目前还有哪些悬而未解或是非常棘手的互联网安全难题？
收到大风邀请很久了，这个问题提得很狠，所以其实不好回答。 范围：  互联网安全领域 限定条件： 悬而未解、棘手 首先悬而未解，如果特指技术领域，我觉得在科学前沿应该有一些吧，但自己不是这块料，就不说了。 而棘手，我是这么理解的： 当防御成本极高、而攻击成本相对较低，但造成的影响较大 时，这些问题就会给人棘手的感觉。 举个例子，为什么大风会在提问的时候说到DDOS。 因为在几年前，攻击者可以轻易的搜集到大量的傀儡肉鸡，制造几个G的流量甚至几十个G的流量太轻松了，而企业和IDC签约的成本，每M的流量费用都要省着花，平时都是按照业务的峰值适当冗余的，一般每个IP也就100M、1G，了不起了。 能租的起独家10G以上的互联网企业有多少，我不知道（腾讯、阿里、优酷之类的肯定行，但是其它公司呢？大家扪心自问对比一下） 于是，攻击者轻松输入个指令，几十G的流量过来，而防御呢？ 企业需要联系IDC机房，IDC联系ISP，ISP在更高资源的层面（比如骨干网络）做ACL，或者清洗，这一个协调的成本极高。 于是，大家都会知道DDOS处理起来很难，很棘手，如果老板异想天开的说要抓攻击者，是不是更棘手了？ （可能有些牛逼轰轰的人会搬出很早很早以前邪恶八进制论坛上的一篇文章，说如何如何查路由上一跳，伪造源IP但根据TTL啥的也能逐渐定位，是否切实有效先不说，我们就谈谈这得需要什么样的成本吧。） 而DDOS造成的后果大家又都很清楚，业务直接中断，对有些公司来说，主营互联网业务就是印钞机啊，印钞机不转了，这损失又无法在法律意义上做为直接损失。 所以，DDOS是一个棘手的事，那是否就无解呢？ 其实也不是，阿里做的一件事，其实我觉得是目前看到的最佳方案 ： 阿里有钱，能攒足够的带宽，然后你们中小网站都放我这里来吧，我整它几百个G的带宽放着，攻击者要完全打垮我们的成本就提升了。现在可以每天微博晒晒又有个人打了60多个G的DNS，没事了。。 至于追查攻击者这事，咱先不谈了吧。 OK，基于上述思路， 我认为，其实对于无力承担防护成本的一切互联网企业，它们遇到的所有传统问题，都是棘手的。哪怕简单如SQL注入、数据备份、病毒防护、内网安全 ，大家已经有成熟技术方案的问题，在这些地方都是棘手的。 如果一定要追溯到特定的技术领域，大风提到的DDOS（原因已陈述）、欺诈（因为攻击者面向的是用户本身，有时候甚至不一定经过你的技术服务，比如盗QQ不一定通过QQ聊天信息发送给你）、文档安全（就是很多做防水墙之类解决方案的，其实也是个伪命题）、监控与隐私（又希望控制，又不希望被知道，这本身就是个矛盾体）、 文件安全（网页、或者从网页下载的文件，是，AV可以扫描下，扫描就靠谱么？）、后门检测（想想yuange他们要讨论如何长期隐蔽潜伏的话题就觉得心寒，其实有APT的味道？） …… 现在脑子里这些知识没体系化， 但是我相信，如果有同学按照“防护成本高、攻击成本低、影响大”这个规则来罗列，一定比我列举得全面得多，分类也会趋于合理。 抛砖引玉，请大家多批评指正。