搜索

[19700] 2020-12-29_加密与通讯安全丨技术大牛揭秘黑客们的密码学，原来有秘诀！

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2020-12-29_加密与通讯安全丨技术大牛揭秘黑客们的密码学，原来有秘诀！ 加 密 与 通 讯 安 全 丨 技 术 大 牛 揭 秘 黑 客 们 的 密 码 学 ， 原 来 有 秘 诀 ！ i 春 秋   2 0 2 0 - 1 2 - 2 9 知 乎 上 有 一 篇 介 绍 网 络 安 全 的 文 章 ， 其 中 关 于 H T T P / H T T P S 以 及 密 码 保 存 的 相 关 内 容 甚 是 有 趣 ， 文 中 谈 到 登 录 过 程 中 一 定 要 使 用 H T T P S 而 不 能 使 用 H T T P ， 否 则 中 间 人 攻 击 将 很 容 易 取 得 用 户 的 密 码 。 其 实 这 个 说 法 并 非 完 全 正 确 ， 密 码 的 安 全 性 并 不 能 因 为 使 用 了 H T T P S 就 高 枕 无 忧 ， 也 并 非 使 用 了 H T T P 就 不 安 全 。 今 天 i 春 秋 通 过 一 期 公 开 课 《 黑 客 们 的 密 码 学 》 带 大 家 深 入 了 解 加 密 与 通 讯 的 相 关 内 容 ， 同 时 本 文 还 有 更 多 延 伸 精 彩 内 容 ， 不 容 错 过 ！ 文 章 篇 幅 较 长 ， 阅 读 时 长 约 1 7 分 钟 ， 一 定 要 看 完 ， 相 信 我 你 会 受 益 匪 浅 的 。 感 兴 趣 的 小 伙 伴 ， 识 别 感 兴 趣 的 小 伙 伴 ， 识 别 二 维 码 二 维 码 立 即 看 课 立 即 看 课
P S ： W e b 端 看 课 体 验 会 更 佳 ， 看 课 地 址 ： h t t p s : / / w w w . i c h u n q i u . c o m / o p e n / 5 4 8 2 9 本 节 公 开 课 学 习 时 长 5 7 分 钟 ， 观 看 人 数 已 达 数 万 人 ， 满 满 的 干 货 ， 非 常 适 合 初 级 学 习 者 ， 即 使 小 白 也 能 看 懂 哦 ~ 什 么 是 加 密 ？ 什 么 是 加 密 ？ 其 实 ， 加 密 就 是 将 一 种 信 息 表 达 变 成 另 外 一 种 信 息 的 表 达 方 式 。 一 个 生 动 的 例 子 就 是 在 外 地 ， 你 和 老 乡 交 谈 时 用 普 通 话 表 达 “ 我 爱 香 菜 ” 和 用 方 言 表 达 ” 我 爱 香 菜 ” 是 一 个 意 思 ， 但 是 其 他 人 恐 怕 会 听 不 懂 方 言 。 另 一 种 就 是 映 射 关 系 了 ， 就 像 下 面 这 张 对 应 表 ， 实 际 上 你 可 以 叫 它 映 射 表 ， 就 是 把 一 串 数 据 对 应 某 种 关 系 变 成 另 外 一 串 数 据 。 如 图 所 示 ：
假 设 我 们 将 没 有 加 密 过 的 信 息 叫 明 文 ( A ) ， 加 密 后 的 信 息 叫 密 文 ( C ) ， 设 B 为 加 密 方 式 ， 那 么 加 密 的 过 程 就 可 以 写 成 类 似 A • B = C ， 当 然 解 密 过 程 就 是 你 的 钥 匙 安 全 么 ？ 你 的 钥 匙 安 全 么 ？ 假 如 我 们 有 五 个 数 字 要 告 诉 对 方 ， 分 别 是 1 、 2 、 3 、 4 、 5 ， 加 密 就 是 将 每 个 数 字 乘 以 2 ， 于 是 对 方 就 收 到 了 密 文 2 、 4 、 6 、 8 、 1 0 ， 对 方 只 需 要 将 每 个 数 字 除 以 2 就 能 取 得 明 文 1 、 2 、 3 、 4 、 5 。 在 这 个 过 程 中 ， 2 作 为 整 个 加 密 过 程 中 最 关 键 的 数 字 ， 可 以 说 是 整 个 加 密 解 密 的 钥 匙 ， 你 就 需 要 好 好 保 存 了 ， 一 旦 让 别 人 知 道 了 你 的 密 钥 ， 你 的 加 密 将 会 形 同 虚 设 。 假 如 你 需 要 和 一 个 不 认 识 的 人 进 行 加 密 通 讯 ， 你 如 何 保 证 你 的 钥 匙 能 交 给 你 的 接 头 人 呢 ？ 当 面 交 易 不 管 是 在 密 码 还 是 网 购 都 属 于 一 个 比 较 靠 谱 的 方 式 ， 但 是 如 果 你 想 通 过 信 件 的 方 式 ， 就 要 经 过 一 堆 不 知 名 的 邮 差 邮 局 ， 最 终 到 你 的 接 头 人 手 中 。 但 是 你 会 担 心 中 间 有 没 有 人 把 你 的 钥 匙 给 拷 贝 了 一 份 ， 你 无 法 保 证 中 间 人 会 不 会 出 卖 你 ， 然 而 你 却 不 得 不 把 自 己 手 中 的 钥 匙 交 给 他 们 ， 否 则 你 的 接 头 人 就 无 法 使 用 它 来 和 你 进 行 加 密 通 讯 了 。 尽 管 这 种 方 式 和 我 们 实 际 说 的 密 码 学 多 少 有 点 不 一 样 ， 但 是 它 确 实 给 了 我 们 一 些 提 示 ， 例 如 设 明 文 为 A ， 密 钥 为 B ， 密 文 为 C ， 是 否 存 在 一 种 加 密 函 数 使 得 ： A • B = C C • D = A 简 单 来 说 就 是 加 密 的 密 钥 和 解 密 的 密 钥 不 一 样 ， 这 样 我 们 就 不 用 担 心 密 钥 被 泄 漏 。 在 现 实 中 有 点 像 这 么 一 个 过 程 ： 1 、 首 先 准 备 一 个 带 锁 的 箱 子 ， 用 钥 匙 把 这 个 箱 子 打 开 ( 公 钥 ) ； 2 、 把 这 个 箱 子 交 给 邮 递 员 ， 同 时 箱 子 里 附 上 一 个 字 条 ， 上 面 写
着 ： 请 接 头 人 想 一 个 我 们 之 间 的 通 讯 加 密 方 式 ， 然 后 把 密 钥 也 放 在 箱 子 里 锁 上 寄 回 给 我 ； ( 通 过 公 钥 加 密 ) 3 、 当 这 个 锁 上 的 箱 子 再 次 回 到 你 手 中 时 ， 用 钥 匙 打 开 箱 子 ， 取 得 密 钥 和 加 密 方 式 ； ( 私 钥 解 密 ) 4 、 之 后 就 可 以 用 这 个 加 密 方 式 和 密 钥 进 行 通 讯 了 。 上 面 这 个 办 法 完 美 地 避 免 了 中 间 人 看 到 你 和 接 头 人 密 钥 ， 毕 竟 在 交 回 来 时 ， 它 可 是 锁 在 箱 子 里 面 的 ， 只 要 你 发 现 收 回 来 时 这 个 箱 子 有 什 么 不 对 劲 ， 你 立 即 可 以 编 辑 短 信 “ 有 内 鬼 ， 终 止 交 易 ” 。 虽 然 最 后 放 在 数 学 中 这 个 方 式 有 点 不 同 ， 但 在 思 路 上 却 是 大 同 小 异 ， 你 也 许 已 经 发 现 了 在 高 中 的 阶 段 ， 要 计 算 要 简 单 的 多 ， 当 代 的 不 对 称 密 钥 技 术 ( 公 钥 加 密 ) ， 大 多 都 用 上 了 这 种 信 息 不 对 等 的 理 念 ， 也 就 是 正 推 容 易 逆 推 难 。 谈 到 公 钥 加 密 ， 就 不 得 不 聊 聊 目 前 相 当 有 名 的 R S A 和 E C C 了 ， 相 对 于 E C C ， R S A 理 解 起 来 就 容 易 的 多 ， R S A 加 密 简 单 来 说 利 用 了 大 数 质 因 数 分 解 的 数 学 难 题 ： 比 如 现 在 你 可 以 随 便 挑 选 两 个 素 数 ， 例 如 5 9 、 8 3 ， 然 后 将 它 们 乘 起 来 5 9 * 8 3 = 4 8 9 7 ， 即 使 是 一 个 小 学 生 也 能 在 十 几 秒 内 算 出 来 ， 但 是 如 果 我 只 告 诉 你 4 8 9 7 这 个 数 ， 然 后 让 你 做 因 数 分 解 ， 八 成 你 需 要 一 个 一 个 去 试 数 了 。 假 如 这 两 个 素 数 挑 选 的 都 非 常 大 ， 那 么 就 算 是 超 级 计 算 机 上 场 ， 恐 怕 也 得 算 到 世 界 末 日 了 。 但 幸 运 的 是 ， 理 解 R S A 加 密 并 不 复 杂 ， 即 使 是 在 这 短 短 的 篇 幅 中 ， 也 很 容 易 将 R S A 的 原 理 给 讲 清 楚 。
因 此 上 式 最 终 变 为 了 x % n = x ， R S A 得 证 ， 要 破 解 R S A ， 那 么 关 键 就 是 找 到 这 个 d 了 ， 我 们 看 看 d 是 怎 么 来 的 ， 首 先 从 点 3 我 们 知 道 ， 要 知 道 d 首 先 要 先 知 道 k ， 而 k = ( p - 1 ) ( q - 1 ) 也 就 是 需 要 知 道 p 和 q 了 ， 我 们 公 布 的 只 有 一 个 e 和 n ， 按 照 不 成 文 的 钦 定 就 算 e 是 6 5 5 3 7 ， 也 就 是 说 我 们 必 须 通 过 n 倒 推 出 p 和 q ， 那 么 问 题 就 变 成 了 这 个 大 数 因 数 分 解 的 世 纪 难 题 了 。 R S A 已 经 流 行 了 多 年 ， 很 多 时 候 这 套 理 论 就 会 被 爆 些 大 新 闻 让 人 感 觉 其 安 全 性 已 经 摇 摇 欲 坠 ， 但 是 最 终 R S A 仍 然 屹 立 不 倒 ， 也 许 在 之 后 的 某 一 天 量 子 计 算 机 诞 生 或 者 哪 个 大 神 真 正 找 到 了 某 个 快 速 大 数 的 质 因 数 分 解 的 方 法 ， R S A 也 算 真 正 完 成 它 的 历 史 使 命 了 。 公 钥 加 密 技 术 有 许 多 优 点 ， 但 其 缺 点 也 一 样 很 明 显 。 大 多 的 公 钥 加 密 算 法 其 性 能 开 销 基 本 都 比 密 钥 对 称 加 密 大 得 多 ， 因 此 他 们 一 般 都 不 用 于 加 密 大 量 的 数 据 。 在 实 际 使 用 中 ， 它 们 大 多 被 用 于 交 换 其 它 更 加 经 济 快 速 的 加 密 密 钥 对 ， 或 者 被 设 计 与 数 字 签 名 ， 如 果 你 想 进 一 步 了 解 R S A ， 可 以 在 互 联 网 上 查 找 相 关 资 料 。 H T T P / H T T P S 看 到 小 标 题 你 可 能 会 犯 嘀 咕 ， 刚 说 完 密 码 怎 么 突 然 就 跳 到 H T T P / H T T P S 上 来 了 呢 ， 一 个 非 常 直 观 的 理 解 就 是 ， H T T P 就 是 你 用 明 文 来 写 情 书 ， H T T P S 就 是 你 的 情 书 加 密 了 ， 实 际 上 后 者 就 是 前 者 加 密 后 的 产 物 。 那 么 什 么 是 H T T P 呢 ？ 你 可 以 打 开 一 个 网 站 如 果 你 用 的 是 c h r o m e ， 那 么 按 下 F 1 2 ， 你 可 以 看 到 有 一 堆 文 字 ：
这 段 文 字 就 是 符 合 H T T P 规 范 的 的 文 字 ( 当 然 H T T P 协 议 相 关 的 细 节 信 息 已 经 省 略 了 ) ， 你 可 以 管 它 叫 网 站 源 代 码 ， 或 者 简 单 一 点 来 说 就 是 这 段 文 字 经 过 解 析 后 变 成 了 你 所 看 到 的 网 页 ， 当 然 , 这 个 源 代 码 可 以 在 互 联 网 上 传 输 ， 就 像 你 把 情 书 交 给 了 一 个 不 靠 谱 的 邮 递 员 一 样 ， 这 个 邮 递 员 可 能 已 经 被 你 的 情 敌 收 买 了 ， 把 你 的 信 件 拆 开 来 添 油 加 醋 地 加 一 点 东 西 然 后 再 神 不 知 鬼 不 觉 地 封 回 去 。 这 样 足 够 给 你 造 成 一 些 情 感 危 机 了 ， 但 H T T P S 能 够 很 好 的 避 免 这 一 堆 问 题 ， 因 为 这 段 文 字 被 加 密 了 ， 如 果 不 知 道 解 密 手 段 的 话 ， 即 使 添 加 了 一 些 东 西 解 密 后 也 会 变 成 一 堆 意 义 不 明 的 数 据 ， 收 信 方 也 很 容 易 察 觉 出 问 题 ， 因 此 H T T P S 显 然 在 防 篡 改 方 面 比 H T T P 要 安 全 。 那 么 H T T P S 是 否 就 一 定 比 H T T P 安 全 呢 ？ H T T P 是 否 一 定 就 不 安 全 呢 ？ 就 像 知 乎 文 章 的 作 者 所 说 ， 不 管 怎 么 样 一 定 要 使 用 H T T P S 做 密 码 的 登 录 框 ， 不 然 密 码 就 会 被 泄 漏 。 其 实 这 句 话 就 有 点 像 屠 龙 宝 刀 如 果 给 一 个 菜 鸟 的 话 ， 恐 怕 真 到 约 架 时 也 会 被 砍 的 娘 都 不 认 识 ， 假 如 把 一 根 树 枝 给 独 孤 求 败 这 种 人 物 ， 就 算 是 在 多 人 一 起 上 也 是 被 扁 的 哇 哇 叫 ， 打 铁 还 需 自 身 硬 ， 如 果 自 身 都 不 够 硬 ， 真 要 干 起 架 来 ， 哪 怕 是 再 好 的 武 器 也 于 事 无 补 。 要 理 解 H T T P S 为 什 么 安 全 ？ 安 全 在 哪 里 ？ 我 们 就 得 去 深 入 探 究 。 H T T P S 和 中 间 人 攻 击 和 中 间 人 攻 击 有 关 于 H T T P S 的 传 输 流 程 是 怎 么 样 的 ， 可 以 看 到 H T T P S 比 H T T P 就 多 了 一 个 字 母 S ， 这 个 S 代 表 着 S S L ( S e c u r e   S o c k e t   L a y e r ) 的 意 思 ， 也 就 是 安 全 传 输 层 。
首 先 S S L 层 先 使 用 公 钥 加 密 技 术 交 换 密 钥 对 ( 比 如 R S A ， E C C … . ) ， 之 后 再 使 用 A E S   D E S 或 者 更 经 济 点 的 R C 4 进 行 加 密 通 讯 ， 看 上 去 这 个 交 递 箱 子 的 方 案 似 乎 没 有 什 么 问 题 ， 但 我 们 回 到 那 个 交 递 箱 子 的 过 程 ： 1 、 首 先 准 备 一 个 带 锁 的 箱 子 ， 用 钥 匙 把 这 个 箱 子 打 开 ( 公 钥 ) ； 2 、 把 这 个 箱 子 交 给 邮 递 员 ， 同 时 箱 子 里 附 上 一 个 字 条 ， 上 面 写 着 ： 请 接 头 人 想 一 个 我 们 之 间 的 通 讯 加 密 方 式 ， 然 后 把 密 钥 也 放 在 箱 子 里 锁 上 寄 回 给 我 ； ( 通 过 公 钥 加 密 ) 3 、 当 这 个 锁 上 的 箱 子 再 次 回 到 你 手 中 时 ， 用 钥 匙 打 开 箱 子 ， 取 得 密 钥 和 加 密 方 式 ； ( 私 钥 解 密 ) 4 、 之 后 就 可 以 用 这 个 加 密 方 式 和 密 钥 进 行 通 讯 了 。 我 们 做 一 个 假 设 ， 假 设 这 个 邮 递 员 准 备 了 一 个 和 你 一 模 一 样 的 箱 子 ， 然 后 伪 装 成 你 的 接 头 人 和 你 通 讯 ， 再 用 这 个 伪 造 的 箱 子 和 你 真 正 的 接 头 人 进 行 通 讯 ， 那 么 你 还 能 保 证 你 的 通 讯 是 安 全 的 么 ？ 恐 怕 这 个 时 候 ， 即 使 是 公 钥 加 密 技 术 也 无 能 为 力 了 ， 我 们 能 做 的 只 是 尽 量 提 醒 接 头 人 ， 比 如 在 箱 子 上 盖 个 印 章 条 形 码 ， 并 方 方 正 正 地 写 上 “ 此 箱 子 版 权 所 有 , 仿 冒 必 究 ， 请 到 x x 正 品 店 进 行 专 柜 验 证 ” ， 然 后 祈 祷 你 的 接 头 人 会 好 好 地 验 证 这 个 箱 子 的 真 伪 ， 但 鉴 于 你 和 接 头 人 从 未 谋 面 ， 恐 怕 他 也 并 不 知 道 你 会 不 会 给 他 寄 个 “ 带 有 防 伪 标 签 的 箱 子 ” 。 这 个 过 程 几 乎 和 S S L 的 理 念 一 样 ， 每 个 H T T P S 的 站 点 需 要 向 一 个 可 信 的 第 三 方 C A ( 数 字 证 书 的 颁 发 机 构 ) 申 请 一 个 证 书 来 向 每 一 个 浏 览 你 网 站 的 人 证 明 你 的 信 息 ， 但 浏 览 你 网 站 的 人 可 能 根 本 无 法 意 识 到 ， 你 的 网 站 是 否 进 行 过 防 伪 了 ， 这 种 中 间 人 攻 击 的 手 段 又 叫 S S L 剥 离 攻 击 ， 其 原 理 图 如 下 ： 如 何 避 免 中 间 人 攻 击 ？ 如 何 避 免 中 间 人 攻 击 ？ 如 果 你 的 网 络 流 量 出 入 口 真 被 某 些 居 心 叵 测 的 破 坏 分 子 控 制 的 话 ， 你 能 做 的 就 是 尽 量 祈 祷 这 个 家 伙 的 技 术 水 平 不 够 ， 搭 建 一 个 S S L 剥 离 的 攻 击 方 案 也 许 就 是 一 个 黑 w i f i ， 一 次 A R P 劫 持 和 几 个 脚 本 的 事 情 。
实 际 上 避 免 攻 击 的 准 则 除 了 选 择 一 个 可 以 信 赖 的 网 络 服 务 商 ， 更 多 的 工 作 需 要 在 自 己 设 计 的 代 码 中 去 实 现 而 不 是 盲 目 地 相 信 某 种 通 用 的 手 段 ( 当 然 不 是 说 H T T P S 不 好 用 ， 有 条 件 当 然 还 是 最 好 用 上 ) ， 一 个 最 基 本 的 理 念 是 ， 如 果 攻 击 你 的 成 本 远 远 大 于 攻 击 成 功 取 得 的 价 值 成 本 ， 就 能 够 很 大 程 度 的 避 免 自 己 被 一 些 别 有 用 心 的 大 佬 而 不 是 吃 的 太 饱 的 大 佬 摆 上 一 道 ， 这 也 就 是 为 什 么 我 们 学 习 密 码 学 的 原 因 。 如 果 你 能 将 那 些 更 加 复 杂 的 公 钥 加 密 技 术 设 计 在 你 的 通 讯 体 系 中 ， 设 计 的 程 序 能 够 利 用 这 些 知 识 去 验 证 收 到 数 据 的 真 伪 ( 比 如 验 证 可 信 C A 颁 发 的 签 名 证 书 ) 那 么 攻 击 者 就 需 要 花 费 更 大 的 代 价 去 剥 离 你 的 验 证 部 分 ， 或 者 根 本 就 不 可 能 在 偶 然 的 一 次 通 讯 劫 持 中 完 成 这 类 攻 击 。 但 遗 憾 的 是 在 代 码 通 用 化 程 度 如 此 高 的 今 天 ， 尽 管 很 多 软 件 运 用 了 完 善 的 加 密 体 系 ， 最 大 程 度 地 保 证 了 通 讯 的 安 全 ， 但 大 部 分 因 为 开 发 成 本 或 者 是 其 它 的 关 系 ， 开 发 人 员 并 没 有 好 好 的 给 自 己 充 个 电 ， 认 为 使 用 现 有 的 安 全 架 构 就 能 够 一 劳 永 逸 去 避 免 一 堆 可 能 带 来 的 问 题 。 例 如 这 个 登 录 的 验 证 问 题 ， 处 理 起 来 远 远 不 是 弄 个 证 书 整 个 H T T P S 就 能 够 解 决 的 ， 但 不 论 是 出 于 开 发 平 台 还 是 出 于 开 发 成 本 或 者 是 开 发 员 的 技 术 水 平 ， 绝 大 多 数 的 网 站 在 保 证 安 全 这 块 都 还 有 很 长 的 路 要 走 。 除 了 开 发 人 员 ， 最 后 是 写 给 用 户 的 安 全 建 议 ： 1 、 请 在 信 任 的 网 络 中 下 载 程 序 或 流 量 网 页 ； 2 、 如 果 你 链 接 了 一 个 不 信 任 的 网 络 ， 请 不 要 浏 览 不 带 有 效 签 名 的 网 站 ； 3 、 不 要 下 载 没 有 有 效 签 名 的 软 件 ， 如 果 你 信 得 过 这 个 没 有 签 名 的 软 件 ， 也 要 在 信 任 网 络 中 下 载 ； 4 、 了 解 密 码 安 全 的 一 些 知 识 ； 5 、 找 个 靠 谱 的 码 农 朋 友 。 散 列 函 数 散 列 函 数 ( h a s h ) 散 列 函 数 俗 称 h a s h 函 数 。 在 开 始 科 普 关 于 h a s h 函 数 之 前 ， 首 先 谈 谈 大 约 五 六 年 前 C S D N 数 据 库 泄 漏 的 事 件 ， 尽 管 我 们 无 法 猜 测 c s d n 到 底 出 于 什 么 目 的 将 用 户 的 密 码 进 行 明 文 存 储 ， 但 这 个 事 件 无 疑 在 圈 内 掀 起 了 轩 然 大 波 ， 无 数 无 辜 躺 枪 的 码 农 程 序 猿 忙 着 修 改 自 己 的 账 户 密 码 ， 避 免 被 某 些 别 有 用 心 之 徒 用 撞 库 的 手 段 给 自 己 造 成 损 失 。
倘 若 c s d n 不 使 用 明 文 记 录 用 户 的 密 码 信 息 ， 而 将 这 个 密 码 用 某 种 不 可 逆 的 手 段 编 码 成 其 它 的 数 据 ， 至 少 不 会 造 成 如 此 巨 大 的 损 失 。 h a s h 函 数 到 底 是 什 么 呢 ？ 按 照 百 度 百 科 的 说 法 ， 就 是 指 通 过 散 列 算 法 ， 变 换 成 固 定 长 度 的 输 出 ， 该 输 出 就 是 散 列 值 。 说 的 太 专 业 了 ？ 没 关 系 ， 除 法 求 余 数 总 会 吧 ， 看 下 面 的 式 子 ： y = x % 9 9 这 是 一 个 很 简 单 的 求 余 运 算 ， x 表 示 输 入 的 某 个 整 数 值 ， y 表 示 输 出 的 值 ， 显 然 不 管 x 取 多 少 ， y 的 结 果 必 定 在 0 - 9 9 ， 如 果 你 知 道 y 的 值 ， 那 么 能 不 能 求 出 x 的 值 呢 ？ 很 遗 憾 也 许 你 能 找 出 很 多 个 符 合 这 个 条 件 的 x 值 ， 但 你 恐 怕 永 远 不 能 确 定 原 始 的 x 值 是 哪 一 个 了 。 整 数 求 余 运 算 是 一 个 非 常 简 单 的 散 列 运 算 函 数 ， 或 者 通 俗 点 叫 h a s h 函 数 ， 但 这 是 一 个 不 合 格 的 h a s h 函 数 ， 因 为 我 们 可 以 非 常 容 易 地 通 过 输 出 y 求 得 多 个 x 的 可 能 解 ， 并 且 x 和 y 在 一 定 的 范 围 内 存 在 线 性 关 系 ， 而 理 想 的 h a s h 函 数 是 正 着 算 容 易 ， 倒 着 算 难 ， 同 时 输 入 的 轻 微 变 动 也 将 导 致 输 出 极 大 的 不 同 。 那 么 这 就 很 有 意 思 了 ， 假 如 我 们 在 数 据 库 保 存 密 码 时 ， 使 用 适 当 的 h a s h 函 数 对 其 进 行 编 码 ， 那 么 就 能 够 避 免 我 们 的 密 码 明 文 被 泄 漏 了 ， 说 到 这 里 必 须 要 提 一 下 当 今 赫 赫 有 名 的 几 个 h a s h 函 数 ， 比 如 M D 5 ， S H A 2 5 6 。 这 就 安 全 了 么 ？ 这 就 安 全 了 么 ？ 当 明 文 的 密 码 使 用 M D 5 或 者 是 S H A 2 5 6 后 ， 想 要 再 逆 向 为 明 文 是 不 大 可 能 的 ， 但 这 还 不 足 以 让 你 高 枕 无 忧 ， 毕 竟 不 久 前 刚 报 出 个 大 新 闻 M D 5 被 破 解 了 ！ 当 然 被 破 解 这 种 标 题 党 的 行 为 在 学 术 上 来 说 极 为 不 准 确 ， 准 确 来 说 是 M D 5 被 找 到 了 一 种 能 够 快 速 找 到 碰 撞 的 办 法 ， 那 么 碰 撞 是 什 么 呢 ？ 我 们 回 到 之 前 的 y = x % 9 9 ， 如 果 我 们 知 道 y 的 值 是 1 ， 那 么 x 的 值 是 多 少 呢 ？ 显 然 x 的 值 可 以 是 1 0 0 ， 可 以 是 1 9 9 ， 可 以 是 2 9 8 … . 如 果 我 们 用 求 余 法 作 为 密 码 的 h a s h 函 数 ， 那 么 我 们 输 入 1 9 9 ， 2 9 8 … 哪 怕 我 们 的 原 始 密 码 是 1 0 0 ， 也 会 被 当 做 是 正 确 的 密 码 ， 也 就 是 说 , 1 9 9 ， 2 9 8 是 1 0 0 对 于 该 h a s h 函 数 的 碰 撞 结 果 。 这 可 就 要 命 了 ， 明 明 黑 客 输 入 的 密 码 和 我 们 输 入 的 密 码 不 一 样 ， 系 统 还 是 将 它 当 做 了 一 个 正 确 的 密 码 让 他 登 录 了 ， 这 简 直 就 是 密 码 系 统 的 灾 难 ， 既 然 M D 5 不 再 安 全 了 ， 那 么 就 放 弃 M D 5 专 用 S H A 2 5 6 吧 。 然 而 还 是 太 天 真 了 ， 我 们 忽 略 了 一 个 最 基 本 的 事 实 ， 如 果 明 文 的 密 码 长 度 不 够 ， 那 么 不 管 加 密 的 手 段 如 何 的 高 明 ， 我 们 也 能 通 过 穷 举 的 方 式 进 行 破 解 ， 比 如 你 的 密 码 是 一 个 三 位 数 的 数 字 ， 那 么 我 只 需 要 把 1 0 0 - 9 9 9 都 尝 试 一 遍 ， 就 可 以 知 道 正 确 的 结 果 了 ， 也 许 用 人 脑 这 个 办 法 有 点 难 ， 但 是 在 计 算 机 当 中 ， 完 成 这 个 穷 举 连 1 秒 都 不 用 。 实 际 上 确 实 也 有 人 这 么 干 了 ， 他 们 购 买 了 大 容 量 的 存 储 设 备 ， 收 集 大 量 常 用 明 文 密 码 进 行 h a s h 函 数 计 算 ， 同 时 他 们 建 立 了 快 速 的 查 询 机 制 ， 只 要 你 的 密 码 长 度 不 够 或 者 使 用 了 一 些 常 用 的 密 码 ， 那 么 h a s h 函 数 对 你 明 文 密 码 的 保 护 机 制 将 很 可 能 不 再 有 效 ， 而 这 种 方 法 在 网 上 有 个 比 较 漂 亮 的 名 字 叫 彩 虹 表 彩 虹 表 。
给 密 码 加 约 束 给 密 码 加 约 束 为 了 避 免 彩 虹 表 的 危 机 ， 我 们 必 须 对 密 码 加 一 系 列 的 约 束 ， 比 如 我 们 可 以 规 定 密 码 的 长 度 ， 一 定 要 大 小 写 组 合 的 8 位 以 上 ， 1 6 位 以 下 ， 然 后 在 密 码 的 结 尾 加 上 一 段 我 们 自 己 想 出 来 的 随 机 的 值 增 加 输 入 长 度 ， 以 避 免 常 规 计 算 的 的 彩 虹 表 对 我 们 的 密 码 进 行 暴 力 破 解 。 这 是 一 种 非 常 流 行 的 做 法 ， 用 专 业 的 术 语 来 说 就 是 加 盐 ( s a l t ) ， 那 段 随 机 的 值 就 是 我 们 所 说 的 盐 值 ， 这 个 效 果 的 确 非 常 有 效 。 如 今 已 经 证 明 不 安 全 的 M D 5 在 寻 找 碰 撞 不 是 那 么 的 快 的 时 候 ， 只 要 这 个 s a l t 足 够 长 ， 的 确 能 够 在 一 定 程 度 上 缓 解 这 次 的 危 机 问 题 ， 但 不 管 如 何 ， 我 们 仍 然 应 该 摒 弃 那 些 不 再 安 全 的 h a s h 函 数 ， 使 用 目 前 相 对 安 全 的 h a s h 函 数 。 同 时 在 设 计 通 讯 架 构 时 ， 永 远 不 要 相 信 当 前 的 密 码 手 段 是 永 恒 不 破 的 ， 毕 竟 这 就 和 明 天 我 会 不 会 中 个 亿 元 大 奖 然 后 走 向 人 生 巅 峰 一 样 ， 谁 又 说 得 清 呢 ？ 本 文 作 者 ： d b i n a r y     一 个 来 自 i 春 秋 社 区 的 “ 女 黑 客 ” E n d —   往 期 回 顾 往 期 回 顾   — H a c k i n g   C l u b   技 术 趴 ▶   W i n d o w s 域 渗 透 之 K e r b e r o s 委 派 科 普 类 公 开 课 ▶ D N S 解 析 ▶   红 队 建 设 之 道 ▶   手 机 锁 屏 密 码 安 全 ▶   中 间 人 攻 击 ▶   十 分 钟 看 懂 隐 写 术 ▶   信 息 泄 露 问 题 ▶   狡 猾 的 漏 洞 利 用 ▶   R F I D 工 作 原 理 分 析 ▶   披 露 世 界 顶 级 黑 客 的 内 心 独 白 ▶   一 分 钟 看 穿 网 络 钓 鱼 D C   G R O U P 精 品 沙 龙 系 列 ▶   V P N 设 备 的 矛 与 盾
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理