2023年7月31日发(作者：)

／２０１１年第Ｏ５期　在当前信息安全领域中的应用研究　许洗或　（南京铁道职业技术学院苏州校区．江苏苏州２１５１３７）　摘要：密码技术在信息安全中有着举足轻重的作用：文章介绍了密码技术的相关理论及应用现状，并　以应用比较广泛的单向散列函数ＭＤ５为例介绍了单向散列函数在当前的应用，特别以网页设计中用户认证　为例，对单向散列函数ＭＤ５所起的作用进行了比较　关键词：密码技术；密钥；单向散列函数；ＭＤ５；用户认证　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７１一ｌ１２２（２０１１）０５—００４１—０３　Ｓｈａｌｌｏｗ　Ｒｅ－ｄｅｂａｔｅ　ｔｈｅ　Ｐａｓｓｗｏｒｄ　Ｔｅｃｈｎｉｑｕｅｓ　ｉｎ　ｔｈｅ　Ｆｉｅｌｄ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　ｉｎ　ｔｈｅ　Ｃｕｒｒｅｎｔ　Ａｐｐｌｉｃａｔｉｏｎ　ＸＵ　Ｇｕａｎｇ—ｙｕ　【Ｊｖｄ　ｉｎｇ　Ｉｎｓｔｉｔｕｔｅ　ｏｆＲａｉｌｗａｙ　Ｔｅｃｈｎｏｌｏｇｙ，Ｓｕｚｈｏｕ　Ｊｉａｎｇｓｕ　２　１　５　１　３７，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｐａｓｓｗｏｒｄ　ｔｅｃｈｎｏｌｏｇｙ　ｈａｓ　ｆｌ　ｐｉｖｏｔａｌ　ｒｏｌｅ　ｉｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ．Ｔｈｉｓ　ｐａｐｅｒ　ｉｎｔｒｏｄｕｃｅｓ　ｔｈｅ　ｐａｓｓｗｏｒｄ　ｔｅｃｈｎｉｑｕｅｓ　ｒｅｌａｔｅｄ　ｔｈｅｏｒｙ　ａｎｄ　ａｐｐｌｉｃａｔｉｏｎ　ｓｔａｔｕｓ，ａｎｄ　ｔｏ　ａｐｐｌｙ　ｍｏｒｅ　ｅｘｔｅｎｓｉｖｅ　ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ　ＭＤ５　ｉｓ　ｐｒｅｓｅｎｔｅｄ　ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ　ｉｎ　ｔｈｅ　ｃｕｒｒｅｎｔ　ａｐｐｌｉｃａｔｉｏｎｓ　ｉｎ　ｗｅｂ　ｐａｇｅ　ｄｅｓｉｇｎ，ｅｓｐｅｃｉａｌｌｙ　ｆｏｒ　ｅｘａｍｐｌｅ，ｕｓｅｒ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｏｆ　ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ　ＭＤ５　ｐｌａｙｅｄ　ｔｈｅ　ｒｏｌｅ　ａｒｅ　ｃｏｍｐａｒｅｄ．　Ｋｅｙ　ｗｏｒｄｓ：ｐ－ａｓｓｗｏｒｄ　ｔｅｃｈｎｏｌｏｇｙ；Ｋｅｙ；Ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ；ＭＤ５；Ｕｓｅｒ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　１现实中的密码应用　１．１日常中的密码应用　日常生活中很多方面都与计算机网络相关，自然生活中应用密码的场合也很多，以致于许多人抱怨密码太多，记不住。也许　真有人记不住密码，丁是把密码写在了纸上，甚至把密码和相关物品放在了一起。银行一直提示，要遵守一米线的规定；在ＡＴＭ　机上取款要提防他人偷窥密码等。所有的这些都指出Ｊ　密码的重要性，密码是一串“保密”的代码，如果能够随意让他人看到，　还叫“密码”吗？　１．２专业技术领域中的密码应用　用ＡＳＰ技术编过网页的人都知道，ＡＳＰ技术的使用非常简单实用，但简单易用也带来了很多安全风险。存用户登录的应１｝｝Ｊ中，如　果不对密码进行加密，或存程序中加以判断控制，那用户登录能够轻而易举地破解＝存很多银行的网银中，口令的输入同样并不是一个　简单的密码框，而是川专门的控件来支持完成的，甚至还配有加密狗或者动态口令　，以加强安全措施。信息需要安全地存储，安全　地传输；电子商务的快速发展，也需要一种安全可靠的身份认证和数宁签名体系；网络上病毒和小马泛滥成灾，严重威胁正常的Ｔ作与　生活；当前我国的知识产权意识薄弱，应在技术上保护数字产品不被非法拷贝等　这些都常常涉及信息安全需要解决的问题，而基础　则是密码。综　所述，密码技术在现实中应用相当广泛，充分体现了密码技术在　前信息安全领域的重要性。而在应用密码技术的同　时需要有个清楚的认识：安全与方便是—对矛盾体。对外公开的接Ｌ】越多，漏洞也许越多；系统的安全性能，取决于最不安全的那个接口。　２密码技术相关常识　２．１密码技术的基本内容　１）明文——明文是指加密前的原始信息。比如前面所说ＡＳＰ网页的用户登录认证中，如果输入的“密码”不进行加密处理，　那它存储在数据库中的，或者在后台处理的过程巾都是“明文”　２）密文——密文是指明文被加密后的信息，一般是杂乱无章、　●　收稿时间：２（）１１一ｆ】４—１ｆ）　作者简介：许洗或（１９７１一），男，江苏，主要研究方向：网络管理、网络安全、网页设计。　２０１１年第Ｏ５期　毫无意义的字符序列，不经解密使人难以理解。３）加密——　加密是指将明文经过加密算法变换成密文。４）解密——解密　是指把密文用解密算法变换成明文，是加密的逆运算。５）密　钥和算法——密钥是指控制加密算法和解密算法实现的关键　信息，加密密钥和解密密钥可以相同也可不相同，一般由通信　双方所掌握。算法是指明文和密文之间的变换法则。密钥和　算法是密码系统中的两个基本因素，在某种意义上，可将算　法视作常量，它可以被公开；将密钥视为变量，一般应予以保　密。在公开密钥密码体制中公开的也仅是加密密钥，解密密　钥仍是保密的。　２．２密码的功能　１）通信中的数据保护。在通信中应用密码对数据进行保　护可以防止传输中的信息被非法窃听导致失密；也可以防止信　息的内容被恶意攻击者非法篡改；同样也可以防止入侵者伪　造假目标。２）对存储信息的保护。对重要数据或文件进行加　密后存储，可以保证只有掌握解密密钥的合法用户才能存取　数据，可以防止非法或越权的渎、写操作。３）通信双方的身　份验证　身份识别是阻止各种危害进入系统的各个部分，维　护系统的安全的第一道关卡。当用户登录某系统时，必须要用　户名和密码口令同时正确才行，否则系统将拒绝提供服务。在　双方通信过程中，密码还可以对存取数据和发来信息的对方　的身份进行确认，即用户鉴别。４）不可抵赖性。密码技术包　含了对源和目的双方的证明，体现在数字签名服务中。　２．３常见的一些密码算法　１）对称密钥体系。用户使用同一个密钥加密和解密。它　的特．　是保密强度很高，但对密钥的管理和传递必须极为安　全可靠，因而难以应用于开放系统。典型的算法如ＤＥＳ算法。　２）公开密钥体系。加密者和解密者各自使用不同的密钥。它　的特点是对密钥的管理和传递相当简单，能够适用于开放系　统的环境，可以方便、安全地用于数字签名和验证。典型算　法如ＲＳＡ算法。３）散列函数。所谓散列函数（也称哈希函数）　是对明文进行运算后，可以生成一个定长的摘要，明文发生　改变后，该摘要值变化较大，该函数是一个单向函数，由明　文计算摘要很容易，由摘要计算出明文是不可能的。　它的典型算法有：ＭＤ５、ＳＨＡ等算法。主要用途包括消　息摘要、数字签名、系统登录认证等。　、　３散列函数的常见应用　３．１单向散列函数的特点　根据单向散列函数的安全水平，可以分成两类：强碰撞自　由的单向散列函数和弱碰撞的单向散列函数。强碰撞自由的单　向散列函数比弱碰撞的单向散列函数安全性要高。　单向散列函数具有如下一些特点：１）单向散列函数能够　处理任意长度的明文，其生成的消息摘要数据块长度具有固　定的大小，而且对同一个消息反复执行该函数总是得到相同　１　４２　的信息摘要。２）单向散列函数生成的信息摘要是不可预见的。　消息摘要看起来和原始数据没有任何的关系，而且原始数据　任何微小变化都会对生成的信息摘要产生很大的影响。３）具　有不可逆性，即通过生成的报文摘要得到原始数据的任何信　息在计算上是完全不可行的。　在实际系统中，应用最多的是消息摘要算法ＭＤ５和安全　散列算法ＳＨＡ系列。它们具有相似的原理和方法，下面就来　谈谈ＭＤ５算法的应用。　３．２　ＭＤ５算法的原理（算法步骤）　１）对明文输入按５１２位分组，最后不足部分填充使其成　为５１２位的整数倍，且最后一组的后６４位用来表示信息长　度对２的６４次方求得的余数，填充数字图样为（二进制的　１００……０），每个分组我们标记为Ｙｑ。２）每轮输出为１２８位，　用四个３２位字：ＡＢＣＤ表示，初值为：Ａ＝０１２３４５６７，Ｂ＝　８９ＡＢＣＤＥＦ，Ｃ＝ＦＥＤＣＢＡ９８，Ｄ＝７６５４３２１０．３）对每个５１２　位进行分组迭代运算，参与去处的常数为：Ｔ［１，…，６４］，参　与的四个函数为：　Ｆ（ｘ，ｙ，ｚ）＝（（ｘ）＆（ｙ））Ｉ（（～ｘ）＆（ｚ））　Ｆ（ｘ，ｙ，ｚ）＝（（ｘｊ＆（ｚ））Ｊ（（ｙ）＆（－ｚ））　Ｈ（ｘ，ｙ，ｚ）＝（ｘ）　（ｖ）　（Ｚ）　Ｉ（ｘ　ｚ）：（ｙ）　（（Ｘ）Ｉ（～ｚ））　以上描述为Ｃ语言描述，＆是与，１是或，～是或，　是异或。　３．３　ＭＤ５算法的应用　ＭＤ５加密算法由于其具有较好的安全性，加之商业也可　以免费使用该算法，因此该加密算法被广泛使用，ＭＤ５算法　主要运用在数字签名、文件完整性验证以及口令加密等方面。　３．３．１用户的注册登录　根据各部门单位信息化建设的需要，各部门单位都建立　了自己的网站和管理系统。信息数据的安全越来越受到人们　的关注。在系统中，经常需要将用户权限信息存储于数据库，　当不同的用户登录时，根据数据库中的信息进行相关验证。为　了增强安全性，我们有必要对数据库中的重要资料进行加密，　这样既使攻击者得到了加密的用户信息，如果没有解密算法，　也一样不能获得用户的真实信息。现在网站一般采用ＭＤ５加　密算法对用户的重要信息进行加密。　用户在注册时所提交的信息（密码）是利用ＭＤ５算法加　密之后再保存到数据库中，这样可以有效防止用户密码的泄露，　既使是黑客非法获得加密密文也没有办法直接查看到用户的　密码，有效地保护了系统的安全。在用户登录时，进行身份验证，　必须对输入的密码重新进行ＭＤ５加密，然后再与数据库中的　信息进行比对，如相同便可进入系统。　在网站后台，通常的用户认证ＳＱＬ语句是类似于这样　的：ｗｈｅｒｅ　ｌｌｓｅｒｎａｍｅ￣ＡＡ　ａｎｄ　ｐａｓｓｗｏｒｄ＝ＢＢ，也就是两个条件　同时成立就认证成功，但试想，如果其中的ＢＢ（用户输入的　密码）被用户刻意改变，使得整个ＳＱＬ认证语句成了：ｗｈｅｒｅ　２０１　１年第Ｏ５期　ｕｓｅｒｎａｎｌｅ＝ＡＡ　ａｎｄ　ｐａｓｓｗｏｒｄ＝ＣＣ　ｏｒ　１＝１，结果会是这个条件　永远为真。也就是如果用户认证程序中不采用ＭＤ５算法（或　类似功能），黑客可能不用得到后台数据库就能进入系统。　在目前的信息系统中，对ＭＤ５加密方法的利用主要通过　存脚本页面中引用包含ＭＤ５加密函数代码的文件，以ａｓｐ脚　４关于密码的法律与政策　４。１关于密码的相关法律　在我国，有《商用密码管理条例》、《计算机信息网络国际　联网保密管理规定》等与密码相关的法律法规。同时各省市　也有各自的相关的地方法律规定。　本为例，在需要调用的页面中加入ｒｏｄ５．ａｓｐ，ｒｏｄ５．ａｓｐ为ＭＤ５　加密函数代码文件，然后直接调用函数ＭＤ５（ｓＭｅｓｓａｇｅ）即可，　ＭＤ５加密后的值有１６位和３２位之分。如果将加密的ＭＤ５　在《商用密码管理条例》中有以下的规定：１）商用密码　产品由国家密码管理机构许可的单位销售；２）销售商用密码　值保存在数据库，则肯定比把密码直接放在数据库要安全得　多。当然也并不是百分百保险，当网站存在注入或者其它漏洞　时，入侵者极有可能获取用户的密码值，如果用户实际密码　位数在６位以下，通过ＭＤ５在线查询或者暴力破解可以得到　密码。笔者试过，当用户密码是５位且密码全是英文字母时，　对ＭＤ５加密后的密文进行暴力破解时间不超过半小时。所以，　用户如果能够增强密码复杂度，那就更保险了，比如密码位数　超过８位且加人一些生僻符号（如＠＃％等符号）。　３．３．２对文件验证完整性　同样的道理，用ＭＤ５还可以来对文件进行加密验证，通　过识别文件其“数字签名”，我们可以判断它们是否为同一文件，　是否在传递过程中被修改过。所以，现在一些提供文件下载　的网页在提供下载的同时还提供这些文件的ＭＤ５码或ＳＨＡ　码等，以方便用户验证。　．　前面已经提到“原始数据任何微小变化都会对生成的信　息摘要产生很大的影响”，所以当有人在文件传递过程中对文　件进行了哪怕相当微小的改动，那最后产生的信息摘要都不　会是一样的。在网络上的文件下载中经常可以看到文件的提供　者在提供文件的同时，还提供了关于此文件的ＭＤ５（或其它的　算法）验证值，下载者只要进行比较即可判定来源是否“正宗”　（有时候不一定是人为修改，如果感染病毒也会导致同样的结　果）。这一类相关的软件较多，比如ｗｉｎｍｄ５、ＨａｓｈＣａｌｃ等。　３．４散列函数的破解问题　ＭＤ５的安全性弱点在于其压缩函数的冲突已经找到。１９９５　年有论文指出，花费１００万美元，设计寻找冲突的特制硬件设备，　平均在２４天内可以找出一个ＭＤ５的冲突，即找到两个不同的　报文以产生同样的报文摘要。但是，对于一个给定的报文摘要，　要找到另外一个报文产生同样的报文摘要是不可行的。　中国山东大学教授王小云在２００４年８月１７　Ｅｔ的美国加州　国际密码学会议上公布，找到ＭＤ５碰撞对，并提供了找碰撞　对的算法。在２００５年２月也找到了ＳＨＡ一１的碰撞对。王小　云的研究成果表明，理论电子签名可以伪造，必须及时添加　限制条件，或者重新选用更为安全的密码标准，以保电子商　务的安全。就目前而言，现阶段消息摘要和电子商务安全依然　是安全的，因为王小云的破解是强无碰撞的，碰撞镜像不是　期望的。目前，ＭＤ５算法仍被认为是最安全的哈希算法之一，　在很多领域被当成了标准使用。　产品应向国家密码管理机构提出申请且须具备相关条件；３）　销售商用密码产品应记录购买者的用途等详细情况；４）进出　口密码相关产品须经国家密码管理机构批准。　可以看出，我国对密码的应用管理也有着及其严格的要求。　但是，如果仔细比较我国的相关法律法规，会发现存在　着“重复管理，处罚不同”的问题，其中也肯定会出现一定的　漏洞，所以我国在这方面的法律法规也亟需继续完善。　４。２各国关于密码的政策　１）俄罗斯的密码政策。进口国外制造的加密设备需要获　得许可证，加密技术的出口受同家的严格控制。１９９５年４月，　叶利钦总统发布卜条命令，禁止未经授权的加密。国有企业　需要有许可证才能使用加密技术（包括身份验证和保密，存　储和传输）。没有获得许可证，禁止开发、实现或运行加密技术。　２）美国的密码政策。对于加密技术没有进口限制，其加　密技术出口限制极严格。从上面可以看ｆｌ｛，各国对本国的密码　技术出口有着严格的限制，进而也说明密码技术对一个国家而　言的重要程度。　５结束语　作为信息网络安全的关键技术一一密码技术，近年来空　前活跃，由于计算机运算速度的不断提高，各种密钥算法也　面临着新的密码体制，众多密码新技术正处于不断探索中。　信息技术的应用在我国越来越广泛，其安全问题越来越　突出，网络的安全只是相对而言，网络没有绝对安全。尽管有　各类法律的保障，但数据安全不能太过于依靠法律法规。法　律只能在安全方面对相关人员增加约束力，而无法杜绝违法　行为的产生。　信息安全问题涉及到国家安全、社会公共安全，世界各国已　经认识到信息安全涉及重大国家利益，是互联网经济的制高点，　也是推动互联网发展、电子政务和电子商务的关键，包括密码技　术在内的信息安全技术将得到更大的发展。黩（责编程斌）　参考文献：　［１］公安部计算机信息系统安全技术［Ｍ］北京：群众出版社，　１９９８．６　［２】百度文库单向散列函数的原理一实现和在密码学中的应用【ＥＢ／　ＯＥ］ｈｔｔｐ：／／ｗｅｎｋｕ．ｂａｉｄｕ　ｃｏｍ／ｖｉｅｗ／９０９ｃ４９１　１　ｃｃ７９３ｌｂ７６５ｃｅ１５ｅＯ．ｈｔｍｌ，　２００１　０４－２８　【３】石淑华，池瑞楠．计算机网络安全技术＿Ｍ】北京：人民邮电出版　社．２００８１２．　ｒ　

2023年7月31日发(作者：)

／２０１１年第Ｏ５期　在当前信息安全领域中的应用研究　许洗或　（南京铁道职业技术学院苏州校区．江苏苏州２１５１３７）　摘要：密码技术在信息安全中有着举足轻重的作用：文章介绍了密码技术的相关理论及应用现状，并　以应用比较广泛的单向散列函数ＭＤ５为例介绍了单向散列函数在当前的应用，特别以网页设计中用户认证　为例，对单向散列函数ＭＤ５所起的作用进行了比较　关键词：密码技术；密钥；单向散列函数；ＭＤ５；用户认证　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７１一ｌ１２２（２０１１）０５—００４１—０３　Ｓｈａｌｌｏｗ　Ｒｅ－ｄｅｂａｔｅ　ｔｈｅ　Ｐａｓｓｗｏｒｄ　Ｔｅｃｈｎｉｑｕｅｓ　ｉｎ　ｔｈｅ　Ｆｉｅｌｄ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　ｉｎ　ｔｈｅ　Ｃｕｒｒｅｎｔ　Ａｐｐｌｉｃａｔｉｏｎ　ＸＵ　Ｇｕａｎｇ—ｙｕ　【Ｊｖｄ　ｉｎｇ　Ｉｎｓｔｉｔｕｔｅ　ｏｆＲａｉｌｗａｙ　Ｔｅｃｈｎｏｌｏｇｙ，Ｓｕｚｈｏｕ　Ｊｉａｎｇｓｕ　２　１　５　１　３７，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｐａｓｓｗｏｒｄ　ｔｅｃｈｎｏｌｏｇｙ　ｈａｓ　ｆｌ　ｐｉｖｏｔａｌ　ｒｏｌｅ　ｉｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ．Ｔｈｉｓ　ｐａｐｅｒ　ｉｎｔｒｏｄｕｃｅｓ　ｔｈｅ　ｐａｓｓｗｏｒｄ　ｔｅｃｈｎｉｑｕｅｓ　ｒｅｌａｔｅｄ　ｔｈｅｏｒｙ　ａｎｄ　ａｐｐｌｉｃａｔｉｏｎ　ｓｔａｔｕｓ，ａｎｄ　ｔｏ　ａｐｐｌｙ　ｍｏｒｅ　ｅｘｔｅｎｓｉｖｅ　ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ　ＭＤ５　ｉｓ　ｐｒｅｓｅｎｔｅｄ　ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ　ｉｎ　ｔｈｅ　ｃｕｒｒｅｎｔ　ａｐｐｌｉｃａｔｉｏｎｓ　ｉｎ　ｗｅｂ　ｐａｇｅ　ｄｅｓｉｇｎ，ｅｓｐｅｃｉａｌｌｙ　ｆｏｒ　ｅｘａｍｐｌｅ，ｕｓｅｒ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｏｆ　ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ　ＭＤ５　ｐｌａｙｅｄ　ｔｈｅ　ｒｏｌｅ　ａｒｅ　ｃｏｍｐａｒｅｄ．　Ｋｅｙ　ｗｏｒｄｓ：ｐ－ａｓｓｗｏｒｄ　ｔｅｃｈｎｏｌｏｇｙ；Ｋｅｙ；Ｏｎｅ—ｗａｙ　Ｈａｓｈ　ｆｕｎｃｔｉｏｎ；ＭＤ５；Ｕｓｅｒ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　１现实中的密码应用　１．１日常中的密码应用　日常生活中很多方面都与计算机网络相关，自然生活中应用密码的场合也很多，以致于许多人抱怨密码太多，记不住。也许　真有人记不住密码，丁是把密码写在了纸上，甚至把密码和相关物品放在了一起。银行一直提示，要遵守一米线的规定；在ＡＴＭ　机上取款要提防他人偷窥密码等。所有的这些都指出Ｊ　密码的重要性，密码是一串“保密”的代码，如果能够随意让他人看到，　还叫“密码”吗？　１．２专业技术领域中的密码应用　用ＡＳＰ技术编过网页的人都知道，ＡＳＰ技术的使用非常简单实用，但简单易用也带来了很多安全风险。存用户登录的应１｝｝Ｊ中，如　果不对密码进行加密，或存程序中加以判断控制，那用户登录能够轻而易举地破解＝存很多银行的网银中，口令的输入同样并不是一个　简单的密码框，而是川专门的控件来支持完成的，甚至还配有加密狗或者动态口令　，以加强安全措施。信息需要安全地存储，安全　地传输；电子商务的快速发展，也需要一种安全可靠的身份认证和数宁签名体系；网络上病毒和小马泛滥成灾，严重威胁正常的Ｔ作与　生活；当前我国的知识产权意识薄弱，应在技术上保护数字产品不被非法拷贝等　这些都常常涉及信息安全需要解决的问题，而基础　则是密码。综　所述，密码技术在现实中应用相当广泛，充分体现了密码技术在　前信息安全领域的重要性。而在应用密码技术的同　时需要有个清楚的认识：安全与方便是—对矛盾体。对外公开的接Ｌ】越多，漏洞也许越多；系统的安全性能，取决于最不安全的那个接口。　２密码技术相关常识　２．１密码技术的基本内容　１）明文——明文是指加密前的原始信息。比如前面所说ＡＳＰ网页的用户登录认证中，如果输入的“密码”不进行加密处理，　那它存储在数据库中的，或者在后台处理的过程巾都是“明文”　２）密文——密文是指明文被加密后的信息，一般是杂乱无章、　●　收稿时间：２（）１１一ｆ】４—１ｆ）　作者简介：许洗或（１９７１一），男，江苏，主要研究方向：网络管理、网络安全、网页设计。　２０１１年第Ｏ５期　毫无意义的字符序列，不经解密使人难以理解。３）加密——　加密是指将明文经过加密算法变换成密文。４）解密——解密　是指把密文用解密算法变换成明文，是加密的逆运算。５）密　钥和算法——密钥是指控制加密算法和解密算法实现的关键　信息，加密密钥和解密密钥可以相同也可不相同，一般由通信　双方所掌握。算法是指明文和密文之间的变换法则。密钥和　算法是密码系统中的两个基本因素，在某种意义上，可将算　法视作常量，它可以被公开；将密钥视为变量，一般应予以保　密。在公开密钥密码体制中公开的也仅是加密密钥，解密密　钥仍是保密的。　２．２密码的功能　１）通信中的数据保护。在通信中应用密码对数据进行保　护可以防止传输中的信息被非法窃听导致失密；也可以防止信　息的内容被恶意攻击者非法篡改；同样也可以防止入侵者伪　造假目标。２）对存储信息的保护。对重要数据或文件进行加　密后存储，可以保证只有掌握解密密钥的合法用户才能存取　数据，可以防止非法或越权的渎、写操作。３）通信双方的身　份验证　身份识别是阻止各种危害进入系统的各个部分，维　护系统的安全的第一道关卡。当用户登录某系统时，必须要用　户名和密码口令同时正确才行，否则系统将拒绝提供服务。在　双方通信过程中，密码还可以对存取数据和发来信息的对方　的身份进行确认，即用户鉴别。４）不可抵赖性。密码技术包　含了对源和目的双方的证明，体现在数字签名服务中。　２．３常见的一些密码算法　１）对称密钥体系。用户使用同一个密钥加密和解密。它　的特．　是保密强度很高，但对密钥的管理和传递必须极为安　全可靠，因而难以应用于开放系统。典型的算法如ＤＥＳ算法。　２）公开密钥体系。加密者和解密者各自使用不同的密钥。它　的特点是对密钥的管理和传递相当简单，能够适用于开放系　统的环境，可以方便、安全地用于数字签名和验证。典型算　法如ＲＳＡ算法。３）散列函数。所谓散列函数（也称哈希函数）　是对明文进行运算后，可以生成一个定长的摘要，明文发生　改变后，该摘要值变化较大，该函数是一个单向函数，由明　文计算摘要很容易，由摘要计算出明文是不可能的。　它的典型算法有：ＭＤ５、ＳＨＡ等算法。主要用途包括消　息摘要、数字签名、系统登录认证等。　、　３散列函数的常见应用　３．１单向散列函数的特点　根据单向散列函数的安全水平，可以分成两类：强碰撞自　由的单向散列函数和弱碰撞的单向散列函数。强碰撞自由的单　向散列函数比弱碰撞的单向散列函数安全性要高。　单向散列函数具有如下一些特点：１）单向散列函数能够　处理任意长度的明文，其生成的消息摘要数据块长度具有固　定的大小，而且对同一个消息反复执行该函数总是得到相同　１　４２　的信息摘要。２）单向散列函数生成的信息摘要是不可预见的。　消息摘要看起来和原始数据没有任何的关系，而且原始数据　任何微小变化都会对生成的信息摘要产生很大的影响。３）具　有不可逆性，即通过生成的报文摘要得到原始数据的任何信　息在计算上是完全不可行的。　在实际系统中，应用最多的是消息摘要算法ＭＤ５和安全　散列算法ＳＨＡ系列。它们具有相似的原理和方法，下面就来　谈谈ＭＤ５算法的应用。　３．２　ＭＤ５算法的原理（算法步骤）　１）对明文输入按５１２位分组，最后不足部分填充使其成　为５１２位的整数倍，且最后一组的后６４位用来表示信息长　度对２的６４次方求得的余数，填充数字图样为（二进制的　１００……０），每个分组我们标记为Ｙｑ。２）每轮输出为１２８位，　用四个３２位字：ＡＢＣＤ表示，初值为：Ａ＝０１２３４５６７，Ｂ＝　８９ＡＢＣＤＥＦ，Ｃ＝ＦＥＤＣＢＡ９８，Ｄ＝７６５４３２１０．３）对每个５１２　位进行分组迭代运算，参与去处的常数为：Ｔ［１，…，６４］，参　与的四个函数为：　Ｆ（ｘ，ｙ，ｚ）＝（（ｘ）＆（ｙ））Ｉ（（～ｘ）＆（ｚ））　Ｆ（ｘ，ｙ，ｚ）＝（（ｘｊ＆（ｚ））Ｊ（（ｙ）＆（－ｚ））　Ｈ（ｘ，ｙ，ｚ）＝（ｘ）　（ｖ）　（Ｚ）　Ｉ（ｘ　ｚ）：（ｙ）　（（Ｘ）Ｉ（～ｚ））　以上描述为Ｃ语言描述，＆是与，１是或，～是或，　是异或。　３．３　ＭＤ５算法的应用　ＭＤ５加密算法由于其具有较好的安全性，加之商业也可　以免费使用该算法，因此该加密算法被广泛使用，ＭＤ５算法　主要运用在数字签名、文件完整性验证以及口令加密等方面。　３．３．１用户的注册登录　根据各部门单位信息化建设的需要，各部门单位都建立　了自己的网站和管理系统。信息数据的安全越来越受到人们　的关注。在系统中，经常需要将用户权限信息存储于数据库，　当不同的用户登录时，根据数据库中的信息进行相关验证。为　了增强安全性，我们有必要对数据库中的重要资料进行加密，　这样既使攻击者得到了加密的用户信息，如果没有解密算法，　也一样不能获得用户的真实信息。现在网站一般采用ＭＤ５加　密算法对用户的重要信息进行加密。　用户在注册时所提交的信息（密码）是利用ＭＤ５算法加　密之后再保存到数据库中，这样可以有效防止用户密码的泄露，　既使是黑客非法获得加密密文也没有办法直接查看到用户的　密码，有效地保护了系统的安全。在用户登录时，进行身份验证，　必须对输入的密码重新进行ＭＤ５加密，然后再与数据库中的　信息进行比对，如相同便可进入系统。　在网站后台，通常的用户认证ＳＱＬ语句是类似于这样　的：ｗｈｅｒｅ　ｌｌｓｅｒｎａｍｅ￣ＡＡ　ａｎｄ　ｐａｓｓｗｏｒｄ＝ＢＢ，也就是两个条件　同时成立就认证成功，但试想，如果其中的ＢＢ（用户输入的　密码）被用户刻意改变，使得整个ＳＱＬ认证语句成了：ｗｈｅｒｅ　２０１　１年第Ｏ５期　ｕｓｅｒｎａｎｌｅ＝ＡＡ　ａｎｄ　ｐａｓｓｗｏｒｄ＝ＣＣ　ｏｒ　１＝１，结果会是这个条件　永远为真。也就是如果用户认证程序中不采用ＭＤ５算法（或　类似功能），黑客可能不用得到后台数据库就能进入系统。　在目前的信息系统中，对ＭＤ５加密方法的利用主要通过　存脚本页面中引用包含ＭＤ５加密函数代码的文件，以ａｓｐ脚　４关于密码的法律与政策　４。１关于密码的相关法律　在我国，有《商用密码管理条例》、《计算机信息网络国际　联网保密管理规定》等与密码相关的法律法规。同时各省市　也有各自的相关的地方法律规定。　本为例，在需要调用的页面中加入ｒｏｄ５．ａｓｐ，ｒｏｄ５．ａｓｐ为ＭＤ５　加密函数代码文件，然后直接调用函数ＭＤ５（ｓＭｅｓｓａｇｅ）即可，　ＭＤ５加密后的值有１６位和３２位之分。如果将加密的ＭＤ５　在《商用密码管理条例》中有以下的规定：１）商用密码　产品由国家密码管理机构许可的单位销售；２）销售商用密码　值保存在数据库，则肯定比把密码直接放在数据库要安全得　多。当然也并不是百分百保险，当网站存在注入或者其它漏洞　时，入侵者极有可能获取用户的密码值，如果用户实际密码　位数在６位以下，通过ＭＤ５在线查询或者暴力破解可以得到　密码。笔者试过，当用户密码是５位且密码全是英文字母时，　对ＭＤ５加密后的密文进行暴力破解时间不超过半小时。所以，　用户如果能够增强密码复杂度，那就更保险了，比如密码位数　超过８位且加人一些生僻符号（如＠＃％等符号）。　３．３．２对文件验证完整性　同样的道理，用ＭＤ５还可以来对文件进行加密验证，通　过识别文件其“数字签名”，我们可以判断它们是否为同一文件，　是否在传递过程中被修改过。所以，现在一些提供文件下载　的网页在提供下载的同时还提供这些文件的ＭＤ５码或ＳＨＡ　码等，以方便用户验证。　．　前面已经提到“原始数据任何微小变化都会对生成的信　息摘要产生很大的影响”，所以当有人在文件传递过程中对文　件进行了哪怕相当微小的改动，那最后产生的信息摘要都不　会是一样的。在网络上的文件下载中经常可以看到文件的提供　者在提供文件的同时，还提供了关于此文件的ＭＤ５（或其它的　算法）验证值，下载者只要进行比较即可判定来源是否“正宗”　（有时候不一定是人为修改，如果感染病毒也会导致同样的结　果）。这一类相关的软件较多，比如ｗｉｎｍｄ５、ＨａｓｈＣａｌｃ等。　３．４散列函数的破解问题　ＭＤ５的安全性弱点在于其压缩函数的冲突已经找到。１９９５　年有论文指出，花费１００万美元，设计寻找冲突的特制硬件设备，　平均在２４天内可以找出一个ＭＤ５的冲突，即找到两个不同的　报文以产生同样的报文摘要。但是，对于一个给定的报文摘要，　要找到另外一个报文产生同样的报文摘要是不可行的。　中国山东大学教授王小云在２００４年８月１７　Ｅｔ的美国加州　国际密码学会议上公布，找到ＭＤ５碰撞对，并提供了找碰撞　对的算法。在２００５年２月也找到了ＳＨＡ一１的碰撞对。王小　云的研究成果表明，理论电子签名可以伪造，必须及时添加　限制条件，或者重新选用更为安全的密码标准，以保电子商　务的安全。就目前而言，现阶段消息摘要和电子商务安全依然　是安全的，因为王小云的破解是强无碰撞的，碰撞镜像不是　期望的。目前，ＭＤ５算法仍被认为是最安全的哈希算法之一，　在很多领域被当成了标准使用。　产品应向国家密码管理机构提出申请且须具备相关条件；３）　销售商用密码产品应记录购买者的用途等详细情况；４）进出　口密码相关产品须经国家密码管理机构批准。　可以看出，我国对密码的应用管理也有着及其严格的要求。　但是，如果仔细比较我国的相关法律法规，会发现存在　着“重复管理，处罚不同”的问题，其中也肯定会出现一定的　漏洞，所以我国在这方面的法律法规也亟需继续完善。　４。２各国关于密码的政策　１）俄罗斯的密码政策。进口国外制造的加密设备需要获　得许可证，加密技术的出口受同家的严格控制。１９９５年４月，　叶利钦总统发布卜条命令，禁止未经授权的加密。国有企业　需要有许可证才能使用加密技术（包括身份验证和保密，存　储和传输）。没有获得许可证，禁止开发、实现或运行加密技术。　２）美国的密码政策。对于加密技术没有进口限制，其加　密技术出口限制极严格。从上面可以看ｆｌ｛，各国对本国的密码　技术出口有着严格的限制，进而也说明密码技术对一个国家而　言的重要程度。　５结束语　作为信息网络安全的关键技术一一密码技术，近年来空　前活跃，由于计算机运算速度的不断提高，各种密钥算法也　面临着新的密码体制，众多密码新技术正处于不断探索中。　信息技术的应用在我国越来越广泛，其安全问题越来越　突出，网络的安全只是相对而言，网络没有绝对安全。尽管有　各类法律的保障，但数据安全不能太过于依靠法律法规。法　律只能在安全方面对相关人员增加约束力，而无法杜绝违法　行为的产生。　信息安全问题涉及到国家安全、社会公共安全，世界各国已　经认识到信息安全涉及重大国家利益，是互联网经济的制高点，　也是推动互联网发展、电子政务和电子商务的关键，包括密码技　术在内的信息安全技术将得到更大的发展。黩（责编程斌）　参考文献：　［１］公安部计算机信息系统安全技术［Ｍ］北京：群众出版社，　１９９８．６　［２】百度文库单向散列函数的原理一实现和在密码学中的应用【ＥＢ／　ＯＥ］ｈｔｔｐ：／／ｗｅｎｋｕ．ｂａｉｄｕ　ｃｏｍ／ｖｉｅｗ／９０９ｃ４９１　１　ｃｃ７９３ｌｂ７６５ｃｅ１５ｅＯ．ｈｔｍｌ，　２００１　０４－２８　【３】石淑华，池瑞楠．计算机网络安全技术＿Ｍ】北京：人民邮电出版　社．２００８１２．　ｒ