數(shù)據(jù)加密技術(shù)在計算機網(wǎng)絡(luò)通信安全中的應(yīng)用策略

祖曉明

（大同師范高等專科學(xué)校 山西 大同 037039）

0 引言

計算機網(wǎng)絡(luò)通信安全首先保障了個人隱私和數(shù)據(jù)機密性，從而建立用戶的信任；其次維護了商業(yè)機密和知識產(chǎn)權(quán)的安全性，企業(yè)通過采用加密技術(shù)、訪問控制和網(wǎng)絡(luò)監(jiān)測等措施，可以保護商業(yè)機密免受未授權(quán)的訪問和競爭對手的竊取，維護其競爭優(yōu)勢；最后，計算機網(wǎng)絡(luò)通信安全對于國家安全和公共利益也具有重要意義。 現(xiàn)代社會依賴于關(guān)鍵基礎(chǔ)設(shè)施和公共服務(wù)的正常運行，如電力系統(tǒng)、交通網(wǎng)絡(luò)和金融系統(tǒng)。 通過加強網(wǎng)絡(luò)安全防護、網(wǎng)絡(luò)監(jiān)測和信息共享，可以減輕網(wǎng)絡(luò)攻擊可能對國家和公眾利益造成的風險。 本文旨在探討數(shù)據(jù)加密技術(shù)在計算機網(wǎng)絡(luò)通信安全中的應(yīng)用策略，針對網(wǎng)絡(luò)通信中的數(shù)據(jù)保護問題提供解決方案，重點研究不同類型的加密算法和協(xié)議，并分析適用場景和效果。

1 數(shù)據(jù)加密技術(shù)分類

1.1 對稱加密與非對稱加密

對稱加密是使用同一把密鑰進行加密和解密的加密方式，由于加密和解密過程中所使用的密鑰是相同的，所以對稱加密速度較快，適用于需要處理大量數(shù)據(jù)的情況。非對稱加密，也稱為公鑰加密，試圖解決對稱加密中的密鑰管理和分發(fā)問題。 非對稱加密使用一對密鑰：公鑰用于加密數(shù)據(jù)，私鑰用于解密數(shù)據(jù)。 任何人都可以使用公鑰來加密信息，但只有持有對應(yīng)私鑰的接收者才能解密信息，信息的發(fā)送者和接收者不再需要事先共享密鑰，降低密鑰管理和分發(fā)的復(fù)雜性。 然而，相比于對稱加密，非對稱加密通常需要更高的計算能力和更長的時間，不適用于需要加密大量數(shù)據(jù)的情況［1］。

1.2 常見的數(shù)據(jù)加密算法

高級加密標準（advanced encryption standard，AES）、數(shù)據(jù)加密標準（data encryption standard，DES）和橢圓曲線密碼學(xué)（elliptic curve cryptography，ECC）是信息安全領(lǐng)域常見的數(shù)據(jù)加密算法。 AES 被設(shè)計用來替代較早的DES，AES 使用的密鑰長度更長，可選擇128 位，192 位或256位，因而相比于DES 的破解難度更大。 與此同時，AES 的加密過程更為高效，可以處理大量數(shù)據(jù)，抵抗已知攻擊，因此在文件和磁盤加密中成為理想選擇。 DES 是最早被廣泛采用的對稱加密算法之一，使用56 位密鑰來加密數(shù)據(jù)，由于密鑰長度相對較短，隨著計算能力的提升，已不能提供足夠的安全性，但在硬件資源受限且對加密強度要求不高的環(huán)境中仍然可行。 ECC 是應(yīng)用橢圓曲線數(shù)學(xué)理論的公鑰加密技術(shù)，相較于傳統(tǒng)的RSA 加密算法（Rivest-Shamir-Adleman） 和數(shù)字簽名算法（ digital signature algorithm，DSA），ECC 提供了更高的安全性和更短的密鑰長度，在提供同等安全性的情況下，ECC 需要的計算資源和存儲空間更少，尤其適合資源受限的環(huán)境，如嵌入式系統(tǒng)或移動設(shè)備。

1.3 數(shù)據(jù)完整性和身份驗證

數(shù)據(jù)完整性是指數(shù)據(jù)在傳輸或存儲過程中保持原始狀態(tài)，沒有被非法修改、刪除或添加。 保證數(shù)據(jù)完整性的方式包括散列函數(shù)或消息認證碼。 散列函數(shù)能將任意長度的輸入數(shù)據(jù)映射到固定長度的輸出，被稱為散列值或摘要。 基于散列函數(shù)的基本特性，盡管輸入數(shù)據(jù)產(chǎn)生微小變動，散列值都會產(chǎn)生不同程度的差異，可以通過比較數(shù)據(jù)的散列值來檢查數(shù)據(jù)是否被修改；消息認證碼則是結(jié)合密鑰和散列函數(shù)的技術(shù)，能檢查數(shù)據(jù)完整性、確認數(shù)據(jù)來源。基于散列函數(shù)和消息認證碼來保證數(shù)據(jù)完整性的方法如圖1 所示。 身份驗證是確認實體（可以是人、設(shè)備或系統(tǒng)）的身份，對于機器或系統(tǒng)來說，身份驗證通過公鑰基礎(chǔ)設(shè)施實現(xiàn)，包括數(shù)字證書和數(shù)字簽名等技術(shù)。 數(shù)字證書由第三方證書機構(gòu)簽發(fā)，確認公鑰所有者；數(shù)字簽名則利用發(fā)送者的私鑰對數(shù)據(jù)進行簽名，接收者通過公鑰驗證簽名從而確認數(shù)據(jù)的來源［2］。

圖1 通過散列函數(shù)和消息認證碼來保證數(shù)據(jù)完整性示意圖

2 數(shù)據(jù)加密在網(wǎng)絡(luò)通信安全中的應(yīng)用

2.1 安全套接字層和傳輸層安全協(xié)議（SSL／TLS）

安全套接字層（secure socket layer，SSL）和傳輸層安全（transport layer security，TLS）協(xié)議是兩種廣泛應(yīng)用于互聯(lián)網(wǎng)的加密協(xié)議，為網(wǎng)絡(luò)數(shù)據(jù)通信提供安全保障。 SSL 的提出時間較早，TLS 則是后續(xù)版本，逐漸替代SSL 成為當前最常用的協(xié)議。 SSL／TLS 協(xié)議可以保護數(shù)據(jù)的機密性和完整性，同時也提供了身份驗證的功能。 在SSL／TLS 協(xié)議中，數(shù)據(jù)加密基于對稱加密技術(shù)實現(xiàn)，例如AES 或者ChaCha20 等，可以處理大量數(shù)據(jù)。 而密鑰的交換則是通過非對稱加密技術(shù)實現(xiàn)的，例如RSA 或者橢圓曲線迪菲－赫爾曼臨時密鑰交換（elliptic curve Diffie-Hellman ephemeral，ECDHE）等，保證密鑰的安全傳輸，防止密鑰在傳輸過程中被竊取。 例如，當在瀏覽器中輸入以https 開頭的網(wǎng)址時，瀏覽器會請求服務(wù)器通過SSL／TLS 協(xié)議建立安全連接。 在此過程中，服務(wù)器會向瀏覽器提供其數(shù)字證書，由第三方機構(gòu)（稱為證書頒發(fā)機構(gòu)）簽發(fā)，并證明網(wǎng)站身份。 當用戶訪問和使用HTTPS 網(wǎng)站時：首先瀏覽器會請求該網(wǎng)站的SSL 證書，其次驗證證書頒發(fā)機構(gòu)是否有效以及網(wǎng)站是否匹配，最后再確認服務(wù)器身份，與服務(wù)器協(xié)商一組密鑰用于加密后續(xù)的通信內(nèi)容。 即使數(shù)據(jù)在傳輸過程中被攔截，攻擊者也無法解密數(shù)據(jù)；由于證書的存在，使用者也可以確認正在連接的服務(wù)器是期望連接的服務(wù)器，而不是假冒服務(wù)器。

2.2 互聯(lián)網(wǎng)安全協(xié)議（internet protocol security，IPsec）

網(wǎng)絡(luò)層安全協(xié)議是用于在Internet 協(xié)議IP 網(wǎng)絡(luò)中保護數(shù)據(jù)的協(xié)議，解決網(wǎng)絡(luò)數(shù)據(jù)在傳輸過程中可能出現(xiàn)的安全問題，包括數(shù)據(jù)的機密性、數(shù)據(jù)的完整性以及數(shù)據(jù)的來源認證。 IPsec 主要包含兩個重要的協(xié)議：認證頭和封裝安全載荷（encapsulating security payload，ESP），認證頭協(xié)議主要負責提供數(shù)據(jù)完整性和來源認證，但并不能提供機密性保護。 而封裝安全載荷協(xié)議則可以提供數(shù)據(jù)的機密性、完整性和來源認證，兩種協(xié)議可單獨或聯(lián)合使用，以適應(yīng)不同的安全需求。 IPsec 運作過程需要密鑰管理和分配，由互聯(lián)網(wǎng)密鑰交換（internet key exchange，IKE）協(xié)議完成。 IKE 通過名為迪菲－赫爾曼的密鑰交換技術(shù)，可以忽視網(wǎng)絡(luò)安全性并進行密鑰交換，IKE 協(xié)議會定期更新密鑰，以防止密鑰被破解。 IPsec 靈活性較高，在隧道模式下，IPsec 可以在網(wǎng)絡(luò)中的任意兩點（例如兩臺路由器或防火墻）之間提供保護，經(jīng)過兩點之間的IPsec 隧道的數(shù)據(jù)都會得到保護。 IPsec 常見的用途是創(chuàng)建虛擬專用網(wǎng)絡(luò)（virtual private network，VPN），當公司員工需要從家中或出差地點訪問公司內(nèi)部的網(wǎng)絡(luò)資源時，員工電腦和公司VPN 服務(wù)器建立IPsec 隧道，就可以安全訪問公司網(wǎng)絡(luò)資源［3－4］。

2.3 安全電子郵件

現(xiàn)代網(wǎng)絡(luò)環(huán)境中，安全電子郵件通信成為維護個人和企業(yè)信息安全的重要方法，現(xiàn)行安全電子郵件的技術(shù)標準是安全／多用途互聯(lián)網(wǎng)郵件擴展（secure／multipurpose internet mail extensions，S／MIME）和優(yōu)良保密協(xié)議（pretty good privacy，PGP）。 S／MIME 是基于公開密鑰基礎(chǔ)設(shè)施（public key infrastructure，PKI）的安全協(xié)議，用于提供電子郵件的機密性和數(shù)據(jù)完整性。 PGP 同樣提供電子郵件的加密和簽名服務(wù)，使用“網(wǎng)絡(luò)信任模型”完成密鑰管理，用戶可以選擇信任其他用戶的公鑰，建立驗證公鑰身份的信任網(wǎng)絡(luò)。

2.4 在線支付和電子商務(wù)的安全

在線支付和電子商務(wù)的安全依賴于多種技術(shù)標準，在線交易應(yīng)通過安全通信通道進行，如使用SSL 或TLS 協(xié)議的超文本傳輸安全協(xié)議（hypertext transfer protocol secure，HTTPS）連接，確保用戶與網(wǎng)站服務(wù)器之間通道的安全性，防止數(shù)據(jù)在傳輸過程中被竊取。 此外，為防止信用卡信息泄露，部分在線支付平臺采用代理支付方式，即用戶信用卡信息由支付平臺進行處理，降低商家風險，減少用戶信息在多個地方存儲的可能性。 然而，用戶也需要對個人行為進行審計以保護個人信息安全，應(yīng)當對訪問的網(wǎng)站進行驗證，確認是否使用HTTPS 連接，避免在公共無線網(wǎng)絡(luò)下進行敏感交易，以及定期更改密碼并啟用兩步驗證等。 例如，支付寶是由我國阿里巴巴集團開發(fā)的在線支付平臺，廣泛應(yīng)用于我國電子商務(wù)領(lǐng)域。 支付寶的服務(wù)器需要使用經(jīng)過可信證書頒發(fā)機構(gòu)簽發(fā)的SSL／TLS 證書。 當用戶連接到服務(wù)器時，服務(wù)器會提供證書，客戶端可以通過驗證證書的簽名來確認服務(wù)器的身份，防止“中間人攻擊”，確保用戶連接到真正的支付寶服務(wù)器，而不是偽造的站點［5］。

3 數(shù)據(jù)加密的挑戰(zhàn)和未來發(fā)展

3.1 量子計算對加密技術(shù)的威脅

數(shù)據(jù)加密技術(shù)的未來發(fā)展可能由量子計算逐步塑造，量子計算利用量子力學(xué)的特性，如疊加和糾纏，以在處理大量信息時實現(xiàn)更高的效率，部分應(yīng)用領(lǐng)域中量子計算的效率超越了傳統(tǒng)計算機。 量子計算對于加密技術(shù)帶來的威脅主要表現(xiàn)在對公鑰密碼體系的潛在破壞，現(xiàn)代加密算法，如RSA 和ECC 依賴于大數(shù)因子分解或離散對數(shù)問題。然而理論上一臺量子計算機能在多項式時間內(nèi)解決復(fù)雜數(shù)學(xué)問題，意味著現(xiàn)有公鑰密碼體系可能面臨崩潰。 然而，量子密鑰分發(fā)利用量子力學(xué)的特性提供了在理論上無法破解的加密方法，利用了量子力學(xué)的不確定性原理和無法復(fù)制原理，直接暴露第三方無法攔截和復(fù)制密鑰。 量子系統(tǒng)量子態(tài)容易受到外部環(huán)境的噪聲和干擾，稱為退相干，導(dǎo)致量子系統(tǒng)與周圍環(huán)境相互作用，使得量子態(tài)的有用信息喪失。 在量子通信中該現(xiàn)象尤為嚴重，量子信號在傳輸過程中容易與環(huán)境相互作用，喪失傳輸?shù)男畔ⅰ?退相干限制了量子通信的傳輸距離，也給量子信息的存儲和處理帶來了難題。 為突破量子通信距離的限制，科學(xué)家們提出了量子中繼和量子糾纏等技術(shù)。 量子中繼是通過在通信鏈路中設(shè)置中繼節(jié)點，用于刷新和傳遞量子信號。 量子糾纏允許量子系統(tǒng)之間進行即時、非本地相互作用的現(xiàn)象，可用來創(chuàng)建復(fù)雜量子通信網(wǎng)絡(luò)。

3.2 數(shù)據(jù)加密新技術(shù)及趨勢

同態(tài)加密技術(shù)被視為數(shù)據(jù)加密領(lǐng)域的一項重大進步。同態(tài)加密技術(shù)允許在加密狀態(tài)下對數(shù)據(jù)進行加法、乘法等數(shù)學(xué)運算，通過解密操作獲取最終結(jié)果，無須暴露原始數(shù)據(jù)。 傳統(tǒng)加密系統(tǒng)中需要解密數(shù)據(jù)，執(zhí)行計算操作，再重新加密結(jié)果。 同態(tài)加密技術(shù)主要分為部分同態(tài)加密和完全同態(tài)加密。 部分同態(tài)加密允許對加密數(shù)據(jù)進行特定類型計算，通常是加法或乘法，而不是支持加法和乘法，如基于RSA 的加法同態(tài)加密可對兩個加密數(shù)值進行加法操作得到加密的和，但不能對乘法進行同樣操作［6］；完全同態(tài)加密允許在加密狀態(tài)下進行任意計算操作，包括加法和乘法，意味著可以對加密數(shù)據(jù)執(zhí)行多個計算步驟，通過解密操作獲取最終結(jié)果，而無須知道原始數(shù)據(jù)，但此技術(shù)實現(xiàn)更加復(fù)雜，計算成本較高。

3.3 隱私法規(guī)對數(shù)據(jù)加密的影響

隨著全球范圍內(nèi)對數(shù)據(jù)隱私保護的關(guān)注度日益提升，各類隱私法規(guī)的不斷出臺和完善對數(shù)據(jù)加密技術(shù)產(chǎn)生深遠影響。 一方面，隱私法規(guī)為數(shù)據(jù)加密提供廣闊的應(yīng)用場景和嚴格的規(guī)范標準；另一方面，隱私法規(guī)提出新技術(shù)的研發(fā)要求和法律責任。 以歐洲的通用數(shù)據(jù)保護條例為例，該法規(guī)對數(shù)據(jù)的收集、處理和傳輸?shù)拳h(huán)節(jié)提出了嚴格的要求，而數(shù)據(jù)加密是企業(yè)達到要求的有效途徑之一［7］。 然而，隨著隱私法規(guī)的增強，對數(shù)據(jù)加密的安全性和有效性提出更高的要求，需要數(shù)據(jù)加密技術(shù)能夠應(yīng)對更復(fù)雜的安全威脅，如高級持續(xù)性威脅等。 隱私法規(guī)要求企業(yè)在處理個人數(shù)據(jù)時提供足夠的透明度和可控性，就更需要數(shù)據(jù)加密技術(shù)去支持更細致的權(quán)限控制和訪問管理。 更重要的是，隱私法規(guī)的執(zhí)行強化意味著企業(yè)需要承擔的責任風險較大，因此，企業(yè)需要投入更多人力、財力和時間資源，來保證數(shù)據(jù)加密技術(shù)的更新和維護。 包括跟隨標準的技術(shù)迭代和防范新型威脅，還涉及系統(tǒng)兼容性的調(diào)整和故障的持續(xù)修復(fù)，需要專業(yè)團隊的支持并有充足預(yù)算實現(xiàn)［8－9］。

4 結(jié)語

綜上所述，數(shù)據(jù)加密技術(shù)在計算機網(wǎng)絡(luò)通信安全中的應(yīng)用策略是保護敏感數(shù)據(jù)不被未授權(quán)方訪問的重要手段。合理選擇和應(yīng)用加密算法、密碼管理和安全協(xié)議，可以提高通信的安全性，并保護個人隱私和機密信息。 隨著技術(shù)的不斷發(fā)展，應(yīng)持續(xù)創(chuàng)新改進加密技術(shù)，以應(yīng)對日益復(fù)雜的安全威脅，在網(wǎng)絡(luò)通信中構(gòu)建更安全、可靠的環(huán)境。