密码常识测试

对以下观点进行评论，分别论述你认为这个观点是正确还是错误的（1分）？为什么（2分）？你的参考资料或判断的信息来源是什么？（2分）

1. 很多企业和技术人文都有下面这样的想法∶由公司或自己开发一种密码算法，并将这种算法保密，这样就能保证安全。
2. 使用低强度的密码算法，比如凯撒密码，也比完全不加密更安全。
3. 一次性密码本（one-time pad）或一次一密是无法被破解的，所以日常的数据加密应该使用一次性密码本算法。
4. 只要密码算法强度足够，实现正确就可以保证信息安全。

问题一：很多企业和技术人文都有下面这样的想法∶由公司或自己开发一种密码算法，并将这种算法保密，这样就能保证安全。（×）

答：不要使用保密的密码算法，要使用那些已经公开的、被公认强度较高的密码算法。一是因为从历史层面上看任何密码算法早晚会公诸于世，一旦密码算法的详细信息被暴露，依靠对密码算法本身进行保密来确保机密性的密码系统也就土崩瓦解了；二是因为想要设计开发高强度密码算法本身就是非常困难的，要比较密码算法的强弱是极其困难的，因为密码算法的强度并不像数学那样可以进行严密的证明。密码算法的强度值能通过事实来证明，如果专业密码破译者经过数年的尝试仍然没有破解某个密码算法，则说明这种算法的强度较高。
参考：http://www.anshunjkq.gov.cn/ztzl/bmfzxc/mmgz/202109/t20210917_70452847.html

问题二：使用低强度的密码算法，比如凯撒密码，也比完全不加密更安全。（×）

答：使用低强度的密码比不进行任何加密更危险。因为使用者往往会通过“密码”一词获得错误的安全感，这种错误安全感很容易使人在信息传递密码的过程中麻痹大意，而忽视了低强度密码算法极其容易破译的事实本身。

问题三：一次性密码本（one-time pad）或一次一密是无法被破解的，所以日常的数据加密应该使用一次性密码本算法。（×）

答：一次一密密码使用成本极大，使用在日常的的数据加密中是过大于功的，比如每次更换密码元素的时间成本、以及遗忘解密元素导致的后果等。由于解决了密钥分发的问题，如今也有很多场所使用了一次一密的加密方式，不论是银联加密系统，还是远程视频加密等应用都会涉及到。这其中的关键技术就是密钥的下发与安全存储和销毁。下发过程是多种多样的，但多数使用了密文方式进行密钥更新。
参考：https://blog.csdn.net/linksafe2014/article/details/83822502

问题四：只要密码算法强度足够，实现正确就可以保证信息安全。（×）

答：密码和密码算法只是信息安全的一部分，即使不去破解密码算法，也有很多可以获知明文的方法，比如直接攻击存放明文（加密之前）的电脑，或者利用社会工程学直接抓住人物心理从内部获取明文，要知道，信息安全中最脆弱的环节并不是密码和密码算法，而是人类本身。