SSL認證加密被攻破 安全防范需加強
去年12月27日至30日在柏林召開的“混沌通信”會議上宣布：他們通過利用MD5加密算法漏洞攻破了SSL加密技術(shù)，成功搭建一個偽造的證書授權(quán)中心(CA)，其頒發(fā)的證書能夠被所有要求SSL的網(wǎng)站接受。
熱門web瀏覽器和很多其他應用程序都擁有可信賴證書授權(quán)機構(gòu)的根證書，這樣瀏覽器就可以驗證所打開的網(wǎng)站的證書是由可信類機構(gòu)頒發(fā)的。通過搭建偽造的證書授權(quán)機構(gòu)，研究人員能夠創(chuàng)建偽造證書，并且能作為合法憑證通過瀏覽器的驗證，就像合法證書授權(quán)機構(gòu)一樣。
研究人員對他們的研究做了充分的報告，為的是使大家明確問題所在，并且研究者們表示，要想復制此破解過程，至少還需要6個月的時間，因此距離黑客利用此法實現(xiàn)真正攻擊還有相當遙遠的距離，大家也不必過于擔心。
這項研究是偉大的，研究人員的創(chuàng)舉獲得了大家的認可和掌聲，也得到VeriSign的認可，VeriSign承認了問題的存在，并正在努力迅速修復所有證書產(chǎn)品中的漏洞。該公司承諾任何受到影響的用戶都可以免費得到一個新的未被感染的證書。
在結(jié)束本文前，讓我們來談談hash function(哈希函數(shù)功能，哈希函數(shù)功能可以使軟件在更少且可預見的數(shù)據(jù)量上運作生成數(shù)字簽名，卻保持與原信息內(nèi)容之間的高度相關(guān)，且有效保證信息在經(jīng)數(shù)字簽署后并未做任何修改)，也就是此次攻擊的目標。
hash function用來采取數(shù)據(jù)塊(可能是很大的數(shù)據(jù))并為其創(chuàng)造一個值，其他操作就可以在這個值上進行。hash function通常會為相同的數(shù)據(jù)庫創(chuàng)建相同的哈希函數(shù)，但是要扭轉(zhuǎn)這一過程也是不切實際的，不可能根據(jù)哈希函數(shù)來創(chuàng)建數(shù)據(jù)庫。并且很肯定的是，必然也有可能兩個數(shù)據(jù)塊創(chuàng)建相同的哈希函數(shù)，雖然很難找出來。
最后一個問題就是“沖突”證書攻擊是怎樣發(fā)生的：破解的嘗試共分為兩步，其中的第一步運算量巨大，非常適合于運用分布式運算完成。
因此，研究者們在瑞士洛桑聯(lián)邦理工大學搭建了一個“PlayStation實驗室”，使用200臺PS3游戲機，平均分配30GB內(nèi)存進行運算，耗時18個小時完成。而第二階段運算量較小，并且不適合Cell處理器的SPU運算，因此使用了一臺頂級四核心PC耗時3到10個小時完成。
在一個周末的時間內(nèi)，研究者們共進行了三次嘗試，制造MD5“沖突”的總運算量為2的51.x次方。最終他們成功偽造了一個證書授權(quán)中心，可以隨意簽發(fā)SSL證書，突破各種SSL加密網(wǎng)站。
【編輯推薦】
