A．对称加密技术 a. 描述 对称算法（symmetric algorithm），有时又叫传统密码算法，就是加密密钥能够从解密密钥中推算出来，同时解密密钥也可以从加密密钥中推算出来。而在大多数的对称算法中，加密密钥和解密密钥是相同的。所以也称这种加密算法为秘密密钥算法或单密钥算法。它要求发送方和接收方在安全通信之前，商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意味着任何人都可以对他们发送或接收的消息解密，所以密钥的保密性对通信性至关重要。 b．特点分析 对称加密的优点在于算法实现后的效率高、速度快。 对称加密的缺点在于密钥的管理过于复杂。如果任何一对发送方和接收方都有他们各自商议的密钥的话，那么很明显，假设有N个用户进行对称加密通信，如果按照上述方法，则他们要产生N(N-1)把密钥，每一个用户要记住或保留N-1把密钥，当N很大时，记住是不可能的，而保留起来又会引起密钥泄漏可能性的增加。常用的对称加密算法有DES，DEA等。 B．非对称加密技术 a.描述 非对称加密（dissymmetrical encryption），有时又叫公开密钥算法（public key algorithm）。这种加密算法是这样设计的：用作加密的密钥不同于用作解密的密钥，而且解密密钥不能根据加密密钥计算出来（至少在合理假定的长时间内）。之所以又叫做公开密钥算法是由于加密密钥可以公开，即陌生人可以得到它并用来加密信息，但只有用相应的解密密钥才能解密信息。在这种加密算法中，加密密钥被叫做公开密钥（public key）,而解密密钥被叫做私有密钥（private key）。 b.特点分析 非对称加密的缺点在于算法实现后的效率低、速度慢。 非对称加密的优点在于用户不必记忆大量的提前商定好的密钥，因为发送方和接收方事先根本不必商定密钥，发放方只要可以得到可靠的接收方的公开密钥就可以给他发送信息了，而且即使双方根本互不相识。但为了保证可靠性，非对称加密算法需要一种与之相配合使用的公开密钥管理机制，这种公开密钥管理机制还要解决其他一些公开密钥所带来的问题。常用的非对称加密算法有RSA等。 (3) 关于密码技术 密码技术包括加密技术和密码分析技术，也即加密和解密技术两个方面。在一个新的加密算法的研发需要有相应的数学理论证明，证明这个算法的安全性有多高，同时还要从密码分析的角度对这个算法进行安全证明，说明这个算法对于所知的分析方法来说是有防范作用的。 三、对称加密算法分析 对称加密算法的分类 对称加密算法可以分成两类：一类为序列算法（stream algorithm）：一次只对明文中单个位（有时为字节）加密或解密运算。另一类为分组算法（block algorithm）：一次明文的一组固定长度的字节加密或解密运算。 现代计算机密码算法一般采用的都是分组算法，而且一般分组的长度为64位，之所以如此是由于这个长度大到足以防止分析破译，但又小到足以方便使用。 1．DES加密算法 （Data Encryption Standard ）
(1) 算法简介
1973 年 5 月 15 日，美国国家标准局 (NBS) 在“联邦注册”上发布了一条通知，征求密码算法，用于在传输和存储期间保护数据。IBM 提交了一个候选算法，它是 IBM 内部开发的，名为 LUCIFER。在美国国家安全局 (NSA) 的“指导”下完成了算法评估之后，在 1977 年 7 月 15 日，NBS 采纳了 LUCIFER 算法的修正版作为新的数据加密标准。
原先规定使用10年，但由于新的加密标准还没有完成，所以DES算法及其的变形算法一直广泛的应用于信息加密方面。 (2) 算法描述 (包括加密和解密)
Feistel结构（画图说明）。
DES 的工作方式：可怕的细节
DES 将消息分成 64 位（即 16 个十六进制数）一组进行加密。DES 使用“密钥”进行加密，从符号的角度来看，“密钥”的长度是 16 个十六进制数（或 64 位）。但是，由于某些原因（可能是因为 NSA 给 NBS 的“指引”），DES 算法中每逢第 8 位就被忽略。这造成密钥的实际大小变成 56 位。编码系统对“强行”或“野蛮”攻击的抵抗力与其密钥空间或者系统可能有多少密钥有直接关系。使用的位数越多转换出的密钥也越多。密钥越多，就意味着强行攻击中计算密钥空间中可能的密钥范围所需的时间就越长。从总长度中切除 8 位就会在很大程度上限制了密钥空间，这样系统就更容易受到破坏。
DES 是块加密算法。这表示它处理特定大小的纯文本块（通常是 64 位），然后返回相同大小的密码块。这样，64 位（每位不是 0 就是 1）有 264 种可能排列，DES 将生成其中的一种排列。每个 64 位的块都被分成 L、R 左右两块，每块 32 位。
DES 算法使用以下步骤：
1. 创建 16 个子密钥，每个长度是 48 位。根据指定的顺序或“表”置换 64 位的密钥。如果表中的第一项是 "27"，这表示原始密钥 K 中的第 27 位将变成置换后的密钥 K+ 的第一位。如果表的第二项是 36，则这表示原始密钥中的第 36 位将变成置换后密钥的第二位，以此类推。这是一个线性替换方法，它创建了一种线性排列。置换后的密钥中只出现了原始密钥中的 56 位。
2. 接着，将这个密钥分成左右两半，C0 和 D0，每一半 28 位。定义了 C0 和 D0 之后，创建 16 个 Cn 和 Dn 块，其中 1<=n<=16。每一对 Cn 和 Dn 块都通过使用标识“左移位”的表分别从前一对 Cn-1 和 Dn-1 形成，n = 1, 2, ..., 16，而“左移位”表说明了要对哪一位进行操作。在所有情况下，单一左移位表示这些位轮流向左移动一个位置。在一次左移位之后，28 个位置中的这些位分别是以前的第 2、3……28 位。
通过将另一个置换表应用于每一个 CnDn 连接对，从而形成密钥 Kn，1<=n<=16。每一对有 56 位，而置换表只使用其中的 48 位，因为每逢第 8 位都将被忽略。
3. 编码每个 64 位的数据块。
64 位的消息数据 M 有一个初始置换 IP。这将根据置换表重新排列这些位，置换表中的项按这些位的初始顺序描述了它们新的排列。我们以前见过这种线性表结构。
使用函数 f 来生成一个 32 位的块，函数 f 对两个块进行操作，一个是 32 位的数据块，一个是 48 位的密钥 Kn，连续迭代 16 次，其中 1<=n<=16。用 + 表示 XOR 加法（逐位相加，模除 2）。然后，n 从 1 到 16，计算 Ln = Rn-1 Rn = Ln-1 + f(Rn-1,Kn)。即在每次迭代中，我们用前一结果的右边 32 位，并使它们成为当前步骤中的左边 32 位。对于当前步骤中的右边 32 位，我们用算法 f XOR 前一步骤中的左边 32 位。
要计算 f，首先将每一块 Rn-1 从 32 位扩展到 48 位。可以使用选择表来重复 Rn-1 中的一些位来完成这一操作。这个选择表的使用就成了函数 f。因此 f(Rn-1) 的输入块是 32 位，输出块是 48 位。f 的输出是 48 位，写成 8 块，每块 6 位，这是通过根据已知表按顺序选择输入中的位来实现的。
我们已经使用选择表将 Rn-1 从 32 位扩展成 48 位，并将结果 XOR 密钥 Kn。现在有 48 位，或者是 8 组，每组 6 位。每组中的 6 位现在将经历一次变换，该变换是算法的核心部分：在叫做“S 盒”的表中，我们将这些位当作地址使用。每组 6 位在不同的 S 盒中表示不同的地址。该地址中是一个 4 位数字，它将替换原来的 6 位。最终结果是 8 组，每组 6 位变换成 8 组，每组 4 位（S 盒的 4 位输出），总共 32 位。
f 计算的最后阶段是对 S 盒输出执行置换 P，以得到 f 的最终值。f 的形式是 f = P(S1(B1)S2(B2)...S8(B8))。置换 P 根据 32 位输入，在以上的过程中通过置换输入块中的位，生成 32 位输出。
解密只是加密的逆过程，使用以上相同的步骤，但要逆转应用子密钥的顺序。DES 算法是可逆的
(2) 算法的安全性分析
在知道一些明文和密文分组的条件下，从理论上讲很容易知道对DES进行一次穷举攻击的复杂程度：密钥的长度是56位，所以会有 种的可能的密钥。
在1993年的一年一度的世界密码大会上，加拿大北方电信公司贝尔实验室的 Michael Wiener 描述了如何构造一台专用的机器破译DES，该机器利用一种每秒能搜索5000万个密钥的专用芯片。而且此机器的扩展性很好，投入的经费越多则效率越高。用100万美元构造的机器平均3.5小时就可以破译密码。
如果不用专用的机器，破译DES也有其他的方法。在1994年的世界密码大会上，M.Matsui 提出一种攻克DES的新方法--"线性密码分析"法。它可使用平均 个明文及其密文，在12台HP9000/735工作站上用此方法的软件实现，花费50天时间完成对DES的攻击。
如前所述DES作为加密算法的标准已经二十多年了，可以说是一个很老的算法，而在新的加密算法的国际标准出现之前，许多DES的加固性改进算法仍有实用价值，在本文的3.4节详细的描述，同时考虑的以上所述DES的安全性已受到了威胁。
(4) 算法的变体 三重DES（TDEA），使用3个密钥，执行3次DES算法：
加密：C = Ek3[Dk2[Ek1[P]]] 解密：P = Dk1[Ek2[Dk3[C]]]
特点：安全性得到增强，但是速度变慢。
2.AES
自 20 世纪 70 年代以来一直广泛使用的“数据加密标准”(DES) 日益显出衰老的痕迹，而一种新的算法 -- Rijndael -- 正顺利地逐渐变成新标准。这里，Larry Loeb 详细说明了每一种算法，并提供了关于为什么会发生这种变化的内幕信息。
DES 算法是全世界最广泛使用的加密算法。最近，就在 2000 年 10 月，它在其初期就取得的硬件方面的优势已经阻碍了其发展，作为政府加密技术的基础，它已由“高级加密标准”(AES) 中包含的另一种加密算法代替了。AES 是指定的标准密码系统，未来将由政府和银行业用户使用。AES 用来实际编码数据的加密算法与以前的 DES 标准不同。我们将讨论这是如何发生的，以及 AES 中的 Rijndael 算法是如何取代 DES 的算法的。
“高级加密标准”成就
但直到 1997 年，美国国家标准技术局 (NIST) 才开始打着 AES 项目的旗帜征集其接任者。1997 年 4 月的一个 AES 研讨会宣布了以下 AES 成就的最初目标：
• 可供政府和商业使用的功能强大的加密算法
• 支持标准密码本方式
• 要明显比 DES 3 有效
• 密钥大小可变，这样就可在必要时增加安全性
• 以公正和公开的方式进行选择
• 可以公开定义
• 可以公开评估
AES 的草案中最低可接受要求和评估标准是：
A.1 AES 应该可以公开定义。
A.2 AES 应该是对称的块密码。
A.3 AES 应该设计成密钥长度可以根据需要增加。
A.4 AES 应该可以在硬件和软件中实现。
A.5 AES 应该 a) 可免费获得。
A.6 将根据以下要素评价符合上述要求的算法：
1. 安全性（密码分析所需的努力）
2. 计算效率
3. 内存需求
4. 硬件和软件可适用性
5. 简易性
6. 灵活性
7. 许可证需求（见上面的 A5）
Rijndael：AES 算法获胜者
1998年8月20日NIST召开了第一次AES侯选会议，并公布了15个AES侯选算法。经过一年的考察，MARS，RC6，Rijndael，Serpent，Twofish共5种算法通过了第二轮的选拔。2000 年 10 月，NIST 选择 Rijndael（发音为 "Rhine dale"）作为 AES 算法。它目前还不会代替 DES 3 成为政府日常加密的方法，因为它还须通过测试过程，“使用者”将在该测试过程后发表他们的看法。但相信它可以顺利过关。
Rijndael 是带有可变块长和可变密钥长度的迭代块密码。块长和密钥长度可以分别指定成 128、192 或 256 位。
Rijndael 中的某些操作是在字节级上定义的，字节表示有限字段 GF(28) 中的元素，一个字节中有 8 位。其它操作都根据 4 字节字定义。
加法照例对应于字节级的简单逐位 EXOR。
在多项式表示中，GF(28) 的乘法对应于多项式乘法模除阶数为 8 的不可约分二进制多项式。（如果一个多项式除了 1 和它本身之外没有其它约数，则称它为不可约分的。）对于 Rijndael，这个多项式叫做 m(x)，其中：m(x) = (x8 + x4 + x3 + x + 1) 或者十六进制表示为 '11B'。其结果是一个阶数低于 8 的二进制多项式。不像加法，它没有字节级的简单操作。
不使用 Feistel 结构！
在大多数加密算法中，轮回变换都使用着名的 Feistel 结构。在这个结构中，中间 State 的位部分通常不做更改调换到另一个位置。（这种线性结构的示例是我们在 DES 部分中讨论的那些表，即使用固定表的形式交换位。）Rijndael 的轮回变换不使用这个古老的 Feistel 结构。轮回变换由三个不同的可逆一致变换组成，叫做层。（“一致”在这里表示以类似方法处理 State 中的位。）
线性混合层保证了在多个轮回后的高度扩散。非线性层使用 S 盒的并行应用，该应用程序有期望的（因此是最佳的）最差非线性特性。S 盒是非线性的。依我看来，这就 DES 和 Rijndael 之间的密钥概念差异。密钥加法层是对中间 State 的轮回密钥 (Round Key) 的简单 EXOR，如以下所注。
Rijndael算法
加密算法
Rijndael算法是一个由可变数据块长和可变密钥长的迭代分组加密算法，数据块长和密钥长可分别为128，192或256比特。
数据块要经过多次数据变换操作，每一次变换操作产生一个中间结果，这个中间结果叫做状态。状态可表示为二维字节数组，它有4行，Nb列，且Nb等于数据块长除32。如表2-3所示。
a0,0 a0,1 a0,2 a0,3 a0,4 a0,5
a1,0 a1,1 a1,2 a1,3 a1,4 a1,5
a2,0 a2,1 a2,2 a2,3 a2,4 a2,5
a3,0 a3,1 a3,2 a3,3 a3,4 a3,5
数据块按a0,0 , a1,0 , a2,0 , a3,0 , a0,1 , a1,1 , a2,1 , a3,1 , a0,2…的顺序映射为状态中的字节。在加密操作结束时，密文按同样的顺序从状态中抽取。
密钥也可类似地表示为二维字节数组，它有4行，Nk列，且Nk等于密钥块长除32。算法变换的圈数Nr由Nb和Nk共同决定，具体值列在表2-4中。
表3-2 Nb和Nk决定的Nr的值
Nr Nb = 4 Nb = 6 Nb = 8
Nk = 4 10 12 14
Nk = 6 12 12 14
Nk = 8 14 14 14
3.2.1圈变换
加密算法的圈变换由4个不同的变换组成，定义成：
Round(State,RoundKey)
{
ByteSub(State);
ShiftRow(State);
MixColumn(State);
AddRoundKey(State,RoundKey); (EXORing a Round Key to the State)
}
加密算法的最后一圈变换与上面的略有不同，定义如下：
FinalRound(State,RoundKey)
{
ByteSub(State);
ShiftRow(State);
AddRoundKey(State,RoundKey);
}
ByteSub变换
ByteSub变换是作用在状态中每个字节上的一种非线形字节变换。这个S盒子是可逆的且由以下两部分组成：
把字节的值用它的乘法逆替代，其中‘00’的逆就是它自己。
经（1）处理后的字节值进行如下定义的仿射变换：
y0 1 1 1 1 1 0 0 0 x0 0
y1 0 1 1 1 1 1 0 0 x1 1
y2 0 0 1 1 1 1 1 0 x2 1
y3 0 0 0 1 1 1 1 1 x3 0
y4 = 1 0 0 0 1 1 1 1 x4 + 0
y5 1 1 0 0 0 1 1 1 x5 0
y6 1 1 1 0 0 0 1 1 x6 1
y7 1 1 1 1 0 0 0 1 x7 1
ShiftRow变换
在ShiftRow变换中，状态的后3行以不同的移位值循环右移，行1移C1字节，行2移C2字节，行3移C3字节。
移位值C1，C2和C3与加密块长Nb有关，具体列在表2-5中：
表3-3 不同块长的移位值
Nb C1 C2 C3
4 1 2 3
MixColumn变换
在MixColumn变换中，把状态中的每一列看作GF（28）上的多项式与一固定多项式c(x)相乘然后模多项式x4+1，其中c(x)为：
c(x) =‘03’x3 + ‘01’x2 + ‘01’x + ‘02’
圈密钥加法
在这个操作中，圈密钥被简单地使用异或操作按位应用到状态中。圈密钥通过密钥编制得到，圈密钥长等于数据块长Nb。
在这个表示法中，“函数”(Round, ByteSub, ShiftRow,...) 对那些被提供指针 (State, RoundKey) 的数组进行操作。ByteSub 变换是非线性字节交换，各自作用于每个 State 字节上。在 ShiftRow 中，State 的行按不同的偏移量循环移位。在 MixColumn 中，将 State 的列视为 GF(28) 多项式，然后乘以固定多项式 c( x ) 并模除 x4 + 1，其中 c( x ) = '03' x3 + '01' x2+ '01' x + '02'。这个多项式与 x4 + 1 互质，因此是可逆的。
轮回密钥通过密钥计划方式从密码密钥 (Cipher Key) 派生而出。它有两个组件：密钥扩展 (Key Expansion) 和轮回密钥选择 (Round Key Selection)。轮回密钥的总位数等于块长度乘以轮回次数加 1（例如，块长度等于 128 位，10 次轮回，那么就需要 1408 个轮回密钥位）。
密码密钥扩充成扩展密钥 (Expanded Key)。轮回密钥是通过以下方法从这个扩展密钥中派生的：第一个轮回密钥由前 Nb（Nb = 块长度）个字组成，第二个由接着的 Nb 个字组成，以此类推。
加密算法由以下部分组成：初始轮回密钥加法、Nr-1 个轮回和最后一个轮回。在伪 C 代码中：
Rijndael(State,CipherKey)
{
KeyExpansion(CipherKey,ExpandedKey);
AddRoundKey(State,ExpandedKey);
For( i=1 ; i<Nr ; i++ ) Round(State,ExpandedKey + Nb*i);
FinalRound(State,ExpandedKey + Nb*Nr).
}
如果已经预先执行了密钥扩展，则可以根据扩展密钥指定加密算法。
Rijndael(State,ExpandedKey)
{
AddRoundKey(State,ExpandedKey);
For( i=1 ; i<Nr ; i++ ) Round(State,ExpandedKey + Nb*i);
FinalRound(State,ExpandedKey + Nb*Nr);
}
由于 Rijndael 是可逆的，解密过程只是颠倒上述的步骤。
最后，开发者将仔细考虑如何集成这种安全性进展，使之成为继 Rijndael 之后又一个得到广泛使用的加密算法。AES 将很快应一般商业团体的要求取代 DES 成为标准，而该领域的发展进步无疑将追随其后。
3．IDEA加密算法 (1) 算法简介 IDEA算法是International Data Encryption Algorithmic 的缩写，意为国际数据加密算法。是由中国学者朱学嘉博士和着名密码学家James Massey 于1990年联合提出的，当时被叫作PES（Proposed Encryption Standard）算法，后为了加强抵抗差分密码分，经修改于1992年最后完成，并命名为IDEA算法。 (2) 算法描述 这个部分参见论文上的图 (3) 算法的安全性分析 安全性：IDEA的密钥长度是128位，比DES长了2倍多。所以如果用穷举强行攻击的话， 么，为了获得密钥需要 次搜索，如果可以设计一种每秒能搜索十亿把密钥的芯片，并且 采用十亿个芯片来并行处理的话，也要用上 年。而对于其他攻击方式来说，由于此算法 比较的新，在设计时已经考虑到了如差分攻击等密码分析的威胁，所以还未有关于有谁 发现了能比较成功的攻击IDEA方法的结果。从这点来看，IDEA还是很安全的。
4．总结
几种算法的性能对比
算法 密钥长度 分组长度 循环次数
DES 56 64 16
三重DES 112、168 64 48
AES 128、192、256 128 10、12、14
IDEA 128 64 8
速度：在200MHz的奔腾机上的对比。
C＋＋ DJGP(++pgcc101)
AES 30.2Mbps 68.275Mbps
DES(RSAREF) 10.6Mbps 16.7Mbps
3DES 4.4Mbps 7.3Mbps
Celeron 1GHz的机器上AES的速度,加密内存中的数据
128bits密钥：
C/C++ (Mbps) 汇编(Mbps)
linux 2.4.7 93 170
Windows2K 107 154
256bits密钥：
C/C++ (Mbps) 汇编(Mbps)
Linux 2.4.7 76 148
Windows2K 92 135
安全性
1990年以来，特制的"DES Cracker"的机器可在几个小时内找出一个DES密钥。换句话说，通过测试所有可能的密钥值，此硬件可以确定用于加密信息的是哪个密钥。假设一台一秒内可找出DES密钥的机器(如，每秒试255个密钥)，如果用它来找出128-bit AES的密钥，大约需要149万亿年。
四、对称加密应用 在保密通信中的应用。（保密电话） 附加内容
安全哈希算法（SHA）
由NIST开发出来的。
此算法以最大长度不超过264位的消息为输入，生成160位的消息摘要输出。主要步骤：
1． 附加填充位
2． 附加长度
3． 初始化MD缓冲区，为160位的数据
A=67452301
B=EFCDAB89
C=89BADCFE
D=10325476
E=C3D2E1F0
4． 处理512位消息块，将缓冲虚数据和消息块共同计算出下一个输出
5． 输出160位摘要
此外还有其他哈希算法，如MD5（128位摘要），RIPEMD-160（160位摘要）等。
❷ 哈希码值是什么 什么是哈希码 转 详细03麻烦告诉我
哈希码值是什么 什么是哈希码 转 哈希码值是什么?什么事哈希码?哈希值，私钥加密和公钥加密1.哈希值哈希算法将任意长度的二进制值映射为固定长度的较小二进制值，这个小的二进制值称为哈希值。哈希值是一段数据唯一且极其紧凑的数值表示形式。如果散列一段明文而且哪怕只更改该段落的一个字母，随后的哈希都将产生不同的值。要找到散列为同一个值的两个不同的输入，在计算上是不可能的。消息身份验证代码(MAC)哈希函数通常与数字签名一起用于对数据进行签名，而消息检测代码(MDC)哈希函数则用于数据完整性。小红和小明可按下面的方式使用哈希函数以确保数据完整性。如果小红对小明编写一条消息并创建该消息的哈希，则小明可以在稍后散列该消息并将他的哈希与原始哈希进行比较。如果两个哈希值相同，则该消息没有被更改；但是，如果值不相同，则该消息在小红编写它之后已被更改。为了使此系统运行，小红必须对除小明外的所有人保密原始的哈希值。.NET Framework 提供以下实现数字签名算法的类：HMACSHA1 MACTripleDES MD5CryptoServiceProvider SHA1Managed SHA256Managed SHA384Managed SHA512Managed 随机数生成随机数生成是许多加密操作不可分割的组成部分。例如，加密密钥需要尽可能地随机，以便使生成的密钥很难再现。加密随机数生成器必须生成无法以计算方法推算出(低于p.05 的概率)的输出；即，任何推算下一个输出位的方法不得比随机猜测具有更高的成功概率。.NET Framework 中的类使用随机数生成器生成加密密钥。 RNGCryptoServiceProvider 是随机数生成器算法的实现。2.私钥加密私钥加密算法使用单个私钥来加密和解密数据。由于具有密钥的任意一方都可以使用该密钥解密数据，因此必须保护密钥不被未经授权的代理得到。私钥加密又称为对称加密，因为同一密钥既用于加密又用于解密。私钥加密算法非常快(与公钥算法相比)，特别适用于对较大的数据流执行加密转换。通常，私钥算法(称为块密码)用于一次加密一个数据块。块密码(如RC2、DES、TrippleDES 和 Rijndael)通过加密将n 字节的输入块转换为加密字节的输出块。如果要加密或解密字节序列，必须逐块进行。由于n 的大小很小(对于RC2、DES 和 TripleDES，n=8 字节；n=16[默认值]；n=24；对于Rijndael，n=32)，因此必须对大于n 字节的值一次加密一个块。基类库中提供的块密码类使用称作密码块链(CBC)的链模式，它使用一个密钥和一个初始化向量(IV)对数据执行加密转 换。对于给定的私钥k，一个未使用初始化向量的简单块密码将把相同的明文输入块加密为同样的密文输出块。如果在明文流内有重复的块，那么在密文流内也会有重复的块。如果未经授权的用户知道有关明文块的结构的所有信息，就可以使用该信息解密已知的密文块并有可能获得您的密钥。若要克服这个问题，可将上一个块中的信息混合到加密下一个块的过程中。这样，两个相同的明文块的输出就会不同。由于该技术使用上一个块加密下一个块，因此使用了一个IV 来加密数据的第一个块。使用该系统，未经授权的用户有可能知道的公共消息标头将无法用于对密钥进行反向工程。可以危及用此类型密码加密的数据的一个方法是，对每个可能的密钥执行穷举搜索。根据用于执行加密的密钥大小，即使使用最快的计算机执行这种搜索，也极其耗时，因此难以实施。使用较大的密钥大小将使解密更加困难。虽然从理论上说加密不会使对手无法检索加密的数据，但它确实极大增加了这样做的成本。如果执行彻底搜索来检索只在几天内有意义的数据需要花费三个月的时间，那么穷举搜索的方法是不实用的。私钥加密的缺点是它假定双方已就密钥和IV 达成协议，并且互相传达了密钥和IV 的值。并且，密钥必须对未经授权的用户保密。由于存在这些问题，私钥加密通常与公钥加密一起使用，来秘密地传达密钥和IV 的值。假设小红和小明是要在不安全的信道上进行通信的双方，他们可能按以下方式使用私钥加密。小红和小明都同意使用一种具有特定密钥和 IV 的特定算法(如 Rijndael)。小红撰写一条消息并创建要在其上发送该消息的网络流。接下来，她使用该密钥和IV 加密该文本，并通过Internet 发送该文本。她没有将密钥和IV 发送给小明。小明收到该加密文本并使用预先商定的密钥和IV 对它进行解密。如果该传输被截获，截获者将无法恢复原始消息，原因是截获者不知道密钥或IV。在这个方案中，密钥必须保密，但IV 不需要保密。在一个实际方案中，将由小红或小明生成私钥并使用公钥(不对称)加密将该私钥(对称)传递给对方。有关更多信息，请参见"公钥加密"。.NET Framework 提供以下实现私钥加密算法的类： DESCryptoServiceProvider RC2CryptoServiceProvider RijndaelManaged 3.公钥加密公钥加密使用一个必须对未经授权的用户保密的私钥和一个可以对任何人公开的公钥。公钥和私钥都在数学上相关联；用公钥加密的数据只能用私钥解密，而用私钥签名的数据只能用公钥验证。公钥可以被任何人使用；该密钥用于加密要发送到私钥持有者的数据。两个密钥对于通信会话都是唯一的。公钥加密算法也称为不对称算法，原因是需要用一个密钥加密数据而需要用另一个密钥来解密数据。公钥加密算法使用 固定的缓冲区大小，而私钥加密算法使用长度可变的缓冲区。公钥算法无法像私钥算法那样将数据链接起来成为流，原因是它只可以加密少量数据。因此，不对称操作不使用与对称操作相同的流模型。双方(小红和小明)可以按照下列方式使用公钥加密。首先，小红生成一个公钥/私钥对。如果小明想要给小红发送一条加密的消息，他将向她索要她的公钥。小红通过不安全的网络将她的公钥发送给小明，小明接着使用该密钥加密消息。(如果小明在不安全的信道如公共网络上收到小红的密钥，则小明必须同小红验证他具有她的公钥的正确副本。)小明将加密的消息发送给小红，而小红使用她的私钥解密该消息。但是，在传输小红的公钥期间，未经授权的代理可能截获该密钥。而且，同一代理可能截获来自小明的加密消息。但是，该代理无法用公钥解密该消息。该消息只能用小红的私钥解密，而该私钥没有被传输。小红不使用她的私钥加密给小明的答复消息，原因是任何具有该公钥的人都可以解密该消息。如果小红想要将消息发送回小明，她将向小明索要他的公钥并使用该公钥加密她的消息。然后，小明使用与他相关联的私钥来解密该消息。在一个实际方案中，小红和小明使用公钥(不对称)加密来传输私(对称)钥，而对他们的会话的其余部分使用私钥加密。公钥加密具有更大的密钥空间(或密钥的可能值范围)，因此不大容易受到对每个可能密钥都进行尝试的穷举攻击的影响。由于不必保护公钥，因此它易于分发。公钥算法可用于创建数字签名以验证数据发送方的标识。但是，公钥算法非常缓慢(与私钥算法相比)，不适合用来加密大量数据。公钥算法仅对传输很少量的数据有用。
❸ HTTPS的前世今生和原理详解
HTTPS网络：
HTTP是明文传输的协议，数据很容易被窃听和篡改，并且攻击者很容易冒充客户端和服务端，HTTPS可以解决这两个的安全问题。HTTS仍是HTTP协议，只是在HTTP与TCP之间添加了用于加密数据的TSL/SSL协议。很多其它应用层的协议也采用在传输层之上添加TSL/SSL协议来保证安全，如FTPS、IMAPS。
加密和解密使用的是同一个密钥。加密和解密的双发都需要持有同一个密钥。常见对称加密算法：AES、DES、3DES。
加密和解密使用的是不同的密钥，加密时使用的密钥称为公钥匙，解密是使用的密钥称为私钥。使用公钥加密的密文只能用私钥解开。公钥可以发布出去使用，但私钥一定不能泄漏。常见的非对称加密算法：RSA、背包算法、ECC。
数字签名用于校验数据是否被篡改，即数据是否和原数据是否一致。
数字签名包含签名和验证两个运算。数字签名具有不可抵赖性，签名验证正确后就不能否认。
数字签名一般包含一个自己知道的私钥和一个公开的公钥，与传统的加密不同的是签名时使用私钥，验证签名是使用公钥。
1994年Netscape提出了SSL协议并制订了SSL协议的原始规范，即SSL1.0。但由于SSL1.0使用的是弱加密算法而受到密码学界的质疑，所以SSL1.0并没有公共发布。
SSL1.0之后Netscape对SLL协议规范进行了重大改近，并在1995年发布 SSL2.0协议 。虽然SSL2.0版本被认为是一个相当强大且健壮的协议，但仍存在一些易受攻击的漏洞，所以并没有得到广泛的使用。
由于SSL2.0的安全问题，Netscape联合哈佛的Paul Kocher等人重新设计了SSL协议，并在1996年发布，即SSL3.0版本，该版本较2.0版本有较大的差别。 SSL 3.0协议 获得了互联网广泛认可和支持。
随着互联网的飞速发展，网络安全越来越重要，业界非常迫切的需要一个标准的安全协议，于是IETE接手了SSL协议，并将其更名为 TSL（Transport Layer Security Protocol，安全传输层协议 ，并在1999年发布了TSL1.0版本。
不过TSL1.0于SSL3.0差别并不大（TLS 1.0 内部的协议版本号其实是3.1）。
虽然TSL是SSL的升级，但一些称呼上还存在混淆，所以大家通常将二者统称为SSL/TLS协议。
TSL1.1 于2006年发布，主要是修复了一些漏洞。
TSL1.2于2008年发布，1.2版本主要移除了一些老旧的加密套件，并引入了 AEAD 加密模式。1.2版本是目前应用最广泛的版本。
TSL1.3 于2018年发布。1.3版本在2014年提出，经4年的反复修改直到第28个草案才于2018年正式纳入标准。
1.3版本相较1.2版本有很大的改动，即增强了安全性也也大大提升了访问速度。主要有以下改动：
在公网通讯时想要保证通信信道的安全，目前来看只有将通信的数据进行加密后可防止窃听、冒充和篡改。
防止窃听：
数据加密后传输的就是加密后的密文，这些密文即使被窃听了但在没有解密的密钥的情况下是得不到真正的内容的。
防冒充和篡改：
通讯的数据加密后传输，在没有加密用的秘钥的情况下时无法构造出合法的数据包的，也就无法冒充或篡改数据。
将通信数据加密后传输可以解决很多的安全问题，但要实现通信的加密最为关键的点在于通信的双发用于加密的密钥怎么协商才能保证密钥不被泄漏和篡改那？密钥协商是HTTPS中最大的难点。
通信时使用对称加密，并且在客户端请求时直接将对称加密的密钥返回给客户端。
但在安全的信道建立起来之前任何传输仍是明文的，使用明文风发密钥毫无安全性可言，并且由对称加密使用同一个密钥，所以第三方在窃听到密钥后即可以窃听和篡改数据也可以冒充客户端和服务端。 所以直接分发对称加密的密钥显然行不通。
为方便说明这里只看客户端单向向服务端发送数据的情况，服务端向客户端发送数据与其类似。
通信时使用非对称加密，在客户端请求时将公钥放回给客户端。
但返回公钥时仍然是明文传输的，所以公钥还是很容易就会被泄漏，泄漏了公钥后，虽然第三方无在没有密钥的情况下是没法窃听数据或直接冒充服务端，但由于泄漏了公钥第三方还是可以冒充客户端或者进行‘中间人’攻击。
所以单纯使用非对称加密也是行不通的。
'中间人’攻击：
只要通信时使用的密钥不泄漏，那么在通信时完全没必要使用非对称加密，毕竟对称加密的效率更高。所以可以在通信正式开始前使用非对称加密来协商出通信时使用的对称加密的密钥，步骤如下：
虽然对称加密与非对称加密结合可以使我们或得两种的优点，但这样还是无法避免‘中间人’攻击。
DH密钥协商算法不会直接交互密钥，而是交互用于生产密钥的参数，DH算法基于当前‘无法’对大数进行质数分解来保证即使参数泄漏了，第三方也无法通过参数推导出密钥。
DH算法密钥协商步骤：
通过以上步骤客户端和服务端就协商出了密钥s，并且整个过程中没有传输过s。为了防止被破解a和b通常非常大，p 是一个至少 300 位的质数，g一般很小通常是3或者5.
但DH算法的缺点也很明显，DH无法防止冒充，还是会受到中间人攻击。
数字证书（digital certificate），又称公开密钥认证（Public key certificate）或身份证书（identity certificate），用来下发公钥匙和证明公钥拥有者的身份。
证书由第三机构颁发用来验证服务提供方的合法性，使用时服务提供方将证书给到客户端，客户端通过特定的机制验证书的合法性，从而信任提供证书的服务端和证书中的公钥。
数字证书以文件的形式存在，证书文件中包含了公钥信息、拥有者身份信息（主体）、以及数字证书认证机构（发行者）对数字证书自身的数字签名，证书的数字签名用来保证证书没有被篡改。
一般我们向CA申请证书时不用我们我们提供公钥和私钥，CA会给我们分配一个密钥对，并将公钥写到证书中，然后将证书和私钥给我们。
证书有统一的标准，其合法性（证书是否过期、数字签名是否有效、颁发的机构是否可信）通过一定的程序按标准来进行验证，如浏览器会保证HTTPS证书是否是合法的，Linux下openSSL库提供了证书验证功能。
核对证书后若证书可信，就可以使用证书中的公钥对数据进行加密与证书的拥有者进行通信。
HTTPS的证书在扩展字段中包含了域名相关的信息，所以HTTPS的证书在申请的时候CA会严格的校验申请的机构或个人是否真的拥有这个域名。
数字证书认证机构（英语：Certificate Authority，缩写为CA）。证书标准是公开的任何人都可以去制作证书，但自己制作的证书是不受信任的，只有权威的CA机构颁发的证书才被信任。
权威的CA证书审核和部署流程严苛而繁杂，所以权威的根证书的有效期一般在几十年内。
也只有权威的CA的根证书会被各大操作系统支持，将其预制与操作系统内。
证书一般遵循X.509规范，主要包含以下内容：
CA生成的证书包含以上内容和一些扩展字段外，还包含CA使用自己的私钥对这些内容进行加密后的密文。在验证证书时使用CA的根证书对秘文进行验证，从而判断证书是否是合法的。
权威结构使用根证书来签发二级CA证书，二级CA证书可以给其它服务签发证书。但不是所有证书都可以继续签发新的证书，证书使用基础约束扩展来限制证书的签发，我们普通申请到证书基础约束扩展都是False的。查看根证书的基本约束可以看到证书颁发机构为‘是’。
根证书并不直接签发服务的证书，只要基于以下两点：
上一级证书对下一级证书进行签名，签名值包含在证书中，可以使用上一级证书中的公钥来验证下一级证书的签名值。根证书的签名是自己签的，并且验证签名的公钥包含在根证书中。
完整的证书连的关系应该有服务器放回，但有的并没有返回，对于没有放回完整证书连的证书，证书中的扩展字段CA 密钥标识符( Authority Key Identifier)记录了证书的上一个证书，通过该字段获取到上一级中间证书，再从中间证书的该字段中继续向上查找，直到根证书。
服务端最好可以返回证书连，这样可以避免浏览器自己去查找，提示握手速度。服务器返回的证书链并不包含根证书，根证书预至与操作系统内部。
在linux中openssl库会集成根证书。openssl的根证书的存放路径通过‘openssl version -a’查看。
校验证书时先根据证书链逐级校验证书的签名，签名校验的最关键的在根证书。根证书预至于操作系统中，CA要将自己的证书预至与各个系统中是非常困难的，所以预支与系统中的根证书是可信的。
回顾一下对于HTTPS的证书来说申请的时候CA会严苛的验证，保证这个域名是属于申请这个证书的机构的。这样攻击者或许可以伪造一个改域名的证书，但伪造的证书的根证书在系统中并不会存在，所以伪造的证书是不会被信任的。这样通过证书链的校验就可以有效的防止服务端被‘冒充’。
经过上面证书数字签名验证只是验证了证书确实是合法的证书，后还要验证证书的有效性，有效性验证主要包括以下字段：
验证合法的证书也可能由于种种原因被吊销，如证书的私钥泄漏了、证书错发了等，为了验证证书是否有效引入了证书吊销机制。
OSCP是证书提供方提供的证书验证接口，用户通过调用OSCP接口验证证书是否被吊销了。
但OCSP服务可能因为策略或服务故障导致无法访问，这时一般浏览器会选择信任证书，毕竟证书被吊销的情况只是极少数。也有部分CA将OCSP失败后的策略写到证书的扩展字段中，用用户根据扩展字段去做处理。
OSCP方式有自己明显的缺陷，为了验证证书而请求OSCP的同时也将自己在什么时候访问了什么服务也告诉了CA，CA利用我们的访问数据作恶咋办，还有OCSP的接口很慢的话不就拖慢了我们服务的相应数独。为了解决这两个问题各大CA厂商联手推出了CRL方案。
CRL方案是将被吊销的证书列表定期拉去到本机，一般是几天拉取一次。在校验证书时去本机列表中查找。
CA会在证书的扩展字段中写入CRL更新的地址：
CRL也有自己明显的确定，首先CRL是定期拉取的不能保证实时生效，然后CRL的列表一般很大可能达到数M。
CRLSet是chrome自建自用的解决方案。google觉得CRL更新太慢了，每个CA都有自己的CRL并且CRL内容也太多了。于是自己搞了一个CRLSet，将各大CA被吊销的高风险证书添加到CRLSet中，chrome在校验证书时可以去自己CRLSet中校验。
CRLSet只有各个CA吊销的证书的部分，大概包含所有吊销证书的2%。
CRLSet的更新相对快一些，最慢几个小时就会从各个CA中更新一次，CRLSet可以用在需要紧急吊销证书的情况下让吊销快速生效。
CRLSet提供了 https://github.com/agl/crlset-tools 工具来拉取和校验证书是否在CRLSet中。
可以在 chrome://components/ 中更新chrome的CRLSet
客户端向服务端发送hello请求，里面包含了客户端SSL/TSL的版本、支持的加密套件和一个随机数Random1
服务端收到客户端的hello后，根据客服端支持的加密套件和自己支持的加密套件选择出后面使用的加密和散列套件并返回给客户端，同时返回的还有服务端生产的一个随机数 Random2
服务端向客户端返回自己的证书，客户端收到证书后通过校验证书来信任服务端，并从证书中获取到证书中的公钥。
服务端在返回证书后会立即向客户端发送该请求。不过该请求不是必须的，只有选择的加密套件需要额外的参数是才会发送该请求交互参数。
如果密钥协议商算法是DH算法，那么DH的参数就在该请求中返回给客户端，DH算法有以下几种：DHE_DSS、DHE_RSA、ECDHE_ECDSAECDHE_RSA
dh算法会返回dh的参数p、g、dh的公钥和公钥的签名，公钥即g^b mod p，b为服务端的随机数
这里g就是0X03，p就是0X0017。
服务端在发送完上述信息后，就会立马发送Server Hello Done，来告知客户端服务端的相关信息已经发送完毕，就等客户端开始做密钥协商了。
客户端在收到该消息后就开始验证证书，协商密钥等工作。
在接受到服务器的Server Hello Done信息之后，客户端会计数出预备主密钥，并将其返回给服务端。
如果使用的是RSA/ECDSA算法，那么发送的就是预备主密钥。
如果使用的是DH算法，那么发送的就是通过之前的参数计数出来的公钥匙，即B（ g^b mod p）服务端在收到B后通过 B ^ a mod p得到第三个随机数。而客户端已经通过s = A b mod 得到了s。
到了这里服务端和客户端已经得到了三个随机数，通过之前协商好的加密算法使用这个三个随机数就得到一个对称加密的密钥，后面通信时就使用该密钥。
该请求用于通知对方已经计数出通信用的密钥，接下来的通信都使用该密钥进行。服务端和客户端都会发出该请求，一般是服务端先发出。
在完成上述步骤以后，双发都会发送一个Finished请求给对方，Finished的数据是通过协商好的密钥加密的，以此来验证之前协商好的密钥、协议版本是否是有效的。
参考资料：
❹ 密码学AES算法解题
AES(Advanced Encryption Standard)：高级加密标准，是下一代的加密算法标准，速度快，安全级别高。 用AES加密2000年10月，NIST（美国国家标准和技术协会）宣布通过从15种候选算法中选出的一项新的密匙加密标准。Rijndael被选中成为将来的AES。Rijndael是在1999年下半年，由研究员Joan Daemen 和 Vincent Rijmen 创建的。AES正日益成为加密各种形式的电子数据的实际标准。 美国标准与技术研究院（NIST）于2002年5月26日制定了新的高级加密标准（AES）规范。 算法原理 AES算法基于排列和置换运算。排列是对数据重新进行安排，置换是将一个数据单元替换为另一个。AES使用几种不同的方法来执行排列和置换运算。AES是一个迭代的、对称密钥分组的密码，它可以使用128、192和256位密钥，并且用128位（16字节）分组加密和解密数据。与公共密钥加密使用密钥对不同，对称密钥密码使用相同的密钥加密和解密数据。通过分组密码返回的加密数据的位数与输入数据相同。迭代加密使用一个循环结构，在该循环中重复置换和替换输入数据。密码学简介据记载，公元前400年，古希腊人发明了置换密码。1881年世界上的第一个电话保密专利出现。在第二次世界大战期间，德国军方启用“恩尼格玛”密码机，密码学在战争中起着非常重要的作用。 随着信息化和数字化社会的发展，人们对信息安全和保密的重要性认识不断提高，于是在1997年，美国国家保准局公布实施了“美国数据加密标准（DES）”，民间力量开始全面介入密码学的研究和应用中，采用的加密算法有DES、RSA、SHA等。随着对加密强度的不断提高，近期又出现了AES、ECC等。 使用密码学可以达到以下目的：保密性：防止用户的标识或数据被读取。数据完整性：防止数据被更改。身份验证：确保数据发自特定的一方。
❺ 常见密码技术简介
##
密码技术在网络传输安全上的应用
随着互联网电子商务和网络支付的飞速发展，互联网安全已经是当前最重要的因素之一。作为一名合格的软件开发工程师，有必要了解整个互联网是如何来保证数据的安全传输的，本篇文章对网络传输安全体系以及涉及到的算法知识做了一个简要的介绍，希望大家能够有一个初步的了解。
###密码技术定义
简单的理解，密码技术就是编制密码和破译密码的一门技术，也即是我们常说的加密和解密。常见的结构如图：
其中涉及到的专业术语：
1.秘钥：分为加密秘钥和解密秘钥，两者相同的加密算法称为对称加密，不同的称为非对称加密；
2.明文：未加密过的原文信息，不可以被泄露；
3.密文：经过加密处理后的信息，无法从中获取有效的明文信息；
4.加密：明文转成密文的过程，密文的长度根据不同的加密算法也会有不同的增量；
5.解密：密文转成明文的过程；
6.加密/解密算法：密码系统使用的加密方法和解密方法；
7.攻击：通过截获数据流、钓鱼、木马、穷举等方式最终获取秘钥和明文的手段。
###密码技术和我们的工作生活息息相关
在我们的日常生活和工作中，密码技术的应用随处可见，尤其是在互联网系统上。下面列举几张比较有代表性的图片，所涉及到的知识点后面都会一一讲解到。
1.12306旧版网站每次访问时，浏览器一般会提示一个警告，是什么原因导致的？ 这样有什么风险呢？
2.360浏览器浏览HTTPS网站时，点开地址栏的小锁图标会显示加密的详细信息，比如网络的话会显示```AES_128_GCM、ECDHE_RSA```，这些是什么意思？
3.在Mac系统的钥匙串里有很多的系统根证书，展开后有非常多的信息，这些是做什么用的？
4.去银行开通网上支付都会附赠一个U盾，那U盾有什么用呢？
##如何确保网络数据的传输安全
接下来我们从实际场景出发，以最常见的客户端Client和服务端Server传输文件为例来一步步了解整个安全体系。
####1. 保密性
首先客户端要把文件送到服务端，不能以明文形式发送，否则被黑客截获了数据流很容易就获取到了整个文件。也就是文件必须要确保保密性，这就需要用到对称加密算法。
** 对称加密： **加密和解密所使用的秘钥相同称为对称加密。其特点是速度快、效率高，适用于对较大量的数据进行加密。常见的对称加密算法有DES、3DES、AES、TDEA、RC5等，让我们了解下最常见的3DES和AES算法：
** DES(Data Encryption Standard)： **1972年由美国IBM研制，数学原理是将明文以8字节分组（不足8位可以有不同模式的填充补位），通过数学置换和逆置换得到加密结果，密文和明文长度基本相同。秘钥长度为8个字节，后有了更安全的一个变形，使用3条秘钥进行三次加密，也就是3DES加密。
**3DES：**可以理解为对明文进行了三次DES加密，增强了安全程度。
** AES(Advanced Encryption Standard)： **2001年由美国发布，2002年成为有效标准，2006年成为最流行的对称加密算法之一。由于安全程度更高，正在逐步替代3DES算法。其明文分组长度为16字节，秘钥长度可以为16、24、32(128、192、256位)字节，根据秘钥长度，算法被称为AES-128、AES-192和AES-256。
对称加密算法的入参基本类似，都是明文、秘钥和模式三个参数。可以通过网站进行模拟测试：[http://tool.chacuo.net/crypt3des]()。其中的模式我们主要了解下ECB和CBC两种简单模式，其它有兴趣可自行查阅。
** ECB模式(Electronic Codebook Book)： **这种模式是将明文分成若干小段，然后对每一段进行单独的加密，每一段之间不受影响，可以单独的对某几段密文进行解密。
** CBC模式(Cipher Block Chaining)： **这种模式是将明文分成若干小段，然后每一段都会和初始向量(上图的iv偏移量)或者上一段的密文进行异或运算后再进行加密，不可以单独解密某一断密文。
** 填充补位： **常用为PKCS5Padding，规则为缺几位就在后面补几位的所缺位数。，比如明文数据为```/x01/x01/x01/x01/x01/x01```6个字节，缺2位补```/x02```，补完位```/x01/x01/x01/x01/x01/x01/x02/x02```。解密后也会按照这个规则进行逆处理。需要注意的是：明文为8位时也需要在后面补充8个```/x08```。
####2. 真实性
客户端有了对称秘钥，就需要考虑如何将秘钥送到服务端，问题跟上面一样：不能以明文形式直接传输，否则还是会被黑客截获到。这里就需要用到非对称加密算法。
** 非对称加密： **加密和解密秘钥不同，分别称为公开秘钥(publicKey)和私有秘钥(privateKey)。两者成对出现，公钥加密只能用私钥解密，而私钥加密也只能用公钥加密。两者不同的是：公钥是公开的，可以随意提供给任何人，而私钥必须保密。特点是保密性好，但是加密速度慢。常见的非对称加密算法有RSA、ECC等；我们了解下常见的RSA算法：
** RSA(Ron Rivest、Adi Shamir、Leonard Adleman)： **1977年由麻省理工学院三人提出，RSA就是他们三个人的姓氏开头字母拼在一起组成的。数学原理是基于大数分解。类似于```100=20x5```，如果只知道100的话，需要多次计算才可以试出20和5两个因子。如果100改为极大的一个数，就非常难去试出真正的结果了。下面是随机生成的一对公私钥:
这是使用公钥加密后结果：
RSA的这种特性就可以保证私钥持有者的真实性，客户端使用公钥加密文件后，黑客就算截获到数据因为没有私钥也是无法解密的。
** Tips： **
+** 不使用对称加密，直接用RSA公私钥进行加密和解密可以吗？ **
答案：不可以，第一是因为RSA加密速度比对称加密要慢几十倍甚至几百倍以上，第二是因为RSA加密后的数据量会变大很多。
+** 由服务端生成对称秘钥，然后用私钥加密，客户端用公钥解密这样来保证对称秘钥安全可行吗？ **
答案：不可行，因为公钥是公开的，任何一个人都可以拿到公钥解密获取对称秘钥。
####3. 完整性
当客户端向服务端发送对称秘钥加密后的文件时，如果被黑客截获，虽然无法解密得到对称秘钥。但是黑客可以用服务端公钥加密一个假的对称秘钥，并用假的对称秘钥加密一份假文件发给服务端，这样服务端会仍然认为是真的客户端发送来的，而并不知道阅读的文件都已经是掉包的了。
这个问题就需要用到散列算法，也可以译为Hash。常见的比如MD4、MD5、SHA-1、SHA-2等。
** 散列算法(哈希算法)： **简单的说就是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数。而且该过程是不可逆的，无法通过摘要获得原文。
** SHA-1(Secure Hash Algorithm 1)： **由美国提出，可以生成一个20字节长度的消息摘要。05年被发现了针对SHA-1的有效攻击方法，已经不再安全。2010年以后建议使用SHA-2和SHA-3替代SHA-1。
** SHA-2(Secure Hash Algorithm 2)： **其下又分为六个不同算法标准：SHA-224、SHA-256、SHA-384、SHA-512、SHA-512/224、SHA512/256。其后面数字为摘要结果的长度，越长的话碰撞几率越小。SHA-224的使用如下图：
客户端通过上面的散列算法可以获取文件的摘要消息，然后用客户端私钥加密后连同加密的文件发给服务端。黑客截获到数据后，他没有服务端私钥无法获取到对称秘钥，也没有客户端私钥无法伪造摘要消息。如果再像上面一样去掉包文件，服务端收到解密得到摘要消息一对比就可以知道文件已经被掉包篡改过了。
这种用私钥对摘要消息进行加密的过程称之为数字签名，它就解决了文件是否被篡改问题，也同时可以确定发送者身份。通常这么定义：
** 加密： **用公钥加密数据时称为加密。
** 签名： **用私钥加密数据时称为签名。
####4. 信任性
我们通过对称加密算法加密文件，通过非对称加密传输对称秘钥，再通过散列算法保证文件没被篡改过和发送者身份。这样就安全了吗？
答案是否定的，因为公钥是要通过网络送到对方的。在这期间如果出现问题会导致客户端收到的公钥并不一定是服务端的真实公钥。常见的** 中间人攻击 **就是例子：
** 中间人攻击MITM(Man-in-the-MiddleAttack)： **攻击者伪装成代理服务器，在服务端发送公钥证书时，篡改成攻击者的。然后收到客户端数据后使用攻击者私钥解密，再篡改后使用攻击者私钥签名并且将攻击者的公钥证书发送给服务器。这样攻击者就可以同时欺骗双方获取到明文。
这个风险就需要通过CA机构对公钥证书进行数字签名绑定公钥和公钥所属人，也就是PKI体系。
** PKI(Privilege Management Infrastructure)： **支持公钥管理并能支持认证、加密、完整性和可追究性的基础设施。可以说整个互联网数据传输都是通过PKI体系进行安全保证的。
** CA(Certificate Authority)： **CA机构就是负责颁发证书的，是一个比较公认的权威的证书发布机构。CA有一个管理标准：WebTrust。只有通过WebTrust国际安全审计认证，根证书才能预装到主流的浏览器而成为一个全球可信的认证机构。比如美国的GlobalSign、VeriSign、DigiCert，加拿大的Entrust。我国的CA金融方面由中国人民银行管理CFCA，非金融CA方面最初由中国电信负责建设。
CA证书申请流程：公司提交相应材料后，CA机构会提供给公司一张证书和其私钥。会把Issuer,Public key,Subject,Valid from,Valid to等信息以明文的形式写到证书里面，然后用一个指纹算法计算出这些数字证书内容的一个指纹，并把指纹和指纹算法用自己的私钥进行加密。由于浏览器基本都内置了CA机构的根证书，所以可以正确的验证公司证书指纹（验签），就不会有安全警告了。
但是：所有的公司其实都可以发布证书，甚至我们个人都可以随意的去发布证书。但是由于浏览器没有内置我们的根证书，当客户端浏览器收到我们个人发布的证书后，找不到根证书进行验签，浏览器就会直接警告提示，这就是之前12306打开会有警告的原因。这种个人发布的证书，其实可以通过系统设置为受信任的证书去消除这个警告。但是由于这种证书机构的权威性和安全性难以信任，大家最好不要这么做。
我们看一下网络HTTPS的证书信息：
其中比较重要的信息：
签发机构：GlobalSign Root CA；
有效日期：2018-04-03到2019-05-26之间可用；
公钥信息：RSA加密，2048位；
数字签名：带 RSA 加密的 SHA-256 ( 1.2.840.113549.1.1.11 )
绑定域名：再进行HTTPS验证时，如果当前域名和证书绑定域名不一致，也会出现警告；
URI：在线管理地址。如果当前私钥出现了风险，CA机构可以在线吊销该证书。
####5. 不可抵赖性
看起来整个过程都很安全了，但是仍存在一种风险：服务端签名后拒不承认，归咎于故障不履行合同怎么办。
解决方法是采用数字时间戳服务：DTS。
** DTS(digital time-stamp)： **作用就是对于成功的电子商务应用，要求参与交易各方不能否认其行为。一般来说，数字时间戳产生的过程为：用户首先将需要加时间戳的文件用Hash算法运算形成摘要，然后将该摘要发送到DTS。DTS在加入了收到文件摘要的日期和事件信息后再对该文件进行数字签名，然后送达用户。
####6. 再次认证
我们有了数字证书保证了身份的真实性，又有了DTS提供的不可抵赖性。但是还是不能百分百确定使用私钥的就是合法持有者。有可能出现被别人盗用私钥进行交易的风险。
解决这个就需要用到强口令、认证令牌OTP、智能卡、U盾或生物特征等技术对使用私钥的当前用户进行认证，已确定其合法性。我们简单了解下很常见的U盾。
** USB Key(U盾)： **刚出现时外形比较像U盘，安全性能像一面盾牌，取名U盾。其内部有一个只可写不可读的区域存储着用户的私钥(也有公钥证书)，银行同样也拥有一份。当进行交易时，所有涉及到私钥的运算都在U盾内部进行，私钥不会泄露。当交易确认时，交易的详细数据会显示到U盾屏幕上，确认无误后通过物理按键确认就可以成功交易了。就算出现问题黑客也是无法控制U盾的物理按键的，用户可以及时取消避免损失。有的U盾里面还有多份证书，来支持国密算法。
** 国密算法： **国家密码局针对各种算法制定了一些列国产密码算法。具体包括：SM1对称加密算法、SM2公钥算法、SM3摘要算法、SM4对称加密算法、ZUC祖冲之算法等。这样可以对国产固件安全和数据安全进行进一步的安全控制。
## HTTPS分析
有了上面的知识，我们可以尝试去分析下HTTPS的整个过程，用Wireshark截取一次HTTPS报文：
Client Hello: 客户端发送Hello到服务端443端口，里面包含了随机数、客户端支持的加密算法、客户端的TLS版本号等；
Server Hello: 服务端回应Hello到客户端，里面包含了服务端选择的加密套件、随机数等；
Certificate： 服务端向客户端发送证书
服务端计算对称秘钥：通过ECDH算法得到对称秘钥
客户端计算对称秘钥：通过ECDH算法得到对称秘钥
开始用对称秘钥进行加密传输数据
其中我们又遇到了新的算法：DH算法
** DH(Diffie-Hellman)： **1976年由Whitefield与Martin Hellman提出的一个奇妙的秘钥交换协议。这个机制的巧妙在于可以通过安全的方式使双方获得一个相同的秘钥。数学原理是基于原根的性质，如图：
*** DH算法的用处不是为了加密或解密消息，而是用于通信双方安全的交换一个相同的秘钥。 ***
** ECDH： **基于ECC(椭圆曲线密码体制)的DH秘钥交换算法，数学原理是基于椭圆曲线上的离散对数问题。
** ECDHE： **字面少了一个E，E代表了临时。在握手流程中，作为服务器端，ECDH使用证书公钥代替Pb，使用自身私钥代替Xb。这个算法时服务器不发送server key exchange报文，因为发送certificate报文时，证书本身就包含了Pb信息。
##总结
| 算法名称 | 特点 | 用处 | 常用算法名 |
| --- | :--- | :---: | ---: |
| 对称加密 | 速度快，效率高| 用于直接加密文件 | 3DES、AES、RC4 |
| 非对称加密 | 速度相对慢，但是确保安全 | 构建CA体系 | RSA、ECC |
| 散列算法 | 算出的摘要长度固定，不可逆 | 防止文件篡改 | SHA-1、SHA-2 |
| DH算法 | 安全的推导出对称秘钥 | 交换对称秘钥 | ECDH |
----