评论：加密技术仍是谜

编者按：密码技术已越来越广泛地被应用，而破解也越来越难。于是犯罪分子利用密码技术加密传输信息，这就使得法官很难找到他们的罪证。企业必须制定密码管理流程，以免被不法员工将公司的机密文件通过加密手段绕过监控系统传送到外界。 

“由于密码技术的发展，使得天空中传输的大量通信内容经过加密后变得令人难以理解。对一般人来说，即使这些通信内容被截获，也只能从中得到非常有限的信息。所以我们都使用密码技术来保护军事和商业秘密。”Signify 身份管理公司的首席执行官John Stewart强调：“和60年前使用Enigma密码机器的时代一样，如今，要检测军事或者商业信息的非法传输也是非常困难的。”在发送者和接收者之间传输的大量信息都是可以得到的，但是要解密这些信息是非常困难的。这种状况对于司法机构来说是一个巨大的挑战。

RSA 安全公司的战略市场主任Tim Pickard 认为：“由于实现电子邮件加密的软件非常容易获得，使用起来也非常容易，并且价格也不贵，因此要跟踪军事或者商业信息的非法传输几乎是不可能的。电子邮件加密技术使得军事组织可以通过因特网传输信息，而不用担心其他人是否能够解密这些信息。别人所能够跟踪的只是这些信息将发送给谁和来自于哪里。”

IRM 安全咨询公司的技术总监Phil Robinson 说：“即使是破译普通消费者使用的密码，也需要一台性能令人咂舌的计算机。强力的加密算法现在广为流传，仅因特网使用的128 位加密技术就可以证明这一点。这些加密算法是非常常见的，并且内置在每个浏览器中。”

虽然如Carnivore 和Echelon 这样的军事监控系统可以获得非法传输的信息，但是要解密这些信息将会花费他们很长的时间。如果加密者使用的是128 位的对称加密算法，解密这些信息将可能会花费几十年的时间，但是几十年之后这些信息已经没有任何用处了。

跟踪加密信息的非法传输，应该把注意力更多地集中在通信流量上，以及这些信息发送到哪里去，特定文件的访问频率和路由频率。犯罪分子加密信息的本意是不想让司法机构很轻易地破译了这些代码。司法者需要找到那些用于加密信息的工具，以判断它是否不合法。根据专业的安全公司Ibas的高级法庭侦探Chris Watson的看法，警察们目前无法实现这个目标：“实际上我们所能做的是跟踪嫌疑犯，以及跟踪那些可疑的非法传输信息，并且让他们面对证据时证明他们曾经传输过加密的信息。”

数据加密技术提供商SSH 通信安全公司的产品市场经理Petri Sakkinen认为，随着加密技术的提高，有使用相同的技术来隐藏非法或者危险行为的可能。但是，他补充道，公司可以以一种统一的方式来管理加密技术。如果信息不是公司的知识产权，那么就不应该怀疑加密信息泄漏了公司的内容。但是公司每天都会使用加密技术，所以解读哪些传输信息是合法的，哪些传输信息是不合法的如同大海捞针。通过集中化的安全管理，并使用加密技术来实现风险管理。

由微软和Accenture 联合投资的Avanande公司的主要负责人Dan Deganutti 认为，对于加密技术来说，密钥管理是一个巨大的挑战，虽然强力的加密技术被一些无赖用来逃避监视系统的监视，但是如果能够证明他们拥有用于加密和解密非法材料的密钥的话，他们将无法用 “不知道”来为自己辩护。

CSC 公司的安全风险管理部门主任Bill Pepper 也认为，对于安全和法律执行部门来说，除非他们有密钥的备份，否则，要解决安全问题是很困难的。他表示，“恐怖分子通过在电子邮件中使用加密算法来掩盖他们的行踪，他们可以相当容易地得到精密复杂的高级加密算法。现在这正成为一个全球性的问题。我认为有组织的犯罪以及恐怖分子要比普通的公司拥有更强的加密手段。”

安全系统集成商Integralis的北欧市场部主任Graham Jones认为，安全威胁不仅仅是由加密技术造成的，形成安全威胁的因素还有拙劣的管理水平。

Thales e-Security 的安全主管Paul Meadowcroft主张，在考虑到公司的信息安全问题时，应该采取“秘密分割”的方法，这样每个人只知道整个秘密的一部分。使用这种方法的原因之一是可以降低人们泄漏秘密信息的可能。另一个原因是为了实现员工的自我保护：秘密分割可以减少员工成为犯罪目标的可能。

Sakkinen还指出，集中化的管理和策略的执行非常重要。也可以使用内容过滤和防火墙技术来管理非加密的通信。管理员可以很容易地设置端对端的加密通信机制，从而防止终端用户将加密数据发送给公司外部的不可信的第三方。另一方面，如果有必要对网络通信进行内容过滤的话，对于正在检查内容的防火墙机器来说，有可能会中断与它的加密通信连接。

最后，有必要考虑所有的可用于保护数据的选项。正如Deganutti 所说的，“任何人，无论是好人还是坏人，在成为电子攻击的焦点时，如果仅仅依靠加密来实现保护的话，就可能会使你感到失望。”

如何保证自己的安全

在所有可能的地方使用防篡改的硬件

安全地管理密钥

使用标准化的、易懂的算法

使用加强的认证而不是快速修补

执行好的策略

对用户来说，应该尽可能地使事情变得简单