當(dāng)今世界，網(wǎng)絡(luò)安全問題比以往任何時候都更需認(rèn)真對待。 本文是屬于《網(wǎng)絡(luò)安全》系列文章之一，我們將詳細闡述了安全性的基礎(chǔ)知識。在本文中，我們將闡述非對稱加密的原理，這是確保真實性、完整性和保密性的唯一方法。

不對稱加密的加密技術(shù)和簽名: 2000多年前，凱撒通過加密來保護其軍事信息?，F(xiàn)如今就輕而易舉了嗎?

在我們最近的一篇博客中，我們看到了對稱加密即使在一定程度上滿足了保密性，也不足以確保真實性和完整性。那么，非對稱加密如何破解這個方程呢?

我們舉個例子，將想要交換機密消息的兩個人命名為Alice和Bob。每人都有一個公鑰和對應(yīng)的私鑰。

作為假設(shè)，有必要了解以下內(nèi)容: 用公鑰加密的消息只能用相應(yīng)的私(秘)鑰解密。用私鑰加密的消息只能用相應(yīng)的公鑰解密(我們將在本文后面看到這一點的好處)。

基于上述情況，Alice想給Bob發(fā)送消息，將使用Bob的公鑰對其進行加密。在此情況下，只有Bob能用自己的密鑰對消息進行解密。

以上只是解決了保密性需求而已。

但是Bob如何能確定是Alice給他發(fā)來的信息呢?他如何確定消息在傳輸過程中沒有被修改?為了解決這個問題，Alice還需使用簽名機制。

說到簽名之前，我們必須引入散列函數(shù)的概念。“散列函數(shù)”是將文本轉(zhuǎn)換為簽名(也稱為指紋)的“加工廠”。

這個“加工廠”有5個特性:

對于相同的函數(shù)，指紋中的字符數(shù)總是相同，

指紋不允許重建原始文本，

指紋不可預(yù)測，

相同的數(shù)據(jù)會產(chǎn)生相同的指紋，

不同的數(shù)據(jù)會產(chǎn)生完全不同的指紋。

“MD5”和“SHA” 是兩個眾所周知的散列函數(shù)。使用MD5時，文本“Ewon: Leading IIoT for 20 years”被轉(zhuǎn)換成32個字符的密鏈: “5b184c5cafcad9ef410afbcb0fab5518”。維基百科的完整內(nèi)容也會生成32個字符的(完全不同的)密鏈。

單向轉(zhuǎn)換最為輕而易舉：只需使用互聯(lián)網(wǎng)上容易找到的一款在線工具即可。毋庸置疑，反向轉(zhuǎn)換并非易事

考慮到上述情況，回到我們之前的例子:

為了簽署一份文檔，Alice首先使用散列函數(shù)(如https://www.md5hashgenerator.com/ 或其他任何能在互聯(lián)網(wǎng)上找到的函數(shù))生成文件指紋。之后，她使用自己的私鑰加密這個指紋。她在自己的文檔上獲得了一個簽名，可將該簽名與原始文檔一起發(fā)送給Bob。

然后，Bob需使用Alice的公鑰解密簽名。如果不起作用，則是因為文檔不是由Alice發(fā)送的(Alice是唯一擁有私鑰的人)。如果解密成功，他便可以確定是Alice在信息上簽名了。

因此，他獲得了文檔的第一個指紋。

一旦完成了這一步，Bob就需使用與Alice相同的散列函數(shù)生成所收原始文檔的指紋。

如果兩個指紋完全相同，那么他完全可以肯定，在Alice發(fā)送和他接收期間，文檔沒有被修改過。

加密和簽名的結(jié)合，是同時對文檔進行編碼和簽名并確保消息的機密性、完整性和真實性的唯一方法。

這種做法是很不錯，但可能還有最后一個問題: 事實上，當(dāng)Alice加密一條消息時，她怎么能確定自己使用的是Bob的公鑰呢?事實上，如果一個黑客(我們稱他為Eve)也生成一對密鑰(私鑰/公鑰)，然后讓Alice相信它們是Bob的密鑰，將它們傳輸給Alice，則Alice會繼續(xù)加密消息并將其傳輸給Bob。在此情況下，只有Eve才能破譯和讀取這些信息……

因此，Alice需要能在使用Bob的公鑰之前驗證Bob的真實性。為此，Bob可以讓證書頒發(fā)機構(gòu)(CA)認(rèn)可他的公鑰，確保他是該公鑰的所有者。這種保障方法采用的是CA將證書頒發(fā)給Bob的形式。該證書包含識別Bob及其公鑰的信息。又由證書頒發(fā)機構(gòu)簽署，確保其合法性。

這樣一來，Alice可以聯(lián)系該機構(gòu)，確認(rèn)她正在使用的公鑰屬于Bob。

想要做的更好很難!

與對稱加密相比，非對稱加密只有一個缺點：比較慢。為了提高速度，安全的連接使用對稱和非對稱兩種加密方式。

當(dāng)網(wǎng)絡(luò)瀏覽器與服務(wù)器建立安全連接時，將首先生成一個對稱會話(臨時)密鑰。而后，使用服務(wù)器的公鑰(其真實性和有效性通過其證書得到驗證)來加密該會話密鑰，并將其發(fā)回服務(wù)器，解密后，將能以對稱方式與瀏覽器進行通信。

這種方法解決了長達2000年之久的凱撒難題。得益于此，兩個互不相識的實體可以交換秘密，而無需事先在加密/解密的密鑰問題上達成一致。

審核編輯：湯梓紅