建站
咨詢
售后
建站咨詢
新聞中心
最近，數(shù)字證書領(lǐng)域不斷爆發(fā)出各種安全問(wèn)題。首先，Comodo公司將mozilla.com的證書兜售給與該公司毫不相關(guān)的人。而現(xiàn)在生成證書的方式又出現(xiàn)了很嚴(yán)重的技術(shù)問(wèn)題，但真正的問(wèn)題還是人的問(wèn)題。
創(chuàng)新互聯(lián)是由多位在大型網(wǎng)絡(luò)公司、廣告設(shè)計(jì)公司的優(yōu)秀設(shè)計(jì)人員和策劃人員組成的一個(gè)具有豐富經(jīng)驗(yàn)的團(tuán)隊(duì)，其中包括網(wǎng)站策劃、網(wǎng)頁(yè)美工、網(wǎng)站程序員、網(wǎng)頁(yè)設(shè)計(jì)師、平面廣告設(shè)計(jì)師、網(wǎng)絡(luò)營(yíng)銷人員及形象策劃。承接：網(wǎng)站設(shè)計(jì)、網(wǎng)站建設(shè)、網(wǎng)站改版、網(wǎng)頁(yè)設(shè)計(jì)制作、網(wǎng)站建設(shè)與維護(hù)、網(wǎng)絡(luò)推廣、數(shù)據(jù)庫(kù)開發(fā),以高性價(jià)比制作企業(yè)網(wǎng)站、行業(yè)門戶平臺(tái)等全方位的服務(wù)。
去年12月27日至30日在柏林召開的“混沌通信”會(huì)議上宣布：他們通過(guò)利用MD5加密算法漏洞攻破了SSL加密技術(shù)，成功搭建一個(gè)偽造的證書授權(quán)中心(CA)，其頒發(fā)的證書能夠被所有要求SSL的網(wǎng)站接受。
熱門web瀏覽器和很多其他應(yīng)用程序都擁有可信賴證書授權(quán)機(jī)構(gòu)的根證書，這樣瀏覽器就可以驗(yàn)證所打開的網(wǎng)站的證書是由可信類機(jī)構(gòu)頒發(fā)的。通過(guò)搭建偽造的證書授權(quán)機(jī)構(gòu)，研究人員能夠創(chuàng)建偽造證書，并且能作為合法憑證通過(guò)瀏覽器的驗(yàn)證，就像合法證書授權(quán)機(jī)構(gòu)一樣。
研究人員對(duì)他們的研究做了充分的報(bào)告，為的是使大家明確問(wèn)題所在，并且研究者們表示，要想復(fù)制此破解過(guò)程，至少還需要6個(gè)月的時(shí)間，因此距離黑客利用此法實(shí)現(xiàn)真正攻擊還有相當(dāng)遙遠(yuǎn)的距離，大家也不必過(guò)于擔(dān)心。
這項(xiàng)研究是偉大的，研究人員的創(chuàng)舉獲得了大家的認(rèn)可和掌聲，也得到VeriSign的認(rèn)可，VeriSign承認(rèn)了問(wèn)題的存在，并正在努力迅速修復(fù)所有證書產(chǎn)品中的漏洞。該公司承諾任何受到影響的用戶都可以免費(fèi)得到一個(gè)新的未被感染的證書。
在結(jié)束本文前，讓我們來(lái)談?wù)刪ash function(哈希函數(shù)功能，哈希函數(shù)功能可以使軟件在更少且可預(yù)見的數(shù)據(jù)量上運(yùn)作生成數(shù)字簽名，卻保持與原信息內(nèi)容之間的高度相關(guān)，且有效保證信息在經(jīng)數(shù)字簽署后并未做任何修改)，也就是此次攻擊的目標(biāo)。
hash function用來(lái)采取數(shù)據(jù)塊(可能是很大的數(shù)據(jù))并為其創(chuàng)造一個(gè)值，其他操作就可以在這個(gè)值上進(jìn)行。hash function通常會(huì)為相同的數(shù)據(jù)庫(kù)創(chuàng)建相同的哈希函數(shù)，但是要扭轉(zhuǎn)這一過(guò)程也是不切實(shí)際的，不可能根據(jù)哈希函數(shù)來(lái)創(chuàng)建數(shù)據(jù)庫(kù)。并且很肯定的是，必然也有可能兩個(gè)數(shù)據(jù)塊創(chuàng)建相同的哈希函數(shù)，雖然很難找出來(lái)。
最后一個(gè)問(wèn)題就是“沖突”證書攻擊是怎樣發(fā)生的：破解的嘗試共分為兩步，其中的第一步運(yùn)算量巨大，非常適合于運(yùn)用分布式運(yùn)算完成。
因此，研究者們?cè)谌鹗柯迳Ｂ?lián)邦理工大學(xué)搭建了一個(gè)“PlayStation實(shí)驗(yàn)室”，使用200臺(tái)PS3游戲機(jī)，平均分配30GB內(nèi)存進(jìn)行運(yùn)算，耗時(shí)18個(gè)小時(shí)完成。而第二階段運(yùn)算量較小，并且不適合Cell處理器的SPU運(yùn)算，因此使用了一臺(tái)頂級(jí)四核心PC耗時(shí)3到10個(gè)小時(shí)完成。
在一個(gè)周末的時(shí)間內(nèi)，研究者們共進(jìn)行了三次嘗試，制造MD5“沖突”的總運(yùn)算量為2的51.x次方。最終他們成功偽造了一個(gè)證書授權(quán)中心，可以隨意簽發(fā)SSL證書，突破各種SSL加密網(wǎng)站。
【編輯推薦】
- SSL VPN簡(jiǎn)化安全訪問(wèn)
- 資深網(wǎng)管教你打造SSL加密的安全站點(diǎn)
- 打造SSL安全加密的FTP服務(wù)器
分享名稱：SSL認(rèn)證加密被攻破 安全防范需加強(qiáng)
文章轉(zhuǎn)載：http://www.dlmjj.cn/article/cdjjdoj.html
