RSS: https://sockpuppet.org/atom.xml
Quarrelsome，Thomas Ptacek（tqbf）的博客，Matasano Security 与 Starfighter 联合创始人，关于安全、工程与技术。
提交点赞
评论
点赞
收藏软件的 Emacs 化
本文提出“软件 Emacs化”概念：借助 AI 能力，开发者可快速构建高度定制化、原生体验的个人工具（如 Markdown 阅读器），推动从通用软件向个性化编程的转变。
反对DNSSEC（2015年）
本文强烈反对部署DNSSEC，认为其既不必要也不安全。作者指出DNSSEC无法解决实际威胁（如中间人攻击），反而增加运维负担、引入政府控制的PKI风险，并基于过时加密设计。主张应专注强化应用层安全（如TLS），而非网络层修补。
Vulnerability research is cooked
For the last two years, technologists have ominously predicted that AI coding agents will be responsible for a deluge of security vulnerabilities. They were right! Just, not for the reasons they thoug...
DNS极客并不控制互联网（2016）
本文批判性地解构了DNSSEC的神话地位，揭露其作为政府掌控网络加密的潜在后门本质，并指出DNSSEC在现实中几乎毫无作用，是技术标准脱离市场需求的典型失败案例。
我去了SQL注入法庭
作者作为专家证人参与一起关于伊利诺伊州《信息自由法》（FOIA）的案件，挑战芝加哥市以“数据库模式可能危及系统安全”为由拒绝公开停车罚单数据库CANVAS的结构。尽管法庭最初支持原告，但伊利诺伊州最高法院最终裁定“文件布局”属于豁免范围，导致案件败诉。文章呼吁立法
《招聘帖（2015年）》
作者强烈质疑传统技术面试的有效性，认为其无法准确评估开发者实际能力，反而系统性排除真正有才华的人。他主张以标准化工作样本测试为核心，辅以候选人预热和结构化面试脚本，通过客观数据做招聘决策，并分享实战经验证明该方法能发现隐藏人才（如Alex）、提升团队效率与留存率。
14名DNS极客并不能控制互联网
You’re reading this page because you’ve suggested that “14 people control the Internet through the DNSSEC root keys”. If you’re unlucky, you might be a journalist preparing a story about those people....
扩展随机数是NSA的恶意阴谋吗？
Did Clyde Frog If I call NSA “Clyde Frog” long enough, eventually other people will too. Someone has to start the meme! subvert crypto standards with a backdoored random number generator called Dual_E...
Starfighter, Summer 2015
1 I don’t really like games. Screen graphics make me nauseous. The political interactions between players are tedious. I’m not a fan of chance, I stink at riddles and it’s rare that someone can concoc...
校验和、MAC 与数字签名
A Checksum Examples: CRC-32, MD5, SHA3. Use a checksum when you want to protect data from accidental corruption. Checksums are deterministic and don’t rely on secrets. An adversary who can make guesse...
招聘帖：面试为何失效
1 The software developer job interview doesn’t work. Companies should stop relying on them. The savviest teams will outcompete their peers by devising alternative hiring schemes. Years from now, we’ll...
如何安全地生成随机数
Use urandom Use urandom. Use urandom. Use urandom. Use urandom. Use urandom. Use urandom. But what about for crypto keys? Still urandom. Why not {SecureRandom, OpenSSL, havaged, &c}? These are userspa...