CIU 要新建一所商学院，一所信息学院。上一次见到校董许长老，他甚至劝我考虑要不要留下来做教授。

从前Haddon W. Robinson 做哥顿神学院院长时，有一次学生问他，Dr. Robinson，怎样才能知道神的呼召？

Dr. Robinson回答说，你的恩赐在哪里，你的呼召就在哪里。

于是学生诘问说，我没有任何恩赐……

那么，请首先寻找恩赐，而不是寻找呼召。Dr. Robinson回答说。

许长老用这个故事告诉我，有必要考虑使用这么多年的IT经验来服侍神。

当然，我还是快乐的做着翻译，因为我或许也有翻译的恩赐。上次提到三本译作在一个叫做“研经工具”的网站上线了，自然我很欣慰，因为所做的工有了果效，至少大家都能看到这些文字了。

Sean提醒我，这个网站还是http协议在访问，是不是不安全呢？

当时一高兴，没有太介意，直接写了一篇博客，推荐了研经工具的网站。

当然，即使算上我所有的twitter followers，这篇文章也不过数百人读过而已。但今天因为花粉季节过敏太严重，完全无法工作，突然心血来潮，就测试了一下这个网站，然后我就把自己吓出了一声冷汗。

首先，这是一个没有用https的网站，所以本质上是不能用来做电子商务的。然而，这个网站却要求注册和登录才能访问全部资源。问题就在这里，我试了一下注册的过程，得到这样一个http报文：

 U6rE~/@Pl%uUvPDGET /b/include/ajax.asp?action=newmember&client=CMZ&id=eddy%40eddyemma.com&password=12345678&name=eddy&email=eddy%40eddyemma.com HTTP/1.1
 Host: yanjinggongju.com
 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:59.0) Gecko/20100101 Firefox/59.0
 Accept: application/json, text/javascript, */*; q=0.01
 Accept-Language: en-US,en;q=0.5
 Accept-Encoding: gzip, deflate
 Referer: http://yanjinggongju.com/b/web/?op=register
 X-Requested-With: XMLHttpRequest
 Cookie: CMZRef=65001; CMZBibleID=OUV; LangCode=CHS; ASPSESSIONIDAARAAQTA=KAEFMIBAIPMEBDEHIPPFMEDE
 DNT: 1
 Connection: keep-alive

好吧，我的用户名，邮箱，密码，采用的操作系统，采用的语言，浏览器型号和版本，等等关键信息全部明文传输到网络上了。所以，任何一个中间路由都可以读取这些信息，并可能对我进行中间人攻击。

而每次登录的画风是这样的：

1146 219.381579 192.168.1.17 218.255.146.218 HTTP 647 
GET /b/include/ajax.asp?action=LoginMember&client=CMZ&id=eddy%40eddyemma.com&password=12345678 HTTP/1.1

OK, 亲爱的Eddy，我们知道你在某年某月某日，用某IP某邮箱某密码上了这个网站，访问了这样几节经文。

网络安全和加密的基本原则就是算法和代码开源，用密码来保护数据。

当年NSA推出DES的时候，限定在64位上，一定是有什么后门的。所以后来制定AES标准，采用了公开竞赛的方式投标，一下子出来了一大堆对称加密的新算法，最后确定现在的AES-256标准。

同样，白帽黑客的工作，就是不停地寻找并公开各种安全漏洞。

对于“研经工具”网站的问题，没什么太多要说的，无非是缺少经验吧。当然，即使使用HTTPS，后台是不是明文存储密码，还是另说。

从网站可以看出，这家机构花了很大的精力在内容上，有许多非常有价值的注释书和参考资料；但是，这个机构似乎完全忽略了网络安全的问题（或者，这就是CIU需要建立一所信息技术学院的理由）。

所以，一方面，我给机构的领袖写了邮件，请他仔细评估这个问题，另一方面，这是一个公共安全问题，所以需要公开讨论。

当然， 我也见过比这更靠谱的事情，比如有一家大数据分析公司，综合了facebook, twitter, linkedin等各大网站的数据，保存在amazon s3上，居然没有加密，任何人都可以去下载一份1T以上，4000万人的个人信息下来；或者加拿大某政府网站，连续用户id后面不加盐，一个小孩用修改id的方式下载了一大堆公开个人数据下来，反而被政府抓来起诉“不正当访问数据”。

……

最近在推动主内的群不要再用微信了。我逐渐会退掉所有微信群，只保留同学群和家族群，只听不发言，不给群主找麻烦。

但是海外的事工若需要联络，完全应该建立signal或者wire群，没必要在微信上吆呼。

我的翻译项目组，已经全面迁移到Signal通讯了。今后不采用或者技术上不能采用Signal通讯的译者，也许连合作的机会也没有了。

采用其他通讯方式，有的时候技术门槛会高一点，操作会麻烦一点。例如俄罗斯最近一次性封锁了1900万个IP地址，因为不准采用telegram聊天。但是，技术门槛高并不是我们放弃隐私的借口，也许有一天大家要像罗马帝国的基督徒一样，用脚画一条鱼才能彼此识别，就像段友们现在已经不得不采用“一长两短”才能碰头了。

有一天我给几位朋友说，其实许多人不使用signal的原因，并不是技术障碍，而是认识问题。大家总觉得安全无所谓，放弃隐私没问题，反正都是在国内裸奔着。

算了，我过敏得眼睛都睁不开了，还是不说了，早点睡觉吧。