搜索

[25411] 2016-08-24_每日安全资讯：PGP没你想象的那么安全

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2016-08-24_每日安全资讯：PGP没你想象的那么安全 每 日 安 全 资 讯 ： P G P 没 你 想 象 的 那 么 安 全 安 华 金 和   L i n u x 中 国   2 0 1 6 - 0 8 - 2 4 怎 么 才 能 知 道 网 络 中 的 邮 件 信 息 是 否 可 信 呢 ？ 在 开 发 和 安 全 人 员 的 圈 子 里 ， 他 们 可 能 会 选 择 使 用 P G P 密 钥 做 验 证 。 然 而 ， x k c d   P G P 的 缔 造 者 R a n d a l l   M u n r o e 指 出 ， P G P 在 实 际 使 用 中 ， 可 能 没 有 理 论 上 那 么 安 全 。 F r e e B u f 百 科 百 科 W O T 信 任 网 络 结 构 （ W e b   O f   T r u s t ） ： 简 单 地 说 就 是 ， 在 信 任 网 中 ， 没 有 大 家 都 信 任 的 中 心 权 威 机 构 ， 用 户 以 各 自 为 中 心 ， 相 互 认 证 公 钥 ， 相 互 签 名 公 钥 证 书 。 这 些 签 名 使 得 用 户 的 公 钥 彼 此 相 连 ， 形 成 自 然 的 网 状 结 构 ， 也 就 是 所 谓 的 信 任 网 。 P G P ( P r e t t y   G o o d   P r i v a c y ) ， 是 一 个 基 于 R S A 公 钥 加 密 体 系 的 邮 件 加 密 软 件 。 可 以 用 它 对 邮 件 保 密 以 防 止 非 授 权 者 阅 读 ， 它 还 能 对 邮 件 加 上 数 字 签 名 从 而 使 收 信 人 可 以 确 认 邮 件 的 发 送 者 ， 并 能 确 信 邮 件 没 有 被 篡 改 。 脆 弱 的 脆 弱 的 3 2 位 短 密 钥 位 短 密 钥 如 果 有 人 采 用 P G P 数 字 签 名 对 其 代 码 和 邮 件 进 行 加 密 ， 或 许 你 可 以 认 为 他 们 是 真 实 可 信 的 。 但 是 如 果 他 们 使 用 的 是 短 密 钥 （ 3 2 位 或 者 更 短 的 ） ， 可 能 就 不 会 有 那 么 安 全 。 在 这 种 情 况 下 ， 黑 客 可 以 轻 松 伪 造 出 一 个 P G P 签 名 。 比 如 L i n u s   T o r v a l d s 、 G r e g   K r o a h - H a r t m a n 等 几 位 核 心 L i n u x 内 核 开 发 人 员 ， 就 碰 到 了 这 种 事 。 据 悉 在 L i n u x 内 核 邮 件 列 表 （ L K M L ） 中 ， 自 6 月 中 旬 后 的 两 个 月 里 ， 某 些 开 发 人 员 在 外 部 网 络 和 公 共 密 钥 服 务 器 中 ， 发 现 了 与 自 己 使 用 的 同 名 的 伪 造 密 钥 。
这 并 不 是 一 种 新 的 攻 击 ， L i n u x 程 序 员 们 在 2 0 1 1 年 1 2 月 后 就 开 始 了 解 ， 短 P G P 密 钥 本 质 上 是 不 安 全 的 ， 只 是 此 前 一 直 没 有 人 去 攻 破 它 。 P G P 的 安 全 现 状 的 安 全 现 状 在 今 年 的 6 月 ， 黑 客 R i c h a r d   K l a f t e r 和 E r i c   S w a n s o n 曾 表 示 ， 虽 然 G P G （ 开 源 版 本 的 P G P ） 的 使 用 量 在 持 续 增 长 ， 人 们 仍 然 习 惯 于 使 用 短 密 钥 。 在 E v i l   3 2 网 站 上 他 们 作 出 了 声 明 ： “ 1 5 年 前 出 现 的 3 2 位 的 密 钥 ， 到 现 在 其 实 已 经 过 时 了 。 我 们 使 用 现 代 的 G P U ， 可 以 撞 出 W O T ( 信 任 网 络 结 构 ) 里 每 个 3 2 位 密 钥 I D 。 虽 然 这 并 没 有 彻 底 打 破 G P G 加 密 ， 但 这 确 实 减 弱 了 G P G 的 可 用 性 ， 大 家 使 用 时 出 问 题 的 可 能 性 也 大 大 增 加 。 ” 真 实 情 况 有 多 糟 呢 ？ 研 究 人 员 花 了 4 秒 的 时 间 借 助 s c a l l i o n 程 序 ， 使 用 了 普 通 的 G P U （ N v i d i a   G e F o r c e   G T X ） 进 行 碰 撞 ， 很 轻 松 就 生 成 了 一 个 3 2 位 的 密 钥 I D 。 这 其 实 并 不 是 针 对 L i n u x 的 攻 击 ， 事 实 上 现 在 也 似 乎 没 有 造 成 什 么 实 际 危 害 。 但 是 L i n u x 的 内 核 分 支 的 核 心 维 护 人 员 K r o a h - H a r t m a n 解 释 道 ： “ 这 不 仅 仅 危 及 到 了 L i n u x 内 核 开 发 人 员 ， 而 且 还 影 响 了 P G P 信 任 闭 环 里 的 2 . 4 万 密 钥 。 这 种 情 况 已 经 持 续 了 很 长 一 段 时 间 ， 而 G P G 在 这 里 很 难 得 到 正 确 使 用 。 ” 然 而 ， L i n u x 开 发 人 员 们 是 首 先 注 意 到 P G P 签 名 代 码 发 布 时 出 现 了 一 些 奇 怪 的 东 西 的 。 当 时 S w a n s o n 向 Y c o m h i n a t o r   N e w s 解 释 道 ： “ 我 们 想 要 让 人 们 意 识 到 使 用 短 密 钥 I D 带 来 了 很 大 的 威 胁 ， 在 2 1 世 纪 密 钥 I D 是 很 容 易 伪 造 的 。 密 钥 内 容 里 面 的 有 一 大 部 分 是 没 有 被 签 名 所 关 联 的 ， 所 以 这 部 分 内 容 是 可 以 进 行 更 改 的 。 同 时 ， 我 们 认 为 密 钥 被 上 传 到 公 共 的 密 钥 服 务 器 上 ， 对 P G P 生 态 系 统 是 弊 大 于 利 的 。 我 们 不 能 因 为 这 还 没 有 产 生 危 害 ， 就 随 意 放 心 使 用 P G P 。 我 们 必 须 认 识 到 ， 任 何 人 都 可 以 很 容 易 地 复 制 密 钥 。 我 们 使 用 团 队 内 部 的 脚 本 去 克 隆 W O T ， 只 花 费 了 不 到 一 个 星 期 。 如 果 有 人 熟 悉 G P G ， 他 克 隆 一 个 密 钥 可 能 也 只 需 要 几 分 钟 。 所 以 ， G P G 生 态 系 统 需 要 做 出 更 好 的 防 御 机 制 。 ” 安 全 专 家 建 议 使 用 G P G 时 都 带 上 长 密 钥 ， 而 且 最 好 不 要 通 过 公 共 密 钥 服 务 器 进 行 自 动 更 新 。 来 源 ： F r e e B u f . C O M 更 多 资 讯 更 多 资 讯 1 .   黑 客 入 侵 彩 票 行 业 现 象 严 重   不 正 规 的 彩 票 网 站 漏 洞 多   彩 民 应 当 学 会 自 我 保 护 h t t p : / / t . c n / R t r j V X Z 2 .   个 人 信 息 买 卖 孳 生 黑 色 产 业 链   泄 露 信 息 最 高 判 7 年 h t t p : / / t . c n / R t r j V 1 0 3 .   一 类 新 型 算 法 将 信 息 巧 妙 隐 藏 在 音 乐 当 中 h t t p : / / t . c n / R t r j f b i 4 .   关 于 C h r o m e   V 8 引 擎 “ B a d K e r n e l ” 漏 洞 情 况 的 通 报 h t t p : / / t . c n / R t r j f 0 v 5 .   密 码 破 解 神 器 h a s h c a t 新 版 本 v 3 . 1 0 发 布 h t t p : / / t . c n / R t r j f D v （ 信 息 来 源 于 网 络 ， 安 华 金 和 搜 集 整 理 ）

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理