立陶宛的数据泄露，以及我为什么不喜欢“我早就说过”这句话

我真的很不喜欢这句话。

它通常出现在某件本可以避免的事已经发生之后。在数据已经外泄之后。在人们已经承受后果之后。在系统已经证明惯常做法不够用之后。

所以我更愿意早一点开口。

最近涉及立陶宛政府登记系统的数据泄露，再一次说明访问基础设施已经变得多么重要。尤其当牵涉的是政务记录、不动产、法人主体，以及人们对数字服务的信任时。

我真诚地同情所有受这件事影响的人。这类事件从来不只是技术问题。它们背后是真实的人、团队、机构和用户。

正因如此，我认为平心静气、以专业的方式讨论新的安全做法很重要。

我在 Toqen.app 上的方向，是以访问为核心的认证基础设施，为安全的实时授权而设计。

想法很简单：访问应当成为一个独立、可核验的事件。上下文清晰，存活时间短，有密码学确认，并尽量少携带无关数据。

我愿意与关心这一议题的团队、机构和专业人士合作。

而且就算眼下并不需要合作，如果有更多人只是开始琢磨这些想法，我也会很高兴：以动作为单位的授权、与设备绑定的签名、短生命周期的授权请求，以及实时的访问核验。

每个人都可以搭建自己的系统。每个人都可以质疑我的想法。每个人都可以独立把这个方向往前推。

要紧的是，这些做法要在下一次事件再度证明它们必要之前就出现。

安全是靠留心、对话和协作长出来的。这场对话是必要的，而且最好在下一次事件把它强加给我们之前就谈。