该论文针对电子邮件生态系统中TLS使用与自动检测（auto-detect）配置的安全性进行了多层面的研究。电子邮件协议（IMAP、POP3、SMTP）最初设计为明文协议，缺乏机密性和完整性保障。TLS可以以隐式方式（在协议开始前）或后发机会方式（通过STARTTLS等扩展）引入。为了提升用户体验，许多邮件客户端提供自动检测功能，自动为用户确定一套可用的配置参数。然而，这种便利性可能引入安全风险。本研究首先测试了49个邮件客户端，发现多种设计或实现缺陷，能够导致隐蔽的安全降级，使攻击者有机可乘窃取用户凭证。其次，收集并分析了全球学术机构的1102份邮件设置指南，观察到其中存在指导用户采用不安全设置的问题。最后，利用这些设置指南中的服务器地址，评估了服务器端对隐式和机会TLS的支持情况以及证书特性。结果表明，由于对TLS和自动检测的粗心处理，许多用户无意中遭受安全损失；组织最好向用户规定具体且详细的手动配置。研究从客户端、设置指南、服务端三个角度综合评估，揭示了邮件生态系统的安全现状与潜在威胁。

本文针对5G网络向抗量子安全过渡的需求，在分解式5G架构下，对嵌入式用户设备（UE）上的后量子密码（PQC）集成到TLS握手过程进行了能量感知的系统级评估。作者使用树莓派5模拟嵌入式处理平台，结合直接设备功耗测量，评估了NIST标准化的经典/后量子签名与密钥封装机制（KEM）组合在TLS握手过程中的性能。实验结果表明：延迟与能耗高度耦合，执行时间是能耗的主要决定因素；哈希签名方案（如SPHINCS+）的延迟和能耗分别是格基方案（如CRYSTALS-Dilithium）的4倍和2倍，而KEM的影响相对较小。进一步分析发现，系统整体性能主要受密码计算和并发竞争限制，而非网络传输。研究结论为5G移动环境下PQC的部署提供了实用指导，指出格基签名在安全性、效率和可扩展性之间取得了更优的平衡。 该工作适合5G安全架构师、密码实现工程师以及关注后量子密码在实际系统中能耗表现的科研人员阅读。

该论文对互联网的后量子就绪状态进行了大规模测量研究，重点关注传输层安全（TLS）部署的实际现状。研究覆盖了32,011个域名，分析了不同行业（包括银行、政府、科技等）的TLS协商参数，如协议版本、密码套件、密钥交换机制和证书。主要发现包括：(1) 虽然TLS 1.3和QUIC等现代协议正在被采用，但仍有15.70%的域名（尤其是关键领域的银行和政府机构）依赖于TLS 1.2；(2) 49.3%的域名支持混合后量子密钥交换机制（例如MLKEM768与X25519的组合），而50.7%仍使用经典密钥交换，表明过渡不均衡；(3) 未观察到任何域名采用混合后量子证书，这使得认证层易受量子攻击（如证书伪造）。研究指出，完全实现量子弹性需要同时在密钥交换机制和证书基础设施上进行协调迁移。目前的面貌显示出行业间的不均衡：技术驱动型平台进展较快，而传统基础设施依赖较重的领域滞后。互联网通信系统仍面临长期威胁，包括"先存储后解密"（HNDL）攻击。适合安全工程师、TLS运维人员及政策制定者阅读。

本文提出 Grimlock，一种面向高自主性智能体系统的安全守卫框架。随着智能体系统越来越多地运行用户自编的编排代码，这些代码会调用工具、生成子任务并在多机器云环境间委托工作，这种高自主性带来了安全挑战：身份、授权、溯源和委托往往分散在应用代码中，导致难以一致地执行策略和审计。Grimlock 通过在沙箱底层实施信任强制执行，将安全关注点与智能体代码分离，而无需修改用户层编排代码。其核心机制包括：1) 基于 eBPF 的流量拦截，确保沙箱通信都必须经过守卫；2) 结合标准 TLS 1.3 通道绑定的握手后认证；3) 在通道建立后，守卫授权通信并生成短期、通道绑定的作用域令牌，实现最小权限委托；4) 接收端守卫重新验证身份、作用域和通道绑定，终止 TLS 并仅在策略检查通过后向目标沙箱释放明文；5) 使用 kTLS 提供高效的数据平面保护。实验表明，Grimlock 能够在不引入显著性能开销的前提下，实现跨异构多云环境的透明、可审计且作用域受限的智能体间通信，仅使用 Linux 通用原语。

TLS降级攻击（TLS stripping attacks）通过强制安全的HTTPS连接回退到未加密的HTTP，从而暴露敏感网络流量。当前防御机制依赖网站运营商主动选择启用安全措施，例如部署HTTP严格传输安全（HSTS）头部，但这些机制存在显著局限性：部分机制较弱或配置复杂，增加了配置错误的风险并降低了实际采用率；另一些机制违反HTTP向后兼容性；至少有一种机制甚至可以被滥用以实现非预期的用户跟踪。本文提出HSTS-Enforced机制，旨在消除TLS降级攻击的剩余攻击面，同时允许运营商在必要时安全地指定其网站需通过HTTP访问，从而保持可访问性。为此，我们将当前的选择加入（opt-in）安全模型翻转为选择退出（opt-out）模型：所有连接默认使用HTTPS，运营商可以通过所谓的“HTTP-Required”指示器显式选择退出，如果其网站需要HTTP。我们提出了两种HTTP-Required指示器：一种新的DNS记录和HTTP-Required预加载列表。我们在多种部署场景下评估了HSTS-Enforced，证明它能阻止所有实际的TLS降级尝试，同时保持对需要HTTP的网站的兼容性，且不会在典型情况下引入开销。最后，我们概述了一条实用的过渡路径以加速全球采用。