密碼科普|密碼應用的安全性問題

 二維碼
發(fā)表時間：2020-07-31 10:00作者：賽寶商密團隊來源：賽寶商密通

密碼是保障網(wǎng)絡空間安全的核心技術，在網(wǎng)絡空間安全防護中發(fā)揮著重要的基礎支撐作用。密碼技術只有得到合規(guī)、正確、有效應用，才能發(fā)揮安全支撐作用，否則應用系統(tǒng)的安全問題就沒有真正解決。

在實際應用中，由于各種原因，各類用戶有可能棄用、亂用、誤用密碼技術，導致應用系統(tǒng)的安全性得不到有效保障，甚至一些不合規(guī)、不安全的密碼產(chǎn)品和實現(xiàn)還會遭受攻擊者的入侵和破壞，造成比不用密碼技術更廣泛、更嚴重的安全問題。


01 密碼技術被棄用

密碼技術只有被上層應用調用，才有機會發(fā)揮作用。

如果相關單位對密碼在安全防護中的重要地位缺乏認識，為節(jié)省資源或貪圖便利，在開發(fā)工作中故意忽視密碼技術，那么此類應用中信息的保密性、信息來源的真實性、數(shù)據(jù)的完整性和行為的不可否認性等必然會缺乏相應密碼算法、協(xié)議等的支撐，整個系統(tǒng)會毫無安全可言。


02 密碼技術被亂用

如果相關單位對密碼在信息互聯(lián)互通中的重要作用缺乏認識，不嚴格執(zhí)行密碼標準，不規(guī)范調用密碼技術，就會導致系統(tǒng)無法對接，甚至出現(xiàn)安全漏洞。

常見案例:

  • 未明確約定協(xié)議底層使用的算法名稱及參數(shù)

  • 擅自修改數(shù)據(jù)接口及數(shù)據(jù)格式

  • 簡化使用標準所規(guī)定的密碼協(xié)議

  • 大量的SSL軟件并沒有正確地驗證網(wǎng)絡實體與公鑰／數(shù)字證書的綁定關系，在數(shù)字證書驗證過程中沒有檢查根證書配置和實體身份標識，在這種情況下，即使啟用了SSL協(xié)議，仍然會存在中間人攻擊的風險

  • ……


03 密碼技術被誤用


如果相關單位對密碼應用缺乏技能和經(jīng)驗，不清楚合規(guī)性要求，不了解密碼算法的類型、協(xié)議參與方的角色要求、關鍵參數(shù)的類型和規(guī)模等基本知識，錯誤調用密碼技術，就會不可避免地產(chǎn)生安全漏洞。

常見案例:

  • 顛倒分組密碼中密鑰和明文的位置

  • 使用固定值而不是隨機數(shù)作為加密算法初始向量

  • 使用計數(shù)器代替數(shù)字簽名中的隨機數(shù)

  • 顛倒身份鑒別中的挑戰(zhàn)者與響應者角色等

  • 一些系統(tǒng)中支持了已被實際破解的密碼算法（如MD5、SHA-1等），導致密碼支撐資源被錯誤調用

  • 在 SSL協(xié)議部署時存在密碼算法配置錯誤、密碼協(xié)議配置錯誤、證書配置錯誤等情況

  • 在利用隨機數(shù)生成密鑰時，使用不安全的隨機數(shù)發(fā)生器，或者不正確地使用隨機數(shù)發(fā)生器，會導致產(chǎn)生大量重復密鑰或重復使用的素因子

  • ……


棄用、亂用、誤用密碼技術都將導致安全問題。因此，合規(guī)、正確、有效使用密碼技術是信息系統(tǒng)責任單位、應用開發(fā)商等相關主體必須學習并熟練掌握的基本能力。同時也必須認識到，只有責任單位、應用開發(fā)商等相關主體了解、提煉實際安全需求，才能在其使用密碼技術建設安全應用的過程中有機會做到“正確規(guī)范”。

以某應用中需要“抗抵賴簽名”為例，關鍵信息包括簽名者的身份、簽署內(nèi)容的類型、具體的數(shù)據(jù)格式及驗簽者的身份等。這些與實際應用密切相關的細節(jié)信息，是密碼技術自身所不能掌握的。信息系統(tǒng)責任單位務必與相關主體深入溝通，明確此類細節(jié)，提煉安全需求，從而為正確規(guī)范使用密碼技術做好準備。

合規(guī)、正確、有效使用密碼，使用自主、安全、可控的密碼，才能有力護航國家安全和經(jīng)濟社會發(fā)展，有力保障公民合法權益和個人隱私。



——部分內(nèi)容摘錄自《商用密碼應用與安全性評估》