近日，新浪新聞刊出了一則題為“美當(dāng)局千萬美元拉攏RSA加密算法裝后門”的報(bào)導(dǎo)，激發(fā)了關(guān)于加密手藝安然性的狠惡會(huì)商。
該報(bào)導(dǎo)稱，據(jù)路透社報(bào)導(dǎo)，美國***局(NSA)曾與加密手藝公司RSA達(dá)成了1000萬美元的和談，要求在移動(dòng)終端遍及利用的加密手藝中放置后門。RSA將NSA供給的方程式設(shè)定為BSafe安然軟件的優(yōu)先或默許隨機(jī)數(shù)生成算法。此舉將讓NSA經(jīng)由過程隨機(jī)數(shù)生成算法Bsafe的后門法度等閑破解各類加密數(shù)據(jù)!
“棱鏡門”監(jiān)聽丑聞再度進(jìn)級(jí)
據(jù)《紐約時(shí)報(bào)》本年9月曾透露，NSA前雇員、泄密人***登透露的文件顯示，NSA研發(fā)了一種隨機(jī)數(shù)生成方程式，可以或許在加密產(chǎn)品中充當(dāng)“后門”。而后，RSA公司呼吁用戶停用植進(jìn)了這些方程式的產(chǎn)品。該隨機(jī)數(shù)生成方程式利用的算法中有些數(shù)字是固定的，暗碼學(xué)家可以或許將其作為全能鑰匙經(jīng)由過程一些內(nèi)置的算法進(jìn)行破解。該算法最馳名的一個(gè)缺點(diǎn)是DUAL_EC_DRBG，暗碼學(xué)家?guī)啄昵熬桶l(fā)現(xiàn)了這個(gè)標(biāo)題問題。
闡發(fā)人士覺得，RSA算法本身沒甚么標(biāo)題問題，因?yàn)槊荑€理論上隨機(jī)產(chǎn)生，猜對(duì)密鑰猶如大年夜海撈針?？墒?，假定NSA確切放置了后門，那么這個(gè)算法的安然性將不復(fù)存在。
“后門”影響巨大年夜
作為信息安然行業(yè)根本性企業(yè)，RSA在全球的市場(chǎng)份額達(dá)到70%。RSA客戶遍及各行各業(yè)，包含電子商貿(mào)、銀行、當(dāng)局機(jī)構(gòu)、電信、宇航業(yè)、大年夜學(xué)等，此中有超越7000家企業(yè)，逾800萬用戶(包含財(cái)富500強(qiáng)中的90%)均利用RSA SecurID認(rèn)證產(chǎn)品呵護(hù)企業(yè)資料，而超越500家公司在逾1000種利用軟件安裝有RSA BSafe軟件。RSA的加密算法假定被安設(shè)后門，影響范圍將及其巨大年夜。
RSA SecurID是一項(xiàng)在承諾用戶登岸到微軟Windows環(huán)境之前就可以證實(shí)其身份的認(rèn)證解決方案。RSA SecurID雙身分身份認(rèn)證系統(tǒng)由令牌、代辦署理軟件和認(rèn)證辦事器構(gòu)成，其實(shí)現(xiàn)道理為：認(rèn)證辦事器和令牌采取不異的RSA時(shí)候同步算法和128位隨機(jī)數(shù)種子文件出產(chǎn)令牌碼，在不異時(shí)刻認(rèn)證辦事器和令牌產(chǎn)生的令牌碼不異則認(rèn)證經(jīng)由過程。
基于國密算法，拒盡后門
跟著國度暗碼治理局關(guān)于實(shí)施SM2算法的相干要求及尺度與規(guī)范的發(fā)布(國密局字[2011]50號(hào))，今朝周全采取國產(chǎn)通用加密算法的前提和機(jī)會(huì)已日趨成熟。成立和成長(zhǎng)基于國產(chǎn)通用算法的商用暗碼撐持系統(tǒng)和利用系統(tǒng)已成為我國商用暗碼財(cái)產(chǎn)的首要任務(wù)和重大年夜成長(zhǎng)機(jī)緣。
國內(nèi)令牌產(chǎn)品廠商也嚴(yán)格遵循國密局要求利用國密算法作為產(chǎn)品的撐持。筆者近日正利用的一款TOPSEC動(dòng)態(tài)令牌就是典型的基于國密SM3算法的產(chǎn)品。該款產(chǎn)品設(shè)置有K5、K8兩個(gè)型號(hào)，別的還撐持手機(jī)令牌與短信令牌。
TOPSEC K5/K8
筆者利用后發(fā)現(xiàn)，TOPSEC動(dòng)態(tài)令牌產(chǎn)品采取真隨機(jī)數(shù)產(chǎn)生器設(shè)備生成一組真隨機(jī)數(shù)，并連絡(luò)令牌屬性(好比：令牌型號(hào)，令牌序列號(hào)，到期時(shí)候)生成一個(gè)具有獨(dú)一性的128位數(shù)值，作為令牌的種子文件。將該種子文件放在令牌及辦事器內(nèi)，默許利用SM3國密算法生成令牌碼，同時(shí)還撐持用戶自定義SM1、SM2等合適國密要求的加密算法，完全知足當(dāng)局、金融、證券、運(yùn)營(yíng)商等企事業(yè)單位的實(shí)際營(yíng)業(yè)及安然性需求。
若此次“裝后門”事務(wù)獲得證實(shí)，或許將是基于國密算法的商用暗碼撐持系統(tǒng)和利用系統(tǒng)的又一次機(jī)緣。