Cryptographic Attack 密码学攻击

针对加密通信的攻击 —— 让攻击者能解密、篡改、伪造原本应该被加密保护的内容。

常见类型:

• 暴力破解密钥 —— 试所有可能的密钥(对称加密)
• 已知明文攻击 —— 知道一段加密对应的明文,反推密钥
• 选择明文攻击 —— 攻击者能让对方加密任意内容,从中找规律
• 生日攻击 —— 利用哈希碰撞概率,伪造签名
• 侧信道攻击 —— 不破密码本身,而是从执行时间/功耗/电磁信号推测密钥
• 降级攻击 —— 强迫双方用弱版本协议(SSLStrip、POODLE、FREAK)
• 中间人攻击 —— 伪造证书,解密 HTTPS

为什么密码学攻击难防:

• 不是”加密了就安全”,怎么加密才决定安全性
• 旧算法被打破(MD5、SHA1、DES 早就不安全)
• 实现错误能让正确算法失效(Heartbleed 是 OpenSSL 实现 bug,不是 TLS 协议错)

防御原则:

• 永远用主流标准 —— TLS 1.3 / AES-256 / SHA-256 / RSA-2048 起步
• 永远不要自己实现加密 —— “不要 roll your own crypto”
• 定期升级 —— 弱算法淘汰(TLS 1.0/1.1 该禁了)
• 证书钉扎(Pinning) —— 防 MITM 伪造证书
• 关注新研究 —— 后量子密码(Post-Quantum Crypto)在被推广