CFCA: 关于MD5缺陷以及CFCA提供安全认证不受该缺陷影响的公告

原创 2004年09月27日 22:12:00

http://www.cfca.com.cn/news/040915-1.htm



关于MD5缺陷以及CFCA提供安全认证不受该缺陷影响的公告
CFCA

  日前,我国山东大学王小云教授在Crypto 2004 会议上宣读了王小云、冯登国、来学嘉、于红波四人对MD5算法碰撞的研究成果。有消息称:"这意味着,当你在网络上使用电子签名签署一份合同后,还可能找到另外一份具有相同签名但内容迥异的合同,这样两份合同的真伪性便无从辨别。王小云教授的研究成果证实了利用MD5算法的碰撞可以严重威胁信息系统安全,这一发现使目前电子签名的法律效力和技术体系受到挑战",引起了CFCA部分用户对此问题的关注。CFCA特作如下说明:

  
1991年发表的MD5算法是克服了MD4算法的安全性缺陷的产物;但是实际上,早在1994年就有一个研究报告指出,可以通过制造一台专门的机器,针对MD5搜索两个不同的报文具有相同的摘要,即"碰撞"现象,平均用24天找到一个碰撞。MD5的碰撞问题实际早已暴露,王小云教授等人的卓越工作在于:在更短的时间内,实现了MD5的碰撞。此外,由于MD5算法并不是哈希算法的唯一选择,对于采用了其他安全的哈希算法产生的电子签名,MD5算法的这一缺陷并不影响电子签名的法律效力。

CFCA在建立之初,已经对MD5以及其他算法进行了安全性评估。因此,在CFCA提供的应用产品和服务中,并没有采用MD5等不安全的算法,而是采用了安全的SHA-1算法,用户可以放心的使用;CFCA提供的安全应用工具包默认使用的哈希算法也是SHA-1算法,考虑到工具包对其他应用的互操作性要求,工具包也提供了MD5算法,如果用户在使用工具包进行开发时,不使用默认的算法而采用了MD5算法,请立即修改自己的程序,采用默认的SHA-1算法,以避免MD5的缺陷产生的影响。




* 附件:

《电子签名法》与电子签名的技术实现

  实现电子签名的技术手段有很多种,但目前比较成熟的,世界先进国家普遍使用的电子签名技术还是"数字签名"技术。由于保持技术中立性是制订法律的一个基本原则,目前还没有任何理由说明公钥密码理论是制作签名的唯一技术,因此《电子签名法》规定了一个更一般化的概念以适应今后技术的发展。但是,目前电子签名法中提到的签名,一般指的就是"数字签名"。而且,目前国内外普遍使用的、技术成熟的、可实际使用的还是基于PKI的数字签名技术。作为公钥基础设施PKI可提供多种网上安全服务,如认证、数据保密性、数据完整性和不可否认性。其中都用到了数字签名技术。

  数字签名的全过程分两大部分,即签名与验证。数字签名与验证的过程和技术实现的原理如图所示。

040915-1.gif

              上图 数字签名原理

  参照上图数字签名过程分两部分:左侧为签名,右侧为验证过程。即发方将原文用哈希算法求得数字摘要,用签名私钥对数字摘要加密得数字签名,发方将原文与数字签名一起发送给接受方;收方验证签名,即用发方公钥解密数字签名,得出数字摘要;收方将原文采用同样哈希算法又得一新的数字摘要,将两个数字摘要进行比较,如果二者匹配,说明经数字签名的电子文件传输成功。

CFCA 数字证书的安装与使用

CFCA 数字证书的安装与使用 前言 服务器证书(以下称WebServer 证书)是Web Server 与浏览器用户建立安全连接时所必须具备的证书。 WebServer 证书的密钥对由相应的W...
  • down177
  • down177
  • 2014年12月03日 10:06
  • 3680

缺陷的定义级别、优先级及状态

一、软件缺陷的定义及主要类型 我们对软件缺陷分析一下,所谓"软件缺陷(bug)",即为计算机软件或程序中存在的某种破坏正常运行能力的问题、错误,或者隐藏的功能缺陷。一般来说,软件缺陷的属性包括缺...
  • qq_36260310
  • qq_36260310
  • 2018年01月18日 17:55
  • 40

CFCA,SPKM

中国金融认证中心(China Financial Certification Authority,英文简称CFCA) CFCA是经中国人民银行和国家信息安全管理机构批准成立的国家级权威的安全认证机构,...
  • taolinke
  • taolinke
  • 2011年04月08日 15:09
  • 2694

测试缺陷结果分析

  一般来说质量分析有以下集中情况利用缺陷引入-发现矩阵分析     缺陷有发现阶段和引入阶段两个重要指标,发现阶段和引入阶段可以是软件生命周期的各个阶段,根据这两个阶段可以绘制出一个矩阵,从而分析出...
  • jenniechin
  • jenniechin
  • 2006年09月14日 12:24
  • 1768

TLS/SSL 协议详解 (24) CFCA蛋疼的事

你永远无法想象中国的证书机构管理证书如此随意,颁发证书如此毫无章法,我举个真实例子: CFCA 颁发过这么恶心的证书链 1: 他们首先生成2个根证书 root1.cer,root2.ce...
  • mrpre
  • mrpre
  • 2017年09月08日 09:05
  • 405

缺陷(bug)严重级别定义

======================== 缺陷严重级别定义: o 最高级–导致运行中断(应用程序崩溃),预期的功能没有得到实现,测试工作无法继续进行等. o 紧急—事件非常重要,并且需要...
  • tengyeyijiu
  • tengyeyijiu
  • 2015年06月12日 09:59
  • 2145

开始使用Maven(下)

节选自OReilly出版的>作者:帝默西 M.奥波莱恩,文森特.马索尔。翻译:phynalica如有问题,或发现错误及不妥之处,请联系笔者:saluteDragon@Gmail.com作者:phyna...
  • lddongyu
  • lddongyu
  • 2007年03月20日 18:12
  • 1232

软件缺陷分析

软件缺陷分析作者:alan1. 什么是缺陷分析 ?    缺陷分析本质上是对缺陷中包含的信息项进行收集,汇总,分类之后使用统计方法(或者分析模型)得出分析结果。缺陷分析得出的结果可以用来度量软件开发过...
  • emag_testage
  • emag_testage
  • 2005年02月28日 14:28
  • 7547

MD5 和 RSA 加密算法理解

MD5和RSA是网络传输中最常用的两个算法,了解这两个算法原理后就能大致知道加密是怎么一回事了。但这两种算法使用环境有差异,刚好互补。...
  • whatareyouding
  • whatareyouding
  • 2015年12月10日 10:10
  • 2518

什么是缺陷清除率、缺陷率和缺陷密度

     缺陷清除率(亦叫“缺陷排除率”),英文缩写DER(Defect Elimination Rate)。这个东西可以用作缺陷的预测和分析。 说到DRE就必须提到OFE(Opportunity F...
  • yinzhimei
  • yinzhimei
  • 2007年05月30日 11:21
  • 3372
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:CFCA: 关于MD5缺陷以及CFCA提供安全认证不受该缺陷影响的公告
举报原因:
原因补充:

(最多只允许输入30个字)