面向Web开发者的密码学

面向Web开发者的密码学基础

密码学听起来可能只有安全专家才需要担心，但如果你构建网站，你每天都在使用它。每当有人登录你的网站、提交表单或发送消息时，加密操作都在幕后进行。了解基础知识有助于你做出更好的安全决策并避免常见错误。

对称加密：一把钥匙开所有锁

对称加密使用相同的密钥来加密和解密数据。它快速高效，非常适合加密大量数据。现代标准是AES-GCM，它不仅加密数据，还确保数据未被篡改。密钥大小为128或256位是标准。对于移动应用程序，ChaCha20-Poly1305是一个很好的替代方案，不需要硬件加速。

非对称加密：两把钥匙比一把好

非对称加密使用一对密钥：任何人都可以看到的公钥，以及只有所有者知道的私钥。公钥加密数据，只有私钥才能解密。这就是网络上安全连接的工作原理——你的浏览器使用网站的公钥来加密只有该网站才能读取的数据。

旧标准是RSA，需要非常长的密钥（2048位或更多）才能保证安全。现代系统使用椭圆曲线密码学（ECC），用更小的密钥实现相同的安全性。最常见的曲线是P-256（NIST）和Curve25519，后者更快、更现代。

哈希：单向函数

哈希函数接受任何输入并产生固定长度的输出，看起来是随机的。重要的是它是单向的——你无法将哈希值还原为原始输入。这使得哈希非常适合存储密码和检查文件完整性。

SHA-256是通用哈希的标准。但具体到密码，你绝不应该使用像SHA-256这样的快速哈希。相反，应使用设计为慢速的算法，如Argon2id、bcrypt或scrypt。这些算法使得攻击者即使窃取了哈希数据库，也很难破解密码。

数字签名：证明谁发送了什么

数字签名就像手写签名一样，但更难伪造。发送方用其私钥对消息进行签名，任何人都可以使用发送方的公钥验证签名。这既证明了消息来自声称的发送方，也证明了消息未被篡改。EdDSA（Ed25519）是现代推荐的数字签名选择。

应避免的常见错误

密码学最重要的规则是：不要自己发明。使用经过同行评审的成熟算法和库。永远不要使用ECB模式进行加密，永远不要重复使用初始化向量，永远不要将密钥硬编码在源代码中，永远不要将秘密存储在客户端JavaScript中。避免使用过时的算法，如MD5、SHA-1、DES和RC4。并且始终使用恒定时间比较函数以避免时序攻击。

对于Web开发者来说，最实用的加密工具是TLS（用于安全连接）、Web Crypto API（用于基于浏览器的加密）以及经过充分验证的库，如用于服务器端工作的libsodium。