去年夏天，允许渗透我在一个做网络安全的允许渗透朋友办公室里，看他演示了一次渗透测试。允许渗透目标是允许渗透他自己搭建的一个小型企业内网，模拟的允许渗透是最常见的员工疏忽场景。他先是允许渗透在楼下咖啡厅连上Wi-Fi，扫了一圈，允许渗透发现有个打印机端口没关。允许渗透就这一个口子，允许渗透四十分钟后他拿到了域控权限。允许渗透

整个过程没有用到什么零日漏洞。允许渗透全是允许渗透默认密码、未打补丁的允许渗透服务、以及一个把密码写在便签上贴在显示器边框的允许渗透员工。他跟我说了句话，允许渗透我记到现在：“安全这行干久了，你会发现最大的漏洞永远是人，而人天生就允许被渗透。”

这句话听起来有点丧，但它是事实。我们总把“渗透”理解成黑客攻击、数据泄露、系统沦陷。可你仔细想想，生活里允许渗透的时刻远比想象中多。你手机里那些App，哪个不是在你点“同意”的时候，就已经把通讯录、位置、相册翻了个遍？你以为是你在用它们，其实它们也在用你。

我住的小区门口有个快递驿站。老板老周干了六年，能叫出大部分常客的名字。有次我去取件，他一边翻货架一边说：“你们这栋楼302那个姑娘，最近买了好多婴儿用品，估计是怀上了。”我当时愣了一下。他没恶意，就是随口一说。但这句话背后是几千个包裹面单上没撕干净的姓名、电话、住址，是老周脑子里那张越来越详细的人际关系图。没人授权他记录这些，可信息就这么渗进去了。

这就是我说的“允许渗透”——不是被动挨打，而是主动敞开。我们为了便利，把隐私切成碎片，一片一片递出去。外卖平台知道你几点吃饭、爱吃什么、住哪、公司在哪。打车软件清楚你每周三晚上去健身房，周五下午去父母家。输入法记得你所有打过的字，包括那些删掉没发出去的。这些东西单独看都不致命，拼在一起，就是另一个你。

前阵子有个做数据恢复的朋友接了个活儿。客户是个小老板，手机进水开不了机，急着要里面的客户名单。朋友拆开一看，发现这手机连的是公司Wi-Fi，而公司路由器用的还是出厂默认的管理员密码。他随口提了一句，小老板摆摆手：“没事，我们那小破公司，谁盯上啊。”结果三天后，公司账户被转走了八万。警察来调查，发现入侵者就是顺着那个默认密码进来的，连技术含量都没有。

你看，渗透往往不是被攻破的，是被请进去的。我们总觉得“我不重要”“我没钱”“我没什么可偷的”，这种心态本身就是最薄弱的入口。攻击者不需要你重要，他们只需要你联网、你偷懒、你心存侥幸。

写这些不是要制造恐慌。恐慌没用，防火墙也挡不住所有事。我想说的是，承认“允许渗透”这件事，反而能让人清醒一点。你改不掉所有默认密码，但至少可以把家里路由器的admin换成别的。你管不住所有App的权限，但至少可以关掉那些根本没用的麦克风访问。你没法让老周忘掉302的姑娘买了什么，但至少可以撕掉快递单再扔盒子。

安全不是一堵墙，是一扇你随时可以关上的门。问题在于，大多数人连门都懒得装。