1. 先搞清楚D-H算法到底解決什么問題1.1 沒有它之前密鑰分發(fā)是個(gè)死結(jié)很多人第一次接觸信息安全里的密鑰交換都會(huì)覺得D-H算法像個(gè)魔術(shù)兩個(gè)人明明沒有提前約定任何秘密甚至中間還隔著一個(gè)什么都聽得見的竊聽者最后卻能在公開信道上拿到同一個(gè)秘密值。等你把它的數(shù)學(xué)原理拆開看又會(huì)覺得如此簡單簡單到讓人懷疑它憑什么能守護(hù)整個(gè)互聯(lián)網(wǎng)的加密通信。先說它解決的核心問題對(duì)稱加密的密鑰怎么安全地分發(fā)給雙方。對(duì)稱加密本身很快AES、SM4這些算法加解密效率很高適合用來加密大量數(shù)據(jù)。但它的前提是雙方手里得有同一把密鑰。在沒有D-H這類密鑰交換算法之前最樸素的辦法就是面對(duì)面碰頭或者托可靠的人把密鑰捎過去。現(xiàn)實(shí)世界沒這么理想通信雙方可能隔著一千公里可能今天剛認(rèn)識(shí)可能下一秒就要開始傳輸敏感數(shù)據(jù)。你總不能為了加密一封郵件先買張機(jī)票飛過去送鑰匙。D-H算法的歷史地位就在這里它第一次把“密鑰協(xié)商”從物理世界帶到了純數(shù)學(xué)世界。通信雙方不需要預(yù)先共享任何秘密只要在公開信道上交換幾個(gè)數(shù)字各自做一輪乘法取模運(yùn)算就能得到同一個(gè)會(huì)話密鑰。偷聽者能看到全部交換過程卻死活算不出這個(gè)密鑰。這個(gè)思路影響了后面幾十年的密碼協(xié)議設(shè)計(jì)直到今天TLS握手、IPsec協(xié)商、SSH連接里依然跑著D-H算法的直系后代。1.2 D-H算法的核心思路不傳密鑰也能得到同一個(gè)密鑰關(guān)鍵點(diǎn)在于“協(xié)商”而不是“傳輸”。D-H的全稱是Diffie-Hellman密鑰交換它沒有把密鑰從一端送到另一端而是讓兩端各自用手頭的材料計(jì)算出同一個(gè)值。這個(gè)值不需要在網(wǎng)絡(luò)上傳送自然也就不存在被中途截獲的問題。用生活里的例子理解假設(shè)有兩個(gè)人要在公共顏料盤上調(diào)出同一種顏色。他們事先約定一種公共顏料公開的。第一個(gè)人選一種自己的秘密顏料混合出顏色A發(fā)給對(duì)方第二個(gè)人選一種自己的秘密顏料混合出顏色B發(fā)回來。然后第一個(gè)人拿自己手里的秘密顏料去混合對(duì)方發(fā)來的顏色B第二個(gè)人拿自己的秘密顏料去混合對(duì)方發(fā)來的顏色A。有意思的事情發(fā)生了兩邊最終得到的顏色是完全一樣的因?yàn)楸举|(zhì)上都是“公共顏料秘密顏料1秘密顏料2”的混合結(jié)果。而偷看的人手里只有公共顏料、顏色A、顏色B偏偏缺了兩個(gè)人的秘密顏料于是永遠(yuǎn)無法還原最終顏色。這就是D-H算法的靈魂。數(shù)學(xué)上它用離散對(duì)數(shù)問題把這個(gè)“調(diào)色”過程變成了一組可靠的計(jì)算規(guī)則。下一篇詳細(xì)拆解這套規(guī)則是怎么落地的。想直接上手復(fù)現(xiàn)整個(gè)流程的話可以跳到第6章那里有一份可以直接運(yùn)行的Python腳本。2. 從數(shù)學(xué)原理到握手流程D-H算法是怎么跑通的2.1 兩個(gè)核心數(shù)學(xué)基礎(chǔ)模冪運(yùn)算與離散對(duì)數(shù)難題D-H算法的數(shù)學(xué)基礎(chǔ)有兩個(gè)模冪運(yùn)算和離散對(duì)數(shù)難題。前者讓計(jì)算可行后者保證安全。模冪運(yùn)算就是計(jì)算“g的a次方再對(duì)p取余數(shù)”寫成數(shù)學(xué)記號(hào)是g^a mod p。比如g5、a6、p235的6次方是15625除以23余8所以結(jié)果是8。這種運(yùn)算正向計(jì)算非?？煊?jì)算機(jī)用快速冪算法可以在幾毫秒內(nèi)完成哪怕指數(shù)是幾百位的大數(shù)。離散對(duì)數(shù)難題則是它的逆向已知g、p和g^a mod p的結(jié)果反推a是什么。在p是大素?cái)?shù)的前提下這個(gè)問題目前沒有高效解法唯一可行的方法是暴力枚舉或更聰明的數(shù)論算法但計(jì)算量會(huì)隨著p的位數(shù)指數(shù)級(jí)膨脹。p取2048位時(shí)即便是超級(jí)計(jì)算機(jī)想靠暴力破解反推指數(shù)也需要遠(yuǎn)遠(yuǎn)超出人類能接受的年限。安全性的整個(gè)地基就建立在“正向容易、逆向極難”這一對(duì)不對(duì)稱特性上。這正是密碼學(xué)里最夢(mèng)寐以求的性質(zhì)任何人都可以快速驗(yàn)證但只有掌握秘密信息的人才能高效推算。D-H算法把這個(gè)特性用到極致公開參數(shù)誰都能算共享密鑰卻只有雙方能算出來。2.2 一次完整的協(xié)商過程拆開給你看一次完整的D-H協(xié)商分五步走。假設(shè)兩個(gè)角色分別叫Alice和Bob他們要通過不安全的信道協(xié)商出一個(gè)只有彼此知道的密鑰。第一步雙方協(xié)商公開參數(shù)。選擇一個(gè)大素?cái)?shù)p和一個(gè)模p的原根g。這兩個(gè)數(shù)字不需要保密即使偷聽者知道也沒關(guān)系。原根g的要求稍復(fù)雜一些它的各次冪g^1 mod p, g^2 mod p, ..., g^(p-1) mod p應(yīng)該能產(chǎn)出1到p-1之間所有不同的值。簡單理解就是g要足夠“有代表性”能讓指數(shù)映射到整個(gè)空間而不是只落在一小撮數(shù)上。第二步雙方各自生成隨機(jī)私鑰。Alice隨機(jī)選一個(gè)大整數(shù)aBob隨機(jī)選一個(gè)大整數(shù)b。這兩個(gè)數(shù)字是絕對(duì)保密的是自己手里的秘密顏料打死也不能發(fā)給任何人。第三步計(jì)算自己的公鑰并發(fā)送給對(duì)方。Alice計(jì)算A g^a mod p把A發(fā)給BobBob計(jì)算B g^b mod p把B發(fā)給Alice。A和B可以公開可以被人截獲因?yàn)楦鶕?jù)離散對(duì)數(shù)難題別人拿到A也無法反推出a。第四步各自計(jì)算共享密鑰。Alice拿到Bob發(fā)來的B后計(jì)算K B^a mod p。Bob拿到Alice發(fā)來的A后計(jì)算K A^b mod p。第五步驗(yàn)證一致性。因?yàn)锽 g^b mod p所以Alice那邊算出來的是(g^b)^a mod p g^(ab) mod p。同理Bob算出來的是(g^a)^b mod p g^(ab) mod p。兩個(gè)結(jié)果在數(shù)學(xué)上是同一個(gè)值。至此雙方手里都握著同一個(gè)K后續(xù)就用K作為對(duì)稱加密的會(huì)話密鑰。2.3 用小數(shù)字手算一次徹底弄懂每一步數(shù)字太小不安全但用來理解流程剛剛好。選p23g5。Alice隨機(jī)選私鑰a6Bob隨機(jī)選私鑰b15。Alice計(jì)算自己的公鑰5^6 mod 23 15625 mod 23 8。把8發(fā)給Bob。Bob計(jì)算自己的公鑰5^15 mod 23 30517578125 mod 23 19。把19發(fā)給Alice。Alice拿到19之后算共享密鑰19^6 mod 23 47045881 mod 23 2。Bob拿到8之后算共享密鑰8^15 mod 23 35184372088832 mod 23 2。雙方得到同一個(gè)K2。整個(gè)過程竊聽者Eve能看到的是p23、g5、A8、B19。她想算出K就得先由A8反推出a6或者由B19反推出b15。在23這么小的模數(shù)下暴力試算很快就能蒙出來這就是為什么現(xiàn)實(shí)里必須用幾百位的大素?cái)?shù)。但換成2048位的大素?cái)?shù)后同樣的邏輯就讓Eve完全束手無策。需要注意上面示例里的p和g只是教學(xué)用的玩具參數(shù)。真實(shí)系統(tǒng)里如果真有人用23當(dāng)模數(shù)等于沒鎖門。正式環(huán)境至少要選2048位以上的強(qiáng)素?cái)?shù)具體建議在第3章詳談。3. 那些年D-H算法踩過的坑安全性缺陷與工程對(duì)策3.1 中間人攻擊算法本身擋不住的“雙面間諜”D-H算法有一個(gè)天生的致命缺陷它不驗(yàn)證通信雙方的身份。整個(gè)流程里Alice只是跟“手里握著私鑰b的那個(gè)實(shí)體”協(xié)商密鑰根本不知道這個(gè)實(shí)體到底是誰。這就給了中間人可乘之機(jī)。想象這個(gè)場(chǎng)景Eve插在Alice和Bob中間。Alice把公鑰A發(fā)給BobEve攔截下來自己偽造一個(gè)公鑰E1發(fā)給Bob。反過來Bob把公鑰B發(fā)給AliceEve同樣攔截偽造一個(gè)公鑰E2發(fā)給Alice。結(jié)果就是Alice和Eve之間協(xié)商出了密鑰K1Bob和Eve之間協(xié)商出了密鑰K2。Alice發(fā)給Bob的任何加密消息Eve都能用K1解密、看完再用K2重新加密轉(zhuǎn)發(fā)給Bob。Alice和Bob還渾然不覺以為自己在和對(duì)方說話。這相當(dāng)于Eve在通信線路上當(dāng)起了雙面間諜。D-H流程本身跑得完全正確算法沒有出錯(cuò)錯(cuò)的是它沒有能力證明“對(duì)方就是聲稱的那個(gè)人”。很多教材把這個(gè)缺陷寫在最開頭但實(shí)際工程里最容易出的問題恰恰是處理這個(gè)缺陷時(shí)過于想當(dāng)然。解決方案也很標(biāo)準(zhǔn)給D-H算法加上身份認(rèn)證。經(jīng)典做法是STS協(xié)議Station-to-Station Protocol在交換公鑰的同時(shí)附上雙方的數(shù)字簽名簽名用長期私鑰生成對(duì)方用對(duì)應(yīng)的公鑰驗(yàn)證身份。TLS協(xié)議里則是把D-H公鑰放進(jìn)證書鏈里由CA簽名保證真實(shí)性和完整性。不管哪種方式核心思想是一樣的先確認(rèn)“對(duì)面是誰”再協(xié)商密鑰。順序反了等于把保險(xiǎn)柜鑰匙交給陌生人保管。3.2 靜態(tài)密鑰與臨時(shí)密鑰為什么現(xiàn)在都用DHE/ECDHED-H算法還有一個(gè)容易讓人誤會(huì)的點(diǎn)私鑰a和b是一次性的還是長期的如果Alice和Bob每次都復(fù)用同一對(duì)私鑰這就是靜態(tài)DHstatic DH。靜態(tài)DH有一個(gè)嚴(yán)重的后患一旦長期私鑰被泄露以往錄下來的所有加密流量都能被解密。歷史消息就像被連鍋端。密碼學(xué)管這個(gè)叫“無前向保密”。于是誕生了DHEEphemeral Diffie-Hellman。核心改動(dòng)就一句話每次建立會(huì)話時(shí)雙方都臨時(shí)生成全新的隨機(jī)私鑰用完即焚不留任何長期私鑰。這樣一來就算某次會(huì)話的密鑰泄露了也只影響這一條會(huì)話就算長期身份密鑰被偷了也倒推不出過去任何一次會(huì)話的密鑰。每個(gè)會(huì)話互相隔離安全性大幅提升?；跈E圓曲線的ECDHE是DHE的升級(jí)版把模冪運(yùn)算替換成橢圓曲線上的標(biāo)量乘法。它用更短的密鑰長度提供了同等甚至更高的安全強(qiáng)度256位的橢圓曲線密鑰大致相當(dāng)于3072位傳統(tǒng)D-H密鑰的安全級(jí)別。計(jì)算量小、速度快、數(shù)據(jù)包短這讓ECDHE成為現(xiàn)代TLS協(xié)議的首選。TLS 1.3更是直接砍掉了不支持前向保密的套件只保留(EC)DHE類密鑰交換。實(shí)操心得只要協(xié)議允許優(yōu)先選ECDHE不用DHE更別用靜態(tài)DH。這一條可以直接寫進(jìn)安全基線檢查表里。3.3 弱參數(shù)與Logjam攻擊素?cái)?shù)選不對(duì)等于白干2015年爆出的Logjam攻擊給整個(gè)行業(yè)上了一課。當(dāng)時(shí)不少服務(wù)器還在支持512位的D-H參數(shù)攻擊者預(yù)先投入巨大算力破解固定的512位素?cái)?shù)離散對(duì)數(shù)表之后就能秒級(jí)解密所有使用該參數(shù)組合的TLS流量。更麻煩的是攻擊者還可以通過協(xié)議降級(jí)把通信雙方騙到弱參數(shù)上然后再發(fā)起攻擊。這個(gè)攻擊揭示了一個(gè)容易被忽略的事實(shí)D-H算法的安全性不僅取決于算法邏輯還取決于參數(shù)選擇。p選得不好或者g選得不好都可能讓離散對(duì)數(shù)問題變得不那么困難。比如p如果是合數(shù)而非素?cái)?shù)數(shù)論里存在更高效的方法分解計(jì)算安全性直接打折。實(shí)踐中有幾個(gè)地方必須注意。p要選安全素?cái)?shù)也就是(p-1)/2也得是素?cái)?shù)。這個(gè)條件可以讓離散對(duì)數(shù)問題落到最難的那一類子群上避免某些特化算法快速求解。p的位數(shù)不能低于2048位。g的值一般不需要特別大標(biāo)準(zhǔn)文檔里通常直接用2、5等小數(shù)字。參數(shù)盡量用標(biāo)準(zhǔn)組織發(fā)布的命名群組不要自己隨便編一組自己設(shè)計(jì)的參數(shù)往往存在未知風(fēng)險(xiǎn)。RFC 3526里的MODP Group 142048位、Group 153072位、Group 164096位都是經(jīng)過行業(yè)驗(yàn)證的可靠選擇RFC 7919則定義了TLS用的FFDHE標(biāo)準(zhǔn)群組。注意實(shí)際做安全評(píng)估時(shí)第一件事就是看目標(biāo)系統(tǒng)配置的D-H群組編號(hào)和密鑰長度。很多老舊系統(tǒng)的默認(rèn)配置還停留在1024位這類系統(tǒng)在合規(guī)檢查里基本一票否決。4. D-H算法在實(shí)際系統(tǒng)里是怎么用的4.1 IPsec/IKE加密隧道場(chǎng)景下的DH群組協(xié)商IPsec協(xié)議族是網(wǎng)絡(luò)層加密的主力尤其是遠(yuǎn)程辦公場(chǎng)景里幾乎是標(biāo)配。它的密鑰交換部分由IKE協(xié)議負(fù)責(zé)而IKE的密鑰材料生成核心正是D-H算法。IKE協(xié)商分成兩個(gè)階段。第一階段建立一條IKE SA安全關(guān)聯(lián)用于保護(hù)第二階段協(xié)商流量。這個(gè)階段里雙方會(huì)交換DH公鑰各自派生出一套密鑰材料IKE協(xié)議里叫SKEYID和后續(xù)衍生密鑰。第二階段再用IKE SA保護(hù)協(xié)商出IPsec SA的密鑰。也就是說D-H在這個(gè)體系里承擔(dān)了“初始信任建立”的角色是整條加密鏈路的起點(diǎn)。IKE協(xié)議里專門定義了一組DH群組編號(hào)Group 1是768位MODPGroup 2是1024位MODPGroup 14是2048位MODPGroup 19是256位橢圓曲線Group 20是384位橢圓曲線。實(shí)際配置時(shí)需要注意協(xié)商雙方必須支持同一個(gè)群組才能建立連接而且為了安全低編號(hào)弱群組應(yīng)該直接禁用。不少設(shè)備默認(rèn)配置里還開著Group 2這在今天屬于明顯不達(dá)標(biāo)的做法。4.2 TLS/SSLECDHE與證書體系的配合普通人上網(wǎng)時(shí)接觸最多的D-H算法場(chǎng)景其實(shí)是HTTPS握手。當(dāng)瀏覽器訪問一個(gè)HTTPS站點(diǎn)時(shí)TLS握手階段會(huì)進(jìn)行密鑰交換現(xiàn)代TLS 1.2和TLS 1.3用的密鑰交換算法幾乎都是ECDHE。具體流程是服務(wù)器在證書里帶上自己的RSA或ECDSA簽名公鑰同時(shí)臨時(shí)生成一套ECDHE密鑰對(duì)把ECDHE公鑰信息和自己的證書一起發(fā)給客戶端?？蛻舳蓑?yàn)證證書有效之后也用ECDHE生成自己的臨時(shí)密鑰對(duì)發(fā)送公鑰給對(duì)方。雙方隨后用ECDHE協(xié)商出會(huì)話密鑰。這里的證書起到第3章說的身份認(rèn)證作用ECDHE則負(fù)責(zé)提供前向保密。TLS 1.3的一個(gè)大改動(dòng)就是只保留前向保密的密鑰交換方式?？蛻舳嗽贑lientHello里直接列出自己支持的密鑰交換群組服務(wù)端選定后用一條加密擴(kuò)展消息把自己的密鑰交換參數(shù)發(fā)回去。整個(gè)握手從協(xié)商到完成只需要一個(gè)往返比TLS 1.2快了不少。D-H算法在這里不再是可選項(xiàng)而是強(qiáng)制性的基礎(chǔ)設(shè)施。4.3 延伸場(chǎng)景SSH、汽車電子與工業(yè)協(xié)議除了TLS和IPsecD-H算法還滲透在許多你可能沒注意到的領(lǐng)域。SSH協(xié)議里客戶端和服務(wù)器在連接建立時(shí)通過D-H或ECDH協(xié)商會(huì)話密鑰然后才用對(duì)稱加密保護(hù)終端會(huì)話。如果你是一名運(yùn)維工程師每次執(zhí)行ssh命令登錄服務(wù)器后臺(tái)其實(shí)都在跑一次密鑰協(xié)商。汽車行業(yè)這幾年越來越重視信息安全。歐盟WP.29 R155法規(guī)把汽車信息安全列為強(qiáng)制要求之后車廠必須在車輛內(nèi)部通信、遠(yuǎn)程診斷、OTA升級(jí)等環(huán)節(jié)加入加密和身份認(rèn)證。UDS診斷協(xié)議里的安全訪問機(jī)制部分實(shí)現(xiàn)就借用了類DH的密鑰協(xié)商思路。車載以太網(wǎng)、CAN-FD總線上的SecOC安全車載通信模塊也會(huì)用密鑰協(xié)商機(jī)制來同步認(rèn)證密鑰。工業(yè)控制系統(tǒng)里的OPC UA協(xié)議、智能電網(wǎng)里的加密通信同樣大量依賴D-H體系的密鑰協(xié)商本事?？梢哉f凡是需要“兩個(gè)本來不認(rèn)識(shí)的設(shè)備安全建立加密通信”的地方D-H算法或它的橢圓曲線變體幾乎都是繞不開的基石。理解它等于拿到了理解主流密碼協(xié)議的一把通用鑰匙。5. 軟考信息安全工程師視角D-H算法會(huì)怎么考5.1 高頻考點(diǎn)與典型題型從考試角度來看D-H算法在軟考信息安全工程師、計(jì)算機(jī)三級(jí)信息安全等考試?yán)飳儆诟哳l考點(diǎn)。它的考察方式相對(duì)固定弄懂原理之后拿分不難。選擇題常考的核心概念有D-H算法的安全性基于什么數(shù)學(xué)難題、它屬于哪種密碼體制、能否用于數(shù)字簽名、能否抵抗中間人攻擊、協(xié)商出的密鑰是會(huì)話密鑰還是長期密鑰。這類題目的設(shè)計(jì)思路就是考察考生有沒有把D-H算法和RSA、AES這些容易混淆的概念徹底區(qū)分開。案例分析題則喜歡給你一段Alice和Bob的協(xié)商過程讓你補(bǔ)充計(jì)算某個(gè)中間值或者回答某個(gè)傳輸值被竊聽后會(huì)不會(huì)影響最終密鑰安全。這種題考察的是對(duì)流程的理解程度只要把第2章的流程走一遍基本不會(huì)出錯(cuò)。還有一類簡答題問你“為什么說D-H算法能夠抵御被動(dòng)竊聽卻無法抵御主動(dòng)攻擊”答題要點(diǎn)就是區(qū)分偷聽者只能看數(shù)據(jù)和中間人能改寫數(shù)據(jù)這兩件事。中間人不僅可以看還能替換公鑰所以能成功介入雙方的密鑰協(xié)商過程。5.2 答題時(shí)容易丟分的細(xì)節(jié)閱卷時(shí)發(fā)現(xiàn)不少人在描述D-H流程時(shí)容易寫錯(cuò)幾個(gè)細(xì)節(jié)。把模運(yùn)算的底數(shù)寫反了誤認(rèn)為要保密的g^a mod p本身實(shí)際公開的參數(shù)完全不需要保密?；卮稹癉-H能做什么”時(shí)把“密鑰協(xié)商”說成“密鑰傳輸”這兩個(gè)概念在密碼學(xué)里嚴(yán)格區(qū)分D-H做的是協(xié)商不是傳輸。還有人把RSA的“基于大整數(shù)因子分解困難”套到D-H頭上D-H的數(shù)學(xué)基礎(chǔ)是離散對(duì)數(shù)難題兩者不能混為一談。還有一個(gè)細(xì)節(jié)D-H算法本身不是加密算法。它不負(fù)責(zé)加密任何數(shù)據(jù)只負(fù)責(zé)讓雙方得到一把共同密鑰。后續(xù)的加密工作得交給AES這類對(duì)稱算法。這些細(xì)節(jié)點(diǎn)只要在答題時(shí)稍微注意就能避免不必要的失分。備考建議軟考的知識(shí)點(diǎn)覆蓋面很廣但像D-H這種經(jīng)典算法每年基本都會(huì)出題。別只背結(jié)論把第2章的手算例子自己在紙上走一遍再做幾道歷年真題這塊分?jǐn)?shù)基本就穩(wěn)了。6. 實(shí)操還原從零實(shí)現(xiàn)一次DH協(xié)商含代碼6.1 Python模擬D-H密鑰交換紙上得來終覺淺。下面這份Python腳本完整模擬了一次D-H協(xié)商用了快速冪算法實(shí)現(xiàn)模冪運(yùn)算參數(shù)選的還是p23、g5。你可以直接跑起來看結(jié)果。import random def mod_exp(base, exp, mod): 快速冪取模計(jì)算 base^exp mod mod result 1 base base % mod while exp 0: if exp 1: result (result * base) % mod base (base * base) % mod exp 1 return result P 23 # 素?cái)?shù) G 5 # 原根 # Alice 和 Bob 各自生成隨機(jī)私鑰保密 a random.randint(2, P - 2) b random.randint(2, P - 2) # 計(jì)算公開公鑰并交換 A mod_exp(G, a, P) B mod_exp(G, b, P) # 各自計(jì)算共享密鑰 K_alice mod_exp(B, a, P) K_bob mod_exp(A, b, P) print(f公開參數(shù): P{P}, G{G}) print(fAlice 私鑰: {a}, 公鑰: {A}) print(fBob 私鑰: , 公鑰: {B}) print(fAlice 計(jì)算的共享密鑰: {K_alice}) print(fBob 計(jì)算的共享密鑰: {K_bob}) print(f共享密鑰一致: {K_alice K_bob})實(shí)測(cè)跑一遍輸出類似這樣公開參數(shù): P23, G5 Alice 私鑰: 6, 公鑰: 8 Bob 私鑰: 15, 公鑰: 19 Alice 計(jì)算的共享密鑰: 2 Bob 計(jì)算的共享密鑰: 2 共享密鑰一致: True把私鑰換成更大的數(shù)比如幾百位的十六進(jìn)制大數(shù)原理完全不變。你甚至可以讓Alice和Bob的程序分別跑在兩臺(tái)電腦上通過網(wǎng)絡(luò)互發(fā)公鑰真實(shí)感受一下“公開信道協(xié)商密鑰”的過程。6.2 實(shí)測(cè)體驗(yàn)與復(fù)盤心得第一次親手跑通D-H流程的人普遍都會(huì)有一個(gè)感覺就這么幾步就完成了沒錯(cuò)它的設(shè)計(jì)就是這么精煉。但精煉的背后藏了很多工程細(xì)節(jié)跑玩具代碼和上生產(chǎn)環(huán)境完全不是一回事。我只用玩具參數(shù)跑著玩的時(shí)候沒有任何性能壓力。后來在一個(gè)嵌入式設(shè)備上調(diào)一個(gè)基于ECDH的密鑰協(xié)商模塊才發(fā)現(xiàn)真實(shí)設(shè)備的計(jì)算資源有多緊張CPU主頻只有幾百兆內(nèi)存只有幾MB。橢圓曲線點(diǎn)乘運(yùn)算雖然比傳統(tǒng)模冪快但在這種環(huán)境里依然要精確評(píng)估耗時(shí)一個(gè)完整的ECDH協(xié)商要在幾十毫秒內(nèi)完成否則用戶體驗(yàn)會(huì)明顯變差。另外提醒一件事真實(shí)工程里千萬不要自己寫快速冪、自己實(shí)現(xiàn)橢圓曲線運(yùn)算。OpenSSL、MbedTLS、Bouncy Castle這些成熟庫已經(jīng)幫你把大量邊界情況處理好了包括側(cè)信道防護(hù)措施。自己手寫密碼算法是行業(yè)里最避諱的事之一安全性和性能都很難保證。7. 常見問題速查與避坑清單7.1 問題排查表做D-H相關(guān)配置或排障時(shí)我基本都會(huì)對(duì)照下面這張表過一遍效率很高。現(xiàn)象可能原因排查方向雙方算出的共享密鑰不一致公鑰或參數(shù)傳輸出了錯(cuò)檢查p、g、A、B四個(gè)值是否被篡改打印中間值對(duì)齊握手速度特別慢使用的DH群組位數(shù)過高設(shè)備性能不足在性能測(cè)試環(huán)境里換算ECDH或確認(rèn)群組與設(shè)備能力匹配連接被安全掃描器標(biāo)記告警支持了1024位或以下弱DH群組檢查TLS/IPsec配置關(guān)閉Group 1/Group 2啟用Group 14以上配置了DH但實(shí)際沒有前向保密誤用了靜態(tài)DH密鑰對(duì)檢查私鑰是否是每次會(huì)話重新生成的臨時(shí)值雙方群組協(xié)商失敗兩端的DH群組策略不匹配查看協(xié)商日志確認(rèn)共同支持的群組列表被中間人攻擊成功缺少身份認(rèn)證機(jī)制確認(rèn)有沒有證書體系、數(shù)字簽名或預(yù)共享密鑰做身份核驗(yàn)7.2 實(shí)用建議根據(jù)我個(gè)人多次部署和排查密碼協(xié)議的經(jīng)驗(yàn)還有幾條比較寶貴的建議分享給大家。D-H群組的選擇上能上ECDH就優(yōu)先上ECDH尤其推薦curve25519這類現(xiàn)代曲線。如果必須用傳統(tǒng)MODP群組至少選Group 142048位條件允許直接上Group 164096位。永遠(yuǎn)不要為了兼容老設(shè)備把弱群組開在配置里。TLS配置檢查時(shí)重點(diǎn)看兩端是否只啟用了TLS 1.2及以上版本密鑰交換套件是否只保留了ECDHE系列。登錄服務(wù)器后可以通過openssl s_client命令快速查看服務(wù)端實(shí)際協(xié)商出來的密鑰交換算法一眼就能判斷前向保密做沒做到位。最后把D-H算法的配置項(xiàng)寫進(jìn)自動(dòng)化安全基線檢查里。人工檢查容易漏也容易因?yàn)榘姹靖露?。做成腳本或策略配置后每次發(fā)布都自動(dòng)校驗(yàn)一遍密碼算法這種事寧可在配置階段多磨一磨也別等到出事后再來排查。