好久没有写日志了，倒不是这段时间没有所思，而是思得太多，做的也更多，也就没有时间写了。好了，言归正传，下面我们接着说说《谈谈网银和USB Key (四)》中最后提到的“带确定按键的USB Key仍然不够安全”的原因。

是的，带确定按键的USB Key可以做到每次使用硬件内部的私有密钥时都是持有者明确授权的（即持有者做了按下确认键的操作），但是不要忘记，你能保证被签名的数据就一定是你想要签名的数据吗？这句话听起来有点绕口，那么我们来举一个例子：

特别注明：本文中所提到的商家、银行、地点、人物等均为举例方便而用，没有任何明确或隐含的意义。如有雷同，那一定是你踩到狗屎了~~~
阅读这篇日志的剩余部分 »

很久都没有更新博客了，实在是最近太忙了。这不，前两天趁着WordPress最新版本2.8正式发布，我终于抽了个时间做了一次系统升级。

没有想到的是，忙中出错，升级后系统后台管理进不去了，即使密码是正确的，登录后也只是显示一个“你没有对应的权限！”就把我打发了。没办法，只好临时备份了一下原来的数据库，然后重新创建了一个新的数据库，总算是可以登陆了。

我是从2.5直接升级到2.7的，后台变化太大了，但是感觉非常的棒。

左思右想，让我一直很喜欢的WordPress不应该出现这么低级的错误啊，升级后不应该不能用了。于是仔细检查升级过程所做的操作，果然发现问题：在修改配置文件的时候，原来的数据库没有设定所用的字符集，后台老版本缺省使用的是拉丁字符集，新版本缺省使用UTF-8字符集。屏蔽字符集设定，切换回旧的数据库，一切正常了，原来的插件都能用，自己设计的主题DeepWater也显示正常，真好。

嗯嗯，经验值涨17点~~~

过段时间有空了，写个脚本，将原来的数据库内容全部转换为UTF-8，以适应世界潮流，哇哈哈哈~~~~~

自从六年前我从ASP阵营弃暗投明转向PHP阵营之后，就不时的与Apache打交道，Apache的配置也从1.3研究到2.2版。但是有一个问题一直困扰我，而且它不定时的就冒出来打击我一下，让我很是郁闷。

这个问题是这样的：把网站设置为需要进行SSL双向认证（即通过https://的方式访问网站，还需要有客户端数字证书），如果服务端是基于Apache的话，那么客户端（也就是浏览器）每次访问一个页面，对于页面上的每一份资源（一个页面通常包含很多资源，例如被html页面引用的.js/.css文件，页面中的各个图片、flash等等），都需要做一次数字签名。奇怪的是IIS服务器就没有这种情况。

每访问一个资源就做一次数字签名，这是一件恐怖的事情。一般情况下一个html页面都会包含十几个甚至几十个资源（特别是一些装饰用的小图片和一些小图标等等，每个文件也就两三KB，但是也需要进行数字签名），早期使用数字证书的时候基本上都是将数字证书保存在计算机硬盘上，数字签名也是由CPU来进行，一次数字签名也就几个毫秒，看起来影响就不大，但是随着技术的发展，后来都是以USB Key来对数字证书进行存储和运算，为了安全，数字签名就只能USB Key内部进行。试想一下，处理器速度一般就几M，高的也就几十M的USB Key处理芯片，在做数字签名的时候效率比起计算机两三个G的运算速度低了不少，即使经过特别优化，一般的USB Key做一次数字签名也需要十多二十毫秒。这种情况下，每访问一个资源就需要做一次数字签名，在打开一个网页的时候，就会发现有明显的延时，现象就是页面文字都已经显示出来了，而USB Key的指示灯还在狂闪（USB Key上通常有一个指示灯，当USB Key正在工作的时候就会闪烁，以提醒用户），然后才能够看到页面上的图片内容一个一个的显示出来。

这几年里，对于这个问题我一直都不求甚解，当初想通过修改Apache配置来解决，也试图在PHP脚本中加入Keep-alive之类的标记，但是终不得其法，渐渐的也就有了一个错误的认识，那就是Apache无法做到SSL状态的缓存，客户端访问每个SSL资源都必须重新重新经历握手、产生会话密钥等过程，所以每访问一个资源就会做一次数字签名。

这个错误的认识一直延续了好几年，在这几年中，当有人问到我这方面的问题时，我都毫不犹豫的告诉他这是Apache的问题，是出于安全性考虑才这样做的。但是另一方面，在我内心深处，还是隐约觉得事情不应该是这样的。终于，在一次封闭开发的过程中，我弄明白了事情的真相。
阅读这篇日志的剩余部分 »

一周前接到通知，要我去一趟马来西亚，需要待一周时间，于是急急忙忙去办签证，嘿嘿，去马来西亚办签证非常简单。整个过程我就跟签证官说了一句话：

• 签证官：Passport。 （让我把护照递给他）
• 签证官：Eighty。 （签证费八十块人民币）
• 我：Thanks, bye。 (手续办完，离开)

然后隔一天就可以取到签证了。

十一月九日深夜11点半，经过六个多小时的飞行，飞机降落在马来西亚首都吉隆坡国际机场，入关之前先去兑换一点马币（他们叫令吉），1000人民币可以兑换466马币。

阅读这篇日志的剩余部分 »

今天一早就来到工人体育场，真的是好早：赞助商要在八点到场做准备，而正式开幕是在九点半。哎，只好早早的告别温暖的被窝了。

停车的时候，看到旁边一哥们手里把玩着的手机真是自己渴慕已久的HTC Touch Pro，于是借过来感受了一下机子的重量、大小和手感，哎，真的是太爽了，等过几天从马来西亚回来，就去买~~~

本次Tech.Ed的规模比起以前来说，要小了不少，但是绝对数量还是比较多的，三千多人陆陆续续的到来，三三两两聚在一起。入口处安检很严格，连打火机都不许带进场，真是过分！！

趁着还没有开幕，就在会场外围逛逛。本次活动的赞助商可以在会场外围摆摆地摊，在微软推广Windows Mobile的地摊旁边，摆放了很多支持Windows Mobile的手机，这里我不单看到了HTC Touch Pro，还看到了HTC Touch HD（我更喜欢这一款），以及很多的高端智能手机，真是大饱眼福。

开幕式很有中国味，我和同事在讨论这到底是仿奥运开幕式风格，还是学《八面埋伏》的舞蹈场景，蛮有意思的。

阅读这篇日志的剩余部分 »