建站
咨詢
售后
建站咨詢
新聞中心
隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)已經(jīng)成為人們?nèi)粘Ｉ钪械闹匾M成部分，網(wǎng)上購(gòu)物、網(wǎng)上炒股、網(wǎng)上繳費(fèi)都已非常普遍，而這些頁(yè)面上的操作都需要輸入一些敏感數(shù)據(jù)，例如銀行賬號(hào)、交易密碼等，所以網(wǎng)絡(luò)安全已經(jīng)成為網(wǎng)民最關(guān)注的問(wèn)題。
創(chuàng)新互聯(lián)于2013年創(chuàng)立，先為大觀等服務(wù)建站，大觀等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為大觀企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問(wèn)題。
現(xiàn)在的網(wǎng)上銀行以及電子商務(wù)網(wǎng)站等大都是采用SSL加密認(rèn)證的方式，在服務(wù)器端采用支持SSL認(rèn)證的服務(wù)器，而終端用戶則采用支持SSL認(rèn)證的瀏覽器來(lái)實(shí)現(xiàn)安全通信。然而在去年12月27日至30日在柏林召開(kāi)的“混沌通信”會(huì)議上研究人員宣布：他們通過(guò)利用MD5加密算法漏洞攻破了SSL加密技術(shù)，成功搭建一個(gè)偽造的證書(shū)授權(quán)中心(CA)，其頒發(fā)的證書(shū)能夠被所有要求SSL的網(wǎng)站接受。那么現(xiàn)在的網(wǎng)上交易已經(jīng)不安全了?其實(shí)事情還沒(méi)有那么糟，研究人員做的這次攻擊為的是使大家明確問(wèn)題所在，并且研究者們表示，要想復(fù)制此破解過(guò)程，至少還需要6個(gè)月的時(shí)間，因此距離黑客利用此法實(shí)現(xiàn)真正攻擊還有一些時(shí)間。
什么是SSL
SSL(即Secure Sockets Layer)安全套接層，它是一種國(guó)際通用的Web安全標(biāo)準(zhǔn)。SSL技術(shù)主要通過(guò)對(duì)敏感數(shù)據(jù)加密來(lái)防止各種攻擊非法讀取重要信息，包括我們經(jīng)常遇到的如數(shù)據(jù)劫持和釣魚(yú)攻擊等，通過(guò)SSL只有授權(quán)用戶才能讀取數(shù)據(jù)，另外SSL技術(shù)還能夠保證用戶有效訪問(wèn)網(wǎng)站。值得一提的是，SSL技術(shù)能夠內(nèi)置于所有操作系統(tǒng)、Web應(yīng)用程序和服務(wù)器硬件，這樣通過(guò)SSL加密技術(shù)可以為用戶提供一個(gè)強(qiáng)大且安全的網(wǎng)絡(luò)環(huán)境。
SSL如何被攻破?
在MD5算法中有一個(gè)名為MD5“沖突”的漏洞，通過(guò)這個(gè)漏洞能夠讓兩條不同的信息擁有同樣的MD5碼。因此理論上可以利用該漏洞攻擊數(shù)字簽名認(rèn)證系統(tǒng)。通過(guò)研究人員的實(shí)際操作這一理論最終得到了證實(shí)，該漏洞確實(shí)可以被用來(lái)破解SSL加密，從而對(duì)整個(gè)互聯(lián)網(wǎng)的安全構(gòu)架造成沖擊。
| [[1819]] |
| PlayStation實(shí)驗(yàn)室 |
此次的破解嘗試共分為兩步，第一步的運(yùn)算量巨大，需要運(yùn)用分布式運(yùn)算完成。而第二步運(yùn)算量較小，僅需一臺(tái)頂級(jí)四核PC即可。面對(duì)艱巨的第一步，研究者們?cè)谌鹗柯迳Ｂ?lián)邦理工大學(xué)搭建了一個(gè)“PlayStation實(shí)驗(yàn)室”，使用200臺(tái)PS3游戲機(jī)，平均分配30GB內(nèi)存進(jìn)行運(yùn)算，在一個(gè)周末的時(shí)間內(nèi)，研究者們共進(jìn)行了三次嘗試，制造MD5“沖突”的總運(yùn)算量為2的51.x次方。最終他們成功偽造了一個(gè)證書(shū)授權(quán)中心，可以隨意簽發(fā)SSL證書(shū)，突破各種SSL加密網(wǎng)站。
采用新的算法
這次的成功破解贏得了業(yè)界的贊譽(yù)，因?yàn)樵诤诳屠眠@個(gè)漏洞前我們發(fā)現(xiàn)了它。VeriSign公司(該公司的RapidSSL認(rèn)證使用MD5算法)也快速做出反應(yīng)，并已開(kāi)始解決證書(shū)產(chǎn)品中的這些問(wèn)題，并承諾任何受到問(wèn)題證書(shū)影響的用戶都可以從公司免費(fèi)獲得全新的未受影響的證書(shū)。
然而就調(diào)查機(jī)構(gòu)顯示，互聯(lián)網(wǎng)上所有認(rèn)證中的14%是采用MD5算法加密，這就說(shuō)明一旦此攻擊技術(shù)被黑客們掌握，互聯(lián)網(wǎng)的安全構(gòu)架將受到很嚴(yán)重的破壞，為此Verisign公司已經(jīng)停止在SSL中使用MD5加密算法，將會(huì)采用更為成熟的SHA-1算法，這種算法在非MD5的證書(shū)中被廣泛使用。
但SHA-1算法就真的安全嗎?據(jù)研究顯示SHA-1可能同樣存在碰撞攻擊的漏洞，所以在改進(jìn)運(yùn)算法則之前，如果使用速度更快的PlayStations游戲站來(lái)測(cè)試的話，SHA-1的崩潰也僅是時(shí)間問(wèn)題。因此，我們需要更加安全的加密算法來(lái)取代SHA-1。
目前看來(lái)，有望取代SHA-1算法的是一種使用變量長(zhǎng)度密匙的SHA-2加強(qiáng)版算法，它能衍生出SHA-224,SHA-256,SHA-384和SHA-512等加密算法，對(duì)安全性有一定的提高。目前國(guó)際技術(shù)標(biāo)準(zhǔn)協(xié)會(huì)(NIST)正在就新的散列函數(shù)進(jìn)行競(jìng)爭(zhēng)，希望通過(guò)SHA-3來(lái)制定新一代的標(biāo)準(zhǔn)。
另外，不使用MD5函數(shù)的擴(kuò)展驗(yàn)證SSL(EV SSL)為我們帶來(lái)新的希望，EV SSL證書(shū)能夠確保網(wǎng)站和消費(fèi)者瀏覽器間的安全加密通信，同時(shí)能夠驗(yàn)證網(wǎng)站的真實(shí)性，使所有的訪問(wèn)者知道他們?cè)L問(wèn)的確實(shí)是他們想要訪問(wèn)的網(wǎng)站，而不是黑客網(wǎng)站。目前包括IE7、Firefox3在內(nèi)的瀏覽器均已支持EV SSL證書(shū)。
總結(jié)：
對(duì)于終端用戶來(lái)說(shuō)，采用全新加密認(rèn)證的瀏覽器要比老舊的版本安全的多，雖然舊的版本也在進(jìn)行補(bǔ)丁更新，但廠商是不會(huì)一直更新下去的;而新的瀏覽器也會(huì)帶來(lái)全新的功能，比如顯示第三方認(rèn)證等，這些都能提升終端用戶的安全性，因此筆者建議大家及時(shí)更新瀏覽器，以免不必要的麻煩。
對(duì)于安全領(lǐng)域來(lái)說(shuō)，上面介紹的SSL加密算法可以起到提升安全性的作用，然而我們必須看到，沒(méi)有絕對(duì)安全的加密認(rèn)證，這次SSL認(rèn)證被攻破已經(jīng)為我們敲響警鐘，出現(xiàn)問(wèn)題才做補(bǔ)救無(wú)異于坐以待斃。在安全領(lǐng)域中我們必須要未雨綢繆，加緊制定全新的安全標(biāo)準(zhǔn)，改進(jìn)安全構(gòu)架，因?yàn)樵诎踩澜缰?，看似沒(méi)有問(wèn)題，實(shí)則隱患重重。
【編輯推薦】
- SSL認(rèn)證加密被攻破 安全防范需加強(qiáng)
- 為FTP穿上SSL裝甲 客戶端也能支持SSL
- 認(rèn)證與加密
網(wǎng)頁(yè)題目：SSL加密認(rèn)證被攻破 數(shù)據(jù)安全如何保證
URL地址：http://www.fisionsoft.com.cn/article/dhppghh.html
