丁香花免费高清视频在线观看-久久亚洲国产成人精品无码区-99er热精品视频国产免费-今天上午特朗普访华-国产口爆吞精在线视频

關(guan)于瑞術
黨(dang)建活動(dong)

密碼科普|密碼應用的安全性問題

 二維碼
發(fa)表時間：2020-07-31 10:00作者：賽寶商密(mi)團隊(dui)來源：賽寶商密(mi)通(tong)

密碼是保障網絡空間安全的核心技術，在網絡空間安全防護中發揮著重要的基礎支撐作用。密碼技術只有(you)得到(dao)合規、正確(que)、有(you)效應用，才能發揮(hui)安全支(zhi)撐作用，否(fou)則應用系統的(de)安全問(wen)題(ti)就沒有(you)真正解(jie)決。

在實際應用中，由于各種原因，各類用戶有可能棄用、亂(luan)用、誤(wu)用密(mi)碼技術，導致應用系統的安全性得不到有效保障，甚至一些不合規、不安全的密碼產品和實現還會遭受攻擊者的入侵和破壞，造成比不用密碼技術更廣泛、更嚴重的安全問題。


01 密碼技術被(bei)棄用(yong)

密碼技術只(zhi)有被上層應用(yong)調(diao)用(yong)，才有機會發揮作(zuo)用(yong)。

如(ru)果相關單位對密(mi)碼在安(an)全(quan)(quan)防護中(zhong)的(de)(de)重要地位缺(que)乏(fa)認(ren)識，為(wei)節省資源(yuan)或貪圖便利，在開發(fa)工作中(zhong)故意忽視密(mi)碼技術，那么此類(lei)應(ying)用(yong)中(zhong)信息的(de)(de)保密(mi)性、信息來源(yuan)的(de)(de)真實性、數據的(de)(de)完(wan)整性和行為(wei)的(de)(de)不可否(fou)認(ren)性等必然會缺(que)乏(fa)相應(ying)密(mi)碼算(suan)法、協議等的(de)(de)支撐(cheng)，整個系統會毫(hao)無安(an)全(quan)(quan)可言。


02 密碼技術被亂用(yong)

如果相關單位對(dui)(dui)密(mi)(mi)碼(ma)在信息互聯互通中的重要(yao)作用(yong)缺乏認識，不嚴格執行密(mi)(mi)碼(ma)標準，不規范(fan)調用(yong)密(mi)(mi)碼(ma)技術，就會導致系統無法對(dui)(dui)接，甚至出(chu)現安全漏洞(dong)。

常見案(an)例:

  • 未(wei)明確約(yue)定協議底層使用的算(suan)法名(ming)稱(cheng)及參數

  • 擅自修改數據接口及(ji)數據格(ge)式

  • 簡化使用標準(zhun)所規定的密碼協議

  • 大量的(de)SSL軟(ruan)件并沒(mei)有(you)正確地驗(yan)證(zheng)(zheng)網絡實體(ti)與(yu)公鑰／數字證(zheng)(zheng)書(shu)的(de)綁定(ding)關系，在(zai)數字證(zheng)(zheng)書(shu)驗(yan)證(zheng)(zheng)過程中(zhong)沒(mei)有(you)檢查根(gen)證(zheng)(zheng)書(shu)配置和實體(ti)身份(fen)標識，在(zai)這種情況下，即使啟用了(le)SSL協(xie)議，仍然會(hui)存在(zai)中(zhong)間人攻擊的(de)風險

  • ……


03 密(mi)碼(ma)技術被誤(wu)用


如果相(xiang)關單位對密碼(ma)應用(yong)缺乏技能和經(jing)驗，不清(qing)楚合規(gui)性(xing)要求(qiu)，不了解密碼(ma)算法的(de)類(lei)型(xing)、協議參(can)與方的(de)角色要求(qiu)、關鍵參(can)數的(de)類(lei)型(xing)和規(gui)模等基本知(zhi)識，錯(cuo)誤調用(yong)密碼(ma)技術，就會(hui)不可避免地產(chan)生安全(quan)漏洞。

常見案例(li):

  • 顛(dian)倒分組密碼中密鑰和明(ming)文的位置

  • 使用(yong)固(gu)定(ding)值而不是隨機數作為加密(mi)算法初始向量

  • 使用計數(shu)器(qi)代替數(shu)字簽名(ming)中的隨機數(shu)

  • 顛倒身份鑒別中的(de)挑(tiao)戰者與響應者角色等

  • 一些系統中支持了已被實際破解(jie)的(de)密碼(ma)(ma)算法（如MD5、SHA-1等），導(dao)致密碼(ma)(ma)支撐資源(yuan)被錯誤調用

  • 在 SSL協議部署(shu)時(shi)存(cun)在密碼算法配置(zhi)錯誤(wu)(wu)、密碼協議配置(zhi)錯誤(wu)(wu)、證書配置(zhi)錯誤(wu)(wu)等情況

  • 在利用隨(sui)機(ji)數生(sheng)成密鑰時(shi)，使用不(bu)安全(quan)的(de)隨(sui)機(ji)數發生(sheng)器，或者不(bu)正確地使用隨(sui)機(ji)數發生(sheng)器，會導致產生(sheng)大量(liang)重復密鑰或重復使用的(de)素因(yin)子

  • ……


棄用(yong)、亂用(yong)、誤用(yong)密碼技術都將導致安全問題(ti)。因此，合規、正確、有效使用密碼技術是信息系統責任單位、應用開發商等相關主體必須學習并熟練掌握的基本能力。同時也必須認識到，只有責任單位、應用開發商等相關主體了解、提煉實際安全需求，才能在其使用密碼技術建設安全應用的過程中有機會做到“正確規范”。

以某應用(yong)(yong)中(zhong)需(xu)要“抗(kang)抵賴簽(qian)名”為例，關(guan)鍵信(xin)(xin)息包括簽(qian)名者(zhe)的身份、簽(qian)署(shu)內容的類型、具(ju)體(ti)的數據格式及驗簽(qian)者(zhe)的身份等。這些與實(shi)際應用(yong)(yong)密切相關(guan)的細(xi)(xi)節信(xin)(xin)息，是密碼技術(shu)自身所不能(neng)掌握(wo)的。信(xin)(xin)息系統(tong)責任單位務必與相關(guan)主體(ti)深入(ru)溝(gou)通，明確此類細(xi)(xi)節，提(ti)煉安(an)全需(xu)求，從而為正確規范使用(yong)(yong)密碼技術(shu)做好(hao)準備。

合(he)規(gui)、正(zheng)確、有效(xiao)使用密(mi)碼，使用自主、安(an)全(quan)、可(ke)控的密(mi)碼，才能有力護航(hang)國家(jia)安(an)全(quan)和經濟社會(hui)發展，有力保障公民合(he)法權(quan)益和個(ge)人隱私(si)。



——部分(fen)內容摘錄自《商用(yong)密(mi)碼應用(yong)與安全性評估》