@salmon5 问题是，如果攻击者想办法欺骗 CA 搞到了一个 DV 证书，照样可以劫持 DNS 钓鱼，浏览器并不会提醒用户网站证书发生了变化。OV 的额外验证在防止 DNS 劫持这个场景下似乎比 DV 证书没有太多优势。

但是如果用户不确定某个域名是否属于某企业，可以看一眼 OV 证书确认。虽然这么做的人不多但是确实有这个场景。有史以来我只有一次通过看 OV 证书确认营销短信中域名的归属。

我觉着虚拟空间与物理空间的融合是趋势。虚拟空间是网络空间的超集，也许以后还会有其他形式的虚拟空间。

我认为虚拟空间最初是从物理空间中抽象出来的，虚拟空间中的实体、关系，在一定程度上反映着物理空间的实体与关系。举个缩小版的例子，MMORPG(角色扮演网游)中的角色关系往往可以在一定历史时期、一定社会背景下在物理空间中找到影子。

随着物理空间中的信息越来越多的被映射到虚拟空间，我认为它们有理由相互融合。

但我认为讨论虚拟空间和物理空间将如何相互融合还为时尚早。也许物理实体和虚拟实体将是多对多的关系，物理实体的解体不一定意味着与之对应的虚拟实体的解体，反之亦然。也许有一天能弄出个 Matrix ？谁知道呢。

@XiLingHost
@Chad0000
@muzihuaner

自建的话我们就有了一个新的问题：有哪些靠谱的、能发件的主机商...

@iyg429 有哇，DISM 呀。

Windows 备份可以用同样的思路。

https://docs.microsoft.com/en-us/windows-hardware/manufacture/desktop/capture-and-apply-windows-using-a-single-wim

我在本地测试的结果是能。假定你是说先提交大文件 -> 推送 -> --amend 修改成小文件 -> 强制推送的话。

git 的提交记录是有向无环图，--amend 只是创建一个新结点，新结点的父结点指针指向原提交的父结点。如果把这个局部看成树的话，--amend 提交产生的新结点和原结点是兄弟关系。

而强制推送后，只是强制将 HEAD 指针从原结点指向了新结点，而原结点依旧存在，使用 git checkout <原提交 id>即可检出。但据我测试，如果按照提交大文件 -> --amend 修改成小文件 -> 推送这个顺序进行，git 不会将原结点推送到服务器。这意味着你可以在本地检出原结点，但另一个克隆这个仓库的人不能检出原结点。

@carlist Password 要避免暴破就得足够长，代价就是开机的时候要输入一个很长的密码。而且也不能用 WOL 从关机状态下唤醒。要是关机前暂停 BitLocker 的话，啊这....

@2i2Re2PLMaDnghL 搞事儿的人得想搞事儿的办法，比如可否认加密之类的。

@jim9606 几乎装满了。有移动硬盘可以周转一下。

不知道是不是 Win11 的原因，万能的某宝上出了好多卖 dTPM 的，价格几十到数百不等。几十块钱的看着像是买来安全芯片以后，然后自己做的 PCB 板，我也不知道这么搞有没有啥安全隐患，也许还不如 fTPM 。

我有个智能卡，但是 BitLocker 好像不能用智能卡加密 OS 卷，TPM 也只能用在 OS 卷上。数据盘不开自动解锁而用智能卡单独加密的话，每次开机后再插卡-输 PIN，远程唤醒-连接就没法用了，手机上的 RDP-Client 目前好像不能重定向智能卡。另外还有自启动程序依赖数据盘上的数据。不过智能卡加密移动硬盘用真是极好的。

主题有点没说清楚，断电问题主要是数据盘；操作系统在固态硬盘上，容量小速度快，断电问题我觉着我可以用人品硬抗一下(数据无价大家别学我🤣)； fTPM 和 dTPM 主要是用来解锁 OS 卷。

@yujiang 先把数据复制出来再加密空盘这个主意好；以及没有水深火热，目的是当攻击者能在无限长的时间内接触设备时，难以在加密算法的保密期限内解出数据。

我这是琢磨琢磨技术层面上的最佳实践，暂时只考虑了对设备，没考虑对使用者的物理攻击。我知道技术和他的使用者是分不开的，短板是使用者。不过这动不动就抄家可还行🤣

https://i.imgur.com/vsKKHOw.png


@ysc3839 感谢。之前一直有点思维定势，觉着独立安全硬件更安全。

@tanghongkai 这个我同意。暂时没对抄家攻击设防，这个得用专门的一键销毁密钥之类的方案。

主要是考虑笔记本电脑丢失，台式机交给不可靠的人运输或代为保管的场景。

看看邮件底部不起眼的地方有没有 Unsubscribe 之类的东西？或者试试找出它的邮件服务商，给邮件服务商发投诉信？

@nvkou nginx 好像不能做那种一般意义上的代理，只能做特定网站的反向代理。Nginx 不能转发 https 代理请求，https 是用 CONNECT 方法请求代理的，Nginx 好像没有支持这个方法。但是可以以反向代理的方式代理某个特定的目标网站，这样可以用 https，不过要么得用自己的域名，要么得在客户端上劫持 DNS 。

这不是代理软件吗，只要转发特定网站还是任意网站呢。

本地主机不用任何设置，连代理服务器地址也不用设置的话，你说的可能是透明代理？还是类似很多网站的"代理域名"的那种？

然后答案是当然有，而且很多，而且还带各种花样的，带加密的、带混淆的、带双向认证的……

这是因为 Web Server 是通过 Alt-Svc 响应头告知浏览器此服务器也提供 HTTP/3 服务的，此后浏览器才会尝试通过 HTTP/3 访问。第一次访问还是用 HTTP/2 或者 HTTP/1.1 的。

这是因为 Web Server

换 DP 线就正常了，感谢各位大佬。

@en20 昨天买了跟 DP 线，中午快递送来了我试试。