4 加密解密
4.1 【必须】不得明文存储用户密码等敏感数据
用户密码应该使用 Argon2, scrypt, bcrypt, pbkdf2 等算法做哈希之后再存入存储系统, https://password-hashing.net/
https://libsodium.gitbook.io/doc/password_hashing/default_phf#example-2-password-storage
用户敏感数据,应该做到传输过程中加密,存储状态下加密 传输过程中加密,可以使用 HTTPS 等认证加密通信协议
存储状态下加密,可以使用 SQLCipher 等类似方案。
4.2 【必须】内存中的用户密码等敏感数据应该安全抹除
例如用户密码等,即使是临时使用,也应在使用完成后应当将内容彻底清空。
错误:
#include <openssl/crypto.h>
#include <unistd.h>
{
...
string user_password(100, '\0');
snprintf(&user_password, "password: %s", user_password.size(), password_from_input);
...
}
正确:
{
...
string user_password(100, '\0');
snprintf(&user_password, "password: %s", user_password.size(), password_from_input);
...
OPENSSL_cleanse(&user_password[0], user_password.size());
}
关联漏洞:
高风险-敏感信息泄露
4.3 【必须】rand() 类函数应正确初始化
rand类函数的随机性并不高。而且在使用前需要使用srand()来初始化。未初始化的随机数可能导致某些内容可预测。
// Bad
int main() {
int foo = rand();
return 0;
}
上述代码执行完成后,foo的值是固定的。它等效于 srand(1); rand();
。
// Good
int main() {
srand(time(0));
int foo = rand();
return 0;
}
关联漏洞:
高风险-逻辑漏洞
4.4 【必须】在需要高强度安全加密时不应使用弱PRNG函数
在需要生成 AES/SM1/HMAC 等算法的密钥/IV/Nonce, RSA/ECDSA/ECDH 等算法的私钥,这类需要高安全性的业务场景,必须使用密码学安全的随机数生成器 (Cryptographically Secure PseudoRandom Number Generator (CSPRNG) ), 不得使用 rand()
等无密码学安全性保证的普通随机数生成器。
推荐使用的 CSPRNG 有:
OpenSSL 中的
RAND_bytes()
函数, https://www.openssl.org/docs/man1.1.1/man3/RAND_bytes.htmllibsodium 中的
randombytes_buf()
函数Linux kernel 的
getrandom()
系统调用, https://man7.org/linux/man-pages/man2/getrandom.2.html . 或者读 /dev/urandom 文件, 或者 /dev/random 文件。Apple IOS 的
SecRandomCopyBytes()
, https://developer.apple.com/documentation/security/1399291-secrandomcopybytesWindows 下的
BCryptGenRandom()
,CryptGenRandom()
,RtlGenRandom()
#include <openssl/aes.h>
#include <openssl/crypto.h>
#include <openssl/rand.h>
#include <unistd.h>
{
unsigned char key[16];
if (1 != RAND_bytes(&key[0], sizeof(key))) { //... 错误处理
return -1;
}
AES_KEY aes_key;
if (0 != AES_set_encrypt_key(&key[0], sizeof(key) * 8, &aes_key)) {
// ... 错误处理
return -1;
}
...
OPENSSL_cleanse(&key[0], sizeof(key));
}
rand()
类函数的随机性并不高。敏感操作时,如设计加密算法时,不得使用rand()或者类似的简单线性同余伪随机数生成器来作为随机数发生器。符合该定义的比特序列的特点是,序列中“1”的数量约等于“0”的数量;同理,“01”、“00”、“10”、“11”的数量大致相同,以此类推。
例如 C 标准库中的 rand()
的实现只是简单的线性同余算法,生成的伪随机数具有较强的可预测性。
当需要实现高强度加密,例如涉及通信安全时,不应当使用 rand()
作为随机数发生器。
实际应用中, C++11 标准提供的random_device
保证加密的安全性和随机性
但是 C++ 标准并不保证这一点。跨平台的代码可以考虑用 OpenSSL 等保证密码学安全的库里的随机数发生器。
关联漏洞:
高风险-敏感数据泄露
4.5 【必须】自己实现的rand范围不应过小
如果在弱安全场景相关的算法中自己实现了PRNG,请确保rand出来的随机数不会很小或可预测。
// Bad
int32_t val = ((state[0] * 1103515245U) + 12345U) & 999999;
上述例子可能想生成0~999999共100万种可能的随机数,但是999999的二进制是11110100001000111111,与&运算后,0位一直是0,所以生成出的范围明显会小于100万种。
// Good
int32_t val = ((state[0] * 1103515245U) + 12345U) % 1000000;
// Good
int32_t val = ((state[0] * 1103515245U) + 12345U) & 0x7fffffff;
关联漏洞:
高风险-逻辑漏洞