在安然范疇，加密永久是無遏制的話題。出格是在***登揭穿美國安局的監(jiān)控丑聞后，良多人對加密產(chǎn)品產(chǎn)生了良多思疑，企業(yè)對若何呵護(hù)數(shù)據(jù)安然的渴看更是一日千里。
我們不知道為了拜候加密數(shù)據(jù)，美國國安局如安在加密系統(tǒng)中成立后門，可是在加密過程中，隨機(jī)數(shù)生成器很是首要，因?yàn)槠湓诔闪?shù)字證書時(shí)扮演著首要角色。假定隨機(jī)數(shù)生成器產(chǎn)生的數(shù)字是可猜想的，或其實(shí)不是真實(shí)的隨機(jī)，那么報(bào)復(fù)打擊者便可以更等閑地猜想企業(yè)的私鑰，并且可以讀取利用這些密鑰加密的任何動(dòng)靜。
更糟的是，由此，兩個(gè)企業(yè)更有可能生成一樣的私鑰。這里的標(biāo)題問題是，每個(gè)私鑰都有一個(gè)獨(dú)一匹配的公鑰，所以在理論上黑客有可能查閱公鑰數(shù)據(jù)庫，假定發(fā)現(xiàn)與黑客的公鑰相匹配，那么他們就會(huì)知道私鑰也一樣匹配。
當(dāng)然，這是不太可能的一種環(huán)境，但卻表白：加密其實(shí)不像我們覺得的那樣健旺。榮幸的是，我們?nèi)杂幸恍┚幹瓶梢韵鳒p與加密有關(guān)的已知縫隙。下面的技能可強(qiáng)化加密的安然性：
1.不要利用老的加密算法
企業(yè)該當(dāng)遏制利用DES等老的加密算法，也不要利用其親戚3DES(三重?cái)?shù)據(jù)加密尺度)。
2.利用企業(yè)撐持的最長的加密密鑰
建議企業(yè)盡可能利用最大年夜長度的密鑰，這可使那些沒法拜候后門的企業(yè)難以破解企業(yè)的加密。當(dāng)今，AES 128可謂健旺，但假定可能，無妨利用AES 512 或更長的密鑰。
3.多層加密
建議企業(yè)盡可能地操縱多層加密，這可以增加報(bào)復(fù)打擊者的堅(jiān)苦。假定有可能，無妨對數(shù)據(jù)庫的每個(gè)字段、每個(gè)表和全部數(shù)據(jù)庫都進(jìn)行加密。
4.安然存儲加密密鑰
企業(yè)面對的最大年夜標(biāo)題問題可能其實(shí)不是加密算法被美國的國安局留下后門，而是暗碼本身僅僅是加密方案的一部門。對根本架構(gòu)的其它要素，如密鑰治理系統(tǒng)，企業(yè)也必需包管其安然。報(bào)復(fù)打擊者都愿意對安然系統(tǒng)的最虧弱環(huán)節(jié)。假定報(bào)復(fù)打擊者很等閑便可以盜取密鑰，為甚么還會(huì)吃力破解加密算法呢?
有的企業(yè)將呵護(hù)其數(shù)據(jù)的密鑰給第三方，特別是在企業(yè)將數(shù)據(jù)存儲在公共云中并由云供給商加密和呵護(hù)時(shí)。這里的標(biāo)題問題是，企業(yè)沒法節(jié)制密鑰，而是必需相信云供給商的雇員會(huì)安然地保留密鑰。
假定企業(yè)可以實(shí)施一種可以將密鑰節(jié)制在云中的加密系統(tǒng)，就會(huì)安然良多。主動(dòng)措置加密的云加密網(wǎng)關(guān)可以幫忙公司實(shí)現(xiàn)這類安然。
5.確保準(zhǔn)確切施加密
事實(shí)上，實(shí)施加密系統(tǒng)并不是易事，因?yàn)樗辛级鄤?dòng)態(tài)部件，任何一個(gè)部件都有可能成為一個(gè)虧弱環(huán)節(jié)。你必需進(jìn)行大年夜量查詢拜訪，確保準(zhǔn)確切施加密。
在實(shí)施加密過程中，哪些方面等閑犯錯(cuò)?除密鑰等閑蒙受報(bào)復(fù)打擊，還有CBC(暗碼分組鏈接)的實(shí)施編制。利用CBC，可以用一樣長度的隨機(jī)文本塊(也稱為初始化向量)對純文本進(jìn)行異或運(yùn)算，然后對其進(jìn)行加密，產(chǎn)生一個(gè)加密文本塊。然后，將前面產(chǎn)生的密文塊作為一個(gè)初始化向量對下一個(gè)純文本塊進(jìn)行異或運(yùn)算。
CBC的準(zhǔn)確切施要求在開端每個(gè)過程時(shí)都有一個(gè)新的初始化向量。一個(gè)常見的弊端是用一個(gè)不加改變的靜態(tài)初始化向量來實(shí)施CBC。假定準(zhǔn)確切施了CBC，那么，假定我們在兩個(gè)不合的場合加密了文本塊，所出產(chǎn)的密文塊就不會(huì)不異。
6.不要忽視外部身分
公司幾近沒法節(jié)制的外部身分有可能粉碎加密系統(tǒng)的安然性。例如，SSL依托于數(shù)字證書，并且這些身分依托于嵌進(jìn)在瀏覽器(如IE、火狐、Chrome等)中的根證書頒布機(jī)構(gòu)的完全性?？墒?，我們?nèi)艉沃榔涫遣皇强赏?，或這些證書頒布機(jī)構(gòu)不是某外國諜報(bào)機(jī)構(gòu)的幌子?你是不是感覺這聽起來牽強(qiáng)附會(huì)，但卻有多是事實(shí)。
別的，DNS也是不克不及不正視的弱點(diǎn)。只要DNS被霸占，報(bào)復(fù)打擊者便可利用垂釣手藝?yán)@過加密。
當(dāng)然，這里夸大年夜的是加密標(biāo)題問題標(biāo)各類可能性。一個(gè)準(zhǔn)確切施的加密系統(tǒng)只能在一種環(huán)境下被霸占，即測中密鑰，在短時(shí)候內(nèi)猜對密鑰并不是不成能，但其可能性微不足道。
可是，假定不準(zhǔn)確切施加密，選擇了不得當(dāng)?shù)陌荡a和密鑰長度，再加上其它身分(如隨機(jī)數(shù)生成器中的縫隙)便可能意味著加密未必是靠得住的。
所以，企業(yè)必需正視從多方面強(qiáng)化加密系統(tǒng)，盡不成以偏概全。