黨建活動(dòng)

密碼科普|密碼應(yīng)用的安全性問(wèn)題

 二維碼
發(fā)表時(shí)間：2020-07-31 10:00作者：賽寶商密團(tuán)隊(duì)來(lái)源：賽寶商密通

密碼是保障網(wǎng)絡(luò)空間安全的核心技術(shù)，在網(wǎng)絡(luò)空間安全防護(hù)中發(fā)揮著重要的基礎(chǔ)支撐作用。密碼技術(shù)只有得到合規(guī)、正確、有效應(yīng)用，才能發(fā)揮安全支撐作用，否則應(yīng)用系統(tǒng)的安全問(wèn)題就沒(méi)有真正解決。

在實(shí)際應(yīng)用中，由于各種原因，各類(lèi)用戶有可能棄用、亂用、誤用密碼技術(shù)，導(dǎo)致應(yīng)用系統(tǒng)的安全性得不到有效保障，甚至一些不合規(guī)、不安全的密碼產(chǎn)品和實(shí)現(xiàn)還會(huì)遭受攻擊者的入侵和破壞，造成比不用密碼技術(shù)更廣泛、更嚴(yán)重的安全問(wèn)題。


01 密碼技術(shù)被棄用

密碼技術(shù)只有被上層應(yīng)用調(diào)用，才有機(jī)會(huì)發(fā)揮作用。

如果相關(guān)單位對(duì)密碼在安全防護(hù)中的重要地位缺乏認(rèn)識(shí)，為節(jié)省資源或貪圖便利，在開(kāi)發(fā)工作中故意忽視密碼技術(shù)，那么此類(lèi)應(yīng)用中信息的保密性、信息來(lái)源的真實(shí)性、數(shù)據(jù)的完整性和行為的不可否認(rèn)性等必然會(huì)缺乏相應(yīng)密碼算法、協(xié)議等的支撐，整個(gè)系統(tǒng)會(huì)毫無(wú)安全可言。


02 密碼技術(shù)被亂用

如果相關(guān)單位對(duì)密碼在信息互聯(lián)互通中的重要作用缺乏認(rèn)識(shí)，不嚴(yán)格執(zhí)行密碼標(biāo)準(zhǔn)，不規(guī)范調(diào)用密碼技術(shù)，就會(huì)導(dǎo)致系統(tǒng)無(wú)法對(duì)接，甚至出現(xiàn)安全漏洞。

常見(jiàn)案例:

  • 未明確約定協(xié)議底層使用的算法名稱及參數(shù)

  • 擅自修改數(shù)據(jù)接口及數(shù)據(jù)格式

  • 簡(jiǎn)化使用標(biāo)準(zhǔn)所規(guī)定的密碼協(xié)議

  • 大量的SSL軟件并沒(méi)有正確地驗(yàn)證網(wǎng)絡(luò)實(shí)體與公鑰／數(shù)字證書(shū)的綁定關(guān)系，在數(shù)字證書(shū)驗(yàn)證過(guò)程中沒(méi)有檢查根證書(shū)配置和實(shí)體身份標(biāo)識(shí)，在這種情況下，即使啟用了SSL協(xié)議，仍然會(huì)存在中間人攻擊的風(fēng)險(xiǎn)

  • ……


03 密碼技術(shù)被誤用


如果相關(guān)單位對(duì)密碼應(yīng)用缺乏技能和經(jīng)驗(yàn)，不清楚合規(guī)性要求，不了解密碼算法的類(lèi)型、協(xié)議參與方的角色要求、關(guān)鍵參數(shù)的類(lèi)型和規(guī)模等基本知識(shí)，錯(cuò)誤調(diào)用密碼技術(shù)，就會(huì)不可避免地產(chǎn)生安全漏洞。

常見(jiàn)案例:

  • 顛倒分組密碼中密鑰和明文的位置

  • 使用固定值而不是隨機(jī)數(shù)作為加密算法初始向量

  • 使用計(jì)數(shù)器代替數(shù)字簽名中的隨機(jī)數(shù)

  • 顛倒身份鑒別中的挑戰(zhàn)者與響應(yīng)者角色等

  • 一些系統(tǒng)中支持了已被實(shí)際破解的密碼算法（如MD5、SHA-1等），導(dǎo)致密碼支撐資源被錯(cuò)誤調(diào)用

  • 在 SSL協(xié)議部署時(shí)存在密碼算法配置錯(cuò)誤、密碼協(xié)議配置錯(cuò)誤、證書(shū)配置錯(cuò)誤等情況

  • 在利用隨機(jī)數(shù)生成密鑰時(shí)，使用不安全的隨機(jī)數(shù)發(fā)生器，或者不正確地使用隨機(jī)數(shù)發(fā)生器，會(huì)導(dǎo)致產(chǎn)生大量重復(fù)密鑰或重復(fù)使用的素因子

  • ……


棄用、亂用、誤用密碼技術(shù)都將導(dǎo)致安全問(wèn)題。因此，合規(guī)、正確、有效使用密碼技術(shù)是信息系統(tǒng)責(zé)任單位、應(yīng)用開(kāi)發(fā)商等相關(guān)主體必須學(xué)習(xí)并熟練掌握的基本能力。同時(shí)也必須認(rèn)識(shí)到，只有責(zé)任單位、應(yīng)用開(kāi)發(fā)商等相關(guān)主體了解、提煉實(shí)際安全需求，才能在其使用密碼技術(shù)建設(shè)安全應(yīng)用的過(guò)程中有機(jī)會(huì)做到“正確規(guī)范”。

以某應(yīng)用中需要“抗抵賴簽名”為例，關(guān)鍵信息包括簽名者的身份、簽署內(nèi)容的類(lèi)型、具體的數(shù)據(jù)格式及驗(yàn)簽者的身份等。這些與實(shí)際應(yīng)用密切相關(guān)的細(xì)節(jié)信息，是密碼技術(shù)自身所不能掌握的。信息系統(tǒng)責(zé)任單位務(wù)必與相關(guān)主體深入溝通，明確此類(lèi)細(xì)節(jié)，提煉安全需求，從而為正確規(guī)范使用密碼技術(shù)做好準(zhǔn)備。

合規(guī)、正確、有效使用密碼，使用自主、安全、可控的密碼，才能有力護(hù)航國(guó)家安全和經(jīng)濟(jì)社會(huì)發(fā)展，有力保障公民合法權(quán)益和個(gè)人隱私。



——部分內(nèi)容摘錄自《商用密碼應(yīng)用與安全性評(píng)估》