针对开发人员的碰撞攻击让我们发现Pretty Good Privacy(PGP)短ID的漏洞，该漏洞允许攻击者创建假ID密钥，这会给收件人解密或验证邮件制造问题。那么，这个漏洞的工作原理是什么，以及为什么短密钥ID会成为问题?
Michael Cobb：当为电子邮件、文档或文件创建哈希值或者消息摘要时，需要通过使用密码散列函数来生成内容的短数字指纹，这种数学算法会将任意大小的数据映射到短的固定长度值作为其唯一标识。哈希值被广泛用于安全的很多方面，例如数字签名和数据完整性检查，人们通常会精心选择散列函数以确保它们有较强的抗碰撞性–即两个不同的输入无法创建相同的散列值，因为攻击者的碰撞攻击会试图寻找具有相同散列值的两组不同数据片段。
而PGP是对消息或文件进行加密和数字签名的加密工具，PGP的用户会有公钥和私钥，公钥通常在密钥 服务器 发布。由于这些密钥都非常长(通常为1024至8096位)，所以我们通常使用公钥的指纹或哈希值来标记密钥，让某些密钥管理工作更容易和更快速，例如验证属于其他用户的密钥或者验证证书颁发机构。然而，当转换为十六进制数字时指纹为40位，这对于人类来说仍然太长而难以使用，因此人们和很多应用仅使用指纹的最后八位数。这被称为短密钥ID–长ID是指指纹的最后16位数字。下面是例子：
指纹: 0D29 F56F 12BD BA07 7B37 15AB 851F 799A B4FF 1057
长ID: 851F 799A B4FF 1057
短ID: B4FF 1057
虽然现代密钥散列函数几乎不存在具有相同哈希值的两个输入，但两个哈希值最后八位数相同的几率还是很高。事实上，我们已经发现很多具有相同短密钥ID的欺骗性PGP密钥。
多年来，大家已经知道这种碰撞攻击成功的可能性。在2011年，软件工程师Asheesh Laroia有效证明了这种攻击的可行性，这个问题在“RFC 4880：OpenPGP Message Format”3.3章节中也有提及–“不应该假定密钥ID为唯一标识”。尽管如此，使用短密钥ID仍然是常见做法，并构成真正威胁，特别是当涉及文件下载的完整性时，例如Linux内核。
尽管PGP本身没有缺陷或漏洞，但使用短密钥ID基本上是不安全的糟糕做法。用户不应该信任比公共PGP密钥完整指纹更短的ID用于验证;密钥ID的目的是帮助搜索密钥，而不是验证它。用户和软件都需要开始显示和检查完整指纹，或者至少使用长ID。长密钥ID也可能存在碰撞，但可能性较小。软件开发人员应该明确编写或重新编写代码以包含整个指纹，毕竟云计算使得攻击者可为长密钥ID生成碰撞攻击。现在那些将PGP密钥短ID印在名片背面的PGP支持者们可能会想要增加指纹的前两位来帮助他人验证其密钥。
我要瑞星杀毒软件 序列号
瑞星杀毒软件2010版序列号（可以激活 瑞星杀毒软件2010正式版 / 下载版 / 上网本专用版） 序列号：TLNLTD-70DTN3-9Q6LRP-V 用户ID：8HKED8HIRP4I序列号：0P2NS5-G10K6Q-C1UFRR-IH1300 用户ID：W6HZ8D75VAQC序列号：FBJR0W-SRVEG7-EVVMS6-JL4300 用户ID：W5DBWLMK2SGI序列号：9HVILI-IBFLDC-KJEMRR-EB1300 用户ID： W6R71LYPDAIC序列号：VUSBRC-FMES6J-3UIFS6-PT5200 用户ID：W2PC4VRZFZ4D序列号：9BV5ME-IFWGLJ-KITVSB-9B1300 用户ID：W17I4GVQYTD1 序列号: A7GMKR-2GT4D6-GK24S8-9GD200 用户ID：W2C2KYEMJ3UX 序列号：twhgm4-n2tduh-5qj7rm-06d200 用户ID：4hqb4p 序列号：DTRVAG-SA6MAK-6SLNRN-ASD200 用户ID：4HWKC868AB4X 序列号：4P0SFP-H7073V-49RCRQ-K8E200 用户ID：W2VDSV6M2HX7 序列号：AN09UI-IGP3NC-KL34S4-UDD200 用户ID：W53VSSXDEESC
gitlab ssh key git提示输入密码 怎么解决
因为在使用repogit下载代码时需要使用ssh方式，目前下载代码的方式不支持密码方式，仅支持ssh－key的方式，那么需要下载代码的用户请根据以下方法在本地生成ssh－key，然后将对应的证书文件发送给版主或者管理员，当获取下载代码权限后可以直接下载；访问权限的设定，新的git库采用证书认证的方式，请在你们的本机上执行：#ssh-keygen根据提示输入信息后会在~/目录下生成id_文件和id_rsa文件。 请将id_文件发给我（版主）。 然后在使用ssh的时候使用id_rsa证书。 linux和MacOS使用SSH登录时会自动提供生成的ssh证书。 windows上可以考虑使用xshell或者putty创建证书。 目前没有提供密码登录。
怎样使用PGP加密软件加密！（详细点）谢谢了！！！！追加分啊！！
1首先生成你的PGP密匙。 在DOS命令行输入：pgp－kg 2程序会提示你一步步进行密匙生成工作：①选择密匙长度。 建议用1024位，安全性相当有保障。 ②输入用户名。 要尽量避免混淆。 ③选择口令。 和所有密码一样，尽量取得难猜一点。 PGP是区分口令大小写的，在生成过程中程序为了得到随机数，会请你随意地在键盘上敲一系列的键，注意尽量多敲些不同的键，时间间隔不要太短。 现在你就拥有自己的一对PGP密匙了。 文件是私匙，是公匙。 3PGP的基本命令①加密命令：pgp－e[a]源文件收件人ID[其他收件人ID]用公匙环中收件人的公匙加密源文件，得到密文。 加上a参数后将得到7bits编码的密文（后缀），否则是二进制形式密文（后缀）。 ②解密命令：pgp[－d][－p]密文－d参数用来保留密文（缺省删除密文），－p参数用来恢复源文件加密时的文件名。 PGP的命令参数很多，详细用法请参见该软件的文件。
发表评论