new doc

Author: digoal zhou

202105/20210511_01.md

@@ -0,0 +1,100 @@
+## 为什么校园贷、注销校园贷、刷单、杀猪盘等电信诈骗这么猖獗?    
+  
+### 作者  
+digoal  
+  
+### 日期  
+2021-05-11   
+  
+### 标签  
+PostgreSQL , 安全   
+  
+----  
+  
+## 背景  
+搜索引擎输入电信诈骗, 预估有 1,870,000 条结果. 现在大街小巷都在进行防诈骗宣传, 连支付宝都推出了防诈骗考试, 考试通过才可以拿到绿码.     
+    
+为什么校园贷、注销校园贷、刷单、杀猪盘等电信诈骗这么猖獗?     
+    
+一句话: 你在向最熟悉的陌生人转钱!!!      
+    
+专坑学生群体！“注销网贷账号”骗局，一个电话诈骗15万. 一位受害者曾感叹道：“没想到躲过了校园贷，却没能躲过注销校园贷。”其实注销校园贷也好，刷单也好，杀猪盘也好，这些诈骗都是新瓶装旧酒。变的是套路，是话术；不变的是骗钱，是利用人性的弱点。我们要再次提醒大家，相关部门并没有推出所谓“注销校园贷”的政策，个人征信信息也无法人为修改。虽然各种骗局令人防不胜防，但请记住关键的一句话：不要轻易向陌生账户转账！    
+    
+## 为什么你会向陌生人转钱呢?     
+    
+这不就是成人版的《小兔子乖乖, 把门开开》吗? 只是《大灰狼》的伪装手法更高明一点, 实际上在各个领域都充斥着《大灰狼》.      
+    
+![pic](20210511_01_pic_001.jpeg)    
+    
+## 谈谈数据库里的《大灰狼》    
+《大灰狼》有3种手段来进行诈骗.      
+    
+1、窃听    
+如果《大灰狼》可以检查客户端与服务器之间的网络流量，则它可以读取连接信息（包括用户名和密码）以及所传递的数据。    
+    
+![pic](20210511_01_pic_002.jpeg)    
+    
+2、中间人（MITM）    
+如果《大灰狼》可以在客户端和服务器之间传递数据时修改数据，则它可以伪装成服务器，因此即使加密了数据也可以查看和修改数据。然后，《大灰狼》可以将连接信息和数据转发到原始服务器，从而无法检测到此攻击。    
+作案手段包括DNS地址劫持，从而将客户端定向到与预期不同的服务器。《大灰狼》悄悄修改你的导航, 把你的交互引入伪装的数据库, 变成它砧板上的肉.     
+类似ATM机被不法分子安装银行卡复制器, 吞卡并诱导你打某个指定电话并说出密码. (更高级的连密码键盘都是假的)    
+    
+![pic](20210511_01_pic_003.jpeg)    
+![pic](20210511_01_pic_004.jpeg)    
+    
+3、假冒    
+如果《大灰狼》可以假装成为授权客户，则可以简单地访问它不应该访问的数据。    
+例如钥匙(数据库密码)被《大灰狼》盗取, 《大灰狼》就可以拿着你的密码去连接目标数据库.      
+    
+![pic](20210511_01_pic_005.jpeg)    
+    
+    
+## 阿里云RDS PostgreSQL 数据库SSL安全功能隆重升级, 彻底规避《大灰狼》.    
+    
+1、遇到窃听怎么办?     
+开启SSL加密来防止这种情况。    
+窃取你和数据库交互过程中传输的信息被加密, 加密后即使被窃取也没有价值.     
+    
+![pic](20210511_01_pic_006.png)    
+    
+2、遇到DNS篡改, 网络半路拦截伪装成数据库和你的客户端交互(类似ATM机被不法分子安装银行卡复制器)怎么办?     
+采用防伪装数据库设置: 客户端连接数据库时, 数据库必须出示证书, 证明自己是合法的.     
+这个证书由权威机构颁发, 通过权威机构给的校验证书来判断证书的真伪、有效期等合法性. 合法后才允许交互.     
+    
+![pic](20210511_01_pic_007.jpeg)    
+    
+3、密码被盗怎么办? 不法分子可以拿着你的密码伪装成客户端和数据库交互, 窃取或破坏数据库里的内容.    
+数据库在收到客户端连接请求时, 客户端必须出示证书, 证明自己是合法.     
+这个证书由权威机构颁发, 通过权威机构给的校验证书来判断证书的真伪、有效期等合法性. 合法后才允许交互.      
+    
+![pic](20210511_01_pic_008.png)    
+    
+4、证书也泄露了怎么办?     
+吊销证书.    
+证书吊销后, 使用泄露的证书是非法的, 不允许连接和交互.     
+    
+![pic](20210511_01_pic_009.jpeg)    
+    
+使用以上方法, RDS PostgreSQL 有效的规避了: 数据传输信息泄露、伪装数据库、伪装客户端、密码泄露、证书泄露等问题.     
+    
+## 详细用法    
+https://help.aliyun.com/document_detail/214783.html     
+    
+个人被骗严重的可能毁掉一个家庭, 公司被骗则有可能导致公司陷入危机甚至破产. 一起武装起来, 抵御诈骗.     
+    
+  
+#### [PostgreSQL 许愿链接](https://github.com/digoal/blog/issues/76 "269ac3d1c492e938c0191101c7238216")
+您的愿望将传达给PG kernel hacker、数据库厂商等, 帮助提高数据库产品质量和功能, 说不定下一个PG版本就有您提出的功能点. 针对非常好的提议，奖励限量版PG文化衫、纪念品、贴纸、PG热门书籍等，奖品丰富，快来许愿。[开不开森](https://github.com/digoal/blog/issues/76 "269ac3d1c492e938c0191101c7238216").  
+  
+  
+#### [9.9元购买3个月阿里云RDS PostgreSQL实例](https://www.aliyun.com/database/postgresqlactivity "57258f76c37864c6e6d23383d05714ea")
+  
+  
+#### [PostgreSQL 解决方案集合](https://yq.aliyun.com/topic/118 "40cff096e9ed7122c512b35d8561d9c8")
+  
+  
+#### [德哥 / digoal's github - 公益是一辈子的事.](https://github.com/digoal/blog/blob/master/README.md "22709685feb7cab07d30f30387f0a9ae")
+  
+  
+![digoal's wechat](../pic/digoal_weixin.jpg "f7ad92eeba24523fd47a6e1a0e691b59")
+