信息加密技術(shù)及其安全性（二）
admin 3、兩種加密體系的分析比較
綜上所述，對(duì)稱加密與公鑰加密的特點(diǎn)比較如下表所示：
結(jié)合兩種加密算法的特點(diǎn)，我們可以通過對(duì)稱密碼機(jī)制來加密大量數(shù)據(jù)，然后使用公鑰密碼機(jī)制來加密文件密鑰，這樣的混合加密方式以其安全高效，在ERP和電子商務(wù)領(lǐng)域得到了廣泛應(yīng)用。
三、 密碼入侵手段分析與防范
密碼學(xué)由兩部分組成：加密技術(shù)和密碼分析。密碼分析學(xué)是研究破譯密碼和偽造認(rèn)證的科學(xué)，同時(shí)它還對(duì)信息竊取和詐騙活動(dòng)進(jìn)行分析，從而發(fā)現(xiàn)密碼體系的漏洞所在。
通過密碼分析手段，對(duì)一個(gè)密碼體系進(jìn)行攻擊，一般可能從以下幾個(gè)方面入手：
1）唯密文攻擊：
破譯者已知一些消息的密文，以此破譯出對(duì)應(yīng)明文。
2）已知明文攻擊：
破譯者不僅知道一些消息的密文，而且知道相應(yīng)的明文。通過對(duì)這些成對(duì)的明文密文的分析，得到解密密鑰。如針對(duì)DES的線性密碼分析即是其中一種，該種分析需要243個(gè)明文密文對(duì)。
3）選擇明文攻擊：
破譯者不僅知道一些成對(duì)的明文和密文，而且可以選擇一些明文加密，得到相應(yīng)密文并進(jìn)行分析破解。
4）選擇密文攻擊：
破譯者可選擇一些密文，并通過密碼系統(tǒng)得到相應(yīng)明文，由此破譯密鑰。選擇密文攻擊多用于公鑰算法。例如針對(duì)RSA的攻擊，破譯者將特定信息偽裝后讓擁有私鑰的實(shí)體簽署，通過計(jì)算即可得到所需信息。此外，在RSA算法中，模數(shù)單一的情況下，對(duì)公共模數(shù)進(jìn)行分解，計(jì)算后也可以得到所需信息。要防御這種攻擊，通過算法改進(jìn)無法辦到，只能從以下兩點(diǎn)加以防范：采用嚴(yán)謹(jǐn)?shù)墓€協(xié)議，使得實(shí)體不對(duì)來路陌生的信息加以解密或簽名；不輕易對(duì)陌生的文檔簽名，簽名時(shí)先作Hash處理。即使如此，“中間人攻擊”也有可能進(jìn)行會(huì)話劫持，要對(duì)此進(jìn)行防范，勢(shì)必犧牲消費(fèi)用戶的部分便捷功能。
以上攻擊強(qiáng)度依次遞增。密碼體系要能夠禁得起選擇密文攻擊才算滿足安全性要求。
密碼分析學(xué)發(fā)展迄今，從破解手段可以分為以下四類：
1）基于即暴力破解的傳統(tǒng)密碼分析技術(shù)。
2）現(xiàn)代密碼分析技術(shù)。
如差分密碼分析、線性密碼分析和密鑰相關(guān)的密碼分析。
3）新興的基于物理特征的密碼分析技術(shù)。
如電壓分析、簡(jiǎn)單電流分析、差分電流分析、時(shí)間分析、電磁幅射分析等等。破譯者可以通過這些分析技術(shù)，從密鑰載體快速得到密鑰。目前發(fā)明了許多相應(yīng)的技術(shù)來抵抗這些破解手段，如使用隨機(jī)數(shù)一次一密，用加密線路從硬件層面防御等。但是這些方法只能增加破譯的困難性，而不能從根本上防御攻擊。
4）基于社會(huì)工程學(xué)的密碼破譯。
社會(huì)工程學(xué)是一種特殊的獲取密碼的手段。它脫離了軟硬件技術(shù)的范疇，不以日益完善的密碼系統(tǒng)為攻擊目標(biāo)，轉(zhuǎn)而研究密碼系統(tǒng)的使用者與管理者的心理弱點(diǎn)，通過人們固有的社會(huì)特性，設(shè)下心理陷井進(jìn)行欺騙活動(dòng)。
通常數(shù)據(jù)加密可在通信的三個(gè)層次實(shí)現(xiàn)，即鏈路加密、節(jié)點(diǎn)加密和端到端加密，針對(duì)這些不同層次的加密技術(shù)各自的特點(diǎn)，又有層出不窮的攻擊手段，其最終目的都是為了破解密碼。除了以上提到的針對(duì)密碼分析的防御手段，我們還對(duì)那些以解密為目的的攻擊手段作出各類防范，如可編程密碼，如在網(wǎng)頁中對(duì)密碼進(jìn)行安全評(píng)估（多用于商務(wù)系統(tǒng)帳戶密碼），如帶自毀功能的密碼鍵盤（用于防范基于物理特征的密碼分析）等等。
CSDN暴庫事件中，黑客只需對(duì)入侵的數(shù)據(jù)庫記錄進(jìn)行碰撞庫與哈希值列表對(duì)比，即可在短時(shí)間內(nèi)獲得大部分用戶的密鑰。數(shù)據(jù)庫對(duì)密鑰的加密管理固然需要進(jìn)一步完善，而用戶對(duì)密鑰的設(shè)置，也應(yīng)該更小心地避開社會(huì)工程學(xué)陷井。
無論信息安全的概念如何擴(kuò)展，保證信息的機(jī)密性仍是其核心目標(biāo)。要實(shí)現(xiàn)無條件安全，即理論安全，當(dāng)下的技術(shù)還無法辦到。然而，量子密碼學(xué)的發(fā)展為此提供了可能性，利用單光子的測(cè)不準(zhǔn)原理可在光纖一級(jí)實(shí)現(xiàn)信息加密，能夠達(dá)到經(jīng)典密碼學(xué)所追求的無條件安全。目前的量子密碼技術(shù)仍處于研究階段。
小知識(shí)：
社會(huì)工程學(xué)是關(guān)于建立理論通過自然的、社會(huì)的和制度上的途徑并特別強(qiáng)調(diào)根據(jù)現(xiàn)實(shí)的雙向計(jì)劃和設(shè)計(jì)經(jīng)驗(yàn)來一步一步地解決各種社會(huì)問題。
