应用密码学的主要研究内容包含以下方面。
1.数据加密
数据加密算法是数学变换,在参数确定的情况下,把信息从易明白的明文加密为不易明白的密文,也可把密文解密为明文。加密、解密时用的密钥可相同,也能不一样。加、解密密钥一样的算法叫对称算法,典型的有DES、AES等;加、解密密钥不一样的算法叫非对称算法,一般一个密钥公开,另一个私密,因此也叫公钥算法,典型的是RSA、ECC等。
2.消息摘要
消息摘要算法也是数学变换,一般是单向的,它把长度不定的信息变换成固定的摘要,信息的任何改变也能导致摘要改头换面,因此可借助消息摘要检测消息有没有被篡改。典型的是MD5、SHA-1等。
3.数字签名
从原理上讲,由私钥用非对称算法加密信息本身就能实现数字签名功能。用私钥加密仅可用公钥解密,使接收者可解密信息,却不能得到用公钥解密的密文,因此可确定此密文一定是有加密私钥的用户生成的,因此是不可否认的。现实操作时,因非对称算法加、解密特别慢,第一步一般是计算消息摘要,再用非对称加密算法加密消息摘要而获得数字签名。
4.密钥管理
密码算法是能公开的,不过密钥一定得严格保护。若未授权用户拥有加密算法与密钥,则破解或伪造密文就非常轻易,加密也就不存在意义了。
5.身份认证
身份认证指验证用户身份与其所称的身份是不是相同的过程。最常见的是口令认证。口令认证是在用户注册时记下用户名和口令,在请求服务时出示这两者,比较展示的用户名与口令与注册记下的是不是相同来识别身份的真伪。复杂的身份认证需CA的保证与复杂的密码协议支撑,如基于证书认证中心和公钥算法的认证等。
身份认证主要有认证的特征与可信协议及模型等研究内容。
6.授权和访问控制
授权与访问控制关系密切,经常替换使用。它们的细小区别是授权侧重强调用户有怎样的访问权限,此权限是系统预先设定的,无关乎用户是否发起访问请求;访问控制是控制用户访问行为,把该行为控制在授权允许的范围内,因此也能说,访问控制是用户有访问请求时才会有作用的。
7.审计追踪
审计与追踪关系也密切,审计指记录、分析与审查用户的行为,来了解历史操作行为。追踪有追查的含义,借助审计结果追查用户的全部行踪。通常仅在某个系统内进行审计,追踪则需综合分析多个系统的审计结果。
审计追踪有审计素材的记录手段、模型与追踪算法等研究内容。
8.安全协议
安全协议也叫密码协议,是密码学作基础的消息交换的协议,它的目的是在网络环境中给出各种安全服务。安全协议即为在消息处理时用了一些密码算法的协议。安全协议中用密码算法为了避免、发现窃听与欺骗。安全协议给各方一系列步骤,利用密码算法实现密钥分配、身份认证及安全地实现电子交易。
