我們真的需要加密防御的盾牌嗎？

以前的價值觀是純物質(zhì)的——像金飾、阿瑪?shù)傩√崆佟⒎鹛m芒繪畫和秦時代的瓷器——但現(xiàn)在，價值觀更加抽象，盡管它們的本質(zhì)沒有改變。鉆石和珍珠藏在保險箱和緩存中，我們將現(xiàn)代寶藏保存在計算機或服務(wù)器的硬盤驅(qū)動器、閃存驅(qū)動器和智能手機 SD 卡上。

將最私密的東西委托給小工具和電腦，我們讓自己變得脆弱。所有存儲在硬盤驅(qū)動器、應(yīng)用程序和瀏覽器內(nèi)存中的東西，都是現(xiàn)代人類文明的致命弱點。有關(guān)家庭、職業(yè)、有形資產(chǎn)、政治觀點、財務(wù)數(shù)據(jù)、計劃交易、第二套賬簿、銀行賬戶訪問權(quán)限、電子錢包密鑰、公司機密、專有信息和商業(yè)機密的信息——所有這些都是新的網(wǎng)絡(luò)時代強盜的目標。

通過開鎖或自動切割來打開保險箱非常容易——從磁盤中提取信息同樣容易。為了提供更高的安全性，您可以將保險箱隱藏在墻壁或 200 米深處的掩體中，或者您可以用帶刺鐵絲網(wǎng)將其圍起來并設(shè)置通過它的電流。數(shù)據(jù)加密效率更高（也更人性化！）——硬件和軟件加密工具可以為您的數(shù)字價值提供真正的保護。

關(guān)于密碼學歷史的一些話

作為一門研究信息安全工具的科學，密碼學已經(jīng)存在了四千多年。同時，隨著文字的發(fā)展，人們也在尋找對文字進行加密的方法，將其本質(zhì)隱藏起來。古代有很多密碼系統(tǒng)的歷史證據(jù)，例如，凱撒的單字母密碼，它使用了字母表中字母位置移動的原理。

幾個世紀以來，新的密碼和新的密碼分析方法（解密方法），以及促進加密/解密操作的設(shè)備都被發(fā)明了——例如，埃涅阿斯的線和磁盤、古代斯巴達的 Scytale (Skytale)、萬向格柵、圣Cyr Slide（或 Sliderule）、The Jefferson disk（或 Wheel cypher，或 Bazeries Cylinder）等。長期以來，字母數(shù)字組合是加密的基礎(chǔ)——更復雜的多字母系統(tǒng)取代了單字母系統(tǒng)。一百多年前，機電設(shè)備開始用于多字母加密。經(jīng)典加密被認為是對稱密鑰加密，它使用相同的字符序列來加密和解密數(shù)據(jù)。

使用數(shù)學方法進行加密的第一次嘗試是從 20 世紀上半葉開始的。

“信息時代之父”美國數(shù)學家、工程師克勞德·埃爾伍德·香農(nóng)為密碼學作為科學的發(fā)展做出了重大貢獻。他制定了密碼學的理論基礎(chǔ)，并介紹了許多基本概念。

香農(nóng)給出了信息熵、數(shù)據(jù)傳輸、信息量和加密函數(shù)的數(shù)學定義。順便說一句，我們用他的術(shù)語“比特”作為信息的最小單位。此外，香農(nóng)將通過線性和差分密碼分析研究脆弱性密碼作為加密的強制性要素。

自 1970 年代中期以來，非對稱加密（又名公鑰密碼學或密鑰對加密）已成為密碼學的新主線，現(xiàn)在它被廣泛使用。非對稱加密的本質(zhì)是為了加密和解密數(shù)據(jù)，選擇兩個密鑰，公共的和與之對應(yīng)的私有的。這對密鑰中的每個密鑰都執(zhí)行一個定義明確的功能——公鑰加密信息，私鑰解密信息。

在過去的四年里，信息技術(shù)發(fā)展迅速，提供了新的密碼學方法和新的使用領(lǐng)域。現(xiàn)在密碼學是數(shù)學和計算機科學的結(jié)合。量子計算技術(shù)的進步將密碼學提升到一個新的水平，即量子密碼學，它基于的不是數(shù)學原理，而是量子物理原理。量子密碼學的一個分支是后量子密碼學，它指定創(chuàng)建對“經(jīng)典”密碼分析方法和量子密碼分析方法都有抵抗力的合成密碼方案。

密碼學適用的目的

在古代和中世紀，人們使用密碼學讓某些信息只能被秘密信息所接收的人發(fā)現(xiàn)。現(xiàn)在，幾個世紀以來，這個過程的本質(zhì)仍然保持不變。

我們可以在任何地方找到加密信息安全工具——智能手機、智能手表和其他小工具、計算機和路由器、平板電腦和智能電視、家用電器、信使和社交網(wǎng)絡(luò)、外匯和交易軟件等。所有存儲和/或傳輸?shù)臄?shù)據(jù)通過所有這些東西總是加密的。

加密在金融交易過程中是最有價值的，例如，通過 NetBanking 或 PayPal 和其他國際支付系統(tǒng)，以及在 ATM 提取現(xiàn)金或與支付終端進行交易時，在零售 POS 或外匯交易期間。

讓我們在這里添加移動操作系統(tǒng)之間的激烈競爭，其加密保護將更有效地保護用戶信息。

過去十年中炒作最多的各種加密貨幣也是基于加密算法的。

互聯(lián)網(wǎng)流量也需要加密保護，HTTPS 加密擴展為通過“客戶端到站點”連接中的安全套接字層 (SSL) 或傳輸層安全 (TLS) 協(xié)議傳輸?shù)臄?shù)據(jù)提供安全性。幾年前，谷歌強調(diào)使用 https 和SSL 證書，并解釋說 https 上的網(wǎng)站具有更好的搜索引擎排名。

很快，其他瀏覽器開始在谷歌瀏覽器之后使用“http = 危險網(wǎng)站，https = 安全”的標簽。描述網(wǎng)站動態(tài)使用 https 協(xié)議的信息圖可以說明從 2013 年 11 月至今在 Mozilla Firefox 上編制的統(tǒng)計數(shù)據(jù)：如您所見，2014 年 3 月，全球 https 流量為 28.31%，而五年后， 2019 年 3 月，這一數(shù)字增長了近三倍，達到 78.38%。但是這種現(xiàn)象的原因可能是人為的（由于來自全球信息市場參與者的壓力），結(jié)果仍然是非常積極的——我們可以自信地說，通過互聯(lián)網(wǎng)傳輸?shù)臄?shù)據(jù)的安全水平顯著提高。因此，我們的信息保護得到了加強。

基于硬件或軟件的加密：一個艱難的選擇

三種類型的加密用于保護硬盤驅(qū)動器上的信息：硬件、軟件和軟硬件。它們都使用密碼算法來保護數(shù)據(jù)，但在加密/解密功能的實現(xiàn)方式上有所不同。

當您應(yīng)該在所有這些中做出選擇時，您應(yīng)該估計您的真實需求。軟件加密比硬件便宜，但在可靠性上卻大大遜色。此外，不同加密算法類型的 CPU 容量以不同方式使用：軟件加密使用計算機的處理器，而硬件編碼器有自己的處理器。因此，軟件加密非常適合個人電腦和小型企業(yè)。出于企業(yè)目的，更多選擇硬件加密來保護關(guān)鍵信息——例如，金融交易、商業(yè)機密、創(chuàng)作等。網(wǎng)絡(luò)流量、通信、即時通訊——它們都使用硬件加密保護。

下表列出了要比較的一些基于硬件和基于軟件的加密的技術(shù)特征：

一個可愛的事實——盡管終生競爭，IT 行業(yè)的巨頭蘋果和微軟都做出了相同的決定：為其操作系統(tǒng)的用戶實施軟件加密。BitLocker 從企業(yè)操作系統(tǒng)版本 7 開始成為 MS Windows 的一個組件。

但有時加密會降低安全性。例如，來自荷蘭的研究人員發(fā)現(xiàn)，一些 SSD 驅(qū)動器中的軟硬件加密遭到破壞。他們發(fā)現(xiàn)了幾種漏洞變體，攻擊者可以利用這些變體訪問數(shù)據(jù)。其中一個漏洞被“隱藏”在密碼保護的軟硬件系統(tǒng)中。Windows 10內(nèi)置的BitLocker，在檢測到SSD盤中存在硬件加密系統(tǒng)后，干脆“給專家讓路”，并沒有使用其加密功能，僅靠硬件防御的能力。

在這種情況下，SSD制造商及時消除了缺陷。但是你永遠不應(yīng)該忘記，對網(wǎng)絡(luò)攻擊的全面保護，以及幸福的普遍方程式或治愈所有疾病的方法是不存在的。在許多方面，數(shù)據(jù)安全取決于軟件供應(yīng)商、設(shè)備和基礎(chǔ)設(shè)施服務(wù)提供商的完整性。

云安全尤其如此。SIM Networks 團隊認為，確保客戶的數(shù)據(jù)安全是我們的首要任務(wù)之一。因此，我們使用基于硬件的加密來保護 SIM-Cloud IaaS 數(shù)據(jù)。同樣負責任的是，我們在所有其他基礎(chǔ)設(shè)施解決方案中處理數(shù)據(jù)的安全性，包括我們客戶的私有云。

為什么一切都還沒有加密？

直到現(xiàn)在，我們都在談?wù)摷用艿闹匾浴５罅啃畔⑷晕醇用堋槭裁矗咳绻用茉诋斍暗木W(wǎng)絡(luò)犯罪環(huán)境中如此有效，為什么還沒有對所有數(shù)據(jù)進行加密呢？有一些原因可以提及。

加密相當昂貴并不是什么大秘密。它不僅意味著加密軟件和硬件措施，還意味著計算資源——RAM 和處理器時間。加密過程中數(shù)學上復雜的數(shù)據(jù)轉(zhuǎn)換操作需要大量資源，這是一個問題。

正如我們之前所說，微軟和蘋果為所有使用其操作系統(tǒng)的客戶提供了數(shù)據(jù)加密功能選項。它讓人產(chǎn)生一種加密是免費的錯覺。但是您應(yīng)該同意，筆記本驅(qū)動器上的幾個 Tb（1012 位）與在公司基礎(chǔ)設(shè)施中傳輸和存儲的幾個 PB（1015 字節(jié)）不同！在第一種情況下，用戶無法在硬件加密的筆記本上注冊一點性能降低；但在第二種情況下，當用戶數(shù)以千計或數(shù)萬，交易數(shù)量達到數(shù)百萬時，轉(zhuǎn)移到數(shù)據(jù)加密上的資源會嚴重拖慢系統(tǒng)速度。這就是為什么當您為商業(yè)選擇加密軟件和設(shè)備時，您應(yīng)該考慮經(jīng)濟因素，

另一個問題是缺乏透明度的加密。如果沒有完全解密，您將無法對加密數(shù)據(jù)進行臨時檢查。在網(wǎng)絡(luò)保護方面，這很棒。但是，如果數(shù)據(jù)需要檢查一致性或符合任何監(jiān)管要求——好吧，休斯頓，我們就有問題了。很明顯，這個問題擾亂了職能分散的企業(yè)用戶：一個部門創(chuàng)建文檔，另一個部門編輯它，第三個部門進行合規(guī)性檢查，第四個部門將其發(fā)布在網(wǎng)站上。數(shù)據(jù)必須在該鏈中的每個節(jié)點上進行解密、驗證和重新加密。盡管可以通過專門設(shè)計此過程來最大程度地減少性能下降，但在時間和資源上都非常昂貴。但是，在通過 VPN 傳輸數(shù)據(jù)的情況下，一切都變得更加復雜。

通常，當您需要查看通過 VPN 連接傳輸?shù)臄?shù)據(jù)時，您應(yīng)該使用“內(nèi)部入侵”，例如中間人攻擊——一種攻擊者可以讀取、插入和修改在其中傳輸?shù)臄?shù)據(jù)的黑客行為VPN 隨意，通道的任何一方都不知道干預。VPN連接需要中斷，數(shù)據(jù)需要解密和驗證，然后應(yīng)該創(chuàng)建新的隧道，將已經(jīng)驗證的數(shù)據(jù)通過隧道傳輸?shù)侥康狞c。一些專家認為，這種選擇，特別是在公司規(guī)模上，成本高昂，并且至少會產(chǎn)生一個網(wǎng)絡(luò)故障點。

在過去的幾年里，一些包含加密部分透明性的安全解決方案已經(jīng)出現(xiàn)在 IT 安全市場上。然而，具有這種加密方案的系統(tǒng)的脆弱性問題需要額外的研究。

一個隱藏的危險

缺乏透明度會給用戶和系統(tǒng)帶來一些更令人不快的驚喜。例如，加密的數(shù)據(jù)塊內(nèi)部可能包含惡意代碼。問題是這種類型的數(shù)據(jù)是否可以逐點查找和清理，而不影響整個存儲或數(shù)據(jù)流。答案是——不，實際上。為了進行有效的保護，需要在數(shù)據(jù)加密之前或解密之前檢測惡意軟件以進行驗證。在任何情況下，這都會使過程復雜化并增加成本。這就是為什么企業(yè) IT 部門在估計了實施和支持其基礎(chǔ)設(shè)施的加密系統(tǒng)的成本后，通常會拒絕這個想法。當然，它會嚴重影響 IT 安全。

另一個問題是由于使用加密工具而導致的基礎(chǔ)設(shè)施復雜化。它提供了創(chuàng)建潛在的安全系統(tǒng)故障點，這些故障點可以被黑客檢測和使用。企業(yè)數(shù)據(jù)加密由大量活動元素組成，多加幾個元素會顯著影響安全系統(tǒng)的整體性能。在具有數(shù)十個組件的混合云基礎(chǔ)架構(gòu)中，這影響最大——每個額外的組件或流程都會增加失敗的可能性以及實施和維護的成本。并非每個企業(yè)都為這種情況做好了準備。

這可能聽起來自相矛盾，但加密過程需要以與它保護的數(shù)據(jù)相同的方式進行保護。特別是在使用密鑰對加密的情況下。許多企業(yè)安全——尤其是基于為喜達屋酒店和萬豪國際網(wǎng)絡(luò)服務(wù)的專家提供的材料——證明丟失加密方案的密鑰會嚴重損害其安全性。無論在正常模式下或通過 VPN 是否有數(shù)據(jù)流到加密保護，始終存在啟動加密過程和加密密鑰的機制 - 兩者都必須存儲和保護。因此，像所有其他公司業(yè)務(wù)流程一樣，為加密機制提供安全基礎(chǔ)設(shè)施以及規(guī)劃加密保護的整個過程非常重要。

在企業(yè)中實施密碼學安全系統(tǒng)，您應(yīng)該專注于每個關(guān)鍵細節(jié)，不要過分倉促，并嚴格按照先前制定的計劃行事。這很重要，因為粗心計劃的后果可能會對公司造成無法彌補的損害。

加拿大加密貨幣交易所 QuadrigaCX的先行者就是糟糕計劃的一個很好的例子。該公司的首席執(zhí)行官 Gerald Cotten 將加密密鑰存儲在他的加密筆記本電腦上。一切都很順利，直到他突然去世。同時，沒有人——沒有人——知道密碼和密鑰。結(jié)果，交易所的潛在損失可能達到1.9億美元，這就是它的客戶的錢！到目前為止，這些資金已被凍結(jié)，專家們對CEO密碼的解決方案感到困惑。

結(jié)論

所以，你看，數(shù)據(jù)加密很困難。一些經(jīng)理甚至一些 IT 專家都有一種刻板印象，即加密簡化為填寫幾個文本字段并記住密碼，——瞧，它就在包里：你和你的數(shù)據(jù)是完全安全的。沒門！與復雜的多級網(wǎng)絡(luò)安全的所有其他方面一樣，加密需要仔細分析、規(guī)劃、記錄和明確實施。當然，在所有階段都具有很高的能力。只有當所有這些條件都滿足時，您才能放松一點，并欣賞密碼算法提供的數(shù)據(jù)保護的優(yōu)勢。