不安全的加密存储与安全 | Secure Code Warrior

数据是企业的命脉。它是企业生存、盈利以及为客户提供服务所需的基础信息。在这个日益数字化的社会中，开发人员作为这些宝贵信息的守护者，肩负着巨大的责任。如果开发人员未能保护好机密数据，企业就会沦为不安全加密存储的受害者。

让我们来看看如何安全地存储数据，以及如果处理不当会发生什么。

了解不安全加密存储

当攻击者进入系统时，他们通常是在寻找有价值的数据。你知道的，就是那种可以用来接管他人账户或执行进一步攻击的数据。有时，这类数据会被直接卖到黑市上以换取快钱。

不安全加密存储并非像 SQL 注入或 XSS 那样单一的漏洞。它是未能以应有的方式保护本该保护的数据所导致的后果。

敏感信息必须受到保护。如果你以明文形式存储密码和信用卡信息，就是在拿你的业务 玩俄罗斯轮盘赌。

如果黑客通过 SQL 注入、XML 注入 或其他任何攻击手段入侵你的数据库并窃取数据，他们将一览无余。然而，如果你对数据进行了加密，他们想要利用这些数据就会困难得多。

值得注意的是，数据泄露并不总是由外部恶意攻击者造成的。如果数据未加密，内部人员也可以轻易窃取。公司员工无需查看数据库中的所有内容，而访问控制不当或敏感数据暴露都可能导致直接的盗窃行为。

还要记住，并非所有的加密都是一样的。使用错误的加密算法与完全不使用加密同样危险。众所周知的弱算法在精明的攻击者面前几乎起不到任何防御作用。

为什么不安全加密存储如此危险

许多公司 因其他漏洞（如 SQL 注入）而遭到入侵，最终导致无法掩盖被窃取的数据。这使得本已糟糕的情况雪上加霜。

• Adult Friend Finder 遭到入侵，泄露了 4.12 亿个账户。这些账户的密码使用了脆弱的 SHA-1 哈希算法进行保护，攻击者在一个月内就轻易破解了它们。
• Uber 遭到入侵，泄露了 5700 万条用户记录和 60 万条司机记录，导致个人信息丢失。这是因为 Uber 的 GitHub 账户中有一个存储库公开了其 AWS 账户的用户名和密码……这可不是个好主意。Uber 的估值因此缩水了 200 亿美元，很大程度上归咎于此次泄露。
• 索尼的 PlayStation Network 遭到入侵，泄露了 7700 万个账户。其中 1200 万个账户包含未加密的信用卡信息。索尼后来为此支付了 1500 万美元的集体诉讼和解金。

显然，未能妥善存储敏感数据会带来严重的后果。

索尼被起诉，这付出了沉重的代价。然而，即使没有被起诉，声誉和监管方面的损失对企业来说也可能是灾难性的。

击败不安全加密存储

开发人员如何防止上述类似的数据泄露事件发生？

第一步是确定哪些数据需要加密。毕竟，并非所有数据都同等重要。对数据进行分类，然后在适当的情况下使用加密。

通常，社会保障号码、密码和信用卡详情等个人信息必须受到保护。根据业务性质，您可能还需要保护健康记录或其他被视为隐私的信息。

一旦明确了需要保护的数据，下一步就是使用正确的工具来确保其安全性。通常，最好坚持使用经受过时间考验且被认为是强大的加密算法。

无论如何，请勿自行编写加密函数。它们很可能包含攻击者可利用的漏洞来破解加密。

对于社会保障号码或信用卡数据等信息，请使用 AES 进行加密。AES 有多种操作模式，在撰写本文时，强烈推荐使用 伽罗瓦/计数器模式 (GCM)。另一个建议是，如果库要求选择填充类型，请确保不使用任何填充。

对于密码，请使用哈希算法进行处理，因为哈希是不可逆的。给定一个强哈希值，攻击者无法还原出原始文本。 Argon2 和 Bcrypt 被认为是哈希密码的可靠选择。请记住，在哈希之前务必使用随机值对密码进行“加盐”，以确保相同的密码不会产生相同的哈希值。

这些函数在所有主流编程语言和框架中都有相应的实现。请查阅您所用语言或框架的文档，了解如何有效地使用它们。

密钥的生成、存储和管理是密码学的重要组成部分。管理不善的密钥可能会被泄露，从而导致数据被解密。一些框架提供了密钥管理辅助功能，例如 ASP.NET 的数据保护 API。有关密钥管理的一般最佳实践，请参阅 OWASP 的备忘单。

安全地存储数据是防止代价高昂且令人尴尬的数据泄露的关键。在最坏的情况下，即使攻击者窃取了您的数据，他们也难以查看或将其用于任何非法目的。

将数据隐藏在众目睽睽之下

让我们快速回顾一下如何保护您的数据：

• 对数据进行分类，明确哪些需要保护
• 使用强大的、经行业验证的算法加密敏感数据
• 使用强单向哈希存储密码

如需深入研究该主题，请查看我们的 学习资源。准备好动手实践时，请使用您偏好的语言 尝试我们的平台。我们涵盖的内容非常丰富！

借助这些工具，您可以防止数据被窃，避免公司遭受经济损失和声誉损害。

准备好立即查找并修复不安全的加密存储了吗？前往竞技场测试您的技能 [从这里开始]