首頁 > 運維 > 安全 > 主體

C語言中如何避免弱加密

PHPz
發布: 2023-05-16 08:19:12
轉載
1590 人瀏覽過

1、弱加密

加密指以某種特殊的演算法改變原有的信息數據,使得未授權的用戶即使獲得了已加密的信息,但因不知解密的方法,仍然無法了解資訊的內容。常見的加密演算法主要可分為:對稱加密、非對稱加密、單向加密。各類加密演算法的使用場景不同,根據加密演算法的特性如運算速度、安全性、金鑰管理方式來選擇合適的演算法,但安全性是衡量加密演算法優劣的重要指標,容易被破解的加密演算法被稱為弱加密演算法,例如可以使用窮舉法在有限的時間內破解DES演算法。本篇文章以JAVA語言原始碼為例,分析弱加密產生的原因以及修復方法。

2、 弱加密的危害

對於抗攻擊性弱的加密演算法,一旦被利用會造成個人隱私資訊外洩甚至財產損失。從2018年1月至2019年4月,CVE中共有2個漏洞資訊與其相關。漏洞資訊如下:

#CVE 漏洞概況
CVE-2018-9028 CA Privileged AccessManager 2.x中傳輸密碼時使用弱加密,降低了密碼破解的複雜性。
CVE-2018-6619 在Easy Hosting Control Panel(EHCP)v0.37.12.b透過利用無鹽的弱加密演算法,使攻擊者更容易破解資料庫密碼。

3、範例程式碼

以下使用範例程式碼來自Benchmark (https://www.owasp.org/index .php/Benchmark),原始檔名:BenchmarkTest00019.java。

3.1缺陷代碼

C語言中如何避免弱加密

#上述範例程式碼操作是讀取請求中的內容並將其加密處理,在第49行取得讀取設定檔的實例 benchmarkprops。在第50行載入設定文件,在第52行~53行讀取設定檔中的屬性cryptoAlg1,若無此屬性預設使用DESede/ECB/PKCS5Paddingalgorithm 賦值。第54行將使用 algorithm 作為加密演算法建構加密物件c。接下來準備加密的密碼。第57~58行實例化了一個DES加密演算法的金鑰產生器。第59行指定加密物件 c 的操作模式為加密,其中 key 為金鑰。第62行~76行對將請求中的輸入流轉換為位元組數組input,在第77行進行對 input 進行加密,加密結果是位元組數組 result 。其中使用 DES 演算法產生的金鑰短,僅有56位,運算速度較慢,而且DES演算法完全依賴金鑰,易受窮舉搜尋法攻擊。

使用程式碼衛士對上述範例程式碼進行偵測,可以檢出「弱加密」缺陷,顯示等級為中。在程式碼行第57行報出缺陷,如圖1所示:

C語言中如何避免弱加密

圖1:弱加密的偵測範例

3.2 修復程式碼

C語言中如何避免弱加密

在上述修復程式碼中,第58行使用AES演算法取代DES演算法,AES最少可產生128位,最高256位的金鑰,且運算速度快,佔用記憶體低。

使用程式碼衛士對修復後的程式碼進行偵測,可以看到已不存在「弱加密」缺陷。如圖2:

C語言中如何避免弱加密

圖2:修正後偵測結果

4、  如何避免弱加密

安全性要求較高的系統中,建議應使用安全的加密演算法(如AES、RSA)對敏感資料進行加密。

以上是C語言中如何避免弱加密的詳細內容。更多資訊請關注PHP中文網其他相關文章!

相關標籤:
來源:yisu.com
本網站聲明
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn
最新問題
熱門教學
更多>
最新下載
更多>
網站特效
網站源碼
網站素材
前端模板