“军方加密”
我所看到的各处，公司都认为他们使用“军用级加密”来保护数据。
哇!这听起来太棒了!签了我!如果对军队来说够好，那对我来说也够好!
或者这就是他们希望的想法。唉，这一索赔往往是安全差的标志，而不是良好的保护。
那么究竟是什么“军事级加密”？这不是一个简单的问题，因为军方对不同的敏感性的不同要求，并且这些远程超出了所使用的加密算法。
也就是说，被认为是由军队使用的加密算法在NSA中套件B密码学列表（很快被替换）。一种特定的算法AES在列表中并广泛使用。在99％的病例中，当他们声称他们使用“军用级加密”时，这种算法是人们的意思。
那么这个说法有什么问题呢?AES是坏事?
AES是好的(可以说，有更好的选择,但别介意)。AES就像一件迷彩外套。你不能戴上它就说你已经做好了军事准备。
使用强的加密算法本身并不是平均数据是安全的。例如，您正在阅读的文本现在在使用AES的路上加密。由于URL中的“HTTPS”，它是您获得的安全连接的一部分。因此，您正在阅读的文本受“军事级密码学”的保护。然而，任何人都可以看到它．您没有验证或有一个密钥，或者知道秘密。
你从HTTPS获得的保护可以防止被动的网络观察者看到你正在阅读的内容，主动的网络中介在数据到达你的时候不会改变数据的内容。HTTPS对于安全性至关重要，但它不是数据保护。它是连接保护。
“军事级加密”索赔不告诉你是什么：
- 如果有的话，如果有的话，则无法保护数据，也可以在其中或如何绕过它们（例如，通过数据库管理员）。
- 加密是透明的还是不透明的:在很多情况下，透明加密对攻击者来说也是透明的。
- 使用AES，解密密钥在需要访问的所有各方之间共享。这就引出了一个问题:谁能看到钥匙?谁有过权限?密钥是如何保护的?
- 凭AES，有很多模式具有各种权衡。正在使用哪种模式（GCM，CBC，CTR等），合适吗？
- 钥匙旋转吗？是否正确使用初始化向量（IVS）？随机数生成源怎么样？如果它不是真正随机的，则可以泄露加密。
想象一扇通往金库的门。这东西整天都能经受住大锤和撬棍的打击。但它的前面有一个代码面板。上面写的是入学密码(你知道，人有时很健忘)。这扇门有多坚固有关系吗?不。
黑客攻击系统，而不是算法，这些系统有许多零件以及超出算法的许多选择。
“休息和过境”
当我们谈到它的时候，还有一个数据保护声明听起来很好，但却被到处使用和滥用。大多数时候，它基本上是没有意义的。声明看起来是这样的:
我们用AES-256保护您的数据…军用级加密…在休息和运输中
那么这是什么意思？“在运输过程中”几乎肯定意味着HTTPS。请记住，我说的是多么早在这里使用AES加密数据？这就是他们在这里的说法。他们说他们使用HTTPS。不要让我错了，这很棒，但它不会限制谁可以访问数据。
这的另一部分是“休息”位。这听起来很有希望。因此，如果黑客进入服务器，他们只会发现加密数据并无法访问它，对吧？
可能不会。
不幸的是，这几乎肯定意味着他们使用透明的磁盘加密。像HTTPS一样，这是一种非常重要的技术，每个人都应该使用它。但这没什么好炫耀的。
凭借透明的磁盘加密，如果机器正在运行，那就好像根本没有加密（因此“透明”）。当计算机关闭时，硬盘驱动器数据无意义的随机垃圾。
那么重点是什么呢?两件事:
- 任何偷窃电脑的硬盘都会得到一个很好的硬盘，但没有任何数据。
- 如果一个硬盘由于某种原因失败，则需要重新播种以擦除数据，或者在将其扔掉之前擦除物理销毁的数据。
就像“军事级加密”一样，您在这里有什么人们吹牛，这些人在做基础上 - 这一天和年龄的最低可能性 - 并使它听起来像它是一层保护，可以让黑客或他人查看黑客观看你的数据．
结论
你可能会认为这些短语是不懂营销的人说的，但有一点是肯定的:安全和密码公司是最严重的冒犯者之一。在我看来，这是故意在顾客面前抽烟。
[笔记：我们决定羞辱公司在这里会分散注意力，但你可以谷歌很容易地。]
任何吹嘘加密“在ristit和休息”和/或使用“军用级加密”的人都吹嘘他们锁定他们的前门．这样的人可能没有好的锁，警报系统，而且他们很可能在垫子下有一把钥匙。因为谁会吹嘘自己会做一些基本的事情呢?如果你看到这些声明，你应该担心制造它们的公司的安全。我是。
关于Patrick Walsh.
我在网络安全，隐私，加密，法律和上述所有内容上写作和策划文章。我也是Ironcore Labs的首席执行官，一个数据隐私平台有助于带来客户（企业和消费者）对数据的控制．想了解更多这类内容，请关注我们的出版物，咸哈希．要了解有关Ironcore Labs还是联系，请访问我们https://www.fmgroupng.com．
