们简化的web架构。和你们在应用中可能有的一样简单。但是我们这里有一个数据流。数据是在前端生成的，在某个web应用程序上，然后在应用程序后端处理通常不是一个服务器，而是整个基础设施。然后数据被存储在某个地方，对吧?我们也可以用分层模型来表示。

在典型的安全设计模型中，攻击者只在外部，他们需要通过我们所有的组件来获取数据。你知道有不同的，几十个组件来攻击每个组件，例如低GS服务器。但是有些攻击者非常特殊，比如SQL注入。SQL注入，就像超级跳转，因为成功的SQL注入意味着攻击者直接跳转到数据库，获取数据，然后从数据库跳转回来。省略了我们所有的防御。

同样，在现实世界中，很多攻击都是由内部人员发起的。我看到了不同的数字，这取决于这个行业，取决于这个行业的可靠数据，这个数字从10%到15%的内部攻击到75%不等。因此，在设计应用程序体系结构时，应该考虑所有风险，包括内部人员风险。包括内部人员实际上可以出现在每一层，就像你的任何一层防御一样。

通常人们会告诉我:“嘿，Anastasia，好吧，好吧，我们知道所有的东西，但我们已经知道了很多安全控制，我们已经准备好了，我的意思是我们是很酷的开发人员，我们是很酷的开发人员。”我们是最好的开发者。我们什么都知道。”我有个问题要问你。是的，我同意我们知道很多安全控制，好吧，好吧。这些都是真正的安全控制，我在安全中使用的真正的方法或工具或缩写，除了一个。你能找到吗?

RTFM。

你反应真快。好吧，好吧，好吧。是的，RTFM，好的，好的。你知道IDS是什么吗?id。

入侵检测系统。

是入侵检测系统。公里吗?

密钥管理系统。

钥匙管理系统，好的，好的。好的语音吗?语音吗?透明数据库加密。好吧，好吧，好吧。其他的都很简单。AAA级?认证、授权和计费。很好，足够好了。

所以我们已经知道了很多安全控制，不管我有没有很多工具。当我们把所有这些工具放到典型的分布式web应用程序中时，我们可以得到类似这样的东西。我们可以采取主动保护措施。比如防火墙，我们有不同类型的防火墙，我们有WAF, web应用防火墙。我们有数据防火墙，有网络防火墙，对吧?当然，我们对数据使用访问控制，访问限制，我们对数据库中的数据使用ACL。我们在应用程序端使用安全编码实践。我们使用依赖管理来检查我们的包，对吗?当然，所有的行动都有日志记录，我们有监控日志、CM系统、安全信息和事件管理系统的工具，然后我们有监控监控系统的工具。安全。

也许我们有一些备份，如果我们足够幸运，备份是有效的，如果我们足够幸运，备份是加密的，因为它是一个很好的攻击载体。所有的东西，它们都会工作，直到它们被打破。通常这些系统是混乱的，它们[听不清00:18:11]。通常我们有一个大公司，或者我们有不同的人，不同的团队负责每件事，他们并不一致。有时这种安全手段，这种保护手段被称为检查表保护或检查表安全。我们叫他们乐队，不好意思。创可贴安全模型。回去，回去。动画，动画，是的。我很努力，好吗?

我们称其为创可贴安全模型，开发人员通常倾向于将其视为边界。比如，周界，周界，周界。然而，攻击者，他们用图形来思考，他们构建了一个漏洞路径，然后从一个边界移动到另一个边界，最终他们会在每个边界上找到漏洞。这就是攻击图的样子。这是一个例子，这是一张很老的照片，是一些基础设施的例子。我们在这里看到了防火墙，思想和攻击图的例子，这些组件中都有漏洞。

对吧?让我们回到我们的系统。我们在这里已经有了大量的安全控制，但它仍然存在很多风险和潜在的攻击。应用程序注入，后端漏洞，记住所有这些低GS模型都没有被监控覆盖或者我们没有看到，我们没有阅读监控的结果。错误配置的数据库访问，我最喜欢的，AWS S3存储桶是公共的，因为我们不是，对吧?即使我们有这个加密复选框。

然后我们可以使用TLS，很好。TLS，终极保护措施。所以我们可以使用TLS，但如果我们从不可靠的证书颁发机构获得证书，或者如果我们有弱密码，如果我们使用TLS，但我们不使用证书[听不清00:20:38]，对吧?然后，如果我们有备份，但是它们是纯文本的，不好意思，不，不好意思。如果他们有很多日志，但在某个点我们有这个日志溢出。有日志很好，但如果我们不注意就不好了。

所以，深度防御说，很明显，一个安全控制是不够的。但即使你有很多这样的分子，如果它们是混乱的，这也没有多大意义。你将为每一组独立但相互联系的风险获得更好的结果。一组安全控制。

如何构建它。首先，我们再次讨论数据保护，所以在数据层面上，我们了解数据流，我们的数据是如何生成、处理以及存储在哪里的。在整个数据流过程中，拥有全局保护数据的安全控制非常好。然后，我们在我们的基础设施中发现了高攻击向量，有风险的路径，我们为这些高风险的地方建立了相互联系，重叠的安全控制。我们有全局控制，然后我们有一些点的重叠控制。在整个数据流过程中，我们可以使用哪种全局控制、哪种控制、哪种工具、哪种方法、哪种机制来保护数据?

答案的第一个字母是“C”。

第二个字母是“R”。

加密。

密码学，密码学，对。我们使用密码学，因为如果数据被加密，它就不会被意外地，突然解密。不，有一些东西，在代码中有一些服务可以解密数据。如果我们在整个数据流中对数据进行加密，比如字段级加密，数据团级加密，我们就可以监控数据被解密的地方。然后是密码学，实现良好的密码学可以缩小攻击面并使数据流可预测。当你明白发生了什么，就更容易监控异常。实际上，我们是围绕这个理念来构建工具的，我们使用加密技术作为全球防御层，然后我们使用其他安全级别的控制，比如传统的安全控制，来加倍或三倍地保护瓶颈。

根据基础设施的不同，您可以使用不同类型的加密工具。所以如果你有基于物联网的移动设备，物联网强制基础设施，你可以在那里建立端到端加密。不幸的是，如果你有大型网络分布式标签问题，加密，这不是你要做的第一件事。对于它们，我现在将讨论另一种方法，称为解密代理。这是一个简单的模式，我不想从架构的角度来解释这个模式，让我们跳到基础设施。解密代理说有一个网站加密数据还有另一个网站，解密代理，解密数据。所以加密和解密是分开的。

为什么?为什么，什么是不好的，在同一个组件上加密和解密数据有什么错?如果我们使用简单，如果我们说简单，如果我们使用简单对称加密，我们就有一个密钥来加密和解密数据。在同一组件上加密和解密有什么问题?

(听不清00:25:04)

是的,是的。这就是数据库级加密没有多大意义的原因，因为任何可以访问数据库服务器的人都可以访问密钥。在相同的组件上进行加密解密并没有错，但是如果我们将它们分开，这种加密解密会增加对基础设施的信任。因此，我们可以在客户端进行加密，但在受信任区域(我们监控的受信任环境)进行解密。这很简单。

这使得数据流非常可预测，对吧?我们有一种方式，我们写入数据或加密数据，我们有另一种方式，我们读取数据或解密数据。同样，可预测的事情对安全性有好处，因为它更容易分析异常并理解发生了什么。

我知道，我知道，这可能有点高水平，让我们回到我们超级酷的基础设施。那么，如何在该数据流中构建解密代理呢?

实际上，我们把应用程序分成了两个不同的组件，不同的源。应用程序后端本身会进行客户端加密。我来自传统密码学，我还不相信浏览器中的密码学。从密码学的角度来看，客户端实际上是应用程序端。所以我们将在我们的应用程序后端拥有客户端我们将在一个单独的组件中拥有解密，在一个单独的服务中，解密代理。

当我们写入数据流时，数据在某处生成，它到达应用程序后端，它在我们的基础设施中被加密发送加密存储在数据库中。

要从数据库中读取数据，我们需要通过解密代理发出读取请求，这显然与代理的工作原理类似，它将请求重定向到数据库，获得加密响应，解密数据并将响应重定向回客户端。

有趣的是，关键模型。我们不再使用一个键了。我们使用公钥加密数据，显然应用程序后端没有私钥解密来解密数据，只有公钥。我们使用私钥来解密数据。当然，我们将私钥存储在一个非常可信的区域，在一些HSM中，在你的[听不清00:28:01]这要看情况。

一旦应用程序后端和数据库没有私钥，他们就不能意外地解密数据。

技术上是一样的，键模型稍微复杂一点。这是我们使用的软件的关键模型。它不止一个密钥，当然你也可以有私钥，纯文本，所以你也可以加密私钥。我可以详细说明，也可以跳过这张幻灯片继续，不深入研究多层加密。好了，我看到你们的脸了。

如果你真的对密码，对加密，它是如何工作的感到好奇，我们可以在课后再讨论。让我们继续前进。

当我们把加密和解密分开时，破坏我们的系统，破坏我们的系统就变得更加复杂了。因为数据库实际上不知道被加密的数据是什么，数据库没有任何密钥，没有任何线索。打破数据库，一切都好。应用程序不知道为什么要解密数据，所以如果你破坏了应用程序，你可以得到这个应用程序上生成的数据，就像它自己的数据一样。

然而，深度防御加密本身是不够的，让我们回到这个世界，我们所知道的所有闪亮的安全控制，并将它们添加到我们的数据库中。因为密码学是第一个，全球范围内我们的防御。我们需要一些东西，我们需要将防御力量增加两倍甚至三倍。我们能得到的。

首先，TLS很好。然后在我们的解密代理上，如果你想一下，它是解密数据的唯一点，所以在这一点上我们可以有一些认证。解密代理有来自客户端的请求它帮助指示客户端是否有权访问这些数据，否?完成，SQL防火墙。当然，如果我们谈论的是SQL数据库。

我们得到一些请求，要求我们从数据库中选择所有。有道理吗?不，停止请求。然后，我们使用所谓的分区化，就像不同的区域，不同的客户端不同的键可能是不同的用户。当我们从客户端请求这些密钥时，请用这些密钥解密我的数据，解密代理检查，好的，可能密钥是错误的，如果你有这些密钥，你不能要求其他用户解密数据，停止。

然后，这也是有用的，蜂蜜罐，或者我们所说的蜂蜜信物。所以在我们加密的数据库中在加密的记录中它可以有一个特殊的标记，一个特殊的记录，看起来完全一样，因为它是加密的，这对人类和攻击者来说没有任何意义。所以这些记录看起来是一样的但是这些记录不应该被这个客户端读取。所以当代理向数据库发出请求并获得数据库响应，获得带有这些标记的数据时，这意味着实际上有人已经破坏了我们的SQL防火墙这实际上不是一个受监督的请求，解密代理可以阻止这个请求。所以，所有这些都是传统的安全控制，而不是加密。我们可以在基础设施中加入传统的安全控制来帮助加密。因为密码学，不是魔杖不是那样的。我们也需要做所有传统的事情。

明白了吗?入侵检测，防火墙，KMS，所有不同的传输实时加密。

我们回去吧，是的。第三点非常重要，数据被监视，一旦我们了解了数据流，我们就可以建立这些监控工具和审计日志。我们可以将用户X访问数据的记录写入日志，这样如果发生意外，我们也有审计日志。当你构建一个以加密作为第一层防御的系统时，你实际上可以为你的CM和你的监控工具提供很多有用的数据。如果你在你的CM中看到一些解密操作的高峰，那可能是异常的，可能有人突破了你的防御系统，得到了很多数据，并开始解密这些数据，所以你有工具来理解这里发生了什么。

正如我前面所提到的,它变得有点复杂,有点复杂,妥协的整个系统,因为唯一有效的办法解密数据,得到数据通过解密代理纯文本是阅读它,否则你需要妥协后端应用程序通过SQL防火墙,通过内部检测系统来处理所有不同的键为不同的用户,当然,不要离开任何日志,并且不会触发任何监控异常检测事件。

所以这被称为深度防御，这些是围绕数据的防御层，从数据本身讨论，我们使用数据块的加密来单独的数据块，很简单，在我们的例子中，我们使用ISGCM。所以简单，传统，强大的加密。然后我们为不同的客户端使用不同的密钥这实际上是作为身份验证，作为访问控制，因为如果你没有密钥，你就无法解密数据。当然，我们仍然有这个传输层加密TLS，或者在我们没有链接到TLS的情况下，我们可以有新的现代加密协议，比如跳跃信号。

然后是监控层。对我来说，它看起来和这个很像。你知道这是什么吗?是的。你看到了什么?点。

是的，这是一条跨大西洋电缆。电缆本身，这是它的核心，光学核心，所有其他东西都是防御层。最后一个是，最后一个盖子实际上是鲨鱼保护的，因为你知道鲨鱼，它们喜欢电缆。好吧，好吧，好吧。

还有一点关于纵深防御，如何建设，如何开始考虑基础设施的纵深防御。试着把你的数据想象成你的钱，而你就是一家银行。所以，作为一家银行，你把钱存到某个地方，在银行保险库里，对我们来说，它可以是AWS桶，S3桶，这是你的保险库，你有这个文件保护加密，就像文件级加密，S3桶加密，很酷，这是你保险库的门。通常情况下，如果你想想银行抢劫，没有多少人试图从存储，从保险库窃取数据。

要么你是内部人士，你有钥匙，要么通常你没有，你明白保护的手段是相当高的。人们通常是怎么偷钱的，文件传输，文件传输。这就是为什么当你从S3桶中获取数据并试图处理它来计算某些东西时，你需要在数据周围建立所有防御，因为类似于人们为运输金钱而建立的防御，他们有特殊的装甲车，在这些车上他们没有外部锁来从外部打开门，然后他们有训练有素的人员，带枪的军官，他们有特殊的袋子来放钱。当然，他们有这个无线电互相通信，他们知道路线，所以有人在监视他们。你可以把这些看作是数据周围的防御层。当然，如果你制作的应用程序操作敏感数据，可见数据，因为如果你为小猫创建Instagram，我理解，这些东西可能不适合你，好吧，好吧，好吧。

再一次，深度防御就是如何用深度防御的方法来构建系统，你需要有一个全局安全控制，使用加密技术，加密技术在这方面很酷。然后创建独立但重叠的一组传统安全控制。小猫。小猫戴着锡纸帽子。

如何建立它。如何建立这样的系统。当然你可以自己做，我的意思是你是很酷的工程师，可以从零开始做这些东西。只有一个小小的建议，从安全设计、信任模型、风险模型和潜在攻击开始，了解系统的数据流。然后你可以使用盒子解决方案例如如果你用Oracle，这里有人在用Oracle吗?所以，不，好的。

如果您使用的是来自大型供应商的工具，通常这些供应商已经有一套工具，您可以付费使用。例如，Oracle套件，它本身不仅是一个数据库，Oracle有TD，透明的数据库加密，Oracle有SQL防火墙，所以如果你坚持一个供应商，可能供应商已经有一些东西。如果你不知道，幸运的是，有很多开源工具可用，我展示的那个，橙色的是Acra，你可以用它作为解密代理，它可以解密和加密你的数据当然还有客户端库来加密数据。

如果您不想使用Acra，您可以使用，例如，Green SQL，它是一个SQL防火墙，然后libsodium是一个加密库，并在这个加密库中构建到您自己的解密代理中。这取决于你的水平，你想自己做多少事。你可以使用单独的IDS检测系统，好CM通常是单独的工具。所有的东西，大多数开源工具，你都可以使用它们，如果你使用Docker，如果你使用Cooper Net，更多的东西已经在那里了。我给你们看的是Acra，开源的，免费的如果你用Docker，它和Docker兼容它和数字海洋兼容，如果你想，是的。好的,太棒了。

如果你建立了一个系统，就像我们讨论的这些系统，你已经可以涵盖前10名中的这些东西了。好吧。好吧，一段小猫的视频，你挺过来了，你挺过了密码学的讨论。

这些是关键点。为什么我们在谈论数据安全，我们在谈论金钱，作为一个公司，我们可能会损失。为什么?因为法规正在推动市场，因为巨额费用，或者巨额罚款，因为法规正在推动服务提供商，比如谷歌，苹果，亚马逊，我们使用这些提供商的服务，我预测这些提供商将在数据保护，安全资产等方面对使用它们的公司施加更多压力。

然后，深度防御本身，这不是什么新东西，但是当我们谈论数据的深度防御时，我们谈论的是建立一个观察数据的系统，就像不同层次的不同实体。这些层，它们不仅是混乱的，因为我们已经知道了很多安全控制，它们不仅是混乱的，而且它们实际上是相互连接的，那么密码学是一个很好的开始，因为当你加密数据时，它可以突然被解密你可以观察你解密数据的地方。现在已经是2019年了，有一个应用程序，有一个工具，很可能你会发现有来自供应商的工具，有开源工具，你可以尝试，你可以使用它们，你可以将它们构建到你的系统中。

我知道，我知道，我知道你很喜欢安全你也很喜欢阅读安全方面的文章，所以我为你准备了一份文章清单，这样你就可以在漫长的夜晚阅读它们，为什么不阅读安全方面的文章呢。在深度防御、后台安全、数据库安全等方面都很出色。当然你可以在推特上关注我。如果你对不同的加密工具感兴趣，请查看我们的幻灯片和网站。我想就这些了。我想这是我最后一张幻灯片了，时机正好。谢谢大家的关注，谢谢。是啊，是啊，我知道我知道，我还在。现在我们需要去单独的地方讨论，对吗?

正确的。(听不清00:43:59)

对，这很重要。在你的桌子上，你可以找到这些老式的物理卡片，你可以把你的反馈放在这些卡片上，这将有助于JFrog建立更好的会议，也许会邀请我更多，这是很大的。是的。相信我，如果是纯文本，不要把你的敏感数据放在那里。都加密了，都加密了。如果你想讨论密码学，数据库加密或可搜索加密，我的主题，我很喜欢，可搜索加密，如何让数据加密但仍然可搜索，只要关注讨论区，在这里的某个地方，我不知道，好吧，好吧，好吧。

谢谢你！

谢谢你！哦，第二轮掌声，是的