From bb732dffe8474e651e563da257ff9eca9013499f Mon Sep 17 00:00:00 2001 From: Eltrac Date: Thu, 17 Apr 2025 22:39:28 +0800 Subject: docs: update draft Former-commit-id: ea0bf0834a620e40c02c6809e973c77519d4af44 --- ...232\204\344\277\241\344\273\273\351\223\276.md" | 58 ++++++++++++++++++++++ 1 file changed, 58 insertions(+) create mode 100644 "content/posts/\345\273\272\347\253\213\350\207\252\345\267\261\347\232\204\344\277\241\344\273\273\351\223\276.md" (limited to 'content') diff --git "a/content/posts/\345\273\272\347\253\213\350\207\252\345\267\261\347\232\204\344\277\241\344\273\273\351\223\276.md" "b/content/posts/\345\273\272\347\253\213\350\207\252\345\267\261\347\232\204\344\277\241\344\273\273\351\223\276.md" new file mode 100644 index 00000000..c417aeb8 --- /dev/null +++ "b/content/posts/\345\273\272\347\253\213\350\207\252\345\267\261\347\232\204\344\277\241\344\273\273\351\223\276.md" @@ -0,0 +1,58 @@ +--- +title: 建立自己的信任链 +subtitle: 普通人如何获得靠谱的知识？ +tags: + - 逻辑 + - 认知 +related_cards: +date: +categories: +banner: +draft: true +toc: true +--- + +从我自己的经验来看，写作者有时会因为专注于内部的逻辑自洽性，而忽略了外部事实，从而做出不恰当的判断。这一现象在分析哲学中也有所讨论，被称作「反现实主义」。[^1]对读者和写作者来说，**盘逻辑很爽，但对照现实却是一件痛苦却麻烦的事情**。对于物理学家来说，用实验验证理论时也常出现「物理学不存在了」的痛苦。 + +在建立自己的理论和思维框架时，现实的冲击是不可避免的。只构想不实践，其弊端与危害想必不用多说。在这篇文章中，我想要从**计算机领域对「信任」一词的定义**开始，谈一谈如何获得靠谱的知识来为自己的认知做背书，既是为了满足身为读者和听众的求是态度，也是为了进到读者和传播者的义务。 + + + +## 什么是值得信任的？ + +正在阅读这篇文章的你，大概也是一位独立博主，有过自己搭建网站的经历，那么你多半折腾过网站的 SSL 证书。作为网站维护者，你必须为 Web 服务器配置 SSL 证书，才能使用 HTTPS（超文本传输安全协议）与访客建立连接。在当今的 Web 环境下，不使用 HTTPS 早就被视作「不安全」的做法，浏览器把仅使用 HTTP 协议的网站标记为「不安全」，让用户提高警惕，不要输入银行卡号这样的敏感信息。 + +其实不难发现，为网站签发并配置 SSL 证书并不是什么难事，仅有一些不高的技术门槛。那么，既然任何人都能获得 SSL 证书，那为什么没有证书的网站就是「不安全」的，任何人只要为域名申请并配置了 SSL 证书，就会被认为是「安全」的呢？ + +HTTPS 是一种安全的传输协议，SSL 证书并不保证网站本身提供的服务在功能上是安全的，而是保证内容在传输过程中是安全的，不会被第三方窃取。骇客不能伪装成腾讯来骗取你的 QQ 账号，因为他无法获得签发给 `qq.com` 的可信 SSL 证书。HTTPS 协议在传输过程中使用了非对称加密，你可以通过证书的公钥给要发给网站服务器的内容加密，然后服务端再使用只有这个网站才持有的私钥进行解密，这样黑客即使在信道中截获了报文，也没有办法解密。 + +简单来说，SSL 证书其实是对「身份」的认证，只有域名的所有者才能获得该域名的证书。 + +前面提到，非域名所有者无法获得该域名的 SSL 证书，因为证书签发机构在域名所有者通过 DNS 等方式证明自己身份之后，才会签发证书。那么，**会不会有非法机构跳过检验步骤，给不法分子签发证书，伪装成其他人骗取信息呢**？或者，骇客能不能通过技术手段自己给自己签发证书来伪造身份呢？ + +答案是：不行。给自己签发 `baidu.com` 的证书在技术上是可行的，但**问题在于没有人会相信你真的是百度**。大部分的浏览器和操作系统都内置了一个**受信任的根证书颁发机构列表**，只要一个网站的证书的根证书是由这些机构签发的，那这个证书就是可信的。证明一个证书是不是由某个机构签发的过程也用到了非对称加密，这些机构持有自己的私钥（其他人无法获取），用这些私钥给证书签名之后，其他人可以用他们公开的公钥解密来验证签名，以确定身份。 + +另一个问题：这些受到广泛信任的证书签发机构就那么几个，如果人人都要从他们那里获取证书，那效率会不会太慢了？实际上，这些机构还会签发中间证书，用中间证书签发的 SSL 证书也是与根证书相关的，也能证明身份。 + +有了中间证书的存在，**某个域名的证书与签发机构的根证书之间就形成了一条信任链**，只要信任链能够追溯到受信任的机构，与网站的连接就被认为是可信的、安全的。 + +当然，这篇文章并不是为了鼓励你使用 GPG 等非对称加密方式让别人验证你的身份[^2]，重点在于「信任链」的建立。如果信任链能够追溯到一个可信的来源，当前的实体就是可信的。 + +对于「知识」来说，要如何建立信任链呢？让我们把目光移至学术领域，来看看「参考文献」在学术的实事求是中发挥的作用。 + +## 时常被忽略的参考文献 + +除了小说、散文等文学类作品，以及作者观点占主导的书本，我基本都会在阅读时仔细检查这本书有没有标注参考文献。一般来说，一本书的参考文献会出现在三个地方： + +1. 书籍最后几页，可以在目录中看到； +2. 每一章的最后； +3. 在脚注中被标注，精确到每一句话的来源。 + +如果一本较为严肃的、涉及很多事实性证据的书没有参考文献，我会对作者以及出版社产生不好的印象，同时也会对书中内容的真实性打上一个问号。那本气得我写了[一篇文章](/posts/为什么讨厌成功学/)来骂的成功学书籍《[逆商](/library/2025/逆商/)》，丝毫不吝啬丢出各种数字炸弹，动不动就上百上千，罗列百分比，反复强调自己做了怎样的科学研究，却不肯在任何地方给出参考文献，我要怎么相信作者的大放厥词？对于《[天生不同](/library/2025/天生不同/)》这本书，我也批评了它不吝啬罗列研究数据，但不给出任何事实来源的做法。 + +这两本书是较为极端但很常见的例子，作者（也有可能是编辑删掉了）完全没有给出任何来源，让信任链无从建起。对于信任链根本就不存在的内容，质疑是必然的。 + + + +[^1]: 来源：[Anti-realism - Wikipedia](https://en.wikipedia.org/wiki/Anti-realism) +[^2]: 但不得不说，如果熟悉这种技术（并不复杂），发布自己的公钥、保留私钥，以此来让任何人都能够验证自己的身份，确实是很酷的事情。 \ No newline at end of file -- cgit v1.2.3