攻击者是否有可能在不知道解密密钥的情况下解密和加密应用程序中的数据？ 答案是肯定的，它存在于一个称为加密预言机的加密缺陷中。
加密预言机充当攻击者收集有关加密数据的信息的潜在网关，而无需直接访问加密密钥。 那么攻击者如何通过填充预言机攻击等技术来利用加密预言机呢？ 如何防止此类漏洞影响您？
什么是加密预言机？
加密是一种安全协议，它将纯文本或数据转换为不可读的编码格式（也称为密文），以保护其机密性并确保只有拥有解密密钥的授权方才能访问它。 有两种类型的加密：非对称加密和对称加密。
非对称加密使用一对不同的密钥（公钥和私钥）进行加密和解密，而对称加密则使用单个公共密钥进行加密和解密。 您几乎可以加密任何内容，短信、电子邮件、文件、网络流量等。
另一方面，预言机是一种媒介，人们通常通过它获取普通人通常无法获得的信息。 将预言机想象成一个特殊的盒子，如果你将一些东西放入其中，你就会得到结果。 你不知道盒子里的东西，但你知道它有用。
加密预言机，也称为填充预言机，是密码学中的一个概念，指的是可以在不泄露加密密钥的情况下提供有关加密数据的信息的系统或实体。 本质上，它是一种与加密系统交互的方式，无需直接访问加密密钥即可深入了解加密数据。
加密预言机由两部分组成：查询和答案。 查询是指向预言机提供密文（加密数据）的行为，响应是预言机根据对密文的分析而提供的反馈或信息。 这可能包括验证其有效性或泄露有关相应明文的详细信息，这可能有助于攻击者解密加密数据，反之亦然。
填充预言机攻击如何运作？
攻击者利用加密预言机的一个关键方法是通过填充预言机攻击。 填充预言攻击是一种加密攻击，当它揭示有关密文中填充的正确性的信息时，它会利用加密系统或服务的行为。
为此，攻击者必须发现暴露加密预言机的缺陷，然后向那里发送修改后的密文并观察预言机的响应。 通过分析这些响应，攻击者即使无法访问加密密钥，也可以获取有关明文的信息，例如其内容或长度。 攻击者会反复猜测和更改部分密文，直到找到所有明文。
在现实场景中，攻击者可能怀疑加密用户数据的在线银行应用程序存在 Padding Oracle 漏洞。 攻击者拦截合法用户的加密交易请求，对其进行修改，然后将其发送到应用程序的服务器。 如果服务器由于错误或处理请求所需的时间而对更改后的密文做出不同的响应，则可能表明存在安全漏洞。
然后，攻击者通过精心设计的查询来利用它，最终解密用户的交易详细信息，并可能获得对其帐户的未经授权的访问。
其他 example 使用加密预言机绕过身份验证。 如果攻击者在 Web 应用程序的加密和解密数据的请求中发现加密预言机，则攻击者可以使用它来获取对有效用户帐户的访问权限。 他可以通过预言机解密帐户的会话令牌，使用同一预言机更改明文，并用经过操纵的加密令牌替换会话令牌，从而使他能够访问另一个用户的帐户。
如何避免加密预言机攻击
加密预言机攻击是加密系统设计或实现中的漏洞造成的。 确保安全地实施这些加密系统以防止攻击非常重要。 其他防止加密预言机的措施包括：
- 认证的加密模式：使用经过身份验证的加密协议，例如 AES-GCM（Galois/Counter Mode）或 AES-CCM（Counter with CBC-MAC）不仅可以提供机密性，还可以提供完整性保护，使攻击者难以操纵或解密密文。
- 一致的错误处理： 确保无论填充是否有效，加密或解密过程始终返回相同的错误响应。 这消除了攻击者可能利用的行为差异。
- 安全测试： 定期进行安全评估，包括渗透测试和代码审查，以识别和缓解潜在漏洞，包括 Oracle 加密问题。
- 速率限制： 对加密和解密请求实施速率限制，以检测和防止暴力攻击。
- 输入验证： 在加密或解密之前彻底检查和清理用户输入。 确保输入符合预期的格式和长度，以防止通过操纵输入进行填充预言机攻击。
- 安全教育和意识：对开发人员、管理员和用户进行加密和安全最佳实践培训，以培养安全意识文化。
- 定期更新： 让所有软件组件（包括加密库和系统）保持最新的安全补丁和更新。
改善您的安全状况
了解并防范加密预言机等攻击是必须的。 通过实施安全实践，组织和个人可以加强对这些潜在威胁的防御。
教育和意识在培育从开发人员和管理员到最终用户的安全文化方面也发挥着关键作用。 在这场持续不断的保护敏感数据的战斗中，保持警惕、及时了解情况并领先潜在攻击者一步非常重要，以保护您的数字资产和您关心的数据的完整性。
