目前还有哪些悬而未解或是非常棘手的互联网安全难题？
我一直觉得是那些和人性挂钩的点，很难很难解决，比如： 1. 你提到的钓鱼欺诈识别，由于安全联盟业务需求，我和管家团队，百度团队等相关研发人员交流，技术层面识别这些就很麻烦，也许某些细类可以很好识别采用一些算法，但是还是有很大一片难以解决，这个时候只能引入人力来对抗了（比如安全联盟搞了个民间鉴定团），钓鱼欺诈是某类人的智慧在里面，高级点的就更难识别，甚至人力也非常难，比如XSS的高级钓鱼攻击，很多安全人士都会中招； 2. 还有所谓的净化互联网，打击色情网站，这个更是难上加难，虽然感觉有成效，实际上色情行业的发达程度还是非常高； 3. 舆情，想遏制想监管也都是大麻烦，毕竟这是人性PK了，上升到这个层面的就没办法了，只能平衡，而无法解决； 4. 用户隐私，又是一个麻烦的，为了业务速度而忽视安全架构的太多了，懒，侥幸心态，人性暴露无遗； 5. 太多了，举例不完，总结就是：有人性缺点在里面的，都非常麻烦； 我上面说的安全包括了网络安全与信息安全… 我们要做的就是保持平衡。:)
收到大风邀请很久了，这个问题提得很狠，所以其实不好回答。 范围：  互联网安全领域 限定条件： 悬而未解、棘手 首先悬而未解，如果特指技术领域，我觉得在科学前沿应该有一些吧，但自己不是这块料，就不说了。 而棘手，我是这么理解的： 当防御成本极高、而攻击成本相对较低，但造成的影响较大 时，这些问题就会给人棘手的感觉。 举个例子，为什么大风会在提问的时候说到DDOS。 因为在几年前，攻击者可以轻易的搜集到大量的傀儡肉鸡，制造几个G的流量甚至几十个G的流量太轻松了，而企业和IDC签约的成本，每M的流量费用都要省着花，平时都是按照业务的峰值适当冗余的，一般每个IP也就100M、1G，了不起了。 能租的起独家10G以上的互联网企业有多少，我不知道（腾讯、阿里、优酷之类的肯定行，但是其它公司呢？大家扪心自问对比一下） 于是，攻击者轻松输入个指令，几十G的流量过来，而防御呢？ 企业需要联系IDC机房，IDC联系ISP，ISP在更高资源的层面（比如骨干网络）做ACL，或者清洗，这一个协调的成本极高。 于是，大家都会知道DDOS处理起来很难，很棘手，如果老板异想天开的说要抓攻击者，是不是更棘手了？ （可能有些牛逼轰轰的人会搬出很早很早以前邪恶八进制论坛上的一篇文章，说如何如何查路由上一跳，伪造源IP但根据TTL啥的也能逐渐定位，是否切实有效先不说，我们就谈谈这得需要什么样的成本吧。） 而DDOS造成的后果大家又都很清楚，业务直接中断，对有些公司来说，主营互联网业务就是印钞机啊，印钞机不转了，这损失又无法在法律意义上做为直接损失。 所以，DDOS是一个棘手的事，那是否就无解呢？ 其实也不是，阿里做的一件事，其实我觉得是目前看到的最佳方案 ： 阿里有钱，能攒足够的带宽，然后你们中小网站都放我这里来吧，我整它几百个G的带宽放着，攻击者要完全打垮我们的成本就提升了。现在可以每天微博晒晒又有个人打了60多个G的DNS，没事了。。 至于追查攻击者这事，咱先不谈了吧。 OK，基于上述思路， 我认为，其实对于无力承担防护成本的一切互联网企业，它们遇到的所有传统问题，都是棘手的。哪怕简单如SQL注入、数据备份、病毒防护、内网安全 ，大家已经有成熟技术方案的问题，在这些地方都是棘手的。 如果一定要追溯到特定的技术领域，大风提到的DDOS（原因已陈述）、欺诈（因为攻击者面向的是用户本身，有时候甚至不一定经过你的技术服务，比如盗QQ不一定通过QQ聊天信息发送给你）、文档安全（就是很多做防水墙之类解决方案的，其实也是个伪命题）、监控与隐私（又希望控制，又不希望被知道，这本身就是个矛盾体）、 文件安全（网页、或者从网页下载的文件，是，AV可以扫描下，扫描就靠谱么？）、后门检测（想想yuange他们要讨论如何长期隐蔽潜伏的话题就觉得心寒，其实有APT的味道？） …… 现在脑子里这些知识没体系化， 但是我相信，如果有同学按照“防护成本高、攻击成本低、影响大”这个规则来罗列，一定比我列举得全面得多，分类也会趋于合理。 抛砖引玉，请大家多批评指正。