簡介:
定義透過隱匿來實現安全
評估透過隱匿來實現安全的措施
評量重新命名系統管理員帳戶的價值
訂定明智的風險管理決策
「透過隱匿來實現安全」(Security through obscurity)一詞常受到安全性人員 (特別是那些喜歡自稱專家的人) 的譏諷。那些譏諷幾乎與某些圈子所用的四個字母的字沒什麼兩樣，
根據 Wikipedia (en.wikipedia.org/wiki/Security_through_obscurity) 的描述，「透過隱匿來實現安全」所表現的，正是安全性真正引起爭論的一面。您常常會看到有些人的努力，因為被戲稱為「只不過是透過隱匿來實現安全」而遭到漠視。
簡而言之，透過隱匿來實現安全違反了科克霍夫法則 (Kerckhoffs' Principle)，這項法則認為系統應該是因為它本身的設計而受到保護，而不是因為攻擊者不知道它的設計而得到保護。科克霍夫法則的基本前提是，保密的時間根本維持不了多久。
其中一個非常貼切的例子就是 Windows NT® LAN Manager (NTLM) 驗證通訊協定，它最初是被視為設計秘密。為了針對 UNIX 作業系統實作 Samba 交互操作性產品，Samba 小組不得不對通訊協定進行反向工程。此舉不但產生出最完備的 NTLM 說明文件 (monyo.com/technical/samba/translation/ntlm.en.html)，同時也發現了許多問題。由於密碼編譯引發了這麼多的安全性考量，加上揭露了這麼多秘密設計，因此許多從事安全性的人深信，所有的資訊安全性都應該遵守科克霍夫法則。
但是透過隱匿來實現安全真的只是有害無益嗎？本文將解釋何謂透過隱匿來實現安全，嘗試點出為什麼許多人都認為它是浪費時間 (而其他人則不以為然) 的作法，並且向您說明為什麼答案總是比當初看起來的複雜得多。