安全与隐私bishopfox.com
不要用文本像素化来遮盖敏感信息
Don't use text pixelation to redact sensitive information
2022 — 2024，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
Bishop Fox 发布的 Unredacter 工具演示了如何从打了马赛克的图片中暴力还原出被遮盖的文字，证明像素化打码并不安全。作者通过挑战赛形式验证了这一攻击的可行性，建议人们改用纯色色块覆盖敏感信息。
为什么经久不衰：它用一个可复现的工具和挑战赛证明了一个反直觉的安全常识——像素化打码可被破解，这一教训在多年后依然适用。
HN 评论精选
解释了打码图中彩色条纹的来源——亚像素渲染
这是亚像素渲染技术的效果：屏幕像素由红绿蓝三列组成，利用字符边缘的彩色条纹可以有效将水平分辨率提高三倍。如果对像素排列的假设错误，效果会很糟糕；HiDPI 屏幕则基本不受益于此。
praash查看英文原文
> [The challenge image] has a curious bit of coloring in it. What gives? Shouldn’t it just be black and white since the text is black? > I’m actually not 100% sure why this happens (and sometimes doesn’t), but it’s an artifact of the rasterization process when text is rendered to screen. This is a brilliant technique called subpixel rendering.[0] A "typical" computer screen's pixels are split into three columns of red, green and blue, instead of lighting up as a solid square. Using color fringing at non-pixel-aligned edges of characters can effectively triple the perceived horizontal resolution. Wrong assumptions about the pixel layout will show up very badly, as shown in [1]. HiDPI displays (also mobile, not just 4K) get no real benefit from this and usually have a more complex subpixel layout anyway. I remember seeing old iPads usually showing awful fringes as subpixel rendering was enabled without considering the actual orientation of the display. [0] https://en.m.wikipedia.org/wiki/Subpixel_rendering [1] http://www.lagom.nl/lcd-test/subpixel.php
介绍了另一个针对 PDF 黑色矩形脱敏失效的同类工具
我们组织做了一个类似的工具，专门找出那些只是在 PDF 文字上盖黑色矩形（但没真正删除文字）导致的失效脱敏：free.law/projects/x-ray。很有趣的项目，这类问题到处都是。
mlissner查看英文原文
My organization built a similar tool that can find bad redactions caused when people just use a black rectangle on top of text in PDFs: https://free.law/projects/x-ray Very fun project. Lots of problems out there.
简单实心色块比像素化更快捷也更安全
像素化打码是个典型的例子：用了不必要的复杂方法，结果反而不如简单方案。想遮住文字？盖一条实心色块就行了，无法被还原。
usrbinbash查看英文原文
Pixelation is one of these hilarious instances of where a needlessly complicated approach is used to do something that can be done much quicker, easier, and, as it turns out, way more secure. Wanna redact text? Put a solid bar over it. There, done. No takesies-backsies from that one.
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选