安全的话题
撰写于:2013年8月26日
作者:silex Wi-Fi专家
这一期是关于安全的话题。说起安全,很多人马上就会联想到“密码”吧。确实,密码是安全的核心组件,但密码不是安全的。在通信的世界里,认证比加密更重要,没有认证的加密甚至被认为是无意义的。为什么会变成这样,这次就来解说一下。
密码和密钥
那么,密码可以比作保险箱。加密和发送和接收信息类似于发送者将机密信息放入保险箱发送,接收方打开保险箱取出。只要在通信路径上没有打开保险箱,就不会发生机密信息的解读、篡改、替换。而且,密码的难以解读=密码强度可以比喻为这个保险箱有多坚固。保险箱会被问到物理强度,但是密码“容易开锁”是表示密码强弱的指标。
例如,保险箱的钥匙如果是十进制的×3位数的拨号盘,所有组合只有1000种。一次3秒,总共3000秒,也就是一个小时内打开。无论多么坚固的保险箱,最重要的钥匙在这样的情况下是不实用的。
作为“安全钥匙”,这里考虑十进制×10位数的拨号锁。这样的话,即使是一次3秒,全部组合的搜索也需要900年以上的时间,所以在实用上首先是安全的。
但在这里我们会遇到另一个问题。到底该如何告诉收件人正确的密钥(拨号盘号码)呢?难道不能和保险箱一起发送“钥匙是1415926535”等信息吗?网络安全中最大的问题就是这个。无论使用多么强大的密码算法,如果不能在收发信者之间建立“安全可靠”交换密钥信息的步骤,就无法实现安全性。
预共享密钥(PSK)方式
那么回到保险箱的话题吧。为了安全、可靠地传递密钥信息,可以考虑事先与本人见面直接传达的方法。或者不是直接传达钥匙的数字,而是像“3年前住的公寓的电话号码”一样,也有从只有当事人知道(可以相信)的信息间接传达的方法。这种方式在通信世界中被称为“预共享密钥(PSK)”。
PSK的最大特点是概念、安装简单。另外,如果能保证“事前直接”设定步骤的安全性,就可以实现与更复杂的其他方式毫不逊色(※注)的安全强度。
(※注)如果事先共享与传输信息相同长度的密钥,只使用一次的话,在理论上是绝对解不开的最强密码。这称为“瓦纳姆密码(Vernam cipher)”。但是瓦纳姆密码有着“只能使用一次(使用两次以上的话统计分析解读的风险会不断上升)”的大缺点,信息只传达一次就可以用于特殊的用途。
PSK方式的缺点是必须“直接”设置密钥。首先是理所当然的,PSK不适合通信设备散布在世界各地而管理作业者不能直接访问的系统(※注)。即使可以直接访问所有设备,例如由100台接入点和3000台节点构成的系统,但设定钥匙非常辛苦。难以想象更改一次设定钥匙的庞大的工作量。
(※注)也许有人认为通过网络设置密钥不就好了,但是网络必须保证安全性。如果是这样的话,也许你会觉得加密不就好了,但是在设定密码密钥之前,如何让加密成立呢?
其结果是PSK系统中设定的密钥有很长时间持续使用的倾向,使用相同的密钥是安全上的弱点。因为与物理保险箱不同,加密的数字数据即使只得到密文,也可以通过统计解析的方法推定密钥信息。特别是在初期无线LAN的密码标准WEP中,由于设定的密钥直接用于加密,对于通过统计解析的密钥推定来说是极其脆弱的系统。WPA(802.11i)停止将PSK密钥直接用于加密,将以PSK密钥为种子生成的随机数(准确地说是伪随机数)作为密钥来提高安全性。
公钥密码和密钥交换
那么,我们来介绍一下公钥密码(Public Key Cryptosystem)。公钥密码是用于加密的密钥和用于解密的密钥不同的特殊密码算法。举例来说,就像保险箱一样,“关闭的钥匙(号码)”和“打开的钥匙(号码)”是分开设置的。
之所以将此称为“公开”密匙,是因为收信人只要秘密地持有“打开的钥匙”,将“关闭的钥匙”发送给发信人,让发信人发出保险箱就可以了。这个“关闭的钥匙”即使被第三者知道也完全没关系。因为即使可以用那个钥匙关闭保险箱(=制作密文),也不能打开保险箱(=解密密文)。与此相对,“打开的密钥”和“关闭的密钥”相同的普通加密方式称为“公用密钥加密(Common Key Cryptosystem)”。
使用公开密匙的密钥交换系统,一般实现如下图的顺序。
像这样用公开密钥加密数据正文并发送/接收的通信系统很少(据我所知是完全没有的),大部分情况下,在实际的数据加密中使用公钥加密,为了交换用于加密的密钥信息而使用公开密钥用的是暗号。这是因为公钥密码的处理所需的运算量庞大,处理非常慢,而且用公钥密码传递给对方的秘密信息也不是以8bit为单位的任意长数据(流),而是采用“满足特定条件的整数”的形态的情况很多,直接加密任意的信息并传递的情况很多。
虽然在开头提到“总不能在保险柜里附上便条”,但是使用公开密匙的密钥交换系统,在“在保险柜里附上便条”发送的基础上还能保证安全性,确实是划时代的创意。由此,首次实现了基于网络的安全密钥交换(无需预先共享密钥)。
使用公开密匙的密匙交换方式的安全性,如果从公开密匙容易推定私有密匙的话就会失败。现在使用最多的公开密匙算法是费马定理中特殊解的RSA方式。对方式已知的解读方法是将数千位长的整数(公开密匙)进行质因数分解,据说这需要庞大的计算量(※)。只要使用足够长的密钥,RSA算法本身的安全强度似乎相当可靠。
(※注)例如,现在实用上几乎安全的RSA密钥长度为2048bit,是10进制600位左右的数字。努力分解质因数需要反复进行√n次除法,需要10^300次的除法。除法所需时间为1纳秒(10^-9),即使以10亿台计算机(10^9)并行计算,10^300/10^18=10^(300-18)=10^282秒,一年约10^7.5秒,所以需要10^274年。虽说是10^274年,但也不能说是1亿年的1亿倍的1亿倍的1亿倍的1亿倍…这是重复30次的数值。“强力的暴力破解”不会破坏RSA密码。2048bit也是这个计算量,所以好像使用了相当于8192bit的RSA密钥的“夏日大作战”的服务器是怎么被暗算破坏的呢(^^)。
中间人的攻击与认证
如前所述,公钥密码是成对的“公钥”和“私钥”,将公钥发送给通信对方,用私钥解密用公钥加密后的数据,交换密钥信息。但是,如果在通信路径上被换成别的公钥和私钥呢?在这种情况下,如下图所示,机密信息会被泄露,加密后交换的数据也会全部被解密。这种攻击方法称为“中间人攻击(Man-In-the-Middle Attack, MIM Attack)”。
为了防止这种情况发生,通信当事人(A,B)之间需要“以某种方式”验证“现在通信的对方真的是A(或B)吗”。而且,在“某种方法”中也有很多使用公钥的情况。这就是“使用数字证书的公钥认证方式”,俗称“PKI认证”。PKI是Public Key Infrastructure的意思,狭义上是证书的格式(X.509标准),广义上是使用公钥的认证系统。
公钥认证(数字证书)
在公钥认证方式中,作为密钥交换时的“身份证明”,使用“由可靠的认证机构(Certificate Agency简称CA)发行的数字证书”。数字证书也是公钥技术的应用,由公钥和私钥的一对组成,但私钥保存在认证机构,只有公钥(如文字所示)公开。
通过向密钥交换通信时生成的私钥和公钥提供“认证机构签名”(使用认证机构私钥加密),接收公钥的一方验证该公钥的合法性(使用认证机构公钥解密)。这样一来,就能识破中间人攻击导致的密钥调换。
“原来如此,使用认证机构可以验证公开密匙的正当性=可以防止中间人的攻击”,我希望大家能够明白这一点。“不过等一下,CA公开密匙的正当性是怎么保证的?”实际上,CA公开密匙也可以使用其他CA签名并进行验证。X.509形式的数字证书就这样连绵不断地连成“证书树”(Certificate Tree或Certificate Chain)。位于树状图最上层的证书不接受任何人的签名,因此被视为应该无条件被信任的“根证书(Root Certificate)”。另外,在少数情况下,由于秘密信息被泄露、解密等原因,证书会失效,为了管理这些信息,会使用“失效证书列表(Certificate Revocation List, CRL)”。
一提到“认证机构”,人们就会联想到社会组织或政府机关,但这只是为了方便而这么读,其主要作用是“发行证书(生成公开密匙)”、“签名(使用秘密密匙加密)”、“发行的证书必须在通信前被安装”。因此,即使是一台计算机或一个程序也可以扮演CA的角色,但真正在社会上具有重要意义的机密(在线交易的证书等)大多是由Verisign公司或RSA Security公司等专业的安全企业发行带签名的证书来使用的。这也有保持私钥安全性的意思,但是这样的安全企业的根证书/CA证书在电脑上经常被预置,所以也有节省安装证书的时间这样的优点。
总结
以上介绍了从通信加密的基础到使用公开密匙的PKI认证。像DES和AES这样的公共密匙并不难,但公开密匙的原理也很难。公共密匙可以类比保险箱转盘,但公共密匙在日常生活中并没有接触过,所以“加密用的密匙和解密用的密匙”这一概念首先直观地体现出来。我觉得很难理解。不从直觉而是从理论开始,那里有费马大定理、离散对数反函数等数学在等着你。
读了本专栏之后,即使觉得“好像懂了”,也不会马上就能读懂TLS的原理,或者明白EAP-TLS和EAP-TTLS的区别。本来原理就很难懂,再加上实用化的安全协议很多都是复杂的规格和实现方式,甚至有人揶揄说“安全中也有难以理解的部分”。
从下期开始,我将讲解“比必要更复杂的规格”的代表——无线LAN中的企业级安全的EAP/IEEE802.1X。
嵌入式无线LAN模块产品介绍页面
密码和密钥
那么,密码可以比作保险箱。加密和发送和接收信息类似于发送者将机密信息放入保险箱发送,接收方打开保险箱取出。只要在通信路径上没有打开保险箱,就不会发生机密信息的解读、篡改、替换。而且,密码的难以解读=密码强度可以比喻为这个保险箱有多坚固。保险箱会被问到物理强度,但是密码“容易开锁”是表示密码强弱的指标。
例如,保险箱的钥匙如果是十进制的×3位数的拨号盘,所有组合只有1000种。一次3秒,总共3000秒,也就是一个小时内打开。无论多么坚固的保险箱,最重要的钥匙在这样的情况下是不实用的。
![](/upload/images/blog/blog9/safe_3.jpg)
不安全的保险箱(密钥长度短的密码)
作为“安全钥匙”,这里考虑十进制×10位数的拨号锁。这样的话,即使是一次3秒,全部组合的搜索也需要900年以上的时间,所以在实用上首先是安全的。
![](/upload/images/blog/blog9/safe_10.jpg)
实用上被认为是安全的保险箱(密钥长度足够长的密码)
但在这里我们会遇到另一个问题。到底该如何告诉收件人正确的密钥(拨号盘号码)呢?难道不能和保险箱一起发送“钥匙是1415926535”等信息吗?网络安全中最大的问题就是这个。无论使用多么强大的密码算法,如果不能在收发信者之间建立“安全可靠”交换密钥信息的步骤,就无法实现安全性。
预共享密钥(PSK)方式
那么回到保险箱的话题吧。为了安全、可靠地传递密钥信息,可以考虑事先与本人见面直接传达的方法。或者不是直接传达钥匙的数字,而是像“3年前住的公寓的电话号码”一样,也有从只有当事人知道(可以相信)的信息间接传达的方法。这种方式在通信世界中被称为“预共享密钥(PSK)”。
PSK的最大特点是概念、安装简单。另外,如果能保证“事前直接”设定步骤的安全性,就可以实现与更复杂的其他方式毫不逊色(※注)的安全强度。
(※注)如果事先共享与传输信息相同长度的密钥,只使用一次的话,在理论上是绝对解不开的最强密码。这称为“瓦纳姆密码(Vernam cipher)”。但是瓦纳姆密码有着“只能使用一次(使用两次以上的话统计分析解读的风险会不断上升)”的大缺点,信息只传达一次就可以用于特殊的用途。
PSK方式的缺点是必须“直接”设置密钥。首先是理所当然的,PSK不适合通信设备散布在世界各地而管理作业者不能直接访问的系统(※注)。即使可以直接访问所有设备,例如由100台接入点和3000台节点构成的系统,但设定钥匙非常辛苦。难以想象更改一次设定钥匙的庞大的工作量。
(※注)也许有人认为通过网络设置密钥不就好了,但是网络必须保证安全性。如果是这样的话,也许你会觉得加密不就好了,但是在设定密码密钥之前,如何让加密成立呢?
其结果是PSK系统中设定的密钥有很长时间持续使用的倾向,使用相同的密钥是安全上的弱点。因为与物理保险箱不同,加密的数字数据即使只得到密文,也可以通过统计解析的方法推定密钥信息。特别是在初期无线LAN的密码标准WEP中,由于设定的密钥直接用于加密,对于通过统计解析的密钥推定来说是极其脆弱的系统。WPA(802.11i)停止将PSK密钥直接用于加密,将以PSK密钥为种子生成的随机数(准确地说是伪随机数)作为密钥来提高安全性。
公钥密码和密钥交换
那么,我们来介绍一下公钥密码(Public Key Cryptosystem)。公钥密码是用于加密的密钥和用于解密的密钥不同的特殊密码算法。举例来说,就像保险箱一样,“关闭的钥匙(号码)”和“打开的钥匙(号码)”是分开设置的。
![](/upload/images/blog/blog9/crypt_pkey.jpg)
例如保险箱的公钥密码
之所以将此称为“公开”密匙,是因为收信人只要秘密地持有“打开的钥匙”,将“关闭的钥匙”发送给发信人,让发信人发出保险箱就可以了。这个“关闭的钥匙”即使被第三者知道也完全没关系。因为即使可以用那个钥匙关闭保险箱(=制作密文),也不能打开保险箱(=解密密文)。与此相对,“打开的密钥”和“关闭的密钥”相同的普通加密方式称为“公用密钥加密(Common Key Cryptosystem)”。
![](/upload/images/blog/blog9/crypt_skey.jpg)
保险箱中的公用密钥密码
使用公开密匙的密钥交换系统,一般实现如下图的顺序。
![](/upload/images/blog/blog9/pki1_l.jpg)
使用公开密匙的密钥交换系统
像这样用公开密钥加密数据正文并发送/接收的通信系统很少(据我所知是完全没有的),大部分情况下,在实际的数据加密中使用公钥加密,为了交换用于加密的密钥信息而使用公开密钥用的是暗号。这是因为公钥密码的处理所需的运算量庞大,处理非常慢,而且用公钥密码传递给对方的秘密信息也不是以8bit为单位的任意长数据(流),而是采用“满足特定条件的整数”的形态的情况很多,直接加密任意的信息并传递的情况很多。
虽然在开头提到“总不能在保险柜里附上便条”,但是使用公开密匙的密钥交换系统,在“在保险柜里附上便条”发送的基础上还能保证安全性,确实是划时代的创意。由此,首次实现了基于网络的安全密钥交换(无需预先共享密钥)。
使用公开密匙的密匙交换方式的安全性,如果从公开密匙容易推定私有密匙的话就会失败。现在使用最多的公开密匙算法是费马定理中特殊解的RSA方式。对方式已知的解读方法是将数千位长的整数(公开密匙)进行质因数分解,据说这需要庞大的计算量(※)。只要使用足够长的密钥,RSA算法本身的安全强度似乎相当可靠。
(※注)例如,现在实用上几乎安全的RSA密钥长度为2048bit,是10进制600位左右的数字。努力分解质因数需要反复进行√n次除法,需要10^300次的除法。除法所需时间为1纳秒(10^-9),即使以10亿台计算机(10^9)并行计算,10^300/10^18=10^(300-18)=10^282秒,一年约10^7.5秒,所以需要10^274年。虽说是10^274年,但也不能说是1亿年的1亿倍的1亿倍的1亿倍的1亿倍…这是重复30次的数值。“强力的暴力破解”不会破坏RSA密码。2048bit也是这个计算量,所以好像使用了相当于8192bit的RSA密钥的“夏日大作战”的服务器是怎么被暗算破坏的呢(^^)。
中间人的攻击与认证
如前所述,公钥密码是成对的“公钥”和“私钥”,将公钥发送给通信对方,用私钥解密用公钥加密后的数据,交换密钥信息。但是,如果在通信路径上被换成别的公钥和私钥呢?在这种情况下,如下图所示,机密信息会被泄露,加密后交换的数据也会全部被解密。这种攻击方法称为“中间人攻击(Man-In-the-Middle Attack, MIM Attack)”。
![](/upload/images/blog/blog9/pki2_l.jpg)
对公钥的中间人攻击
为了防止这种情况发生,通信当事人(A,B)之间需要“以某种方式”验证“现在通信的对方真的是A(或B)吗”。而且,在“某种方法”中也有很多使用公钥的情况。这就是“使用数字证书的公钥认证方式”,俗称“PKI认证”。PKI是Public Key Infrastructure的意思,狭义上是证书的格式(X.509标准),广义上是使用公钥的认证系统。
公钥认证(数字证书)
在公钥认证方式中,作为密钥交换时的“身份证明”,使用“由可靠的认证机构(Certificate Agency简称CA)发行的数字证书”。数字证书也是公钥技术的应用,由公钥和私钥的一对组成,但私钥保存在认证机构,只有公钥(如文字所示)公开。
通过向密钥交换通信时生成的私钥和公钥提供“认证机构签名”(使用认证机构私钥加密),接收公钥的一方验证该公钥的合法性(使用认证机构公钥解密)。这样一来,就能识破中间人攻击导致的密钥调换。
![](/upload/images/blog/blog9/pki3_l.jpg)
使用认证机构签名的公钥交换密钥系统
“原来如此,使用认证机构可以验证公开密匙的正当性=可以防止中间人的攻击”,我希望大家能够明白这一点。“不过等一下,CA公开密匙的正当性是怎么保证的?”实际上,CA公开密匙也可以使用其他CA签名并进行验证。X.509形式的数字证书就这样连绵不断地连成“证书树”(Certificate Tree或Certificate Chain)。位于树状图最上层的证书不接受任何人的签名,因此被视为应该无条件被信任的“根证书(Root Certificate)”。另外,在少数情况下,由于秘密信息被泄露、解密等原因,证书会失效,为了管理这些信息,会使用“失效证书列表(Certificate Revocation List, CRL)”。
一提到“认证机构”,人们就会联想到社会组织或政府机关,但这只是为了方便而这么读,其主要作用是“发行证书(生成公开密匙)”、“签名(使用秘密密匙加密)”、“发行的证书必须在通信前被安装”。因此,即使是一台计算机或一个程序也可以扮演CA的角色,但真正在社会上具有重要意义的机密(在线交易的证书等)大多是由Verisign公司或RSA Security公司等专业的安全企业发行带签名的证书来使用的。这也有保持私钥安全性的意思,但是这样的安全企业的根证书/CA证书在电脑上经常被预置,所以也有节省安装证书的时间这样的优点。
总结
以上介绍了从通信加密的基础到使用公开密匙的PKI认证。像DES和AES这样的公共密匙并不难,但公开密匙的原理也很难。公共密匙可以类比保险箱转盘,但公共密匙在日常生活中并没有接触过,所以“加密用的密匙和解密用的密匙”这一概念首先直观地体现出来。我觉得很难理解。不从直觉而是从理论开始,那里有费马大定理、离散对数反函数等数学在等着你。
读了本专栏之后,即使觉得“好像懂了”,也不会马上就能读懂TLS的原理,或者明白EAP-TLS和EAP-TTLS的区别。本来原理就很难懂,再加上实用化的安全协议很多都是复杂的规格和实现方式,甚至有人揶揄说“安全中也有难以理解的部分”。
从下期开始,我将讲解“比必要更复杂的规格”的代表——无线LAN中的企业级安全的EAP/IEEE802.1X。
嵌入式无线LAN模块产品介绍页面