張倩，李軍茹

（1.石家莊工程職業(yè)學(xué)院信息工程系，河北石家莊，050000；2.石家莊工商職業(yè)學(xué)院工學(xué)院，河北石家莊，050000）

1 背景探討

大數(shù)據(jù)時(shí)代，數(shù)據(jù)共享已經(jīng)成為常態(tài)。數(shù)據(jù)共享具有顯著價(jià)值意義，但是數(shù)據(jù)共享也帶來(lái)了數(shù)據(jù)信息隱秘性的喪失。由于大數(shù)據(jù)挖掘算法通常會(huì)進(jìn)行數(shù)據(jù)關(guān)聯(lián)，因而數(shù)據(jù)信息修改過(guò)程中勢(shì)必影響與之關(guān)聯(lián)的其他敏感信息，這一過(guò)程中必定存在安全隱患。進(jìn)一步來(lái)講，由于當(dāng)前云服務(wù)的深度應(yīng)用，大量數(shù)據(jù)保存在云端，也存在極多的信息安全隱患。

總體上來(lái)講，當(dāng)前計(jì)算機(jī)信息安全形勢(shì)并不容樂(lè)觀，數(shù)據(jù)泄露問(wèn)題屢見(jiàn)不鮮，在網(wǎng)絡(luò)邊界日趨模糊的狀態(tài)下，眾多應(yīng)用系統(tǒng)和數(shù)據(jù)接入網(wǎng)絡(luò)當(dāng)中，信息安全必定遭遇來(lái)自多個(gè)方面的攻擊，所以加強(qiáng)計(jì)算機(jī)信息安全管理，確保數(shù)據(jù)信息不泄露是迫切需要解決的關(guān)鍵問(wèn)題。

2 數(shù)據(jù)加密技術(shù)

2.1 數(shù)據(jù)加密古已有之

數(shù)據(jù)加密技術(shù)實(shí)際古已有之，很多考古勘探結(jié)果均表明了古人就會(huì)使用很多奇妙的方法來(lái)實(shí)現(xiàn)數(shù)據(jù)加密，比如八卦，本質(zhì)上也可以看作是一套數(shù)據(jù)加密。又比如字謎，《紅樓夢(mèng)》和《鶯鶯傳》打一成語(yǔ)，即一石二鳥(niǎo)。用現(xiàn)代密碼學(xué)來(lái)解釋?zhuān)础都t樓夢(mèng)》和《鶯鶯傳》打一成語(yǔ)為公鑰，而私鑰則有兩個(gè)即紅樓夢(mèng)又稱(chēng)石頭記，鶯鶯傳中有二鳥(niǎo)，所以得到明文一石二鳥(niǎo)。這是非常古典的密碼。

2.2 數(shù)據(jù)加密的發(fā)展

在工業(yè)革命到來(lái)后，密碼學(xué)從藝術(shù)上走向了邏輯和機(jī)械，加密技術(shù)得到飛速發(fā)展，比如加密鎖。而當(dāng)?shù)谝慌_(tái)計(jì)算機(jī)問(wèn)世，加密技術(shù)就得到了飛躍式發(fā)展。計(jì)算機(jī)強(qiáng)大的計(jì)算能力，使得基于復(fù)雜計(jì)算的數(shù)據(jù)加密成為可能，此時(shí)數(shù)據(jù)加密整體進(jìn)入電子時(shí)代。在早期數(shù)據(jù)加密技術(shù)也比較簡(jiǎn)單，但由于利用了計(jì)算機(jī)高效的運(yùn)算能力，從而提升了加密算法的復(fù)雜性和安全性，比如置換表，這一技術(shù)在所有數(shù)據(jù)加密技術(shù)當(dāng)中是最簡(jiǎn)單的一種，該方法是將每個(gè)數(shù)據(jù)段對(duì)應(yīng)置換表中的一個(gè)偏移量，偏移量對(duì)應(yīng)的值輸出后成為加密后的文件，加解密都需要一個(gè)置換表，但是這種加密算法過(guò)于簡(jiǎn)單，因?yàn)闃O容易被破解，隨著字節(jié)循環(huán)移動(dòng)和異或操作的加密算法出現(xiàn)，逐漸形成了數(shù)據(jù)流理論體系，再加上斐波那契數(shù)列構(gòu)建偽隨機(jī)方法，這使得密碼破解難度急速提升。1972年DES算法出現(xiàn)，此后的幾年DES一直占據(jù)數(shù)據(jù)加密的半壁江山，而在1976年，公開(kāi)密鑰密碼體制概念被提出后，非對(duì)稱(chēng)加密便開(kāi)始逐步成為主流。

2.3 數(shù)據(jù)加密的本質(zhì)

事實(shí)上不管數(shù)據(jù)加密技術(shù)如何發(fā)展其本質(zhì)上都是利用數(shù)學(xué)上的算法來(lái)解決加解密問(wèn)題，換而言之就是數(shù)學(xué)求解過(guò)程。數(shù)據(jù)加密就是要通過(guò)數(shù)據(jù)封包等方式，以數(shù)據(jù)包為單元進(jìn)行加密，加密算法就是數(shù)學(xué)上的函數(shù)。

比如非對(duì)稱(chēng)加密算法，其本質(zhì)就是單向陷門(mén)函數(shù)。在其中必須要有一個(gè)輔助計(jì)算的充分必要條件，即陷門(mén)，這在加密當(dāng)中就是私鑰，通過(guò)API權(quán)限以私鑰解開(kāi)公鑰就能打開(kāi)數(shù)據(jù)包獲得數(shù)據(jù)。

所謂單向陷門(mén)函數(shù)是有且只有一個(gè)陷門(mén)的特殊單向函數(shù)，該函數(shù)有兩個(gè)明顯特點(diǎn)，一是單向性，二是有且只有一個(gè)陷門(mén)。如函數(shù)Y=f(x)，若已知x要求出Y很簡(jiǎn)單，但是已知的是Y而要求出x則很困難，此時(shí)需要一個(gè)陷門(mén)來(lái)輔助求解x，用z來(lái)表示，則z就是陷門(mén)。比如算例123456789與987654321相乘，得到12193271112635269，這個(gè)過(guò)程是很簡(jiǎn)單的，但是如果只知道12193271112635269這個(gè)答案，要去求出123456789與987654321這個(gè)組合就很難了，因?yàn)橛蟹浅６嗟目赡苄裕菍?duì)稱(chēng)加密就是利用這種特性來(lái)進(jìn)行加密。當(dāng)然在非對(duì)稱(chēng)加密中要求加密算法和公鑰在公開(kāi)的情況下，加密的密文必須是安全的，加密的人和掌握私鑰的人要能夠很輕易地解除加密，而其他不掌握私鑰的人則很難解開(kāi)。非對(duì)稱(chēng)加密和PKI、數(shù)字簽名、電子商務(wù)等技術(shù)進(jìn)行了有效結(jié)合，確保了網(wǎng)上重要信息的機(jī)密性，在網(wǎng)絡(luò)信息安全方面發(fā)揮了巨大作用。

對(duì)稱(chēng)加密算法實(shí)際上也是基于數(shù)學(xué)的一種算法，在數(shù)據(jù)傳輸當(dāng)中數(shù)據(jù)的接發(fā)雙方使用同一個(gè)密鑰來(lái)加解密，即發(fā)送數(shù)據(jù)方將數(shù)據(jù)和加密密鑰一起封包并用特殊加密算法處理后，發(fā)送出去，接收方則需要使用對(duì)應(yīng)的密鑰和相同算法的逆算法進(jìn)行解密。由于接發(fā)雙方都使用同一個(gè)密鑰因此安全性得不到保障，而且隨著數(shù)據(jù)量增大，密鑰管理將成為用戶(hù)的負(fù)擔(dān)。

當(dāng)然這幾種算法需要生成的密文幾乎都要用到密鑰，而密鑰則是數(shù)學(xué)計(jì)算的結(jié)果，即不管加密算法在細(xì)節(jié)上有多大差別，但是都依賴(lài)數(shù)學(xué)運(yùn)算。

2.4 數(shù)據(jù)加密的價(jià)值

在計(jì)算機(jī)信息安全管理當(dāng)中數(shù)據(jù)加密是非常重要的安全防護(hù)手段之一，對(duì)于計(jì)算機(jī)而言，計(jì)算機(jī)系統(tǒng)是存在一定漏洞，這些漏洞給爬蟲(chóng)工程師、黑客等提供了進(jìn)入計(jì)算機(jī)系統(tǒng)的通道，當(dāng)攻擊者進(jìn)入系統(tǒng)并且獲得數(shù)據(jù)或者破壞數(shù)據(jù)影響都是非常大的，所以計(jì)算機(jī)信息安全管理從技術(shù)層面上來(lái)講即矛與盾之間的較量。攻擊在加強(qiáng)，防護(hù)當(dāng)然也會(huì)加強(qiáng)。

當(dāng)前數(shù)據(jù)加密并沒(méi)有統(tǒng)一的技術(shù)標(biāo)準(zhǔn)，各個(gè)廠(chǎng)家或者研究院在數(shù)據(jù)加密技術(shù)上使用的應(yīng)用方案也有很大的差別。但很明顯在矛與盾的較量當(dāng)中，數(shù)據(jù)加密對(duì)數(shù)據(jù)的保護(hù)程度能夠判斷加密技術(shù)的優(yōu)劣。由于計(jì)算機(jī)的普及，人們?nèi)粘Ｉ?、工作、學(xué)習(xí)都在享受著計(jì)算機(jī)所帶來(lái)的便利，但是計(jì)算機(jī)帶來(lái)了便利也帶來(lái)了隱私泄露風(fēng)險(xiǎn)，隨著人們對(duì)信息安全的重視程度日漸加深，也就將眼光集中于信息安全管理上來(lái)。數(shù)據(jù)加密在信息安全當(dāng)中屬于必備技術(shù)。沒(méi)有經(jīng)過(guò)數(shù)據(jù)加密的數(shù)據(jù)很容易被盜取并破解，進(jìn)而造成信息泄露。而數(shù)據(jù)加密可以保證數(shù)據(jù)在傳輸過(guò)程中即便被攻擊者抓取到，但由于攻擊者缺乏必要的解密手段因而無(wú)法獲取數(shù)據(jù)包內(nèi)的具體數(shù)據(jù)信息，如此能夠較大程度地提高計(jì)算機(jī)數(shù)據(jù)存儲(chǔ)和傳輸過(guò)程當(dāng)中的安全性。

3 數(shù)據(jù)加密技術(shù)的應(yīng)用思考

數(shù)據(jù)加密依賴(lài)于一系列復(fù)雜的數(shù)學(xué)運(yùn)算，且運(yùn)算量巨大，越復(fù)雜的數(shù)據(jù)加密技術(shù)，需要的運(yùn)算量越大，想要快速完成運(yùn)算是不切實(shí)際的。對(duì)于攻擊者來(lái)說(shuō)這保證了數(shù)據(jù)不被攻擊者竊取。但所有的數(shù)據(jù)加密技術(shù)都有可能起不到防護(hù)效果，即便最大的開(kāi)發(fā)機(jī)構(gòu)和極度依賴(lài)數(shù)據(jù)加密的應(yīng)用，都有可能出現(xiàn)算法出錯(cuò)，比如某游戲主機(jī)，在實(shí)施ECDSA時(shí)，主機(jī)公司用的哈希算法，在部署數(shù)學(xué)運(yùn)算時(shí)，使用了一個(gè)常數(shù)而不是隨機(jī)數(shù)，進(jìn)而導(dǎo)致攻擊者推導(dǎo)出了安全密鑰。換言之對(duì)于防護(hù)者，任何可能存在的錯(cuò)誤，都能導(dǎo)致在信息安全矛與盾的較量中功虧一簣。因此如何應(yīng)用數(shù)據(jù)加密技術(shù)非常值得思考。

從加密技術(shù)應(yīng)用的數(shù)據(jù)加密位置去劃分，一般可分為應(yīng)用層加密如備份軟件、數(shù)據(jù)庫(kù)，網(wǎng)關(guān)層加密比如加密交換機(jī)或者服務(wù)器，存儲(chǔ)系統(tǒng)和加密硬盤(pán)、鏈路加密等。

3.1 存儲(chǔ)方面的加密技術(shù)應(yīng)用

從存儲(chǔ)的角度來(lái)講，應(yīng)用層加密的兼容性最好，實(shí)際上很多市面上應(yīng)用的計(jì)算機(jī)辦公軟件都是使用的應(yīng)用層加密，因?yàn)槠湓诖鎯?chǔ)、網(wǎng)絡(luò)層是無(wú)感知的。網(wǎng)關(guān)層的加密往往需要進(jìn)行二次開(kāi)發(fā)，且兼容性是一個(gè)挑戰(zhàn)，數(shù)據(jù)流必須經(jīng)過(guò)加密設(shè)備，比如SNA交換機(jī)，網(wǎng)關(guān)加密服務(wù)器等。

考慮當(dāng)前很多敏感數(shù)據(jù)會(huì)上云，則在數(shù)據(jù)加密中可考慮Vormetric Transparent Encryption Agent方案。在網(wǎng)絡(luò)當(dāng)中部署加密密鑰管理服務(wù)器Vormetric DATA Security Manager，它支持集群模式，用于加密密鑰管理。同時(shí)該方案還支持云下加密和數(shù)據(jù)上云，使用Vormetric Cloud Encryption Gateway在用戶(hù)側(cè)完成加解密，加密后的數(shù)據(jù)可保持與S3或者云。同樣的SafeNet 也支持上云，但其主要針對(duì)文件、對(duì)象，它與Vormetric這一網(wǎng)關(guān)加密不同的是，它可以在AWS上提供密鑰管理租賃服務(wù)，可將密鑰管理服務(wù)器放置在云上。Protect File部署于用戶(hù)主機(jī)，是一套軟件，實(shí)現(xiàn)對(duì)NAS存儲(chǔ)共享的文件進(jìn)行加解密。SafeNet所提供的密鑰管理是業(yè)內(nèi)處在領(lǐng)先水平的加密密鑰集中管理和保護(hù)平臺(tái)，可支持廣泛的加密生態(tài)體系。

3.2 鏈路方面的加密技術(shù)應(yīng)用

鏈路加密針對(duì)計(jì)算機(jī)網(wǎng)絡(luò)傳輸路徑的保護(hù)，由于網(wǎng)絡(luò)傳輸是公開(kāi)的，即基于廣播技術(shù)，任何兩個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)卡可接收傳輸鏈路上的數(shù)據(jù)，因而也可以被處在同一鏈路中的任何一個(gè)節(jié)點(diǎn)的網(wǎng)卡所截取。鏈路加密技術(shù)就是針對(duì)網(wǎng)絡(luò)當(dāng)中每一條數(shù)據(jù)鏈進(jìn)行加密，確保任意兩個(gè)節(jié)點(diǎn)間的加密獨(dú)立，并使用不同密鑰來(lái)實(shí)現(xiàn)加解密。這樣一來(lái)，即便某條鏈路遭到攻擊被破壞，其他鏈路也不受影響。該技術(shù)依賴(lài)于微軟公司的網(wǎng)絡(luò)驅(qū)動(dòng)程序接口規(guī)范，微軟提供的NDIS微端接口處在網(wǎng)絡(luò)鏈路層，是網(wǎng)絡(luò)驅(qū)動(dòng)當(dāng)中非常重要的驅(qū)動(dòng)程序，直接對(duì)微端接口驅(qū)動(dòng)進(jìn)行改造，實(shí)現(xiàn)對(duì)數(shù)據(jù)幀的截取并調(diào)用加解密模塊來(lái)實(shí)現(xiàn)數(shù)據(jù)加解密。由于軟件加解密的速度比較慢，為保證加解密速度，實(shí)踐中可將加解密模塊加載至微端接口驅(qū)動(dòng)當(dāng)中，如此對(duì)數(shù)據(jù)的處理均處在系統(tǒng)底層，然后集成所有模塊即可編譯為網(wǎng)卡驅(qū)動(dòng)。如此通過(guò)網(wǎng)卡驅(qū)動(dòng)連接的節(jié)點(diǎn)之間的數(shù)據(jù)鏈路上所傳輸?shù)臄?shù)據(jù)均為密文，數(shù)據(jù)源、去向、長(zhǎng)度、頻密均被隱藏。

針對(duì)傳輸鏈路的防護(hù)，還可利用端到端加解密來(lái)實(shí)現(xiàn)數(shù)據(jù)保護(hù)，即在接發(fā)兩端設(shè)置加解密裝置，發(fā)送端發(fā)送出去的數(shù)據(jù)通過(guò)加密裝置加密后發(fā)送出去并于接收端確認(rèn)一個(gè)共有密鑰，同時(shí)確認(rèn)后數(shù)據(jù)開(kāi)始發(fā)送傳輸，接收端接收數(shù)據(jù)后通過(guò)加解密裝置解密，獲取數(shù)據(jù)包中的數(shù)據(jù)信息。其技術(shù)實(shí)際上就是典型的對(duì)稱(chēng)加密，通過(guò)賦予數(shù)據(jù)包密碼來(lái)實(shí)現(xiàn)加密，加密的數(shù)據(jù)包只有裝備對(duì)應(yīng)加解密裝置的接收端才能解密，任何其他節(jié)點(diǎn)都不能進(jìn)行加解密操作。但是需要注意的是，端到端的加解密不能同其他數(shù)據(jù)加密技術(shù)同步，否則將導(dǎo)致某個(gè)數(shù)據(jù)包出現(xiàn)問(wèn)題影響數(shù)據(jù)的完整性。當(dāng)然其缺點(diǎn)也非常明顯，即流量小，速度慢，對(duì)于上了一定規(guī)模的數(shù)據(jù)顯然是力不從心的。為了解決這些問(wèn)題，開(kāi)發(fā)人員通過(guò)在硬件安全框架之內(nèi)，將數(shù)據(jù)加密算法集成在硬件上，比如上述的鏈路加密，就是將加密算法集成在網(wǎng)卡驅(qū)動(dòng)當(dāng)中，通過(guò)網(wǎng)卡來(lái)實(shí)現(xiàn)加解密。通過(guò)在硬件上集成加密功能，開(kāi)發(fā)人員可以在很大程度上忽略算法的復(fù)雜細(xì)節(jié)，從而將精力更多地投入在加密算法保護(hù)應(yīng)用的優(yōu)勢(shì)上來(lái)。并且硬件集成算法還可在一定程度上消除監(jiān)視外部總線(xiàn)以及尋找特權(quán)痕跡現(xiàn)象等常見(jiàn)攻擊形式。