7.1 弱算法与模式误用：MD5、ECB与IV

7.1 弱算法与模式误用：MD5、ECB 与 IV

本节摘要：本节盘点密码学工程里的第一类误用：已破防算法的超期服役（碰撞已现实的弱哈希、可被降级的协议套件）与分组模式错误（字典模式 ECB、初始化向量复用），并给出迁移路线与后量子时代的工程预备。算法原理见同站《密码学基础》，本册只讲"用错在哪、怎么改对"。

退役算法的幽灵

密码学误用回合开打，红队不需要发明新攻击——翻旧账就够了。早年设计的哈希算法在被证明可构造碰撞后，学术界早已宣判退役，工程界的迁移却拖了十几年：文件校验、接口签名、缓存键、遗留数据库的口令列，处处是它们的身影。碰撞攻击的现实危害不是"还原出原文"，而是伪造：两份碰撞的文档可以共享同一摘要，签名与完整性校验随之失去意义——当年主流证书机构正是因为这个，被迫提前吊销了一批基于弱哈希签发的证书。

降级攻击是同一主题的协议版：客户端与服务器握手时"商量"用哪个版本与套件，中间人篡改商量的过程，让双方以为对方只支持老古董，于是主动退回到早已不安全的参数上。防御靠两样：直接禁用旧套件（配置层），以及握手过程本身带签名校验（协议层，让篡改无处遁形——这正是现代 TLS 版本的设计要点，呼应传输防线一节）。

弱在哪里：碰撞与降级

用最小代价感受"弱哈希不该再用于安全目的"（本地演示，选取公开已知的构造结论，不现场生成碰撞）：

# 本地演示：弱哈希的"可构造碰撞"意味着什么
import hashlib

# 公开研究给出的同前缀碰撞构造工具早已存在（2004 年起学界持续突破）。
# 安全含义演示——签名场景：
doc_a = b"<合同A：金额 一百元>"          # 示意内容
sig   = sign_with_weak_hash(doc_a)       # 用弱哈希做摘要后签名

# 攻击者预构造 doc_b 与 doc_a 同摘要：
#   verify(doc_b, sig) 同样通过 —— 签名被"合法地"挪用
# 结论：弱哈希 + 签名/完整性场景 = 信任锚断裂
print(hashlib.md5(doc_a).hexdigest())    # 仅作输出形态展示
​

正确的替代按场景分流：口令存储用慢哈希（口令回合已定），数据完整性与会话签名用现代安全哈希，且与密钥结合（MAC 构造），证书与协议层强制现代套件并关闭协商降级。迁移的工程动作是"先摸清再替换"：

# 代码库扫描：找出仍在使用退役哈希的位置（语义示例）
grep -rn --include=*.py -E "(md5|sha1)\s*\(" src/ | wc -l
# 依赖审计：检查间接依赖里被通报的弱实现
#   每周定时任务：依赖清单过漏洞库比对，弱算法命中即建票
​

模式误用与向量误用同样高频：分组加密选了字典模式，数据形状从密文里透出来；初始化向量写死或递增，同一密钥加密的内容可被差分关系还原。这两类的机理图解与整改放在下一节展开，这里先立结论——算法选对只是及格线，模式、参数、向量件件都要对。

迁移与后量子预备

后量子迁移听上去遥远，工程视角下却是当下就要排期的事：大型系统换算法的周期以年计，而"先存后解"的囤积攻击已经在发生——今天截获的密文，等量子能力成熟后再解。工程预备分四步走。其一，密码资产清点：全系统哪些地方用了公钥密码（握手、签名、密钥交换），列成台账——多数团队第一次盘点都会被数量吓一跳。其二，密码敏捷性改造：把算法选择做成可配置项而非硬编码，协议预留套件协商能力，让未来的替换不必重写应用。其三，混合模式试点：密钥交换在传统算法之上叠加后量子算法，两者任一安全即整体安全，先在内部链路试运行。其四，跟踪标准化节奏：以后量子密码的正式标准为准入门槛，标准定型后再全面切换，不抢跑自研。

# 后量子预备清单（按优先级）
# P0 密码资产台账：算法、用途、位置、负责人——没有台账就没有迁移
# P1 敏感长周期数据：需要保密很多年的数据优先纳入混合保护
# P2 密码敏捷性：新代码禁止硬编码算法选择；老代码改造进迭代
# P3 套件跟踪：标准算法进入选型清单，供应商产品路线对齐
​

⚠️ 常见坑：把"用了现代算法名"当成安全。摘要函数用于口令、加密模式选字典式、向量复用、无密钥的纯哈希当签名——四件误用里任何一件，都足以让最时兴的算法名沦为摆设。

检测与清单

弱算法的检测偏"工程审计"而非流量分析：代码扫描退役算法的调用点、依赖审计命中弱实现的组件、协议握手日志里出现本该禁用的旧套件协商、证书链里基于弱哈希的签名（应吊销替换）。把这些做成持续集成里的门禁与周度任务，误用就无处生根。验收清单压缩成四句：退役哈希在安全场景的调用量为零；协议层旧套件全禁且不可协商降级；分组加密使用认证加密模式（下一节展开）；后量子预备完成台账与敏捷性两项打底。

一条朴素的经验：密码学的正确用法早已被封装进成熟库的默认路径。凡是手写算法选择、手拼模式参数的代码，默认按误用处理，让评审来证明它没错。

误用速查表：评审时直接对照

把本节的散点压成一张评审对照表，安全评审时逐行过，命中即返工。第一行，用途是口令存储却在调通用摘要函数——返工理由：缺慢哈希与盐（口令回合的结论）。第二行，用途是防篡改签名却只用无密钥摘要——返工理由：任何人都能重算摘要，防不了篡改，应改带密钥的 MAC 构造。第三行，分组加密用了字典模式——返工理由：密文泄露数据形状（本节与下一节的图解）。第四行，初始化向量写死、递增或由低熵源生成——返工理由：相等关系与差分关系暴露。第五行，随机数用的是非密码学随机源——返工理由：可预测，令牌形同虚设（重置回合的令牌五要素同样适用）。第六行，算法与模式由参数字符串拼接后动态选择——返工理由：注入可影响算法选择，密码敏捷性要做成受控映射而非自由字符串。

这张表的潜台词值得写给每个评审者：密码学代码的评审重点不在"算法对不对"，在"有没有绕开库的默认安全路径"。默认路径是无数教训铺出来的，绕开的每一步都是在重新发明轮子——而且大概率发明的是方的。给评审会议配一个仪式感的收尾动作：任何涉及密码学的合并请求，评审者在批准前念一遍这张表的六行——六秒钟的仪式，拦下的是数月都未必能排查出来的定时炸弹。