政府和情報機構力圖控制或繞過對數據及通信的加密防護，而給加密算法開個后門，被認為是實現加密控制的最佳辦法。安全研究人員常會找尋加密算法實現中的漏洞，但卻不會投入太多精力在查找數學后門上。

在加密防護上，研究人員開始驗證信息安全交換和電子商務的支撐技術。埃里克·菲利奧爾，法國高等計算機、電子及自動化學院(ESIEA)操作密碼學及病毒學實驗室研究主管。他認為，只有在協議/實現/管理層面的后門實現被普遍考慮到了，而在查找數學后門或設計后門上投入的努力，還遠遠不夠。

[[216695]]

近日舉行的歐洲黑帽大會上，菲利奧爾和他的同事阿諾德·般涅爾做了演講，題為“加密系統設計后門——我們能信任外國加密算法嗎？”，闡述了設計數學后門的可能性。

演講中，兩位研究人員提出了BEA-1塊加密算法。該算法類似AES，但含有一個可供進行有效密碼分析的數學后門。

兩位法國密碼學家解釋道：“在不知道我們后門的情況下，BEA-1成功通過了所有統計檢驗和密碼分析，NIST和NSA都正式考慮進行加密驗證了。尤其是，BEA-1算法（80位塊大小，120位密鑰，11輪加密）本就是為抵御線性和差分密碼分析而設計的。我們的算法在2017年2月公開，沒人證明該后門可被輕易檢測到，也沒人展示過其利用方法。”

他們是如何做到的

黑帽大會的演講中，菲利奧爾和般涅爾公開了該有意設置的后門，演示了如何利用該后門以區區600KB數據(300KB明文+300KB密文)，在10秒鐘內恢復出120位的密鑰。這就是個概念驗證，還有更復雜的后門可以被構造出來。

往算法中插入后門，和檢測并證明后門的存在之間，在數學上是非常不對稱的。也就是說，我們必須創建某種概念上的單向函數。

菲利奧爾研究加密算法數學后門多年，今年早些時候還發表了一篇關于塊加密算法潛在問題的論文。

為什么即便在研究領域，數學也不流行

研究數學后門非常困難，吸引不了需要在時髦話題上頻繁發表論文的研究人員。此類研究基本上也就是在情報機構（GCHQ、NSA等）的研發實驗室做做，而且更多是后門的設計而非檢測。

斯諾登爆料NSA花1000萬美元，讓 RSA Security 在其加密工具集中，默認使用脆弱的雙橢圓曲線隨機數生成算法(Dual_EC_DRBG)。這就展現出數學后門，或者設計后門，不只存在于理論上，而是很現實的東西。并且，Dual_EC_DRBG不是個案。

數學后門的例子有很多，但只有少數幾個為人所知。

我確信所有出口版加密系統都會以某種方式嵌入后門，這直接違反了《瓦森納協定》。Crypto AG（瑞士通信及信息安全公司）出口的加密機中含有NSA的后門就是個絕佳案例。其他不那么出名的例子還有一些。

有多少數學后門存在？

我們很難確知實現后門和數學后門的普遍程度和重要性。證明后門的存在是個很困難的數學問題。但分析國際規則就能很清楚地看出，至少出口的加密設備/技術中是有后門的。更令人擔憂的是，大眾監視的環境下，國內使用的加密技術中會不會也有后門？

那么，同行審查能不能免除數學后門呢？

菲利奧爾表示，這恐怕需要改革：

能夠證明安全的“防御”遠比能夠證明不安全的“攻擊”要難實現得多。最大的問題在于，學術上對安全證明困難度的忽視，造成我們都把“沒有證據證明不安全”，直接當成了“安全的證據”。

攻擊者不會把自己能做的所有事都公布出來，尤其是在情報機構勢力龐大的密碼學方面。于是，專家和學術研究界只能參考已知的攻擊案例。想象一下NSA這種40年來隨時有300名最聰明的數學家為其服務的機構能產出什么？那就是整套數學知識全集啊！

菲利奧爾還認為，作為行業標準被廣泛審查過的AES算法，也未必安全，雖然他并沒有證據證明該算法不安全。

即便我不能證明AES有漏洞，但也沒人能證明這算法里就沒有漏洞。老實說，美國會提供一個夠安全的軍用級加密算法而不施以任何形式的控制？反正我是不信的。

AES競賽本就是由NIST組織的，還有NSA的技術支持（這都是眾所周知的了）。在恐怖主義威脅甚囂塵上的時代，美國才不會蠢到不去籌備作為常規武器“對策”的東西呢。像美國、英國、德國、法國等有點兒體面的國家，都不會在有高安全需求的事務上使用外國算法。他們強制使用國產產品和標準——從算法到其實現。

加密算法的選擇、分析和標準化方式都需要改革。這得是個主要由開放密碼社區驅動的，完全開放的過程。