咱们来自字节跳动飞书商业运用研发部(Lark Business Applications)，现在咱们在北京、深圳、上海、武汉、杭州、成都、广州、三亚都设立了作业区域。咱们关注的产品范畴首要在企业经历管理软件上，包括飞书 OKR、飞书绩效、飞书招聘、飞书人事等 HCM 范畴系统，也包括飞书批阅、OA、法务、财政、收购、差旅与报销等系统。欢迎各位参加咱们。
本文作者：飞书商业运用研发部 朱忠华
欢迎咱们关注飞书技能，每周定时更新飞书技能团队技能干货内容，想看什么内容，欢迎咱们评论区留言~
一、浅谈暗码技能
暗码这个词有许多种的解说，在现代社会假如不接触编程的话，那么普遍的以为是咱们设置的登录暗码、或许是去银行取钱时输入的数字。都是咱们在注册时完成给供给服务的一方存储一组数字，今后咱们登录的时分就用这组数字适当于就证明晰咱们的身份。这个数字一般来说便是叫做暗码。
而咱们需求了解的不是上面说的暗码，而是一种“暗码术”，便是关于要传递的信息依照某种规则进行转换，从而躲藏信息的内容。这种办法能够使秘要信息得以在揭露的途径传递而不泄密。运用这种办法，要经过加密进程。在加密进程中咱们需求知道下面的这些概念：
- 原文：或许叫明文，便是被躲藏的文字。
- 加密法：指躲藏原文的法则。
- 密文：或许叫伪文，指对原文依照加密法处理往后生成的可揭露传递的文字。
- 密钥：在加密法中起决定性的要素，或许是数字、词汇，也或许是一些字母，或许这些东西的组合。
加密的效果生成了密文，要想让接受者能够读懂这些密文，那么就要把加密法以及密钥告诉接受者，不然接受者无法对密文解密，也就无法读懂原文。
从前史的视点来看，暗码学大约能够分为古典暗码学和近现代暗码学两个阶段。两者以现代信息技能的诞生为分界点，现在所评论的暗码学多指的是后者，树立在信息论和数学效果根底之上的。
1.1 古典暗码学
古典暗码学源自于数千年前，最早在公元前 1900 年左右的古埃及，就呈现了经过运用特殊字符和简略替换式暗码来维护信息。美索不达米亚平原上曾经出土一个公元前 1500 年左右的泥板，其上记录了加密描述的陶瓷器上釉的工艺配方。古希腊时期（公元前 800 ﹣前 146 年）还发明晰经过物理手法来躲藏信息的“隐写术”，例如运用牛奶书写、用蜡掩盖文字等。后来在古罗马时期还呈现了根据替换加密的凯撒暗码，据称凯撒曾用此办法与其部下通讯而得以命名。这些手法多数是选用简略的机械工具来维护隐秘，在今日看来毫无疑问是十分粗陋，很简略猜出来的。严厉来看，或许都很难称为暗码科学。
凯撒暗码是当偏移量是 3 的时分，一切的字母都 A 都将被替换成 D，B 变成 E，以此类推。
1.2 近代暗码学
近代暗码学的研讨来自于第一、二次世界大战中关于军事通讯进行维护和猜出来的需求。1901 年 12月，意大利的工程师 Guglielmo Marconi（奎里亚摩•马可尼）成功完成了跨越大西洋的无线电通讯的实验，在全球范围内引发轰动，推动了无线电通讯年代的到来。无线电大大提高了长途通讯的才干，可是它有一个天然的缺点——很难约束接收方，这就意味着你所传的信息有或许被阻拦，因而就催生了加密技能的开展。
关于无线电信息进行加密宽和密也直接促进了近现代暗码学和核算机技能的呈现。反过来这些科技进步也影响了年代的开展。一战时期德国外交部长 Arthur Zimmermann（阿瑟•齐默尔曼）拉拢墨西哥构成抗美军事同盟的电报（1917 年 1 月 16 日）被英国情报组织— 40 号作业室破译，直接导致了美国的参战；二战时期德国运用的恩尼格玛（Enigma）暗码机（当时最先进的加密设备）被盟军成功破译（1939 年到 1941 年），导致大西洋战争德国失败。据称，二战时期光英国从事暗码学研讨的人员就到达 7000 人，而他们的效果使二战完毕的时刻至少提前了一到两年时刻。
接下来便是能够称之为是暗码学开展史上里程碑的工作了。1945 年 9月 1 日，Claude Elwood Shannon（克劳德•艾尔伍德•香农）完成了划年代的内部陈述《A Mathematical Theory of Cryptography（暗码术的一个数学理论）》，1949 年 10 月，该陈述以《Communication Theory of Secrecy Systems（保密系统的通讯理论）》为题在 Bell System Technical Journal（贝尔系统技能期刊）上正式宣布。这篇论文初次将暗码学和信息论联系到一起，为对称暗码技能供给了数学根底。这也标志着近现代暗码学的正式树立。这也是暗码学开展史上的第一座里程碑性工作。
暗码学开展史上的第二个里程碑性工作是 DES 的呈现。DES 全称为 Data Encryption Standard，即数据加密规范，是一种运用密钥加密的分组暗码算法，1977 年被美国联邦政府的国家规范局确以为联邦资料处理规范（FIPS），并授权在非密级政府通讯中运用，随后该算法在国际上广泛流传开来。
暗码学开展史上的第三个里程碑性工作便是咱们区块链中广泛运用的公钥暗码，也便是非对称暗码算法的呈现。1976年11月，Whitfield Diffie 和 Martin E.Hellman 在 IEEE Transactions on Information Theory 上宣布了论文《New Directions in Cryptography（暗码学的新方向）》，评论了无需传输密钥的保密通讯和签名认证系统问题，正式创始了现代公钥暗码学系统的研讨。在公钥暗码发现以前，假如需求保密通讯，通讯两边事先要对加解密的算法以及要运用的密钥进行事先协商，包括送鸡毛信，实际上是在传送密钥。但自从有了公钥暗码，需求进行隐秘通讯的两边不再需求进行事前的密钥协商了。公钥暗码在理论上是不保密的，在实际上是保密的。也便是说，公钥暗码是能够猜出来的，但需求极长的时刻，比及猜出来了，这个隐秘也没有保密的必要了。
暗码学最根底的分支有三个，第一个是单向 散列函数，第二个是对称暗码技能，第三个是非对称暗码技能。那么接下来咱们就以介绍这 3 个概念为主线引出开题中咱们说到的概念。
二、摘要算法
2.1 概念
数据摘要算法（Digest Algorithm）是暗码学算法中十分重要的一个分支，它经过对一切数据提取指纹信息以完成数据签名、数据完整性校验等功能，由于其不可逆性，有时分会被用作灵敏信息的加密。数据摘要算法也被称为哈希（Hash）算法或散列算法，在完成上是一个单向的散列函数。
不管输入的音讯有多长，核算出来的音讯摘要的长度总是固定的。一般地，只需输入的音讯不同，对其进行摘要今后发生的摘要音讯也必不相同；但相同的输入必会发生相同的输出。只能进行正向的信息摘要，而无法从摘要中恢复出任何的音讯，乃至根本就找不到任何与原信息相关的信息（不可逆性）。
许多的运用都在运用 MD5 或许 SHA 算法核算一个仅有的 id。比方 Git 中的提交记录、文件的完整性校验、各种语言中字典或许 Map 的完成等等。许多场景下，咱们运用散列算法并不是为了满足什么加密需求，而是利用它能够对恣意长度的输入，核算出一个定长的 id。
作为暗码学的算法，散列算法除了供给仅有的 id，其更大的利用价值还在于它的不可逆性。当用户注册，提交账号暗码时，作为一个安全的运用，是肯定不能够存储明文暗码的。因而，咱们对用户的暗码经过散列算法进行核算，存储终究的散列值。在后续登录的进程中，咱们假如核算出的用户提交的暗码的散列值和你存储的散列值共同，就能够经过验证了。这样一来，任何人（即使是内部员工）都不知道用户实在的暗码是什么，而用户也能够完成暗码的校验。
摘要算法实际上是把数据从一个“大空间”映射到了“小空间”，所以就存在“冲突”（collision，也叫磕碰）的或许性，就如同实际中的指纹相同，或许会有两份不同的原文对应相同的摘要。好的摘要算法有必要能够“反抗冲突”，让这种或许性尽量地小。
2.2 什么是单向散列函数？
首要，咱们从姓名上看，一眼就能看出来单向散列函数有两个要害修饰词，“单向”和“散列”。其实，在数学上，单向函数和散列函数是两个不同类型的函数。所以，咱们要想理解单向散列函数，咱们就要先知道什么是单向函数，什么又是散列函数。
单向函数（One-way Function）是正向核算简略，逆向运算困难的函数。也便是说，给定你一个输入，你很简略核算出输出；可是给定你一个输出，你却很难核算出输入是什么。
一个更有用的单向函数，正向核算会更简略，简略程度便是这个函数的核算性能；一个更有用的单向函数，逆向运算会更困难，困难程度便是这个函数的破解强度。一个有用的单向函数，核算强度和破解强度要均衡考量，不可偏废。
散列函数（Hash Function） 是一个能够把恣意巨细的数据，转行成固定长度的数据的函数。比方说，不管输入数据是一个字节，或许一万个字节，输出数据都是 16 个字节。咱们把转换后的数据，叫做散列值。由于散列函数常常被人们直译为哈希函数，所以咱们也能够称散列值为哈希值。一般的，关于给定的输入数据和散列函数，散列值是确认不变的。
会不会存在散列值相同的两个或许多个数据呢？——是确认存在的。一般，咱们把这种状况称为散列值磕碰。关于散列函数，散列值磕碰可不是一件好工作。
最直观的办法，便是在输出数据的长度上想办法。尽管散列值长度固定，可是，咱们能够让数据变得更长，散列值越长，存在相同散列值的概率就越小，发生磕碰的或许性就越小。但从另一个视点来说，散列值越长，一般也就意味着核算越困难，核算性能越差。散列值的长度挑选，应该是权衡性能后的效果。
除了散列值长度之外，想要降低散列值磕碰的或许性，咱们还要考虑散列值的质量。一个好的散列函数，它的散列值应该是均匀分布的。也便是说，每一个散列值呈现的概率都是相同的。假如不这样的话，一部分散列值呈现的概率就会较高，另一部分散列值呈现的概率会较低，他人就更简略结构出两个或许多个数据，使得它们具有相同的散列值。这种行为，叫做磕碰攻击。
雪崩效应（Avalanche Effect） 是暗码学算法一个常见的特色，指的是输入数据的细小改换，就会导致输出数据的巨大变化。严厉雪崩效应是雪崩效应的一个形式化目标，咱们也常用来衡量均匀分布。严厉雪崩效应指的是，假如输入数据的一位反转，输出数据的每一位都有 50% 的概率会发生变化。
一个适用于暗码学的单向散列函数，就要具有雪崩效应的特色，也便是说，假如一个单向散列函数具有雪崩效应，那么关于给定的数据，结构出一个新的、具有相同散列值的数据是困难的。
2.3 有哪些详细的音讯摘要算法？
- CRC8、CRC16、CRC32：CRC（Cyclic Redundancy Check，循环冗余校验）算法呈现时刻较长，运用也十分广泛，尤其是通讯范畴。现在运用最多的便是 CRC32 算法，它发生一个 4 字节（32位）的校验值，一般是以 8 位十六进制数，如FA 12 CD 45等。CRC 算法的长处在于简洁、速度快。严厉的来说，CRC 更应该被称为数据校验算法，但其功能与数据摘要算法相似，因而也作为测验的可选算法。
- MD2 、MD4、MD5：这是运用十分广泛的一个算法宗族，尤其是 MD5（Message-Digest Algorithm 5，音讯摘要算法版本5），它由 MD2、MD3、MD4 开展而来，由 Ron Rivest（RSA公司）在 1992 年提出，现在被广泛运用于数据完整性校验、数据（音讯）摘要、数据加密等。MD2、MD4、MD5 都发生 16 字节（128位）的校验值，一般用32位十六进制数表示。MD2的算法较慢但相对安全，MD4 速度很快，但安全性下降，MD5 比 MD4 更安全、速度更快。假如不是长度受限（32 个字符），我仍是不引荐你继续运用 MD5 的。
- SHA1、SHA256、SHA384、SHA512：SHA（Secure Hash Algorithm）是由美国专门拟定暗码算法的规范组织——美国国家规范技能研讨院（NIST）拟定的，SHA系列算法的摘要长度分别为：SHA 为 20 字节（160位）、SHA256 为 32 字节（256位）、 SHA384 为 48 字节（384位）、SHA512 为 64 字节（512位），由于它发生的数据摘要的长度更长，因而更难以发生磕碰，因而也更为安全，它是未来数据摘要算法的开展方向。由于 SHA 系列算法的数据摘要长度较长，因而其运算速度与 MD5 比较，也相对较慢。和 MD5 相同，尽管 SHA 的仅有性也被破解了，可是这也不会构成大的安全问题。现在，SHA-256 普遍被以为是相对安全的散列算法，也是我最引荐你运用的散列算法。
- RIPEMD、PANAMA、TIGER、ADLER32 等：RIPEMD 是 Hans Dobbertin 等 3 人在对 MD4、MD5 缺点剖析根底上，于 1996 年提出来的，有 4 个规范 128、160、256 和 320，其对应输出长度分别为 16 字节、20 字节、32 字节和 40 字节。TIGER 由 Ross 在 1995 年提出。Tiger 号称是最快的 Hash 算法，专门为 64 位机器做了优化。
- 国密 SM3。国密算法 SM3 是一种散列算法。其归于国家规范，算法揭露，加密强度和国际规范的 SHA-256 适当。
别的，咱们在运用散列算法的时分，有一点需求留意一下，一定要留意加“盐”。所谓“盐”，便是一串随机的字符，是能够揭露的。将用户的暗码“盐”进行拼接后，再进行散列核算，这样，即使两个用户设置了相同的暗码，也会具有不同的散列值。一起，黑客往往会提前核算一个彩虹表来提升暴力破解散列值的功率，而咱们能够经过加“盐”进行对抗。“盐”值越长，安全性就越高。
总的来说，在运用的时分，你要记住下面这些内容：对称加密具备较高的安全性和性能，要优先考虑。在一对多的场景中（如多人登录服务器），存在密钥分发难题的时分，咱们要运用非对称加密；不需求可逆核算的时分（如存储暗码），咱们就运用散列算法。在详细算法的选取上，你只需求记住：对称加密用 AES-CTR、非对称加密用 ECC、散列算法用 SHA256 加盐。这些算法就能够满足大部分的运用场景了，并且在未来很长一段时刻内，都能够保持一个较高的安全强度。
2.4 HMAC
运用音讯验证码的前提，便是信息的发送方和接收方要持有相同的密钥，这和咱们前面评论的对称密钥的条件是相同的。能够运用对称密钥的场景，都能够满足这个前提。
别的，信息的发送方和接收方要运用相同的音讯验证函数。这个函数的输入数据便是对称密钥和待验证信息。信息的发送方运用音讯验证函数，能够生成音讯验证码。然后，信息接收方比照接收到的音讯验证码和自己生成的音讯验证码。假如两个音讯验证码是相同的，就表明待验证信息不是假造的信息。不然，待验证信息便是被篡改过的信息。
HMAC，全称：根据单向散列函数的音讯验证码（Hash-based Message Authentication Code）。在 HMAC 的算法里，单向散列函数的输入数据是由对称密钥和待验证音讯结构出来的。
到这儿，你是不是早就有了一个疑问，音讯验证函数为什么还需求对称密钥呢？ 咱们前面说到，单向散列函数也能够验证数据的完整性。为什么它不直接运用单向散列函数呢？
咱们先来看看，假如没有对称密钥的参加，音讯验证码还能不能作业。信息发送方把待验证信息和音讯验证码都发送给信息接收方。假设存在一个中心攻击者，能够解开待验证信息和音讯验证码。由于单向散列函数是揭露的算法，中心攻击者就能够篡改待验证信息，重新生成音讯验证码。
然后，中心攻击者把篡改的信息和篡改的验证码发给信息接收方。篡改的信息和篡改的验证码能够经过信息接收方的信息验证。也便是说，这样的话，信息接收方就没有办法识别出这个信息是不是原始的、没有篡改的信息。这样，信息验证就失效了。
可是，假如对称密钥参加了音讯验证码的运算，由于中心攻击者并不知道对称密钥的数据，攻击者就很难假造出一个能够经过验证的音讯验证码。换一个说法，对称密钥的参加，是为了确保散列值来源于原始数据，而不是篡改的数据。
HMAC 算法是由单向散列函数的算法确认的。下面的表格，我列出了一些常见的算法。相同的，咱们把 HMAC 算法也依照退役的、留传的以及现行的算法来分类。
其间，HmacSHA256 和 HmacSHA384 是现在最盛行的两个 HMAC 算法。
三、对称加密
对称加密（Symmetric-key algorithm）又称为对称加密、私钥加密、共享密钥加密，是暗码学中的一类加密算法。这类算法在加密宽和密时运用相同的密钥，或是运用两个能够简略地彼此核算的密钥。实务上，这组密钥成为在两个或多个成员间的共同隐秘，以便维持专属的通讯联系。与揭露密钥加密比较，要求两边取得相同的密钥是对称密钥加密的首要缺点之一。常见的对称加密算法有：DES、3DES（TripleDES）、IDEA、AES、ChaCha20、 RC2、RC4、RC5、Blowfish和国密 SM1 和 SM4等。
DES （数据加密规范，Data Encryption Standard）加密算法是一种分组暗码，以 64 位为分组对数据加密，它的密钥长度是 56 位（密钥表面上是 64 位的，然而只需其间的 56 位被实际运用于算法，其余 8 位能够用于奇偶校验。因而，DES 的有用密钥长度仅为 56 位。），加密解密用同一算法。DES 加密算法是对密钥进行保密，而揭露算法，包括加密宽和密算法。这样，只需掌握了和发送方相同密钥的人才干解读由 DES 加密算法加密的密文数据。因而，破译 DES 加密算法实际上便是搜索密钥的编码。关于 56 位长度的密钥来说，假如用穷举法来进行搜索的话，其运算次数为 2 的 56 次方。
DES算法的入口参数有三个：Key、Data、Mode。其间 Key 为 8 个字节共 64 位，是 DES 算法的作业密钥；Data 也为 8 个字节 64 位，是要被加密或被解密的数据；Mode 为 DES 的作业方法,有两种：加密或解密。
对应的还有 3DES，3DES（或称为 Triple DES）是三重数据加密算法（TDEA，Triple Data Encryption Algorithm）块暗码的总称。它适当于是对每个数据块运用三次 DES 加密算法。由于核算机运算才干的增强，原版 DES 暗码的密钥长度变得简略被暴力破解；3DES 即是规划用来供给一种相对简略的办法，即经过添加 DES 的密钥长度来防止相似的攻击，而不是规划一种全新的块暗码算法。
DES 实际上是一个过期的暗码学算法，现在现已不引荐运用了。关于 DES，还有一点特别有意思。DES 包括一个要害模块：S 盒，其规划的原理一向没有揭露。因而，许多人都相信，这个 S 盒中存在后门，只需美国政府需求，就能够解密任何 DES 密文。
IDEA （国际数据加密算法，International Data Encryption Algorithm）由瑞士研讨人员规划，密钥长度为 128 位。比照于其他的暗码学算法，IDEA 的优势在于没有专利的约束。比较于 DES 和 AES 的运用遭到美国政府的控制，IDEA 的规划人员并没有对其设置太多的约束，这让 IDEA 在全世界范围内得到了广泛地运用和研讨。
AES （高档加密规范，Advanced Encryption Standard）加密算法是暗码学中的高档加密规范，该加密算法选用对称分组暗码系统，密钥长度的最少支撑为 128、192、256，分组长度 128 位，算法应易于各种硬件和软件完成。这种加密算法是美国联邦政府选用的区块加密规范，AES 规范用来替代原先的 DES，现已被多方剖析且广为全世界所运用。
ChaCha20 是 Google 规划的另一种加密算法，密钥长度固定为 256 位，纯软件运转性能要超越 AES，曾经在移动客户端上比较盛行，但 ARMv8 之后也参加了 AES 硬件优化，所以现在不再具有明显的优势，但仍然算得上是一个不错的算法。
国密 SM1（SM1 Cryptographic Algorithm）和 SM4（SM4 Cryptographic Algorithm）。咱们知道，暗码学作为安全的根底学科，假如全部依靠国外的技能，关于国家安全或许发生晦气影响。因而，中国政府提出了一系列加密算法。其间，国密算法 SM1 和 SM4 都归于对称加密的范畴。SM1 算法不揭露，归于国家秘要，只能经过相关安全产品进行运用。而 SM4 归于国家规范，算法揭露，可自行完成运用。国密算法的长处显而易见：遭到国家的支撑和认可。
3.1 加密分组形式
对称算法还有一个“分组形式”的概念，它能够让算法用固定长度的密钥加密恣意长度的明文，把小隐秘（即密钥）转化为大隐秘（即密文）。
最早有 ECB、CBC、CFB、OFB 等几种分组形式，但都陆续被发现有安全漏洞，所以现在基本都不怎样用了。最新的分组形式被称为 AEAD（Authenticated Encryption with Associated Data，带相关数据的认证加密），在加密的一起添加了认证的功能，常用的是 GCM、CCM 和 Poly1305。
一般地，咱们能够把带相关数据的认证加密看做一个加密形式，就像 CBC 形式相同，咱们能够和前面说到的 AES 等加密算法进行组合。但 ChaCha20 和 Poly1305 一般组合在一起；Camellia 与 AES 一般和 GCM 以及 CCM 组合在一起。由于 AEAD 形式相对较新，而 3DES/DES 等留传或许退役算法又存在明显的安全缺点，所以，咱们一般不会运用留传或许退役算法的 AEAD 形式。假如咱们重新整理一下，归纳考虑加密算法和加密形式，那么，当前引荐运用的、有广泛支撑的、风险最小的算法是：AES/GCM；ChaCha20/Poly1305；AES/CCM。
3.2 末节
在加密通讯中（如 HTTPS、VPN、SSH 等），通讯两边会协商出一个加密算法和密钥，对传输的数据进行加密，从而防止第三方盗取。在相似数据库加密这种存储加密技能中，通讯两边也是将存储空间中的数据进行加密，这样即使硬盘被物理盗取，也不会导致信息丢掉。在公司内部，为了防止用户的 Cookie 和隐私信息发生走漏，也需求对它们进行加密存储。
关于大部分公司来说，选取 AES128 进行加解密运算，就能取得较高的安全性和性能。假如是金融或政府职业，在触及国家层面的对抗上，有一定的合规需求，则需求运用国密算法。
对称加密的长处是算法揭露、核算量小、加密速度快、加密功率高。缺点便是密钥的管理和分发是十分困难的，不够安全。在数据传送前，发送方和接收方有必要商定好秘钥，然后两边都有必要要保存好秘钥，假如一方的密钥被泄露了，那么加密的信息也就不安全了。别的，每对用户每次运用对称加密算法时，都需求运用其他人不知道的仅有秘钥，这会使得收、发两边所具有的的钥匙数量巨大，秘钥管理也会成为两边的担负。
四、非对称加密
非对称加密（asymmetric cryptography） 也称为揭露密钥加密（英语：public-key cryptography，又译为揭露密钥加密）。它有两个密钥，一个叫“公钥”（public key），一个叫“私钥”（private key）。两个密钥是不同的，“不对称”，公钥能够揭露给任何人运用，而私钥有必要严厉保密。
详细的加解密进程便是，发送方运用公钥对信息进行加密，接收方收到密文后，运用私钥进行解密。详细我也画了一张图，你能够和上面的对称加密算法的图一起对照着看一下。能够看到，非对称加密和对称加密算法的最大差异便是，加密宽和密运用的密钥是不同的。
对称加密看上去如同完美地完成了秘要性，但其间有一个很大的问题：怎样把密钥安全地传递给对方，术语叫“密钥交流”。由于在对称加密算法中只需持有密钥就能够解密。假如你和网站约定的密钥在传递途中被黑客盗取，那他就能够在之后随意解密收发的数据，通讯进程也就没有秘要性可言了。
公钥和私钥有个特别的“单向”性，尽管都能够用来加密解密，但公钥加密后只能用私钥解密，反过来，私钥加密后也只能用公钥解密。非对称加密能够处理“密钥交流”的问题。网站隐秘保管私钥，在网上恣意分发公钥，你想要登录网站只需用公钥加密就行了，密文只能由私钥持有者才干解密。而黑客由于没有私钥，所以就无法破解密文。
非对称加密算法一般有 DH、DSA、RSA、ECC、SM2等
RSA 或许是其间最著名的一个，简直能够说是非对称加密的代名词，它的安全性根据“整数分化”的数学难题，运用两个超大素数的乘积作为生成密钥的资料，想要从公钥核算出私钥是十分困难的。10 年前 RSA 密钥的引荐长度是 1024，但随着核算机运算才干的提高，现在 1024 现已不安全，普遍以为至少要 2048 位。RSA 的数学难题是：两个大质数 p、q 相乘的效果 n 很简略核算，可是根据 n 去做质因数分化得到 p、q，则需求很大的核算量。RSA 是比较经典的非对称加密算法，它的首要优势便是性能比较快，但想取得较高的加密强度，需求运用很长的密钥。
ECC （椭圆加密算法，Elliptic Curve Cryptography）是非对称加密里的“后起之秀”，它根据“椭圆曲线离散对数”的数学难题，运用特定的曲线方程和基点生成公钥和私钥，子算法 ECDHE 用于密钥交流，ECDSA 用于数字签名。现在学术界普遍以为，椭圆曲线的难度高于大质数难题，160 位密钥的 ECC 加密强度，适当于 1088 位密钥的 RSA。因而，ECC 是现在国际上加密强度最高的非对称加密算法。
国密 SM2（SM2 Cryptographic Algorithm）。国密算法 SM2 也是根据椭圆曲线问题规划的，归于国家规范，算法揭露，加密强度和国际规范的 ECC 适当。而国密的优势在于国家的支撑和认可。
比照于对称加密算法，非对称加密算法最大的优势便是处理密钥分发的问题。因而，现在大部分的认证和签名场景，其实运用的都是非对称加密算法。比方，在 SSH 登录、Git 上传等场景中，咱们都能够将自己的公钥上传到服务端，然后由客户端保存私钥。
五、混合加密
看到这儿，你是不是以为能够抛弃对称加密，只用非对称加密来完成秘要性呢？很遗憾，尽管非对称加密没有“密钥交流”的问题，但由于它们都是根据杂乱的数学难题，运算速度很慢，即使是 ECC 也要比 AES 差上好几个数量级。假如仅用非对称加密，尽管确保了安全，但通讯速度有如乌龟、蜗牛，有用性就变成了零。
一组测验数据：RSA 的运算速度是十分慢的，2048 位的加解密大约是 15KB/S（微秒或毫秒级），而 AES128 则是 13MB/S（纳秒级），差了几百倍。
那么，是不是能够把对称加密和非对称加密结合起来呢，两者相互扬长避短，即能高效地加密解密，又能安全地密钥交流。
这便是混合加密方法，其实说穿了也很简略：在通讯刚开始的时分运用非对称算法，比方 RSA、ECDHE，首要处理密钥交流的问题。然后用随机数发生对称算法运用的“会话密钥”（session key），再用公钥加密。由于会话密钥很短，一般只需 16 字节或 32 字节，所以慢一点也无所谓。对方拿到密文后用私钥解密，取出会话密钥。这样，两边就完成了对称密钥的安全交流，后续就不再运用非对称加密，全都运用对称加密。
这样混合加密就处理了对称加密算法的密钥交流问题，并且安全和性能统筹，完美地完成了秘要性。
六、数字签名
数字签名的原理其实很简略，便是把公钥私钥的用法反过来，之前是公钥加密、私钥解密，现在是私钥加密、公钥解密。
但又由于非对称加密功率太低，所以私钥只加密原文的摘要，这样运算量就小的多，并且得到的数字签名也很小，便利保管和传输。
签名和公钥相同彻底揭露，任何人都能够获取。但这个签名只需用私钥对应的公钥才干解开，拿到摘要后，再比对原文验证完整性，就能够像签署文件相同证明音讯确实是你发的。
方才的这两个行为也有专用术语，叫做“签名（加签）”和“验签”。只需你和网站相互交流公钥，就能够用“签名”和“验签”来确认音讯的实在性，由于私钥保密，黑客不能假造签名，就能够确保通讯两边的身份。
七、数字证书和 CA
到现在，归纳运用对称加密、非对称加密和摘要算法，咱们现已完成了安全的四大特性，是不是现已完美了呢？不是的，这儿还有一个“公钥的信赖”问题。由于谁都能够发布公钥，咱们还缺少防止黑客假造公钥的手法，也便是说，怎样来判断这个公钥便是你或许某宝的公钥呢？
咱们能够用相似密钥交流的办法来处理公钥认证问题，用别的私钥来给公钥签名，显然，这又会陷入“无量递归”。但这次实在是“没招”了，要终结这个“死循环”，就有必要引进“外力”，找一个公认的可信第三方，让它作为“信赖的起点，递归的终点”，构建起公钥的信赖链。
这个“第三方”便是咱们常说的 CA（Certificate Authority，证书认证组织） 。它就像网络世界里的公安局、教育部、公证中心，具有极高的可信度，由它来给各个公钥签名，用自身的诺言来确保公钥无法假造，是可信的。
CA 对公钥的签名认证也是有格式的，不是简略地把公钥绑定在持有者身份上就完事了，还要包括序列号、用处、颁发者、有用时刻等等，把这些打成一个包再签名，完整地证明公钥相关的各种信息，形成“数字证书”（Certificate）。
闻名的 CA 全世界就那么几家，比方 DigiCert、VeriSign、Entrust、Let’s Encrypt 等，它们签发的证书分 DV、OV、EV 三种，差异在于可信程度。
DV 是最低的，只是域名等级的可信，背面是谁不知道。EV 是最高的，经过了法令和审计的严厉核对，能够证明网站具有者的身份（在浏览器地址栏会显示出公司的姓名，例如 Apple、GitHub 的网站）。
不过，CA 怎样证明自己呢？
这仍是信赖链的问题。小一点的 CA 能够让大 CA 签名认证，但链条的最终，也便是 Root CA，就只能自己证明自己了，这个就叫“自签名证书”（Self-Signed Certificate）或许“根证书”（Root Certificate）。你有必要相信，不然整个证书信赖链就走不下去了。
有了这个证书系统，操作系统和浏览器都内置了各大 CA 的根证书，上网的时分只需服务器发过来它的证书，就能够验证证书里的签名，顺着证书链（Certificate Chain）一层层地验证，直到找到根证书，就能够确认证书是可信的，从而里边的公钥也是可信的。
证书系统（PKI，Public Key Infrastructure） 尽管是现在整个网络世界的安全根底设施，但肯定的安满是不存在的，它也有弱点，仍是要害的“信赖”二字。
假如 CA 失误或许被欺骗，签发了错误的证书，尽管证书是真的，可它代表的网站却是假的。还有一种更风险的状况，CA 被黑客攻陷，或许 CA 有歹意，由于它（即根证书）是信赖的源头，整个信赖链里的一切证书也就都不可信了。这两种工作并不是“耸人听闻”，都曾经实际呈现过。所以，需求再给证书系统打上一些补丁。
针对第一种，开发出了 CRL（证书撤消列表，Certificate revocation list）和 OCSP（在线证书状况协议，Online Certificate Status Protocol），及时废止有问题的证书。关于第二种，由于触及的证书太多，就只能操作系统或许浏览器从根上“下狠手”了，吊销对 CA 的信赖，列入“黑名单”，这样它颁发的一切证书就都会被以为是不安全的。
八、总结
加密算法的核心思维是“把一个小隐秘（密钥）转化为一个大隐秘（密文音讯）”，守住了小隐秘，也就守住了大隐秘；
对称加密只运用一个密钥，运算速度快，密钥有必要保密，无法做到安全的密钥交流，常用的有 AES 和 ChaCha20；
非对称加密运用两个密钥：公钥和私钥，公钥能够恣意分发而私钥保密，处理了密钥交流问题但速度慢，常用的有 RSA 和 ECC；
把对称加密和非对称加密结合起来就得到了“又好又快”的混合加密，也便是 TLS 里运用的加密方法；
摘要算法用来完成完整性，能够为数据生成独一无二的“指纹”，常用的算法是 SHA-2；
数字签名是私钥对摘要的加密，能够由公钥解密后验证，完成身份认证和不可否认；
公钥的分发需求运用数字证书，有必要由 CA 的信赖链来验证，不然便是不可信的；
作为信赖链的源头 CA 有时也会不可信，处理办法有 CRL、OCSP，还有终止信赖。
References
- 关于加解密、加签验签那些事
- 对称加密算法
- 极客时刻-安全攻防技能30讲
- 极客时刻-透视HTTP协议
参加咱们
扫码发现职位&投递简历
官网投递：job.toutiao.com/s/FyL7DRg
