SSL認證加密被攻破 安全防范需加強
去年12月27日至30日在柏林召開的“混沌通信”會議上宣布：他們通過利用MD5加密算法漏洞攻破了SSL加密技術，成功搭建一個偽造的證書授權中心(CA)，其頒發的證書能夠被所有要求SSL的網站接受。
熱門web瀏覽器和很多其他應用程序都擁有可信賴證書授權機構的根證書，這樣瀏覽器就可以驗證所打開的網站的證書是由可信類機構頒發的。通過搭建偽造的證書授權機構，研究人員能夠創建偽造證書，并且能作為合法憑證通過瀏覽器的驗證，就像合法證書授權機構一樣。
研究人員對他們的研究做了充分的報告，為的是使大家明確問題所在，并且研究者們表示，要想復制此破解過程，至少還需要6個月的時間，因此距離黑客利用此法實現真正攻擊還有相當遙遠的距離，大家也不必過于擔心。
這項研究是偉大的，研究人員的創舉獲得了大家的認可和掌聲，也得到VeriSign的認可，VeriSign承認了問題的存在，并正在努力迅速修復所有證書產品中的漏洞。該公司承諾任何受到影響的用戶都可以免費得到一個新的未被感染的證書。
在結束本文前，讓我們來談談hash function(哈希函數功能，哈希函數功能可以使軟件在更少且可預見的數據量上運作生成數字簽名，卻保持與原信息內容之間的高度相關，且有效保證信息在經數字簽署后并未做任何修改)，也就是此次攻擊的目標。
hash function用來采取數據塊(可能是很大的數據)并為其創造一個值，其他操作就可以在這個值上進行。hash function通常會為相同的數據庫創建相同的哈希函數，但是要扭轉這一過程也是不切實際的，不可能根據哈希函數來創建數據庫。并且很肯定的是，必然也有可能兩個數據塊創建相同的哈希函數，雖然很難找出來。
最后一個問題就是“沖突”證書攻擊是怎樣發生的：破解的嘗試共分為兩步，其中的第一步運算量巨大，非常適合于運用分布式運算完成。
因此，研究者們在瑞士洛桑聯邦理工大學搭建了一個“PlayStation實驗室”，使用200臺PS3游戲機，平均分配30GB內存進行運算，耗時18個小時完成。而第二階段運算量較小，并且不適合Cell處理器的SPU運算，因此使用了一臺頂級四核心PC耗時3到10個小時完成。
在一個周末的時間內，研究者們共進行了三次嘗試，制造MD5“沖突”的總運算量為2的51.x次方。最終他們成功偽造了一個證書授權中心，可以隨意簽發SSL證書，突破各種SSL加密網站。
【編輯推薦】
