安全硬核科普系列之密码安全技术

“在任何国家，密码技术等同于军火”是密码技术重要性的最好证明。聊到信息安全板块，几乎避不开的话题就是密码学，所有的信息安全类技术都离不开密码技术的支撑，安全密码能力建设也称为“密码基础设施”建设。下面，让我们一起系统的来学习下密码学基本理论。

密码学：密码学是一门研究信息安全保护的科学，以实现信息的保密性、完整性、可用性及抗抵赖性。密码学主要由密码编码和密码分类两个部分组成，其中，密码编码学研究信息的变换处理以实现信息的安全保护，而密码分析学则研究通过密文获取对应的明文信息。

密码学的首要目的是隐藏信息的涵义，并不是隐藏信息的存在。密码学也促进了计算机科学，特别是在于电脑与网络安全所使用的技术，如访问控制与信息的机密性。密码是通信双方按约定的法则进行信息特殊变换的一种重要保密手段。依照这些法则，变明文为密文，称为加密变换；变密文为明文，称为脱密变换。密码在早期仅对文字或数码进行加、脱密变换，随着通信技术的发展，对语音、图像、数据等都可实施加、脱密变换。

从密码的实现技术可将密码技术分为：私钥密码体制（对称加密）、公钥密码体制（非对称加密）、混合密码体制。其主要功能以及优略势如下：

私钥密码体制：也称对称密码体制，在对称加密系统中，加密和解密采用相同的密钥。因为加解密密钥相同，需要通信的双方必须选择和保存他们共同的密钥，各方必须信任对方不会将密钥泄密出去，这样就可以实现数据的机密性和完整性。

公钥密码体制：也称非对称密码体制，在公钥加密系统中，加密和解密是相对独立的，加密和解密会使用两把不同的密钥，加密密钥(公开密钥)向公众公开，谁都可以使用，解密密钥(秘密密钥)只有解密人自己知道，非法使用者根据公开的加密密钥无法推算出解密密钥，顾其可称为公钥密码体制。但公钥密码体系基于大合数因子分解困难性而设计，秘钥一般大于1024位，加解密性能是瓶颈。

混合密码体制：针对私钥和公钥体系的缺陷而设计的密码体制，采用对称密钥加密消息数据，再用接收方的公钥加密对称密钥；将加密后的消息和加密后的对称秘钥同时发送给接收方，接收方用自己的私钥解密得到对称秘钥，然后再用对称秘钥解密消息数据。

混合密码既避免了公钥和私钥密码的缺陷，又将两种密码机制的优势发挥到最大；目前已经成为主流的加解密密码体制，应用于很多应用系统或消息安全传输场景中。

根据密码分析者在破译时已具备的条件，密码攻击类型主要有唯密文攻击、已知明文攻击、选择明文攻击、密文验证攻击、选择密文攻击五种。

唯密文攻击：密码分析者只拥有一个或多个用同一密钥加密的密文，没有其他可利用的信息。

已知明文攻击：密码分析者根据已知的某些明文-密文对来破译密码。一个密码仅当它能经得起已知明文攻击时才可取。

选择明文攻击：密码分析者能够选择明文并获得相应的密文，这对密码分析者十分有利。

密文验证攻击：密码分析者对于任何选定的密文，能够得到该密文“是否合法”的判断。

选择密文攻击：密码分析者能够选择密文并获得相应的明文，这对密码分析者十分有利，主要攻击公钥密码体制。

依据我国相关法律的规定，核心密码、普通密码与商用密码最主要的区别是保护的信息不同，商用密码用于保护不属于国家秘密的信息，而普通密码保护信息的最高密级为机密级，机密级以上则需要使用核心密码。目前我们在市面上见到的密码产品大多为商密产品，商用密码产品按功能可以划分为七类：密码算法类、数据加解密类、认证鉴别类、证书管理类、密钥管理类、密码防伪类和综合类。其中：

密码算法类产品主要是指提供基础密码运算功能的产品，如密码芯片等；

数据加解密类产品主要是指提供数据加解密功能的产品，如服务器密码机、数据库加密机、云服务器密码机、VPN 设备、加密硬盘等；

认证鉴别类产品主要是指提供身份鉴别等功能的产品，如认证网关、动态口令系统、签名验签服务器等；

证书管理类产品主要是指提供证书产生、分发、管理功能的产品，如证书认证系统等。证书认证系统是对生命周期内的数字证书进行全过程管理的系统，包括用户注册管理、证书/CRL 的生成与签发、证书/CRL 的存储与发布、证书状态的查询及安全管理等，通常还与密钥管理系统配合部署（“双中心”）。

密钥管理类产品主要是指提供密钥产生、分发、更新、归档和恢复等功能的产品，如密钥管理系统等。密钥管理类产品常以系统形态出现，通常包括产生密钥的硬件，如密码机、密码卡，以及实现密钥存储、分发、备份、更新、销毁、归档、恢复、查询、统计等服务功能的软件。

密码防伪类产品主要是指提供密码防伪验证功能的产品，如电子印章系统、时间戳服务器等。

综合类产品是指提供含上述六类产品功能的两种或两种以上的产品，如自动柜员机（ATM）密码应用系统等。

按商用密码应用方案，基于等级保护网络分区基础之上，机房网络以商用密码应用分为四个区域。如下图所示：

▲机房监控管理区

机房监控管理区为商用密码应用物理和环境安全防护区，部署国密电子门禁系统对进出机房人员进行身份鉴别，部署符合密码相关国家、行业标准要求的国密摄像头、国密发卡器、国密监控硬盘录像机，对门禁进出记录和视频监控数据进行完整性保护。

▲网络边界区

为网络和通信安全接入边界，部署符合商用密码双因子认证VPN安全网关，用户远程用户网络安全接入。

▲业务应用区

业务应用区为业务核心区，部署数据库加解密系统对相关系统数据库进行加密、解密。将数据库侧的敏感数据由明文存储改为密文存储，并在此基础上增加基于操作源（用户、IP地址、时段等）和操作行为（增、删、改、查）等多元组合因素且独立于数据库的访问机制进行授权管理。任何访问被加密数据的人或应用事先必须经过授权才能访问加密数据，有效防止管理员越权访问及黑客拖库。

数据库加密系统采用标准的三级密钥管理机制：主密钥由系统管理员存储于加密卡中，通过查找索引号将其调用。库密钥被主密钥保护，由系统自动产生，并执行自动更新机制。列密钥由高度随机算法或量子密钥发生器生成，通过国密算法对数据进行加密处理且与密文进行数据封装被库密钥保护。多级密钥对数据进行了多重防护符合行业标准内对密钥管理的要求。

▲密码应用支撑区

密码应用支撑区用于信息平台使用数字证书、电子签章和时间戳产品有效保证敏感数据的合法有效和安全。

电子签名、验签流程：利用密钥，对各类敏感信息记录通过加密算法进行加密，采用硬件加密技术对电子签名数据实时加密，对原数据、签名结果数据进行保存，以供下次验签。

可信时间戳：提供国家授时中心联合信任时间戳服务中心（NTSC）的时间戳服务功能，保证签名数据的时效性，有力保障在数据证书吊销、过期等存在的签名数据无法验证的法律风险。

电子签章：通过电子签章方案，在各类记录的打印留下各类工作人员的签名信息和时间戳，目前为最完整的解决方案。