“洋葱”的终极目标——打造无密时代

当无数次的信息泄露事件的发生后，我们每个人都应该意识到：事实上，我们每个人的资料已经大白天下了。那么用户最担心的是什么?是这些数据泄露后所带来的二次损失。比如个人照片、短信、通话记录、通讯录，甚至还有一些个人的日程、记事本这种东西。这种信息会造成二次威胁，甚至会对他的亲戚、好友产生威胁。

而采用“洋葱”登陆，整个过程你不用输任何信息，也就是说你根本不用怕电脑上中了木马或者其他什么东西。而且在这个过程中，网站并没有保存你的账号信息，只有网站必须的一些补充的信息，比如说你个人资料。

但是传统的网站上会存储有一个账号和密码，启用洋葱以后，他就不用保存账号密码了，他需要保存的只是一个洋葱那边发给他的一个随机的ID，还有一串跟洋葱沟通加密用的token，这样就够了。同一个洋葱的用户，在不同的网站上，这个随机ID是不一样的。

网站用了洋葱以后，洋葱不知道这个用户在网站上是哪个用户。同样，这个网站也不会知道这个用户在洋葱这边是谁。双方的沟通只有一串没有意义的ID，就是一串乱七八糟的乱码。黑客即便把网站数据库拿到，他看到一大堆的也都是没有意义的乱码。

“我们最终希望互联网上不会再有账号密码这个东西了，就是要打造一个没有账号密码的世界。”吴洪声表示

　　云端安全 从运维抓起

从云的火热到现在，已经有很多企业的数据库、虚拟机都在云端部署，从安全角度来说，通过防火墙、限制端口等各种手段来确保安全。只是“道高一尺魔高一丈”，吴洪声表示：现在黑客，已经不用从你的服务器正面进攻了，他可能会直接黑进您的云服务提供商去。就是他看你的服务是架在亚马逊上的，或者架在阿里云、腾讯云或者UCloud，你服务器架在上面，他会怎么样?他会把你运维同事在这上面的账号给黑掉。一黑掉了以后，也就是说所有的服务器，上面会有几百台、几千台虚机，然后黑客一进去，你还有很多很多数据库，他在上面直接对你的服务器做一个镜像，就相当于直接把整个服务器给搬走了，那你的安全，从什么地方能保证?没办法保证。所以说短板已经不在服务器。你自身服务器安全做得再好没用，万一你的运维账号被黑了，那你就全线沦陷了，整个都沦陷了。

说到这里，我们不得不提下Ucloud的创始人季昕华，这位中国首代黑客代表人物，对安全也尤为重视，和吴洪声达成了共识后，开始引入“洋葱”。

吴洪声披露：Ucloud使用洋葱后，运维在UCloud上就已经没有账号了，就变成一串无意义的随机ID了。所以，首先在第一到关口就保证了他的账号不会被黑。而在第二道关口，如果黑客需要在UCloud上做一些敏感操作，比如说他要把虚拟机给删除掉，或者说要复制一个虚拟机，或者要关掉虚拟机，这种敏感操作的话，我还要求他验证指纹，验证人脸，验证声音，甚至几种整合到一起做一个复合的验证。

第三，他的服务器上也可以直接整合洋葱，输了账号和密码以后，这个时候服务器会自动发一条信息到洋葱客户端，就告诉你，某一个账号正在登录某台服务器，请确认身份，这个时候他就在洋葱客户端上确认一下身份，进行指纹等身份识别，确认过后才能登录服务器。

这就是洋葱给Ucloud提供的安全防护。

后记：这是一次没有提前沟通，没有采访提纲确认的采访，记者很感谢吴洪声的“知无不言 言无不尽”。而笔者也看到吴洪声对“洋葱”的用心，他表示：我们不会“站队”，这样一个产品，需要一个独立的第三方来增加他的可信度，我们的理念是超前的，我们的技术也是。所以，我们也在六月份推出英文版，走向海外。

(责任编辑：安博涛)