1/16詳解加密技術(shù)概念、加密方法以及應(yīng)用作者天極網(wǎng)絡(luò)安全作者王達(dá)隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)安全也就成為當(dāng)今網(wǎng)絡(luò)社會(huì)的焦點(diǎn)中的焦點(diǎn)，幾乎沒有人不在談?wù)摼W(wǎng)絡(luò)上的安全問題，病毒、黑客程序、郵件炸彈、遠(yuǎn)程偵聽等這一切都無不讓人膽戰(zhàn)心驚。病毒、黑客的猖獗使身處今日網(wǎng)絡(luò)社會(huì)的人們感覺到談網(wǎng)色變，無所適從。但我們必需清楚地認(rèn)識(shí)到，這一切一切的安全問題我們不可一下全部找到解決方案，況且有的是根本無法找到徹底的解決方案，如病毒程序，因?yàn)槿魏畏床《境绦蚨贾荒茉谛虏《景l(fā)現(xiàn)之后才能開發(fā)出來，目前還沒有哪能一家反病毒軟件開發(fā)商敢承諾他們的軟件能查殺所有已知的和未知的病毒，所以我們不能有等網(wǎng)絡(luò)安全了再上網(wǎng)的念頭，因?yàn)榛蛟S網(wǎng)絡(luò)不能有這么一日，就象“矛”與“盾”，網(wǎng)絡(luò)與病毒、黑客永遠(yuǎn)是一對(duì)共存體。現(xiàn)代的電腦加密技術(shù)就是適應(yīng)了網(wǎng)絡(luò)安全的需要而應(yīng)運(yùn)產(chǎn)生的，它為我們進(jìn)行一般的電子商務(wù)活動(dòng)提供了安全保障，如在網(wǎng)絡(luò)中進(jìn)行文件傳輸、電子郵件往來和進(jìn)行合同文本的簽署等。其實(shí)加密技術(shù)也不是什么新生事物，只不過應(yīng)用在當(dāng)今電子商務(wù)、電腦網(wǎng)絡(luò)中還是近幾年的歷2/16史。下面我們就詳細(xì)介紹一下加密技術(shù)的方方面面，希望能為那些對(duì)加密技術(shù)還一知半解的朋友提供一個(gè)詳細(xì)了解的機(jī)會(huì)一、加密的由來加密作為保障數(shù)據(jù)安全的一種方式，它不是現(xiàn)在才有的，它產(chǎn)生的歷史相當(dāng)久遠(yuǎn)，它是起源于要追溯于公元前2000年，雖然它不是現(xiàn)在我們所講的加密技術(shù)，但作為一種加密的概念，確實(shí)早在幾個(gè)世紀(jì)前就誕生了。當(dāng)時(shí)埃及人是最先使用特別的象形文字作為信息編碼的，隨著時(shí)間推移，巴比倫、美索不達(dá)米亞和希臘文明都開始使用一些方法來保護(hù)他們的書面信息。近期加密技術(shù)主要應(yīng)用于軍事領(lǐng)域，如美國獨(dú)立戰(zhàn)爭、美國內(nèi)戰(zhàn)和兩次世界大戰(zhàn)。最廣為人知的編碼機(jī)器是GERMANENIGMA機(jī)，在第二次世界大戰(zhàn)中德國人利用它創(chuàng)建了加密信息。此后，由于ALANTURING和ULTRA計(jì)劃以及其他人的努力，終于對(duì)德國人的密碼進(jìn)行了破解。當(dāng)初，計(jì)算機(jī)的研究就是為了破解德國人的密碼，人們并沒有想到計(jì)算機(jī)給今天帶來的信息革命。隨著計(jì)算機(jī)的發(fā)展，運(yùn)算能力的增強(qiáng)，過去的密碼都變得十分簡單了，于是人們3/16又不斷地研究出了新的數(shù)據(jù)加密方式，如利用ROSA算法產(chǎn)生的私鑰和公鑰就是在這個(gè)基礎(chǔ)上產(chǎn)生的。二、加密的概念數(shù)據(jù)加密的基本過程就是對(duì)原來為明文的文件或數(shù)據(jù)按某種算法進(jìn)行處理，使其成為不可讀的一段代碼，通常稱為“密文”，使其只能在輸入相應(yīng)的密鑰之后才能顯示出本來內(nèi)容，通過這樣的途徑來達(dá)到保護(hù)數(shù)據(jù)不被非法人竊取、閱讀的目的。該過程的逆過程為解密，即將該編碼信息轉(zhuǎn)化為其原來數(shù)據(jù)的過程。三、加密的理由當(dāng)今網(wǎng)絡(luò)社會(huì)選擇加密已是我們別無選擇，其一是我們知道在互聯(lián)網(wǎng)上進(jìn)行文件傳輸、電子郵件商務(wù)往來存在許多不安全因素，特別是對(duì)于一些大公司和一些機(jī)密文件在網(wǎng)絡(luò)上傳輸。而且這種不安全性是互聯(lián)網(wǎng)存在基礎(chǔ)TCP/IP協(xié)議所固有的，包括一些基于TCP/IP的服務(wù)；另一方面，互聯(lián)網(wǎng)給眾多的商家?guī)砹藷o限的商機(jī)，互聯(lián)網(wǎng)把全世界連在了一起，走向互聯(lián)網(wǎng)就意味著走向了世界，這對(duì)于無數(shù)商家無疑是夢(mèng)寐以求的好事，特別是對(duì)于中小4/16企業(yè)。為了解決這一對(duì)矛盾、為了能在安全的基礎(chǔ)上大開這通向世界之門，我們只好選擇了數(shù)據(jù)加密和基于加密技術(shù)的數(shù)字簽名。加密在網(wǎng)絡(luò)上的作用就是防止有用或私有化信息在網(wǎng)絡(luò)上被攔截和竊取。一個(gè)簡單的例子就是密碼的傳輸，計(jì)算機(jī)密碼極為重要，許多安全防護(hù)體系是基于密碼的，密碼的泄露在某種意義上來講意味著其安全體系的全面崩潰。通過網(wǎng)絡(luò)進(jìn)行登錄時(shí)，所鍵入的密碼以明文的形式被傳輸?shù)椒?wù)器，而網(wǎng)絡(luò)上的竊聽是一件極為容易的事情，所以很有可能黑客會(huì)竊取得用戶的密碼，如果用戶是ROOT用戶或ADMINISTRATOR用戶，那后果將是極為嚴(yán)重的。還有如果你公司在進(jìn)行著某個(gè)招標(biāo)項(xiàng)目的投標(biāo)工作，工作人員通過電子郵件的方式把他們單位的標(biāo)書發(fā)給招標(biāo)單位，如果此時(shí)有另一位競爭對(duì)手從網(wǎng)絡(luò)上竊取到你公司的標(biāo)書，從中知道你公司投標(biāo)的標(biāo)的，那后果將是怎樣，相信不用多說聰明的你也明白。這樣的例子實(shí)在是太多了，解決上述難題的方案就5/16是加密，加密后的口令即使被黑客獲得也是不可讀的，加密后的標(biāo)書沒有收件人的私鑰也就無法解開，標(biāo)書成為一大堆無任何實(shí)際意義的亂碼。總之無論是單位還是個(gè)人在某種意義上來說加密也成為當(dāng)今網(wǎng)絡(luò)社會(huì)進(jìn)行文件或郵件安全傳輸?shù)臅r(shí)代象征數(shù)字簽名就是基于加密技術(shù)的，它的作用就是用來確定用戶是否是真實(shí)的。應(yīng)用最多的還是電子郵件，如當(dāng)用戶收到一封電子郵件時(shí)，郵件上面標(biāo)有發(fā)信人的姓名和信箱地址，很多人可能會(huì)簡單地認(rèn)為發(fā)信人就是信上說明的那個(gè)人，但實(shí)際上偽造一封電子郵件對(duì)于一個(gè)通常人來說是極為容易的事。在這種情況下，就要用到加密技術(shù)基礎(chǔ)上的數(shù)字簽名，用它來確認(rèn)發(fā)信人身份的真實(shí)性。類似數(shù)字簽名技術(shù)的還有一種身份認(rèn)證技術(shù)，有些站點(diǎn)提供入站FTP和WWW服務(wù)，當(dāng)然用戶通常接觸的這類服務(wù)是匿名服務(wù)，用戶的權(quán)力要受到限制，但也有的這類服務(wù)不是匿名的，如某公司為了信息交流提供用戶的合作伙伴非匿名的FTP服務(wù)，或開發(fā)小組把他們的WEB網(wǎng)頁上載到用戶的WWW服務(wù)器上，現(xiàn)在的問題就是，用戶如何確定正在訪問用戶的服務(wù)器的人就是用戶認(rèn)為的那個(gè)人，身份認(rèn)證技術(shù)就是一個(gè)好的解決方案。6/16在這里需要強(qiáng)調(diào)一點(diǎn)的就是，文件加密其實(shí)不只用于電子郵件或網(wǎng)絡(luò)上的文件傳輸，其實(shí)也可應(yīng)用靜態(tài)的文件保護(hù)，如PIP軟件就可以對(duì)磁盤、硬盤中的文件或文件夾進(jìn)行加密，以防他人竊取其中的信息。四、兩種加密方法加密技術(shù)通常分為兩大類“對(duì)稱式”和“非對(duì)稱式”。對(duì)稱式加密就是加密和解密使用同一個(gè)密鑰，通常稱之為“SESSIONKEY”這種加密技術(shù)目前被廣泛采用，如美國政府所采用的DES加密標(biāo)準(zhǔn)就是一種典型的“對(duì)稱式”加密法，它的SESSIONKEY長度為56BITS。非對(duì)稱式加密就是加密和解密所使用的不是同一個(gè)密鑰，通常有兩個(gè)密鑰，稱為“公鑰”和“私鑰”，它們兩個(gè)必需配對(duì)使用，否則不能打開加密文件。這里的“公鑰”是指可以對(duì)外公布的，“私鑰”則不能，只能由持有人一個(gè)人知道。它的優(yōu)越性就在這里，因?yàn)閷?duì)稱式的加密方法如果是在網(wǎng)絡(luò)上傳輸加密文件就很難把密鑰告訴對(duì)方，不管7/16用什么方法都有可能被別竊聽到。而非對(duì)稱式的加密方法有兩個(gè)密鑰，且其中的“公鑰”是可以公開的，也就不怕別人知道，收件人解密時(shí)只要用自己的私鑰即可以，這樣就很好地避免了密鑰的傳輸安全性問題。五、加密技術(shù)中的摘要函數(shù)摘要是一種防止改動(dòng)的方法，其中用到的函數(shù)叫摘要函數(shù)。這些函數(shù)的輸入可以是任意大小的消息，而輸出是一個(gè)固定長度的摘要。摘要有這樣一個(gè)性質(zhì)，如果改變了輸入消息中的任何東西，甚至只有一位，輸出的摘要將會(huì)發(fā)生不可預(yù)測的改變，也就是說輸入消息的每一位對(duì)輸出摘要都有影響。總之，摘要算法從給定的文本塊中產(chǎn)生一個(gè)數(shù)字簽名，數(shù)字簽名可以用于防止有人從一個(gè)簽名上獲取文本信息或改變文本信息內(nèi)容和進(jìn)行身份認(rèn)證。摘要算法的數(shù)字簽名原理在很多加密算法中都被使用，如SO/KEY和PIP?，F(xiàn)在流行的摘要函數(shù)有MAD和MAD，但要記住客戶機(jī)和服務(wù)器必須使用相同的算法，無論是MAD還是MAD，MAD客戶機(jī)不能和MAD服務(wù)器交互。8/16MAD摘要算法的設(shè)計(jì)是出于利用32位RISC結(jié)構(gòu)來最大其吞吐量，而不需要大量的替換表來考慮的。MAD算法是以消息給予的長度作為輸入，產(chǎn)生一個(gè)128位的“指紋“或“消息化“。要產(chǎn)生兩個(gè)具有相同消息化的文字塊或者產(chǎn)生任何具有預(yù)先給定“指紋“的消息，都被認(rèn)為在計(jì)算上是不可能的。MAD摘要算法是個(gè)數(shù)據(jù)認(rèn)證標(biāo)準(zhǔn)。MAD的設(shè)計(jì)思想是要找出速度更快，比MAD更安全的一種算法，MAD的設(shè)計(jì)者通過使MAD在計(jì)算上慢下來，以及對(duì)這些計(jì)算做了一些基礎(chǔ)性的改動(dòng)來解決安全性這一問題，是MAD算法的一個(gè)擴(kuò)展。六、密鑰的管理密鑰既然要求保密，這就涉及到密鑰的管理問題，管理不好，密鑰同樣可能被無意識(shí)地泄露，并不是有了密鑰就高枕無憂，任何保密也只是相對(duì)的，是有時(shí)效的。要管理好密鑰我們還要注意以下幾個(gè)方面1、密鑰的使用要注意時(shí)效和次數(shù)9/16如果用戶可以一次又一次地使用同樣密鑰與別人交換信息，那么密鑰也同其它任何密碼一樣存在著一定的安全性，雖然說用戶的私鑰是不對(duì)外公開的，但是也很難保證私鑰長期的保密性，很難保證長期以來不被泄露。如果某人偶然地知道了用戶的密鑰，那么用戶曾經(jīng)和另一個(gè)人交換的每一條消息都不再是保密的了。另外使用一個(gè)特定密鑰加密的信息越多，提供給竊聽者的材料也就越多，從某種意義上來講也就越不安全了。因此，一般強(qiáng)調(diào)僅將一個(gè)對(duì)話密鑰用于一條信息中或一次對(duì)話中，或者建立一種按時(shí)更換密鑰的機(jī)制以減小密鑰暴露的可能性。、多密鑰的管理假設(shè)在某機(jī)構(gòu)中有100個(gè)人，如果他們?nèi)我鈨扇酥g可以進(jìn)行秘密對(duì)話，那么總共需要多少密鑰呢每個(gè)人需要知道多少密鑰呢也許很容易得出答案，如果任何兩個(gè)人之間要不同的密鑰，則總共需要4950個(gè)密鑰，而且每個(gè)人應(yīng)記住99個(gè)密鑰。如果機(jī)構(gòu)的人數(shù)是1000、10000人或更多，這種辦法就顯然過于愚蠢了，管理密鑰將是一件10/16可怕的事情。KERBEROS提供了一種解決這個(gè)較好方案，它是由MIT發(fā)明的，使保密密鑰的管理和分發(fā)變得十分容易，但這種方法本身還存在一定的缺點(diǎn)。為能在因特網(wǎng)上提供一個(gè)實(shí)用的解決方案，KERBEROS建立了一個(gè)安全的、可信任的密鑰分發(fā)中心，每個(gè)用戶只要知道一個(gè)和KDC進(jìn)行會(huì)話的密鑰就可以了，而不需要知道成百上千個(gè)不同的密鑰。假設(shè)用戶甲想要和用戶乙進(jìn)行秘密通信，則用戶甲先和KDC通信，用只有用戶甲和KDC知道的密鑰進(jìn)行加密，用戶甲告訴KDC他想和用戶乙進(jìn)行通信，KDC會(huì)為用戶甲和用戶乙之間的會(huì)話隨機(jī)選擇一個(gè)對(duì)話密鑰，并生成一個(gè)標(biāo)簽，這個(gè)標(biāo)簽由KDC和用戶乙之間的密鑰進(jìn)行加密，并在用戶甲啟動(dòng)和用戶乙對(duì)話時(shí)，用戶甲會(huì)把這個(gè)標(biāo)簽交給用戶乙。這個(gè)標(biāo)簽的作用是讓用戶甲確信和他交談的是用戶乙，而不是冒充者。因?yàn)檫@個(gè)標(biāo)簽是由只有用戶乙和KDC知道的密鑰進(jìn)行加密的，所以即使冒充者得到用戶甲發(fā)出的標(biāo)簽也不可能進(jìn)行解密，只有用戶乙收到后才能夠進(jìn)行解密，從而確定了與用戶甲對(duì)話的人就是用戶乙。當(dāng)KDC生成標(biāo)簽和隨機(jī)會(huì)話密碼，就會(huì)把它們用只11/16有用戶甲和KDC知道的密鑰進(jìn)行加密，然后把標(biāo)簽和會(huì)話鑰傳給用戶甲，加密的結(jié)果可以確保只有用戶甲能得到這個(gè)信息，只有用戶甲能利用這個(gè)會(huì)話密鑰和用戶乙進(jìn)行通話。同理，KDC會(huì)把會(huì)話密碼用只有KDC和用戶乙知道的密鑰加密，并把會(huì)話密鑰給用戶乙。用戶甲會(huì)啟動(dòng)一個(gè)和用戶乙的會(huì)話，并用得到的會(huì)話密鑰加密自己和用戶乙的會(huì)話，還要把KDC傳給它的標(biāo)簽傳給用戶乙以確定用戶乙的身份，然后用戶甲和用戶乙之間就可以用會(huì)話密鑰進(jìn)行安全的會(huì)話了，而且為了保證安全，這個(gè)會(huì)話密鑰是一次性的，這樣黑客就更難進(jìn)行破解了。同時(shí)由于密鑰是一次性由系統(tǒng)自動(dòng)產(chǎn)生的，則用戶不必記那么多密鑰了，方便了人們的通信。七、數(shù)據(jù)加密的標(biāo)準(zhǔn)最早、最著名的保密密鑰或?qū)ΨQ密鑰加密算法DESDATAENCRYPTIONSTANDARD是由IBM公司在70年代發(fā)展起來的，并經(jīng)政府的加密標(biāo)準(zhǔn)篩選后，于1976年11月被美國政府采用，DES隨后被美國國家標(biāo)準(zhǔn)局和美國國家標(biāo)準(zhǔn)協(xié)會(huì)承認(rèn)。DES使用56位密鑰對(duì)64位的數(shù)據(jù)塊進(jìn)行加密，并對(duì)64位的數(shù)據(jù)塊進(jìn)行16輪編碼。與每輪編碼12/16時(shí)，一個(gè)48位的“每輪“密鑰值由56位的完整密鑰得出來。DES用軟件進(jìn)行解碼需用很長時(shí)間，而用硬件解碼速度非?？臁Ｐ疫\(yùn)的是，當(dāng)時(shí)大多數(shù)黑客并沒有足夠的設(shè)備制造出這種硬件設(shè)備。在1977年，人們估計(jì)要耗資兩千萬美元才能建成一個(gè)專門計(jì)算機(jī)用于DES的解密，而且需要12個(gè)小時(shí)的破解才能得到結(jié)果。當(dāng)時(shí)DES被認(rèn)為是一種十分強(qiáng)大的加密方法。隨著計(jì)算機(jī)硬件的速度越來越快，制造一臺(tái)這樣特殊的機(jī)器的花費(fèi)已經(jīng)降到了十萬美元左右，而用它來保護(hù)十億美元的銀行，那顯然是不夠保險(xiǎn)了。另一方面，如果只用它來保護(hù)一臺(tái)普通服務(wù)器，那么DES確實(shí)是一種好的辦法，因?yàn)楹诳徒^不會(huì)僅僅為入侵一個(gè)服務(wù)器而花那么多的錢破解DES密文。另一種非常著名的加密算法就是RSA了，RSARIVESTSHAMIRADLEMAN算法是基于大數(shù)不可能被質(zhì)因數(shù)分解假設(shè)的公鑰體系。簡單地說就是找兩個(gè)很大的質(zhì)數(shù)。一個(gè)對(duì)外公開的為“公鑰”，另一個(gè)不告訴任何人，稱為“私鑰”。這兩個(gè)密鑰是互補(bǔ)的，也就是說用公鑰加密的密文可以用私鑰解密，反過來也一樣。13/16假設(shè)用戶甲要寄信給用戶乙，他們互相知道對(duì)方的公鑰。甲就用乙的公鑰加密郵件寄出，乙收到后就可以用自己的私鑰解密出甲的原文。由于別人不知道乙的私鑰，所以即使是甲本人也無法解密那封信，這就解決了信件保密的問題。另一方面，由于每個(gè)人都知道乙的公鑰，他們都可以給乙發(fā)信，那么乙怎么確信是不是甲的來信呢那就要用到基于加密技術(shù)的數(shù)字簽名了。甲用自己的私鑰將簽名內(nèi)容加密，附加在郵件后，再用乙的公鑰將整個(gè)郵件加密。這樣這份密文被乙收到以后，乙用自己的私鑰將郵件解密，得到甲的原文和數(shù)字簽名，然后用甲的公鑰解密簽名，這樣一來就可以確保兩方面的安全了。八、加密技術(shù)的應(yīng)用加密技術(shù)的應(yīng)用是多方面的，但最為廣泛的還是在電子商務(wù)和VPN上的應(yīng)用，下面就分別簡敘。1、在電子商務(wù)方面的應(yīng)用電子商務(wù)要求顧客可以在網(wǎng)上進(jìn)行各種商務(wù)活動(dòng)，14/16不必?fù)?dān)心自己的信用卡會(huì)被人盜用。在過去，用戶為了防止信用卡的號(hào)碼被竊取到，一般是通過電話訂貨，然后使用用戶的信用卡進(jìn)行付款。現(xiàn)在人們開始用RSA的加密技術(shù)，提高信用卡交易的安全性，從而使電子商務(wù)走向?qū)嵱贸蔀榭赡?。許多人都知道NETSCAPE公司是INTERNET商業(yè)中領(lǐng)先技術(shù)的提供者，該公司提供了一種基于RSA和保密密鑰的應(yīng)用于因特網(wǎng)的技術(shù)，被稱為安全插座層。也許很多人知道SOCKET，它是一個(gè)編程界面，并不提供任何安全措施，而SSL不但提供編程界面，而且向上提供一種安全的服務(wù)，現(xiàn)在已經(jīng)應(yīng)用到了服務(wù)器和瀏覽器上，則只能應(yīng)用于服務(wù)器端。用一種電子證書來實(shí)行身份進(jìn)行驗(yàn)證后，雙方就可以用保密密鑰進(jìn)行安全的會(huì)話了。它同時(shí)使用“對(duì)稱”和“非對(duì)稱”加密方法，在客戶與電子商務(wù)的服務(wù)器進(jìn)行溝通的過程中，客戶會(huì)產(chǎn)生一個(gè)SESSIONKEY，然后客戶用服務(wù)