[科普中國]-加密

加密，是以某種特殊的算法改變?cè)械男畔?shù)據(jù)，使得未授權(quán)的用戶即使獲得了已加密的信息，但因不知解密的方法，仍然無法了解信息的內(nèi)容。 在航空學(xué)中，指利用航空攝影像片上已知的少數(shù)控制點(diǎn)，通過對(duì)像片測量和計(jì)算的方法在像對(duì)或整條航攝帶上增加控制點(diǎn)的作業(yè)。

歷史來源加密之所以安全，絕非因不知道加密解密算法方法，而是加密的密鑰是絕對(duì)的隱藏，流行的RSA和AES加密算法都是完全公開的，一方取得已加密的數(shù)據(jù)，就算知道加密算法也好，若沒有加密的密鑰，也不能打開被加密保護(hù)的信息。單單隱蔽加密算法以保護(hù)信息，在學(xué)界和業(yè)界已有相當(dāng)討論，一般認(rèn)為是不夠安全的。公開的加密算法是給黑客和加密家長年累月攻擊測試，對(duì)比隱蔽的加密算法要安全得多。

在密碼學(xué)中，加密是將明文信息隱匿起來，使之在缺少特殊信息時(shí)不可讀。雖然加密作為通信保密的手段已經(jīng)存在了幾個(gè)世紀(jì)，但是，只有那些對(duì)安全要求特別高的組織和個(gè)人才會(huì)使用它。在20世紀(jì)70年代中期，強(qiáng)加密（Strong Encryption） 的使用開始從政府保密機(jī)構(gòu)延伸至公共領(lǐng)域， 并且目 前已經(jīng)成為保護(hù)許多廣泛使用系統(tǒng)的方法，比如因特網(wǎng)電子商務(wù)、手機(jī)網(wǎng)絡(luò)和銀行自動(dòng)取款機(jī)等。

加密可以用于保證安全性， 但是其它一些技術(shù)在保障通信安全方面仍然是必須的，尤其是關(guān)于數(shù)據(jù)完整性和信息驗(yàn)證；例如，信息驗(yàn)證碼（MAC）或者數(shù)字簽名。另一方面的考慮是為了應(yīng)付流量分析。

加密或軟件編碼隱匿（Code Obfuscation）同時(shí)也在軟件版權(quán)保護(hù)中用于對(duì)付反向工程，未授權(quán)的程序分析，破解和軟件盜版及數(shù)位內(nèi)容的數(shù)位版權(quán)管理 （DRM）等。

盡管加密或?yàn)榱税踩康膶?duì)信息解碼這個(gè)概念十分簡單，但在這里仍需對(duì)其進(jìn)行解釋。數(shù)據(jù)加密的基本過程包括對(duì)稱為明文的原來可讀信息進(jìn)行翻譯，譯成稱為密文或密碼的代碼形式。該過程的逆過程為解密，即將該編碼信息轉(zhuǎn)化為其原來的形式的過程。

淵源在古代，加密是由許多辦法完成的。在中國較“流行”使用淀粉水在紙上寫字，再浸泡在碘水中使字浮現(xiàn)出來。而外國就不同了，最經(jīng)典的莫過于伯羅奔尼撒戰(zhàn)爭。公元前405年，雅典和斯巴達(dá)之間的伯羅奔尼撒戰(zhàn)爭已進(jìn)入尾聲。斯巴達(dá)軍隊(duì)逐漸占據(jù)了優(yōu)勢(shì)地位，準(zhǔn)備對(duì)雅典發(fā)動(dòng)最后一擊。這時(shí)，原來站在斯巴達(dá)一邊的波斯帝國突然改變態(tài)度，停止了對(duì)斯巴達(dá)的援助，意圖是使雅典和斯巴達(dá)在持續(xù)的戰(zhàn)爭中兩敗俱傷，以便從中漁利。在這種情況下，斯巴達(dá)急需摸清波斯帝國的具體行動(dòng)計(jì)劃，以便采取新的戰(zhàn)略方針。正在這時(shí)，斯巴達(dá)軍隊(duì)捕獲了一名從波斯帝國回雅典送信的雅典信使。斯巴達(dá)士兵仔細(xì)搜查這名信使，可搜查了好大一陣，除了從他身上搜出一條布滿雜亂無章的希臘字母的普通腰帶外，別無他獲。情報(bào)究竟藏在什么地方呢？斯巴達(dá)軍隊(duì)統(tǒng)帥萊桑德把注意力集中到了那條腰帶上，情報(bào)一定就在那些雜亂的字母之中。他反復(fù)琢磨研究這些天書似的文字，把腰帶上的字母用各種方法重新排列組合，怎么也解不出來。最后，萊桑德失去了信心，他一邊擺弄著那條腰帶，一邊思考著弄到情報(bào)的其他途徑。當(dāng)他無意中把腰帶呈螺旋形纏繞在手中的劍鞘上時(shí)，奇跡出現(xiàn)了。原來腰帶上那些雜亂無章的字母，竟組成了一段文字。這便是雅典間諜送回的一份情報(bào)，它告訴雅典，波斯軍隊(duì)準(zhǔn)備在斯巴達(dá)軍隊(duì)發(fā)起最后攻擊時(shí)，突然對(duì)斯巴達(dá)軍隊(duì)進(jìn)行襲擊。斯巴達(dá)軍隊(duì)根據(jù)這份情報(bào)馬上改變了作戰(zhàn)計(jì)劃，先以迅雷不及掩耳之勢(shì)攻擊毫無防備的波斯軍隊(duì)，并一舉將它擊潰，解除了后顧之憂。隨后，斯巴達(dá)軍隊(duì)回師征伐雅典，終于取得了戰(zhàn)爭的最后勝利。

雅典間諜送回的腰帶情報(bào)，就是世界上最早的密碼情報(bào)，具體運(yùn)用方法是，通信雙方首先約定密碼解讀規(guī)則，然后通信—方將腰帶（或羊皮等其他東西）纏繞在約定長度和粗細(xì)的木棍上書寫。收信—方接到后，如不把腰帶纏繞在同樣長度和粗細(xì)的木棍上，就只能看到一些毫無規(guī)則的字母。后來，這種密碼通信方式在希臘廣為流傳?，F(xiàn)代的密碼電報(bào)，據(jù)說就是受了它的啟發(fā)而發(fā)明的。

由來加密作為保障數(shù)據(jù)安全的一種方式，它不是才有的，它產(chǎn)生的歷史相當(dāng)久遠(yuǎn)，它是起源于要追溯于公元前2000年（幾個(gè)世紀(jì)了），雖然它不是我們所講的加密技術(shù)（甚至不叫加密），但作為一種加密的概念，確實(shí)早在幾個(gè)世紀(jì)前就誕生了。當(dāng)時(shí)埃及人是最先使用特別的象形文字作為信息編碼的，隨著時(shí)間推移，巴比倫、美索不達(dá)米亞和希臘文明都開始使用一些方法來保護(hù)他們的書面信息。

近期加密技術(shù)主要應(yīng)用于軍事領(lǐng)域，如美國獨(dú)立戰(zhàn)爭、美國內(nèi)戰(zhàn)和兩次世界大戰(zhàn)。最廣為人知的編碼機(jī)器是German Enigma機(jī)，在第二次世界大戰(zhàn)中德國人利用它創(chuàng)建了加密信息。此后，由于Alan Turing和Ultra計(jì)劃以及其他人的努力，終于對(duì)德國人的密碼進(jìn)行了破解。當(dāng)初，計(jì)算機(jī)的研究就是為了破解德國人的密碼，人們并沒有想到計(jì)算機(jī)帶來的信息革命。隨著計(jì)算機(jī)的發(fā)展，運(yùn)算能力的增強(qiáng)，過去的密碼都變得十分簡單了，于是人們又不斷地研究出了新的數(shù)據(jù)加密方式，如利用RSA算法產(chǎn)生的私鑰和公鑰就是在這個(gè)基礎(chǔ)上產(chǎn)生的。1

簡介概念數(shù)據(jù)加密的基本過程就是對(duì)原來為明文的文件或數(shù)據(jù)按某種算法進(jìn)行處理，使其成為不可讀的一段代碼，通常稱為"密文"，使其只能在輸入相應(yīng)的密鑰之后才能顯示出本來內(nèi)容，通過這樣的途徑來達(dá)到保護(hù)數(shù)據(jù)不被非法人竊取、閱讀的目的。

該過程的逆過程為解密，即將該編碼信息轉(zhuǎn)化為其原來數(shù)據(jù)的過程。

理由當(dāng)今網(wǎng)絡(luò)社會(huì)選擇加密已是我們別無選擇，其一是我們知道在互聯(lián)網(wǎng)上進(jìn)行文件傳輸、電子郵件商務(wù)往來存在許多不安全因素，特別是對(duì)于一些大公司和一些機(jī)密文件在網(wǎng)絡(luò)上傳輸。而且這種不安全性是互聯(lián)網(wǎng)存在基礎(chǔ)——TCP/IP協(xié)議所固有的，包括一些基于TCP/IP的服務(wù)；另一方面，互聯(lián)網(wǎng)給眾多的商家?guī)砹藷o限的商機(jī)，互聯(lián)網(wǎng)把全世界連在了一起，走向互聯(lián)網(wǎng)就意味著走向了世界，這對(duì)于無數(shù)商家無疑是夢(mèng)寐以求的好事，特別是對(duì)于中小企業(yè)。為了解決這一對(duì)矛盾、為了能在安全的基礎(chǔ)上大開這通向世界之門，我們只好選擇了數(shù)據(jù)加密和基于加密技術(shù)的數(shù)字簽名。

加密在網(wǎng)絡(luò)上的作用就是防止有用或私有化信息在網(wǎng)絡(luò)上被攔截和竊取。一個(gè)簡單的例子就是密碼的傳輸，計(jì)算機(jī)密碼極為重要，許多安全防護(hù)體系是基于密碼的，密碼的泄露在某種意義上來講意味著其安全體系的全面崩潰。

通過網(wǎng)絡(luò)進(jìn)行登錄時(shí)，所鍵入的密碼以明文的形式被傳輸?shù)椒?wù)器，而網(wǎng)絡(luò)上的竊聽是一件極為容易的事情，所以很有可能黑客會(huì)竊取得用戶的密碼，如果用戶是Root用戶或Administrator用戶，那后果將是極為嚴(yán)重的。

還有如果你公司在進(jìn)行著某個(gè)招標(biāo)項(xiàng)目的投標(biāo)工作，工作人員通過電子郵件的方式把他們單位的標(biāo)書發(fā)給招標(biāo)單位，如果此時(shí)有另一位競爭對(duì)手從網(wǎng)絡(luò)上竊取到你公司的標(biāo)書，從中知道你公司投標(biāo)的標(biāo)的，那后果將是怎樣，相信不用多說聰明的你也明白。

這樣的例子實(shí)在是太多了，解決上述難題的方案就是加密，加密后的口令即使被黑客獲得也是不可讀的，加密后的標(biāo)書沒有收件人的私鑰也就無法解開，標(biāo)書成為一大堆無任何實(shí)際意義的亂碼?？傊疅o論是單位還是個(gè)人在某種意義上來說加密也成為當(dāng)今網(wǎng)絡(luò)社會(huì)進(jìn)行文件或郵件安全傳輸?shù)臅r(shí)代象征！

數(shù)字簽名就是基于加密技術(shù)的，它的作用就是用來確定用戶是否是真實(shí)的。應(yīng)用最多的還是電子郵件，如當(dāng)用戶收到一封電子郵件時(shí)，郵件上面標(biāo)有發(fā)信人的姓名和信箱地址，很多人可能會(huì)簡單地認(rèn)為發(fā)信人就是信上說明的那個(gè)人，但實(shí)際上偽造一封電子郵件對(duì)于一個(gè)通常人來說是極為容易的事。在這種情況下，就要用到加密技術(shù)基礎(chǔ)上的數(shù)字簽名，用它來確認(rèn)發(fā)信人身份的真實(shí)性。

類似數(shù)字簽名技術(shù)的還有一種身份認(rèn)證技術(shù)，有些站點(diǎn)提供入站FTP和WWW服務(wù)，當(dāng)然用戶通常接觸的這類服務(wù)是匿名服務(wù)，用戶的權(quán)力要受到限制，但也有的這類服務(wù)不是匿名的，如某公司為了信息交流提供用戶的合作伙伴非匿名的FTP服務(wù)，或開發(fā)小組把他們的Web網(wǎng)頁上載到用戶的WWW服務(wù)器上，問題就是，用戶如何確定正在訪問用戶的服務(wù)器的人就是用戶認(rèn)為的那個(gè)人，身份認(rèn)證技術(shù)就是一個(gè)好的解決方案。

在這里需要強(qiáng)調(diào)一點(diǎn)的就是，文件加密其實(shí)不只用于電子郵件或網(wǎng)絡(luò)上的文件傳輸，其實(shí)也可應(yīng)用靜態(tài)的文件保護(hù)，如PIP軟件就可以對(duì)磁盤、硬盤中的文件或文件夾進(jìn)行加密，以防他人竊取其中的信息。

分類加密建立在對(duì)信息進(jìn)行數(shù)學(xué)編碼和解碼的基礎(chǔ)上。加密類型分為兩種，對(duì)稱加密與非對(duì)稱加密，對(duì)稱加密雙方采用共同密鑰，（當(dāng)然這個(gè)密鑰是需要對(duì)外保密的），這里講一下非對(duì)稱加密，這種加密方式存在兩個(gè)密鑰，密鑰-- 一種是公共密鑰（正如其名，這是一個(gè)可以公開的密鑰值），一種是私人密鑰（對(duì)外保密）。 您發(fā)送信息給我們時(shí)，使用公共密鑰加密信息。 一旦我們收到您的加密信息，我們則使用私人密鑰破譯信息密碼（被我們的公鑰加密的信息，只有我們的私鑰可以解密，這樣，就在技術(shù)上保證了這封信只有我們才能解讀——因?yàn)閯e人沒有我們的私鑰）。 使用私人密鑰加密的信息只能使用公共密鑰解密（這一功能應(yīng)用與數(shù)字簽名領(lǐng)域，我的私鑰加密的數(shù)據(jù)，只有我的公鑰可以解讀，具體內(nèi)容參考數(shù)字簽名的信息）反之亦然，以確保您的信息安全。

標(biāo)準(zhǔn)最早、最著名的保密密鑰或?qū)ΨQ密鑰加密算法DES(Data Encryption Standard)是由IBM公司在70年代發(fā)展起來的，并經(jīng)政府的加密標(biāo)準(zhǔn)篩選后，于1976年11月被美國政府采用，DES隨后被美國國家標(biāo)準(zhǔn)局和美國國家標(biāo)準(zhǔn)協(xié)會(huì)（American National Standard Institute，ANSI）承認(rèn)。

DES使用56位密鑰對(duì)64位的數(shù)據(jù)塊進(jìn)行加密，并對(duì)64位的數(shù)據(jù)塊進(jìn)行16輪編碼。與每輪編碼時(shí)，一個(gè)48位的"每輪"密鑰值由56位的完整密鑰得出來。DES用軟件進(jìn)行解碼需用很長時(shí)間，而用硬件解碼速度非?？?。幸運(yùn)的是，當(dāng)時(shí)大多數(shù)黑客并沒有足夠的設(shè)備制造出這種硬件設(shè)備。在1977年，人們估計(jì)要耗資兩千萬美元才能建成一個(gè)專門計(jì)算機(jī)用于DES的解密，而且需要12個(gè)小時(shí)的破解才能得到結(jié)果。當(dāng)時(shí)DES被認(rèn)為是一種十分強(qiáng)大的加密方法。

隨著計(jì)算機(jī)硬件的速度越來越快，制造一臺(tái)這樣特殊的機(jī)器的花費(fèi)已經(jīng)降到了十萬美元左右，而用它來保護(hù)十億美元的銀行，那顯然是不夠保險(xiǎn)了。另一方面，如果只用它來保護(hù)一臺(tái)普通服務(wù)器，那么DES確實(shí)是一種好的辦法，因?yàn)楹诳徒^不會(huì)僅僅為入侵一個(gè)服務(wù)器而花那么多的錢破解DES密文。

另一種非常著名的加密算法就是RSA了，RSA(Rivest-Shamir-Adleman)算法是基于大數(shù)不可能被質(zhì)因數(shù)分解假設(shè)的公鑰體系。簡單地說就是找兩個(gè)很大的質(zhì)數(shù)。一個(gè)對(duì)外公開的為"公鑰"（Public key） ，另一個(gè)不告訴任何人，稱為"私鑰"（Private key）。這兩個(gè)密鑰是互補(bǔ)的，也就是說用公鑰加密的密文可以用私鑰解密，反過來也一樣。

假設(shè)用戶甲要寄信給用戶乙，他們互相知道對(duì)方的公鑰。甲就用乙的公鑰加密郵件寄出，乙收到后就可以用自己的私鑰解密出甲的原文。由于別人不知道乙的私鑰，所以即使是甲本人也無法解密那封信，這就解決了信件保密的問題。另一方面，由于每個(gè)人都知道乙的公鑰，他們都可以給乙發(fā)信，那么乙怎么確信是不是甲的來信呢？那就要用到基于加密技術(shù)的數(shù)字簽名了。

甲用自己的私鑰將簽名內(nèi)容加密，附加在郵件后，再用乙的公鑰將整個(gè)郵件加密（注意這里的次序，如果先加密再簽名的話，別人可以將簽名去掉后簽上自己的簽名，從而篡改了簽名）。這樣這份密文被乙收到以后，乙用自己的私鑰將郵件解密，得到甲的原文和數(shù)字簽名，然后用甲的公鑰解密簽名，這樣一來就可以確保兩方面的安全了。2

加密技術(shù)定義加密技術(shù)是最常用的安全保密手段，利用技術(shù)手段把重要的數(shù)據(jù)變?yōu)閬y碼（加密）傳送，到達(dá)目的地后再用相同或不同的手段還原（解密）。

加密技術(shù)包括兩個(gè)元素：算法和密鑰。算法是將普通的信息或者可以理解的信息與一串?dāng)?shù)字（密鑰）結(jié)合，產(chǎn)生不可理解的密文的步驟，密鑰是用來對(duì)數(shù)據(jù)進(jìn)行編碼和解密的一種算法。在安全保密中，可通過適當(dāng)?shù)蔫€加密技術(shù)和管理機(jī)制來保證網(wǎng)絡(luò)的信息通信安全。

應(yīng)用加密技術(shù)的應(yīng)用是多方面的，但最為廣泛的還是在電子商務(wù),VPN和數(shù)據(jù)安全方面的應(yīng)用，下面就分別簡敘。

電子商務(wù)

電子商務(wù)（E-business）要求顧客可以在網(wǎng)上進(jìn)行各種商務(wù)活動(dòng)，不必?fù)?dān)心自己的信用卡會(huì)被人盜用。在過去，用戶為了防止信用卡的號(hào)碼被竊取到，一般是通過電話訂貨，然后使用用戶的信用卡進(jìn)行付款。人們開始用RSA（一種公開/私有密鑰）的加密技術(shù)，提高信用卡交易的安全性，從而使電子商務(wù)走向?qū)嵱贸蔀榭赡堋?/p>

許多人都知道NETSCAPE公司是Internet商業(yè)中領(lǐng)先技術(shù)的提供者，該公司提供了一種基于RSA和保密密鑰的應(yīng)用于因特網(wǎng)的技術(shù)，被稱為安全插座層（Secure Sockets Layer，SSL）。

也許很多人知道Socket，它是一個(gè)編程接口，并不提供任何安全措施，而SSL不但提供編程接口，而且向上提供一種安全的服務(wù)，SSL3.0已經(jīng)應(yīng)用到了服務(wù)器和瀏覽器上，SSL2.0則只能應(yīng)用于服務(wù)器端。

SSL3.0用一種電子證書（electric certificate）來實(shí)行身份進(jìn)行驗(yàn)證后，雙方就可以用保密密鑰進(jìn)行安全的會(huì)話了。它同時(shí)使用"對(duì)稱"和"非對(duì)稱"加密方法，在客戶與電子商務(wù)的服務(wù)器進(jìn)行溝通的過程中，客戶會(huì)產(chǎn)生一個(gè)Session Key，然后客戶用服務(wù)器端的公鑰將Session Key進(jìn)行加密，再傳給服務(wù)器端，在雙方都知道Session Key后，傳輸?shù)臄?shù)據(jù)都是以Session Key進(jìn)行加密與解密的，但服務(wù)器端發(fā)給用戶的公鑰必需先向有關(guān)發(fā)證機(jī)關(guān)申請(qǐng)，以得到公證。

基于SSL3.0提供的安全保障，用戶就可以自由訂購商品并且給出信用卡號(hào)了，也可以在網(wǎng)上和合作伙伴交流商業(yè)信息并且讓供應(yīng)商把訂單和收貨單從網(wǎng)上發(fā)過來，這樣可以節(jié)省大量的紙張，為公司節(jié)省大量的電話、傳真費(fèi)用。在過去，電子信息交換（Electric Data Interchange，EDI）、信息交易（information transaction）和金融交易（financial transaction）都是在專用網(wǎng)絡(luò)上完成的，使用專用網(wǎng)的費(fèi)用大大高于互聯(lián)網(wǎng)。正是這樣巨大的誘惑，才使人們開始發(fā)展因特網(wǎng)上的電子商務(wù)，但不要忘記數(shù)據(jù)加密。

VPN

越來越多的公司走向國際化，一個(gè)公司可能在多個(gè)國家都有辦事機(jī)構(gòu)或銷售中心，每一個(gè)機(jī)構(gòu)都有自己的局域網(wǎng)LAN（Local Area Network），但在當(dāng)今的網(wǎng)絡(luò)社會(huì)人們的要求不僅如此，用戶希望將這些LAN連結(jié)在一起組成一個(gè)公司的廣域網(wǎng)，這個(gè)已不是什么難事了。

事實(shí)上，很多公司都已經(jīng)這樣做了，但他們一般使用租用專用線路來連結(jié)這些局域網(wǎng) ，他們考慮的就是網(wǎng)絡(luò)的安全問題。具有加密/解密功能的路由器已到處都是，這就使人們通過互聯(lián)網(wǎng)連接這些局域網(wǎng)成為可能，這就是我們通常所說的虛擬專用網(wǎng)（Virtual Private Network ，VPN）。當(dāng)數(shù)據(jù)離開發(fā)送者所在的局域網(wǎng)時(shí)，該數(shù)據(jù)首先被用戶端連接到互聯(lián)網(wǎng)上的路由器進(jìn)行硬件加密，數(shù)據(jù)在互聯(lián)網(wǎng)上是以加密的形式傳送的，當(dāng)達(dá)到目的LAN的路由器時(shí)，該路由器就會(huì)對(duì)數(shù)據(jù)進(jìn)行解密，這樣目的LAN中的用戶就可以看到真正的信息了。

數(shù)據(jù)安全

電腦已經(jīng)進(jìn)入千家萬戶，并且在商業(yè)辦公中起著不可替代的作用。電腦中保存的重要數(shù)據(jù)和機(jī)密的數(shù)據(jù)的安全已經(jīng)成為所有電腦使用者十分重視的問題。無論是個(gè)人的電腦數(shù)據(jù)或公司的電腦數(shù)據(jù)，如果一旦泄密，造成的損失和影響將是巨大的。3

相關(guān)資料相關(guān)軟件加密或軟件編碼隱匿（Code Obfuscation）同時(shí)也在軟件版權(quán)保護(hù)中，用于對(duì)付反向工程，未授權(quán)的程序分析，破解和軟件盜版及數(shù)位內(nèi)容的數(shù)位版權(quán)管理（DRM）等。

這種加密服務(wù)在安卓應(yīng)用方面尤其明顯，由于打包黨增多，很多尤其的安卓應(yīng)用都被反編譯，逆向分析，二次打包，所以很多安卓開發(fā)者不得不對(duì)安卓應(yīng)用進(jìn)行加密，然而由于大部分開發(fā)者都把主要的目光集中在App開發(fā)和運(yùn)營上，并沒有太多的時(shí)間和精力自己研發(fā)有效的App加密方法，于是就催生出愛加密這種第三方安卓應(yīng)用加密服務(wù)商，據(jù)36氪報(bào)道，愛加密是基于 SaaS 交付模式的第三方App加密平臺(tái)，讓開發(fā)者只需5—10分鐘便可在線完成 App 高級(jí)加固，為App加上一層保護(hù)殼，既可以有效防止App在運(yùn)營過程中免遭被植入惡意代碼、二次打包、山寨盜版的風(fēng)險(xiǎn)，又可以幫助開發(fā)者節(jié)省開發(fā)時(shí)間和成本。

類別加密算法可以分為兩類：對(duì)稱加密和非對(duì)稱加密

加密技巧下面的技巧可強(qiáng)化加密的安全性：

1.不要使用老的加密算法

企業(yè)應(yīng)當(dāng)停止使用DES等老的加密算法，也不要使用其親戚3DES（三重?cái)?shù)據(jù)加密標(biāo)準(zhǔn)）。

2.使用企業(yè)支持的最長的加密密鑰

建議企業(yè)盡可能使用最大長度的密鑰，這可以使那些無法訪問后門的企業(yè)難以破解企業(yè)的加密。當(dāng)今，AES 128可謂強(qiáng)健，但如果可能，不妨使用AES 512 或更長的密鑰。

3.多層加密

建議企業(yè)盡可能地利用多層加密，這可以增加攻擊者的困難。如果有可能，不妨對(duì)數(shù)據(jù)庫的每個(gè)字段、每個(gè)表以及整個(gè)數(shù)據(jù)庫都進(jìn)行加密。

4.安全存儲(chǔ)加密密鑰

企業(yè)面臨的最大問題可能并不是加密算法被美國的國安局留下后門，而是密碼本身僅僅是加密方案的一部分。對(duì)于基礎(chǔ)架構(gòu)的其它要素，如密鑰管理系統(tǒng)，企業(yè)也必須保證其安全。攻擊者都愿意對(duì)付安全系統(tǒng)的最薄弱環(huán)節(jié)。如果攻擊者很容易就可以竊取密鑰，為什么還會(huì)費(fèi)力破解加密算法呢？

有的企業(yè)將保護(hù)其數(shù)據(jù)的密鑰給第三方，尤其是在企業(yè)將數(shù)據(jù)存儲(chǔ)在公共云中并由云供應(yīng)商加密和保護(hù)時(shí)。這里的問題是，企業(yè)無法控制密鑰，而是必須相信云供應(yīng)商的雇員會(huì)安全地保存密鑰。

如果企業(yè)可以實(shí)施一種可以將密鑰控制在云中的加密系統(tǒng)，就會(huì)安全得多。自動(dòng)處理加密的云加密網(wǎng)關(guān)可以幫助公司實(shí)現(xiàn)這種安全。

5.確保正確實(shí)施加密

事實(shí)上，實(shí)施加密系統(tǒng)并非易事，因?yàn)樗性S多動(dòng)態(tài)部件，任何一個(gè)部件都有可能成為一個(gè)薄弱環(huán)節(jié)。你必須進(jìn)行大量調(diào)查，確保正確實(shí)施加密。

在實(shí)施加密過程中，哪些方面容易出錯(cuò)？除了密鑰容易遭受攻擊，還有CBC（密碼分組鏈接）的實(shí)施方式。使用CBC，可以用同樣長度的隨機(jī)文本塊（也稱為初始化向量）對(duì)純文本進(jìn)行異或運(yùn)算，然后對(duì)其進(jìn)行加密，產(chǎn)生一個(gè)加密文本塊。然后，將前面產(chǎn)生的密文塊作為一個(gè)初始化向量對(duì)下一個(gè)純文本塊進(jìn)行異或運(yùn)算。

CBC的正確實(shí)施要求在開始每個(gè)過程時(shí)都有一個(gè)新的初始化向量。一個(gè)常見的錯(cuò)誤是用一個(gè)不加改變的靜態(tài)初始化向量來實(shí)施CBC。如果正確實(shí)施了CBC，那么，如果我們?cè)趦蓚€(gè)不同的場合加密了文本塊，所生產(chǎn)的密文塊就不會(huì)相同。

6.不要忽視外部因素

公司幾乎無法控制的外部因素有可能破壞加密系統(tǒng)的安全性。例如，SSL依賴于數(shù)字證書，而且這些因素依賴于嵌入在瀏覽器（如IE、火狐、Chrome等）中的根證書頒發(fā)機(jī)構(gòu)的完整性。但是，我們?nèi)绾沃榔涫欠窨尚牛蛘哌@些證書頒發(fā)機(jī)構(gòu)不是某外國情報(bào)機(jī)構(gòu)的幌子？你是否覺得這聽起來牽強(qiáng)附會(huì)，但卻有可能是事實(shí)。

此外，DNS也是不得不重視的弱點(diǎn)。只要DNS被攻克，攻擊者就可以使用釣魚技術(shù)繞過加密。

當(dāng)然，這里強(qiáng)調(diào)的是加密問題的各種可能性。一個(gè)正確實(shí)施的加密系統(tǒng)只能在一種情況下被攻克，即測中密鑰，在短時(shí)間內(nèi)猜對(duì)密鑰并非不可能，但其可能性微乎其微。4

本詞條內(nèi)容貢獻(xiàn)者為:

于仁業(yè) - 高級(jí)工程師 - 中航工業(yè)哈爾濱飛機(jī)工業(yè)集團(tuán)有限責(zé)任公司