張倩，李軍茹

（1.石家莊工程職業(yè)學(xué)院信息工程系，河北石家莊，050000；2.石家莊工商職業(yè)學(xué)院工學(xué)院，河北石家莊，050000）

1 背景探討

大數(shù)據(jù)時代，數(shù)據(jù)共享已經(jīng)成為常態(tài)。數(shù)據(jù)共享具有顯著價值意義，但是數(shù)據(jù)共享也帶來了數(shù)據(jù)信息隱秘性的喪失。由于大數(shù)據(jù)挖掘算法通常會進行數(shù)據(jù)關(guān)聯(lián)，因而數(shù)據(jù)信息修改過程中勢必影響與之關(guān)聯(lián)的其他敏感信息，這一過程中必定存在安全隱患。進一步來講，由于當前云服務(wù)的深度應(yīng)用，大量數(shù)據(jù)保存在云端，也存在極多的信息安全隱患。

總體上來講，當前計算機信息安全形勢并不容樂觀，數(shù)據(jù)泄露問題屢見不鮮，在網(wǎng)絡(luò)邊界日趨模糊的狀態(tài)下，眾多應(yīng)用系統(tǒng)和數(shù)據(jù)接入網(wǎng)絡(luò)當中，信息安全必定遭遇來自多個方面的攻擊，所以加強計算機信息安全管理，確保數(shù)據(jù)信息不泄露是迫切需要解決的關(guān)鍵問題。

2 數(shù)據(jù)加密技術(shù)

2.1 數(shù)據(jù)加密古已有之

數(shù)據(jù)加密技術(shù)實際古已有之，很多考古勘探結(jié)果均表明了古人就會使用很多奇妙的方法來實現(xiàn)數(shù)據(jù)加密，比如八卦，本質(zhì)上也可以看作是一套數(shù)據(jù)加密。又比如字謎，《紅樓夢》和《鶯鶯傳》打一成語，即一石二鳥。用現(xiàn)代密碼學(xué)來解釋，即《紅樓夢》和《鶯鶯傳》打一成語為公鑰，而私鑰則有兩個即紅樓夢又稱石頭記，鶯鶯傳中有二鳥，所以得到明文一石二鳥。這是非常古典的密碼。

2.2 數(shù)據(jù)加密的發(fā)展

在工業(yè)革命到來后，密碼學(xué)從藝術(shù)上走向了邏輯和機械，加密技術(shù)得到飛速發(fā)展，比如加密鎖。而當?shù)谝慌_計算機問世，加密技術(shù)就得到了飛躍式發(fā)展。計算機強大的計算能力，使得基于復(fù)雜計算的數(shù)據(jù)加密成為可能，此時數(shù)據(jù)加密整體進入電子時代。在早期數(shù)據(jù)加密技術(shù)也比較簡單，但由于利用了計算機高效的運算能力，從而提升了加密算法的復(fù)雜性和安全性，比如置換表，這一技術(shù)在所有數(shù)據(jù)加密技術(shù)當中是最簡單的一種，該方法是將每個數(shù)據(jù)段對應(yīng)置換表中的一個偏移量，偏移量對應(yīng)的值輸出后成為加密后的文件，加解密都需要一個置換表，但是這種加密算法過于簡單，因為極容易被破解，隨著字節(jié)循環(huán)移動和異或操作的加密算法出現(xiàn)，逐漸形成了數(shù)據(jù)流理論體系，再加上斐波那契數(shù)列構(gòu)建偽隨機方法，這使得密碼破解難度急速提升。1972年DES算法出現(xiàn)，此后的幾年DES一直占據(jù)數(shù)據(jù)加密的半壁江山，而在1976年，公開密鑰密碼體制概念被提出后，非對稱加密便開始逐步成為主流。

2.3 數(shù)據(jù)加密的本質(zhì)

事實上不管數(shù)據(jù)加密技術(shù)如何發(fā)展其本質(zhì)上都是利用數(shù)學(xué)上的算法來解決加解密問題，換而言之就是數(shù)學(xué)求解過程。數(shù)據(jù)加密就是要通過數(shù)據(jù)封包等方式，以數(shù)據(jù)包為單元進行加密，加密算法就是數(shù)學(xué)上的函數(shù)。

比如非對稱加密算法，其本質(zhì)就是單向陷門函數(shù)。在其中必須要有一個輔助計算的充分必要條件，即陷門，這在加密當中就是私鑰，通過API權(quán)限以私鑰解開公鑰就能打開數(shù)據(jù)包獲得數(shù)據(jù)。

所謂單向陷門函數(shù)是有且只有一個陷門的特殊單向函數(shù)，該函數(shù)有兩個明顯特點，一是單向性，二是有且只有一個陷門。如函數(shù)Y=f(x)，若已知x要求出Y很簡單，但是已知的是Y而要求出x則很困難，此時需要一個陷門來輔助求解x，用z來表示，則z就是陷門。比如算例123456789與987654321相乘，得到12193271112635269，這個過程是很簡單的，但是如果只知道12193271112635269這個答案，要去求出123456789與987654321這個組合就很難了，因為有非常多的可能性，非對稱加密就是利用這種特性來進行加密。當然在非對稱加密中要求加密算法和公鑰在公開的情況下，加密的密文必須是安全的，加密的人和掌握私鑰的人要能夠很輕易地解除加密，而其他不掌握私鑰的人則很難解開。非對稱加密和PKI、數(shù)字簽名、電子商務(wù)等技術(shù)進行了有效結(jié)合，確保了網(wǎng)上重要信息的機密性，在網(wǎng)絡(luò)信息安全方面發(fā)揮了巨大作用。

對稱加密算法實際上也是基于數(shù)學(xué)的一種算法，在數(shù)據(jù)傳輸當中數(shù)據(jù)的接發(fā)雙方使用同一個密鑰來加解密，即發(fā)送數(shù)據(jù)方將數(shù)據(jù)和加密密鑰一起封包并用特殊加密算法處理后，發(fā)送出去，接收方則需要使用對應(yīng)的密鑰和相同算法的逆算法進行解密。由于接發(fā)雙方都使用同一個密鑰因此安全性得不到保障，而且隨著數(shù)據(jù)量增大，密鑰管理將成為用戶的負擔。

當然這幾種算法需要生成的密文幾乎都要用到密鑰，而密鑰則是數(shù)學(xué)計算的結(jié)果，即不管加密算法在細節(jié)上有多大差別，但是都依賴數(shù)學(xué)運算。

2.4 數(shù)據(jù)加密的價值

在計算機信息安全管理當中數(shù)據(jù)加密是非常重要的安全防護手段之一，對于計算機而言，計算機系統(tǒng)是存在一定漏洞，這些漏洞給爬蟲工程師、黑客等提供了進入計算機系統(tǒng)的通道，當攻擊者進入系統(tǒng)并且獲得數(shù)據(jù)或者破壞數(shù)據(jù)影響都是非常大的，所以計算機信息安全管理從技術(shù)層面上來講即矛與盾之間的較量。攻擊在加強，防護當然也會加強。

當前數(shù)據(jù)加密并沒有統(tǒng)一的技術(shù)標準，各個廠家或者研究院在數(shù)據(jù)加密技術(shù)上使用的應(yīng)用方案也有很大的差別。但很明顯在矛與盾的較量當中，數(shù)據(jù)加密對數(shù)據(jù)的保護程度能夠判斷加密技術(shù)的優(yōu)劣。由于計算機的普及，人們?nèi)粘Ｉ?、工作、學(xué)習都在享受著計算機所帶來的便利，但是計算機帶來了便利也帶來了隱私泄露風險，隨著人們對信息安全的重視程度日漸加深，也就將眼光集中于信息安全管理上來。數(shù)據(jù)加密在信息安全當中屬于必備技術(shù)。沒有經(jīng)過數(shù)據(jù)加密的數(shù)據(jù)很容易被盜取并破解，進而造成信息泄露。而數(shù)據(jù)加密可以保證數(shù)據(jù)在傳輸過程中即便被攻擊者抓取到，但由于攻擊者缺乏必要的解密手段因而無法獲取數(shù)據(jù)包內(nèi)的具體數(shù)據(jù)信息，如此能夠較大程度地提高計算機數(shù)據(jù)存儲和傳輸過程當中的安全性。

3 數(shù)據(jù)加密技術(shù)的應(yīng)用思考

數(shù)據(jù)加密依賴于一系列復(fù)雜的數(shù)學(xué)運算，且運算量巨大，越復(fù)雜的數(shù)據(jù)加密技術(shù)，需要的運算量越大，想要快速完成運算是不切實際的。對于攻擊者來說這保證了數(shù)據(jù)不被攻擊者竊取。但所有的數(shù)據(jù)加密技術(shù)都有可能起不到防護效果，即便最大的開發(fā)機構(gòu)和極度依賴數(shù)據(jù)加密的應(yīng)用，都有可能出現(xiàn)算法出錯，比如某游戲主機，在實施ECDSA時，主機公司用的哈希算法，在部署數(shù)學(xué)運算時，使用了一個常數(shù)而不是隨機數(shù)，進而導(dǎo)致攻擊者推導(dǎo)出了安全密鑰。換言之對于防護者，任何可能存在的錯誤，都能導(dǎo)致在信息安全矛與盾的較量中功虧一簣。因此如何應(yīng)用數(shù)據(jù)加密技術(shù)非常值得思考。

從加密技術(shù)應(yīng)用的數(shù)據(jù)加密位置去劃分，一般可分為應(yīng)用層加密如備份軟件、數(shù)據(jù)庫，網(wǎng)關(guān)層加密比如加密交換機或者服務(wù)器，存儲系統(tǒng)和加密硬盤、鏈路加密等。

3.1 存儲方面的加密技術(shù)應(yīng)用

從存儲的角度來講，應(yīng)用層加密的兼容性最好，實際上很多市面上應(yīng)用的計算機辦公軟件都是使用的應(yīng)用層加密，因為其在存儲、網(wǎng)絡(luò)層是無感知的。網(wǎng)關(guān)層的加密往往需要進行二次開發(fā)，且兼容性是一個挑戰(zhàn)，數(shù)據(jù)流必須經(jīng)過加密設(shè)備，比如SNA交換機，網(wǎng)關(guān)加密服務(wù)器等。

考慮當前很多敏感數(shù)據(jù)會上云，則在數(shù)據(jù)加密中可考慮Vormetric Transparent Encryption Agent方案。在網(wǎng)絡(luò)當中部署加密密鑰管理服務(wù)器Vormetric DATA Security Manager，它支持集群模式，用于加密密鑰管理。同時該方案還支持云下加密和數(shù)據(jù)上云，使用Vormetric Cloud Encryption Gateway在用戶側(cè)完成加解密，加密后的數(shù)據(jù)可保持與S3或者云。同樣的SafeNet 也支持上云，但其主要針對文件、對象，它與Vormetric這一網(wǎng)關(guān)加密不同的是，它可以在AWS上提供密鑰管理租賃服務(wù)，可將密鑰管理服務(wù)器放置在云上。Protect File部署于用戶主機，是一套軟件，實現(xiàn)對NAS存儲共享的文件進行加解密。SafeNet所提供的密鑰管理是業(yè)內(nèi)處在領(lǐng)先水平的加密密鑰集中管理和保護平臺，可支持廣泛的加密生態(tài)體系。

3.2 鏈路方面的加密技術(shù)應(yīng)用

鏈路加密針對計算機網(wǎng)絡(luò)傳輸路徑的保護，由于網(wǎng)絡(luò)傳輸是公開的，即基于廣播技術(shù)，任何兩個網(wǎng)絡(luò)節(jié)點的網(wǎng)卡可接收傳輸鏈路上的數(shù)據(jù)，因而也可以被處在同一鏈路中的任何一個節(jié)點的網(wǎng)卡所截取。鏈路加密技術(shù)就是針對網(wǎng)絡(luò)當中每一條數(shù)據(jù)鏈進行加密，確保任意兩個節(jié)點間的加密獨立，并使用不同密鑰來實現(xiàn)加解密。這樣一來，即便某條鏈路遭到攻擊被破壞，其他鏈路也不受影響。該技術(shù)依賴于微軟公司的網(wǎng)絡(luò)驅(qū)動程序接口規(guī)范，微軟提供的NDIS微端接口處在網(wǎng)絡(luò)鏈路層，是網(wǎng)絡(luò)驅(qū)動當中非常重要的驅(qū)動程序，直接對微端接口驅(qū)動進行改造，實現(xiàn)對數(shù)據(jù)幀的截取并調(diào)用加解密模塊來實現(xiàn)數(shù)據(jù)加解密。由于軟件加解密的速度比較慢，為保證加解密速度，實踐中可將加解密模塊加載至微端接口驅(qū)動當中，如此對數(shù)據(jù)的處理均處在系統(tǒng)底層，然后集成所有模塊即可編譯為網(wǎng)卡驅(qū)動。如此通過網(wǎng)卡驅(qū)動連接的節(jié)點之間的數(shù)據(jù)鏈路上所傳輸?shù)臄?shù)據(jù)均為密文，數(shù)據(jù)源、去向、長度、頻密均被隱藏。

針對傳輸鏈路的防護，還可利用端到端加解密來實現(xiàn)數(shù)據(jù)保護，即在接發(fā)兩端設(shè)置加解密裝置，發(fā)送端發(fā)送出去的數(shù)據(jù)通過加密裝置加密后發(fā)送出去并于接收端確認一個共有密鑰，同時確認后數(shù)據(jù)開始發(fā)送傳輸，接收端接收數(shù)據(jù)后通過加解密裝置解密，獲取數(shù)據(jù)包中的數(shù)據(jù)信息。其技術(shù)實際上就是典型的對稱加密，通過賦予數(shù)據(jù)包密碼來實現(xiàn)加密，加密的數(shù)據(jù)包只有裝備對應(yīng)加解密裝置的接收端才能解密，任何其他節(jié)點都不能進行加解密操作。但是需要注意的是，端到端的加解密不能同其他數(shù)據(jù)加密技術(shù)同步，否則將導(dǎo)致某個數(shù)據(jù)包出現(xiàn)問題影響數(shù)據(jù)的完整性。當然其缺點也非常明顯，即流量小，速度慢，對于上了一定規(guī)模的數(shù)據(jù)顯然是力不從心的。為了解決這些問題，開發(fā)人員通過在硬件安全框架之內(nèi)，將數(shù)據(jù)加密算法集成在硬件上，比如上述的鏈路加密，就是將加密算法集成在網(wǎng)卡驅(qū)動當中，通過網(wǎng)卡來實現(xiàn)加解密。通過在硬件上集成加密功能，開發(fā)人員可以在很大程度上忽略算法的復(fù)雜細節(jié)，從而將精力更多地投入在加密算法保護應(yīng)用的優(yōu)勢上來。并且硬件集成算法還可在一定程度上消除監(jiān)視外部總線以及尋找特權(quán)痕跡現(xiàn)象等常見攻擊形式。