陳孟峯義守大學(xué)資訊管理系mchenisu@isuedutw課件

陳孟峯義守大學(xué)資訊管理系mchenisu@.tw2006數(shù)位教學(xué)暨資訊實務(wù)研討會文件保密機(jī)制的分析：以微軟Office為例黃源弘高雄市立右昌國中62006年12月8日1研究內(nèi)容探討Office文件加密的方法及步驟。以市面上常見的破解軟體進(jìn)行測試。破解過程中了解其安全性問題。整理出一般常用的密碼組合及破解困難度。探討Access資料庫密碼破解方式及演算法。提出各種安全性問題的建議方案。2相關(guān)知識資訊安全背後靠的是技術(shù)，成敗卻是管理。各種保護(hù)機(jī)制都有相關(guān)的破解方法。常見的資料保護(hù)方式就是採用密碼。暴力(蠻力)破解法是將用到的文字符號依序組合拿來做加密檔案的測試。字典破解法是將密碼字典裡的單字拿來做加密檔案的測試。3雙核心CPU電腦破解密碼時間統(tǒng)計表密碼組合內(nèi)容密碼長度六位的破解時間密碼長度八位的破解時間數(shù)字密碼1秒以內(nèi)348分鐘大小寫字母33分鐘62天大小寫字母＋數(shù)字1.5小時253天大小寫字母＋數(shù)字＋符號22小時23年本研究整理，資料來源：http://www.lockdown.co.uk(2006)4Office文件的加密流程微軟Office文件檔案都設(shè)有密碼保護(hù)功能。密碼保護(hù)可防止它人開啟檔案觀看其內(nèi)容。有密碼保護(hù)的檔案在開啟時會被要求輸入密碼，輸入成功才能順利開啟。設(shè)定密碼的畫面還提供進(jìn)階選項功能，可挑選更複雜的加密演算法來增強(qiáng)安全性。6Office文件的密碼破解破解密碼的軟體很多，例如Lostpassword公司出品的PasswordRecoveryKit以及Accentsoft公司的AccentOfficePasswordRecovery實測發(fā)現(xiàn)，密碼如果採用一般的英文單字都能在二十秒內(nèi)破解完成。如果密碼採用英文、數(shù)字及符號混合，破解時將花很長的時間。越來越多軟體提供中文密碼，而Office2003必需昇級到SP2才能輸入中文密碼。7Access97密碼破解實例有一個資料庫檔案，其加密後的第67位元組之後內(nèi)容如下(以十六進(jìn)位表示)：將13個關(guān)鍵數(shù)值與加密後的數(shù)值做XOR運算

求得密碼為：kj66889Access2000密碼破解流程密碼保護(hù)方式跟Access97稍有不同，但加密後的數(shù)值也是存放在第67位元組之後。配合中文改採兩個位元組為單位，存放密碼的範(fàn)圍到第106位元組共40個位元組。將加密前與加密後的這40個位元組進(jìn)行XOR運算可求得當(dāng)初輸入的密碼。未加密前的這40個位元組關(guān)鍵數(shù)值會隨著這份文件的建檔日期做變化，它是經(jīng)過特別的演算法加以編碼產(chǎn)生的，不像Access97是固定不變的。改變系統(tǒng)日期切換到當(dāng)初的建檔日期，重新再建立一個未加密的資料庫檔案即可取得這40個位元組關(guān)鍵數(shù)值再與加密後數(shù)值進(jìn)行XOR運算求得當(dāng)初輸入的保護(hù)密碼。10Access2000密碼破解實例將40個未加密前的關(guān)鍵數(shù)值與加密後的數(shù)值做XOR運算求得密碼為：abc123未加密的第67位元組之後內(nèi)容如下：加密的第67位元組之後內(nèi)容如下：11結(jié)論任何密碼保護(hù)方式都有可能被破解。增加密碼的複雜度可以有效的延長被破解的時間。Access資料庫檔案目前沒有任何有效的保護(hù)方法。最好的資料保護(hù)措施還是妥善保管重要文件檔案。12建議(一)重要檔案不要放在公用電腦。用隨身碟存放重要檔案，使用完畢立即拔除勿隨意放置。檔案的命名儘量不要加入重要性的字眼，自己看的懂就好，表面上看起來不重要的檔案能降低別人竊取的興趣。妥善保存重要檔案，降低檔案被竊取，提供以下幾點建議：13建議(二)密碼採用英文、數(shù)字及符號混合。密碼的字?jǐn)?shù)不要太短，建議六個字元以上。將Office2003更新至SP2，密碼就可以使用中文。使用國語或臺語拼音，組合成較長且無英文字義的字母串，卻又容易記憶。例如「warDerMeeMar」（我的密碼）。不要使用自己的基本資料