06｜加密失败：使用了加密算法也会被破解吗？
王昊天
你好，我是王昊天。
从这节课开始我们开启了新的模块——加密失败的学习。这是 2021 OWASP TOP 10 的排名第二的风险种类，与失效的访问控制相比，加密失败更多地体现为一种单点技术问题，通常是由于开发人员对加密过程使用不合理造成的。
先来分享一个我的小故事：
作为一个 Dota 2 玩家，我有一台自己的 Windows 台式机，配置是 i7-4790k + 16GB 内存 + 256GB SSD。相信你能看出来，虽然这台机器在当时也算小“高端”配置，但到现在已经稍微有点力不从心了。
于是我便产生了更新硬件的想法——经过多次测试，我觉得性能下降的主要问题在于 CPU 温度，这一想法在我百度了“4790k 散热”之后更加坚定，于是我决定用水冷取代原来 CPU 自带的小风扇。在某东购置了水冷设备后，经过简单的安装，顺利开机。令人惊讶的一幕出现了：原来开机之后 CPU 温度是 70℃，现在是 99℃，由于温度过高开机不到 20 分钟就会自动关机。
为什么水冷会比风冷效果还差呢？是不是水冷设备没有工作？但我是按照说明书安装的，看起来呼吸灯也是亮的。看着一体化的水冷设备，没有任何有效的判断方式，我的内心是崩溃的。经过接近半天时间的不断调试和开机测试，最终我找到了问题——螺丝没有拧紧导致接触不严密，散热效果没有发挥出来。
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线笔记
复制
AI
- 深入了解
- 翻译
- 解释
- 总结
本文深入探讨了加密失败的风险和可能的攻击方式，强调了对加密算法的深入研究和正确应用的重要性。文章以RSA算法为例，详细介绍了其工作过程和安全性，以及低加密指数攻击的实战案例。通过手动计算RSA算法的关键参数，文章展示了在e数值较小的情况下，暴力破解明文的可能性。此外，文章还指出了块加密算法的padding机制对加密安全的重要性。总的来说，本文通过实例和技术原理深入浅出地阐述了加密失败的风险和可能的攻击方式，为读者提供了对加密失败问题的全面了解。 在实战案例环节，通过RSA算法的低加密指数攻击案例，读者学习了RSA加密算法的原理，并了解到即使是全球闻名的RSA算法，如果使用方式不当，也存在被破解的可能性。此外，文章提供了针对黑盒系统进行漏洞挖掘的黄金法则，为读者提供了实用的安全建议，包括数据分类分级、存储和传输层面的安全措施，以及算法和随机化层面的安全建议。 总的来说，本文通过深入的技术讨论和实例分析，使读者能够快速了解加密失败的风险和可能的攻击方式，以及如何针对这些问题进行防御和安全建议。
仅可试看部分内容，如需阅读全部内容，请付费购买文章所属专栏
《Web 漏洞挖掘实战》，新⼈⾸单¥59
《Web 漏洞挖掘实战》，新⼈⾸单¥59
立即购买
© 版权归极客邦科技所有，未经许可不得传播售卖。 页面已增加防盗追踪，如有侵权极客邦将依法追究其法律责任。
登录 后留言
全部留言(5)
- 最新
- 精选
leslie站在运维的角度，可能更多的会去思考如何内测和验证。文中有一点比较有同感，研发很多时候在验证是否有效性上市欠考虑的，只是觉得完成了，没有去验证是否真正的有效，如同我们手动组装日常家具，装完了，是否足够牢靠，左右都没有真正摇晃和折腾，完成了坐一下觉得不会塌就完事了。 验证其真实有效性、安全性和可靠性方面有所欠缺，这是我听完最大的感受，同样也是做为运维回去反思和测试的事情。作者回复: 思考很棒哦，其实就是做完了，和做的很优雅其实是有区别的嘛 优秀的人总是稀缺的，一看你就是优秀的人o(*￣︶￣*)o
2022-01-01
DoHer4S在这部最难得居然是使用SSH连接MiTuan的靶机..... 这里有些小Tips: - IP地址必须是公网地址，该信息可以在“靶机信息”部分可以获取到，不要使用host连接.... - 一定要等待状态检查完再连接，要么你会一直连接不上； 根目录下有一个extremelyHardRsa.zip 文件，需要用下方的命令执行： >> unzip ./ex* MiTuan靶机已经有Python3的运行环境了，你不需要重新配置Python3的运行环境了； 如果你想要将靶机的文件下载到本地方便进行研究，那么请使用scp命令，以下为MacOS运行环境的命令 ``` scp -P 2222 root@[YOUR PUBLIC IP ADDRESS]:/root/extremelyHardRsa.zip ./ root@[YOUR PUBLIC IP ADDRESS]'s password: extremelyHardRsa.zip 100% 3331 117.1KB/s 00:00作者回复: 感谢同学指引大家，还特意分享了使用命令，so nice of u~ （づ￣3￣）づ╭❤～
2021-12-305
孜孜虽然我不知道怎么提高程序攻击效率。但是我感觉这个应该很说明，tls1.0和1.1 不安全。。所以赶紧disable tls 1.0和 1.1，尽量优先1.3。。作者回复: 对呀~ 所以新版本会提振安全性嘛 提倡同学你深入研究一下哦，一定会有收获，而且是质变的收获哦
2021-12-29
ifelse
只验证加密结果的正确性，却不验证加密结果的质量是不行的。--记下来2023-03-07归属地：浙江1- ifelse学习打卡2023-03-07归属地：浙江
收起评论