有篇文章，对大众科普“只要使用银行和支付宝官方 App，即使使用公共 Wi-Fi 也是安全的”。这两天，有两位技术大牛针对“蹭 WiFi 会不会导致银行密码被盗”起了争执。

袁哥认为那篇科普很糟糕，他的观点是：不安全的 Wi-Fi 环境下，例如你登录的是黑客设置的 Wi-Fi，上网过程中，有很多方法能不知不觉地劫持、攻击你，导致严重后果。

云风则认为那篇科普很好，质疑袁哥：在银行系统没有安全漏洞时，虚假 Wi-Fi 如何窃取用户密码？如果想科普蹭免费 wifi 增加了设备植入后门的风险，尽可以举个简单的例子说明如何办到的。某个特定系统有怎样一个漏洞，这个漏洞如何让攻击者植入的后门，怎样的设备会没有修补这个漏洞。

我技术不好，而且这二十年来的兴趣都在产品上，对技术本没有发言权，但好在这是科普，作为被科普的对象，还是可以说几句的。

先说几个事实：

1. 类似 wifi-pineapple 这样的设备（https://shop.hak5.org/products/wifi-pineapple）很容易获取和部署。其核心功能是中间人攻击（Man-in-the-Middle, MitM），通过模拟信号强的无线接入点诱使附近的无线设备连接。

2. 我草草搜了一下，NSA 在 2021 年发布的公共场所无线设备保护指南（https://t.co/n4w6u7KxuO）里提到“通过公共 Wi-Fi 发送的数据——尤其是不需要密码即可访问的开放公共 Wi-Fi——容易被盗取或操纵。即使公共 Wi-Fi 网络需要密码，它也可能不对经过的流量进行加密。如果 Wi-Fi 网络确实对数据进行了加密，恶意行为者如果知道预共享密钥，也能够解密（在不安全的网络通信中窃听）。恶意行为者有时还可以迫使网络使用不安全的协议或过时的加密算法（降级到不安全的协议）。此外，恶意行为者还可以设置一个假的接入点，模仿附近预期的公共 Wi-Fi，这导致该行为者能够访问通过该网络发送的所有数据。未加密的网络流量或容易被解密的流量可以使用开源工具捕获，暴露敏感数据。这包括但不限于个人和公司的登录凭证（网络嗅探），这可能直接导致更多的安全问题。”

再说一下部分观察：

1. 我见过很多本应安全的设计，配合上或者错误的配置，或者弱智的操作者，或者滞后的运维，或者无知的用户，进而导致的安全事件。有些人见过一两家银行的专业，就误以为所有银行系统固若金汤、运维人员专业不出错、软硬件供应商服务完美到位、用户聪明机警。这很理想但不可能。因此，一个人现在使用一家银行安全，不代表全部人全部银行，全部时候安全。

2. 我见过的安全设计、系统管理，都秉持最小化原则。比如：不需要的服务与端口不开。

最后说我的观点：

1. 蹭 WiFi 有更大概率扩大被攻击面。一位专家，写科普文章告诉大家“只要使用银行和支付宝官方 App，即使使用公共 Wi-Fi 也是安全的”，不是负责任的行为。

2. 现在的移动流量普遍是充足的，价格也算平易近人，普通老百姓，没啥必要非得连公共 Wi-Fi。

所以，我自己的使用习惯是：一般情况下，哪怕出差、住酒店，我用电脑，上网也是连自己的手机热点。因为我不太愿意无谓地增加被入侵的机率。最小化，最安全。

–

最近，小日子在设计中做了些减法，让产品看上去更轻盈通透，让核心功能更聚焦凸显。你可以看看我们的具体做法，以及调整前后的变化，欢迎给我们提出建议。

融合标题栏，日历，日期栏，让屏幕只有上下两个区。视野更干净开阔，一眼聚焦当天的日程，减轻了了层层阅读的冗余压力。

更简洁也更轻量化的配图，让真正实际的功能一眼可见。

创建页不再有标题，让你创建的内容成为真正的标题。弱化说明文字，让按钮直接成为清晰的指引。

在手机上，识别二维码后，点右上角，用默认浏览器打开，就能下载试用最新的小日子 App 了。

对了，这个 App 免费，欢迎你试试。

这些天对 GitHub 的信息做了些收集整理，看网上没有很完整的信息，发出来共享。

我个人对 GitHub 能高速发展的一些观点

• 解决的问题

• 开发者

• 大规模远程协作、交流代码的需求

• 成为开发者对外的名片

• 组织和企业

• 存储代码的 SaaS 需求

• 抓住的机会

• 踩中了开发者数量爆发增长的二十年（2011.08 Software is eating the world - Marc Andreessen）

• 在持续增长的市场里，做了多年有复利的事

• 有可能在 AI 带来的“人人都是开发者”的时代，进一步增长

阅读过程中我的一些感触

创始人说：And we’re all about getting things done. We’re very lucky to be working (mostly) on a web app, which means it’s super easy to make changes fast. We’ve learned it’s much better to ship it now and fix it later, once you can see how people are using it, than it is to let it linger in development forever. Just ship it.

4 月 3 日，五点多起床，坐上深圳往福建的动车，准备回老家，跟亲人们一起清明祭拜祖先。八点来钟时，车在一个小站停靠，然后就有消息传来——台湾花莲 7.4 级地震，福建、广东震感强烈，为了乘客安全，列车暂时停开。

消息很突然，我掏出手机，想在社交媒体和新闻上看看最新动态，但不知道是地震原因，还是停靠站当地网络质量原因，我的手机近乎断网，微信还勉强能收发文本信息。

过了一小段时间，我突然意识到，自己似乎有点焦虑和茫然——虽然网络不行，但我仍然隔一会儿就点亮屏幕，尝试刷新网站、搜索新闻、点开微信群里别人发出的几个视频……好像不适应这种突如其来的断网。

然后我就默默地把两部手机关成飞行模式，拿出电子书，开始看一本名为 Deep Work 的新书。

很应景的，在最前面部分，就有一些描述，我意译几句：

• 执导了 44 部电影，获得 23 项奥斯卡提名的编剧兼导演 Woody Allen，在1969 - 2013 的 44 年间，从未拥有电脑，而是用打字机完成了所有的写作。

• 作家 Neal Stephenson 不用社交媒体，他的解释是：给我大块连续时间，我可以写小说。否则，我留下的只会是一堆发给不同人的电子邮件。

• 网络正在削弱我们的专注力和沉思能力。在狂热的浅层状态花太多时间，会降低执行深度工作的能力。

书里提到了一种乐观的观点：Google 可能会降低我们的记忆力，但我们不再需要好的记忆力，因为现在我们可以随时搜索任何我们需要知道的东西。

但其实，不是这样的，比如：

• 我现在被困在了没有网络的地方。

• 我们可能都被困在了真假信息混杂，无力分辨的世界。

所以，暂停一下是好事。或许需要重新思考和设计我们和社交媒体、搜索引擎的“合作模式”，比如：

• 从手机里删掉社交媒体软件（制造使用障碍）。只在特定时间、特定设备上使用。

• 不在社交媒体里碎碎念，只把它们当成作品发布平台和用户沟通工具。拿出好作品，比随时在线但肤浅无味有意义。

动车在停下四个多小时后，又动起来了。这次暂停蛮好的。

–

一位自称 Jia Tan 的开发者，花了三年时间，取得开源软件 xz 社区信任，谨慎地植入了一个后门，可以让攻击者无需账号也能通过 sshd 进入系统。如果成功，大多数 Linux 系统（也就是大多数公司的服务器使用的操作系统）都会受到影响。

最后功亏一篑——因为程序没写好，系统资源占用过高，被一位认真的工程师分析并发现。

这几天网上有很多技术分析（我看不懂）和讨论，说说我的观点。

1. 这次事件，其实正好证明了开源界常说的：只要有足够的眼睛关注，任何漏洞都无处藏身。

2. 任何软件，而不仅仅是开源软件，会受到这样的攻击。商业产品中被发现后门的事件，历史上发生过不止一次。

3. 未来的 AI 或许有机会帮助检查出类似构造巧妙的后门和漏洞。

4. 开发者们可能会面临一小波信任危机——要取得社区的信任，以后或许会更加艰难一些。而中国开发者（虽然 Jia Tan 未必——甚至大概率不来自中国，但这个 ID 的设计，就会带来不好的影响）会面临更多挑战。

5. 对于信任问题，或许一个解决办法是付费。具体实现是：要提交代码，先做一笔小额支付验证身份，认证完成后可以立即返还。后续代码质量高，项目方甚至可以将收到的捐赠款项分配给贡献者。在知识星球里，通过付费，我们减少了数据量、噪音，提高了服务质量。在开源领域，或许有机会通过付费，借助真实世界里对金融领域的严谨认证来保障信任。

6. 对这类攻击，普通用户其实没什么好应对的，要我说，“用小众产品”就能避开很多攻击。

7. 要是真的很在意，那我有些朋友有些古怪习惯，比如：只在虚拟机里访问网络。比如：用极“老旧”但是稳定的系统和版本。

–