1. 从一道课后题说起为什么“会做”和“做对”之间隔着一整个知识体系很多人第一次接触网络安全与密码学的课后习题都会有一种错觉这不就是数学题加概念题吗把公式背下来、把定义抄一遍考试能过就行。我当年也是这么想的直到有一次帮朋友看一份习题答案才发现事情远没有这么简单。那道题问的是“为什么分组密码需要填充”标准答案写的是“因为明文长度不一定是分组的整数倍”。这个答案没错但它完全没有触及真正的问题填充方案本身如果不安全会引入什么样的攻击面不同填充模式在实现层面有哪些坑这些问题课后习题的简略答案根本不会告诉你。这就是我想写这篇东西的原因。网络安全与密码学的课后习题表面上是用来巩固知识点的实际上它是一张“知识地图”的入口。每一道题背后都藏着一个真实世界的安全问题而习题答案往往只给了你地图上的一个点剩下的路需要你自己走。这篇文章面向的是正在学这门课的学生、准备相关考试的人以及想通过做题来系统梳理密码学知识体系的从业者。我会从几个典型的习题类型出发把每道题背后的“为什么”拆开讲清楚补充那些习题答案里不会写的实现细节和踩坑经验。先说一下我的整体思路。课后习题大致可以分成几类概念辨析类、计算推导类、协议分析类、方案设计类。不同类型的题做题方法和知识补充的侧重点完全不同。概念题考的是你能否区分那些长得像但本质不同的东西比如混淆和扩散、认证和授权、哈希和加密。计算题考的是你对算法内部结构的理解比如AES的轮变换、RSA的模幂运算、Diffie-Hellman的离散对数。协议分析题考的是你能不能看出一个协议在设计上的缺陷比如重放攻击、中间人攻击、前向安全性。方案设计题则是最难的它要求你把多个知识点组合起来设计一个能抵抗特定攻击面的方案。接下来的内容我会按照这个分类逐一展开每类挑几道有代表性的习题把解题思路、知识补充和实操验证串在一起讲。你可以把它当成一份“习题背后的知识手册”来读也可以当成一次系统复习的路线图。2. 概念辨析题那些“看起来差不多”的术语到底差在哪里2.1 混淆与扩散一道选择题引出的分组密码设计哲学课后习题里经常出现这样一道选择题“在分组密码设计中混淆是指什么扩散是指什么”选项里通常会有“混淆改变密钥与密文之间的关系扩散改变明文与密文之间的关系”这样的表述。很多人背下这个答案就过去了但如果你真的想理解现代分组密码的设计逻辑这道题值得深挖。混淆和扩散是香农在1949年提出的两个核心概念。混淆的目的是让密钥和密文之间的关系变得尽可能复杂使得攻击者即使知道一部分密文也无法推导出密钥的任何信息。扩散的目的是让明文的一个比特变化影响到密文中尽可能多的比特从而防止攻击者通过局部观察来推断明文结构。这两个概念听起来很抽象但如果你去看AES的内部结构就会发现它们被落实得非常具体。AES的SubBytes层做的是混淆。它用一个S盒对每个字节进行非线性替换这个S盒的设计经过了精心选择确保输出和输入之间没有简单的线性关系。如果S盒是线性的那么整个AES就退化成了一组线性方程组攻击者可以用线性代数的方法直接求解密钥。AES的ShiftRows和MixColumns层做的是扩散。ShiftRows把状态矩阵的每一行循环移位MixColumns对每一列进行矩阵乘法这两步结合起来使得一个字节的变化在下一轮就会影响到整列再经过几轮就影响到整个状态矩阵。我建议你在做这类概念题的时候不要只背定义而是打开一个AES的在线可视化工具手动改一个明文字节观察每一轮之后状态矩阵的变化。你会直观地看到扩散是怎么一步步把局部变化放大到全局的。这种直观理解比背十遍定义都管用。2.2 哈希与加密为什么“不可逆”和“可逆”不是一回事另一道高频概念题是“哈希函数和加密算法有什么区别”标准答案通常会说“哈希是不可逆的加密是可逆的”。这个答案对但不完整。更准确的说法是哈希函数的设计目标是抗碰撞性和单向性而加密算法的设计目标是机密性和可逆性。这两个目标对应的是完全不同的安全需求。哈希函数的单向性意味着给定一个哈希值找到对应的原始输入在计算上是不可行的。但这里有一个常见的误解很多人以为哈希函数“不能”被逆向实际上是因为逆向的搜索空间太大而不是因为数学上不可能。对于短输入或者低熵输入哈希是可以通过暴力枚举或者彩虹表来逆向的。这就是为什么密码存储不能用简单的哈希而要用加盐哈希或者专门的密码哈希函数。加密算法的可逆性意味着持有正确密钥的人可以恢复明文。但可逆性本身也带来了风险如果密钥泄露所有用该密钥加密的数据都会暴露。这就是为什么现代密码学强调前向安全性即即使长期密钥泄露过去的会话密钥也不会受到影响。我在做这类题的时候习惯用一个表格来对比不同密码学原语的属性。比如下面这个原语类型可逆性主要安全目标典型算法对称加密可逆机密性AES、ChaCha20非对称加密可逆机密性、密钥分发RSA、ECC哈希函数不可逆完整性、单向性SHA-256、SHA-3消息认证码不可逆完整性、认证性HMAC、CMAC数字签名不可逆认证性、不可否认性RSA签名、ECDSA这个表格看起来简单但如果你能把它默写出来并且对每一行都能举出一个实际应用场景那说明你对这些概念的理解已经到位了。2.3 认证与授权一道判断题暴露的思维盲区有一道判断题经常出现在习题里“认证和授权是同一个概念。”很多人会选“错”因为教材上说过它们是不同的。但如果你追问一句“它们到底哪里不同”很多人就说不清楚了。认证解决的是“你是谁”的问题授权解决的是“你能做什么”的问题。这两个问题在安全设计中是正交的但在实际系统中经常被混在一起。比如一个用户登录系统时输入用户名和密码这是认证。登录成功后系统根据他的角色决定他能访问哪些页面这是授权。如果系统在认证环节就把权限信息硬编码进去那么当权限规则变化时就需要修改认证逻辑这会导致系统难以维护也容易引入安全漏洞。更深入一点认证本身还可以分成几类基于知识的认证密码、PIN码、基于持有的认证令牌、智能卡、基于生物特征的认证指纹、人脸。每类认证都有各自的攻击面。密码可以被猜测或钓鱼令牌可以被窃取或复制生物特征可以被伪造或重放。多因素认证的思路就是把不同类型的认证组合起来使得攻击者需要同时突破多个独立的防线。在做这类概念题的时候我建议你养成一个习惯每看到一个安全术语就问自己三个问题——它解决什么问题它的攻击面在哪里它在实际系统中通常怎么实现这三个问题能帮你把抽象概念和具体实践连接起来。3. 计算推导题从公式到代码把每一步都跑通3.1 RSA模幂运算为什么你的手算结果和程序跑出来的不一样RSA的计算题是课后习题的重头戏。典型题目会给你两个质数p和q让你计算n、φ(n)、选择一个公钥指数e、计算私钥指数d然后对某个明文进行加密和解密。手算的时候很多人会在模幂运算这一步卡住尤其是当指数很大的时候。我拿一个具体的例子来演示。假设p61q53那么n61×533233φ(n)60×523120。选择e17因为17和3120互质。然后计算d使得17d ≡ 1 (mod 3120)。用扩展欧几里得算法可以算出d2753。现在假设明文m65加密就是计算65^17 mod 3233。手算65^17 mod 3233的过程是这样的先算65^242254225 mod 3233992。然后65^4992^2984064984064 mod 32332790。65^82790^277841007784100 mod 323365。65^1665^242254225 mod 3233992。最后65^1765^16×65992×656448064480 mod 32332790。所以密文是2790。如果你用Python跑一遍结果应该是一样的。但很多人手算的时候会得到不同的结果原因通常是在中间步骤没有及时取模导致数字太大算错了。这里的关键技巧是每一步乘法之后都要取模不要等到最后才取模。这个技巧在实现RSA的时候同样重要因为大数运算如果不及时取模中间结果会迅速膨胀导致计算效率急剧下降。下面是一个Python的快速验证代码p 61 q 53 n p * q phi (p - 1) * (q - 1) e 17 d pow(e, -1, phi) # Python 3.8 支持模逆运算 m 65 c pow(m, e, n) m_decrypted pow(c, d, n) print(fn{n}, phi{phi}, d{d}) print(f密文{c}, 解密后{m_decrypted})这段代码的输出应该和手算结果一致。如果你在做题的时候发现手算和程序结果不一致大概率是中间步骤的取模出了问题。3.2 Diffie-Hellman密钥交换离散对数为什么难解Diffie-Hellman的习题通常会给你一个质数p和一个生成元g然后让你模拟Alice和Bob的密钥交换过程。比如p23g5Alice选私钥a6Bob选私钥b15。Alice计算Ag^a mod p5^6 mod 238Bob计算Bg^b mod p5^15 mod 2319。然后Alice计算共享密钥KB^a mod p19^6 mod 232Bob计算KA^b mod p8^15 mod 232。两边算出来的K都是2交换成功。这道题的计算本身不难难的是理解为什么攻击者不能从A和B反推出K。这就是离散对数问题给定g、p和g^a mod p求a。当p足够大的时候这个问题在经典计算机上没有已知的多项式时间算法。但这里有一个常见的误解很多人以为离散对数问题在任何群上都是难的。实际上在某些群上离散对数问题可以用Pohlig-Hellman算法或者指数演算法在亚指数时间内求解。这就是为什么实际应用中要选择安全的参数比如使用足够大的质数至少2048位或者使用椭圆曲线群。我在做这类题的时候会额外做一件事用Python的sympy库或者cryptography库实际跑一遍密钥交换然后尝试用暴力枚举的方法去破解小参数的离散对数。比如对于p23的情况我可以写一个循环从1到22找到满足5^a mod 238的a。这个过程能让你直观感受到当p变大时暴力枚举的搜索空间是如何指数级增长的。p 23 g 5 A 8 for a in range(1, p): if pow(g, a, p) A: print(f找到私钥a{a}) break对于p23这个循环几乎瞬间就能找到答案。但如果p是一个2048位的大质数这个循环需要运行的次数是2^2048量级的即使用全世界的算力加起来也跑不完。这就是离散对数问题的“难”之所在。3.3 哈希碰撞与生日攻击概率论在密码学中的一次精彩亮相生日攻击是课后习题里经常出现的一类计算题。题目通常会问“对于一个输出长度为n位的哈希函数找到一对碰撞需要尝试多少次”答案大约是2^(n/2)次。这个结果的推导用到了生日悖论在一个有k个人的房间里至少有两个人生日相同的概率超过50%时k大约是多少答案是23。把这个结论推广到哈希函数就是生日攻击的理论基础。我见过很多人在做这道题的时候直接把公式背下来就完事了。但如果你真的想理解生日攻击的威力可以写一个简单的模拟程序。比如对于一个输出空间为2^16的哈希函数你随机生成输入并计算哈希值看看平均需要生成多少个输入才能找到一对碰撞。理论上这个数字大约是2^8256。你可以跑100次模拟取平均值看看和理论值有多接近。import random def birthday_attack(hash_bits): space 2 ** hash_bits seen {} count 0 while True: x random.randint(0, space - 1) count 1 if x in seen: return count seen[x] True results [birthday_attack(16) for _ in range(100)] print(f平均尝试次数: {sum(results) / len(results):.2f})这个模拟的结果应该会在256附近波动。通过这个实验你能直观地理解为什么SHA-1输出160位的抗碰撞性只有80位以及为什么NIST在SHA-1出现碰撞攻击后迅速推动了SHA-3的标准化。4. 协议分析题从“能跑通”到“安全”之间隔着多少个攻击面4.1 重放攻击一个没有随机数的认证协议有多脆弱课后习题里有一类协议分析题会给你一个简化的认证协议然后问你它存在什么安全缺陷。比如这样一个协议Alice向Bob发送自己的身份和一个时间戳Bob验证时间戳是否在有效期内如果是就认为认证成功。这道题的答案通常是“存在重放攻击的风险”因为攻击者可以截获Alice的消息然后在时间戳有效期内重新发送给Bob。但这个答案只触及了表面。更深入的分析需要你考虑几个问题时间戳的有效期窗口有多大如果窗口是5分钟攻击者在这5分钟内重放消息Bob能区分吗如果Bob和Alice之间的时钟不同步窗口需要设多大窗口越大重放攻击的成功率越高。这就是为什么实际的认证协议通常不会只依赖时间戳而是会结合随机数nonce或者挑战-响应机制。挑战-响应机制的核心思想是Bob在认证开始前生成一个随机数challenge发送给Alice。Alice用自己的密钥对challenge进行签名或者MAC运算然后把结果发回给Bob。Bob验证结果是否正确。由于challenge是每次认证都不同的攻击者无法预先计算或者重放之前的响应。这个机制的安全性依赖于challenge的随机性和不可预测性。如果challenge的生成使用了弱随机数生成器攻击者可以预测下一个challenge的值从而提前计算出正确的响应。我在分析这类协议的时候会习惯性地画一张消息流图然后逐个检查每条消息是否可以被篡改、重放、删除或者伪造。这个习惯来自一次实际的代码审计经历当时我发现一个系统的认证协议在消息重传时没有更新随机数导致攻击者可以在极短的时间内重放认证请求。这个漏洞在代码层面非常隐蔽因为协议的逻辑看起来是正确的问题出在随机数的生成和更新时机上。4.2 中间人攻击Diffie-Hellman为什么需要认证Diffie-Hellman密钥交换本身不提供认证功能这是一个经常被忽视的事实。课后习题里有一道经典题“Alice和Bob使用Diffie-Hellman交换密钥攻击者Mallory在中间截获了双方的公钥分别与Alice和Bob建立了共享密钥。请问Mallory能做什么”答案是Mallory可以解密Alice和Bob之间的所有通信并且可以篡改消息而不被发现。这个攻击之所以可行是因为Diffie-Hellman只保证了密钥交换的机密性但没有保证公钥的真实性。Alice无法确认她收到的公钥到底来自Bob还是Mallory。解决这个问题的方法是在Diffie-Hellman之上加入认证机制比如使用数字签名或者预共享密钥来验证公钥的来源。这就是Station-to-Station协议和TLS握手协议中密钥交换部分的设计思路。我在做这类题的时候会特别注意协议中的“信任锚点”在哪里。也就是说协议的安全性最终依赖于什么是依赖于一个预共享的秘密还是依赖于一个可信的第三方还是依赖于某种数学问题的困难性找到这个信任锚点你就能判断协议在什么条件下是安全的在什么条件下会失效。4.3 前向安全性为什么你的长期密钥泄露不应该影响过去的通信前向安全性是协议分析题里的一个高频考点。题目通常会描述一个场景攻击者在某个时间点获取了服务器的长期私钥然后问攻击者能否解密之前录制的通信内容。如果协议具备前向安全性答案是不能如果不具备答案是能。前向安全性的实现通常依赖于临时密钥ephemeral key的交换。比如在TLS的DHE或者ECDHE密码套件中每次会话都会生成一对临时的Diffie-Hellman密钥。会话结束后临时私钥被销毁。即使攻击者后来获取了服务器的长期私钥他也无法恢复已经销毁的临时私钥因此无法解密过去的会话。但这里有一个容易被忽视的细节前向安全性只保护会话密钥的机密性不保护会话内容的完整性。如果攻击者获取了长期私钥他仍然可以伪造新的签名发起新的会话。此外前向安全性也不保护元数据比如通信双方的身份、通信时间和通信量。这些信息在流量分析中仍然可能泄露敏感信息。我在分析前向安全性的时候会问自己一个问题如果长期密钥在今天泄露过去一周、一个月、一年的通信内容是否安全如果答案是“安全”那么协议具备前向安全性。如果答案是“不安全”那么协议不具备前向安全性。这个简单的测试能帮你快速判断一个协议的安全属性。5. 方案设计题把零散的知识点组装成一个能用的方案5.1 设计一个安全的密码存储方案从哈希到加盐到慢哈希方案设计题是课后习题里最考验综合能力的一类。比如这样一道题“设计一个安全的密码存储方案要求能够抵抗彩虹表攻击和暴力破解。”这道题看起来简单但要把方案设计得完整、可落地需要考虑到很多细节。第一层考虑是哈希函数的选择。直接用MD5或者SHA-1存储密码是不安全的因为这两个算法的计算速度太快攻击者可以用GPU在短时间内尝试数十亿次猜测。应该选择专门为密码存储设计的慢哈希函数比如bcrypt、scrypt或者Argon2。这些函数的特点是计算成本可调你可以根据硬件的性能设置合适的迭代次数使得每次哈希计算需要几十毫秒到几百毫秒。这样即使攻击者获取了哈希值暴力破解的成本也会非常高。第二层考虑是加盐。盐是一个随机生成的字符串与密码拼接后再进行哈希。盐的作用是防止彩虹表攻击和相同密码的哈希值相同。每个用户的盐应该是独立且随机的长度至少16字节。盐不需要保密可以和哈希值一起存储在数据库中。第三层考虑是 pepper。pepper 是一个全局的秘密值与密码和盐一起进行哈希。与盐不同pepper 不存储在数据库中而是存储在应用服务器的配置或者硬件安全模块中。这样即使数据库泄露攻击者没有 pepper 也无法进行离线破解。但 pepper 的管理需要额外的安全措施比如密钥轮换和访问控制。下面是一个使用Python的bcrypt库实现密码存储的示例import bcrypt def hash_password(password: str) - bytes: salt bcrypt.gensalt(rounds12) return bcrypt.hashpw(password.encode(), salt) def verify_password(password: str, hashed: bytes) - bool: return bcrypt.checkpw(password.encode(), hashed) # 使用示例 hashed hash_password(my_secret_password) print(f哈希值: {hashed}) print(f验证结果: {verify_password(my_secret_password, hashed)}) print(f错误密码验证: {verify_password(wrong_password, hashed)})这段代码里rounds12表示迭代次数为2^124096次。你可以根据服务器的性能调整这个参数使得单次哈希计算的时间在100毫秒左右。这个时间对用户来说几乎无感但对攻击者来说每次猜测都需要100毫秒暴力破解的成本会急剧上升。5.2 设计一个端到端加密的消息传输协议需要解决哪些核心问题另一道经典的方案设计题是“设计一个端到端加密的消息传输协议。”这道题的开放度很高但核心问题可以归纳为几个密钥交换、消息加密、消息认证、前向安全性、身份验证。密钥交换可以使用X25519或者ECDH这两种方案都能提供前向安全性。消息加密可以使用AES-GCM或者ChaCha20-Poly1305这两种方案都提供了认证加密能同时保证机密性和完整性。身份验证可以使用Ed25519签名或者X25519密钥的指纹验证。前向安全性通过每次会话生成临时密钥来实现。但设计一个完整的协议还需要考虑很多工程细节。比如如何处理离线消息如果接收方不在线发送方的消息需要存储在服务器上那么服务器能否读取消息内容如果使用端到端加密服务器只能存储密文但密文的元数据发送方、接收方、时间戳仍然可能泄露信息。如何处理多设备同步同一个用户可能在多个设备上登录每个设备都有自己的密钥对如何保证消息在所有设备上都能解密如何处理密钥丢失如果用户丢失了设备如何恢复消息历史这些问题在课后习题的答案里通常不会涉及但在实际系统中都是必须解决的。我在设计这类方案的时候会先画一张数据流图标出所有的信任边界和攻击面然后逐个设计对策。这个过程比直接写代码要重要得多因为协议设计中的一个小疏忽就可能导致整个系统的安全性崩溃。5.3 设计一个安全的投票系统密码学方案与社会需求的碰撞投票系统是一个经典的密码学方案设计题因为它同时涉及机密性、完整性、认证性和不可否认性。一个安全的投票系统需要保证投票内容保密、投票结果可验证、投票者身份可认证、投票记录不可篡改、投票者不能重复投票。密码学上可以使用同态加密来实现投票内容的保密和计票的可验证性。同态加密允许在密文上进行加法或者乘法运算这样计票方可以在不知道每个投票内容的情况下计算出总票数。但同态加密的计算开销很大对于大规模投票系统来说性能是一个瓶颈。另一种方案是使用混合网络mixnet。投票者用多个公钥依次加密自己的投票然后通过多个混合节点进行转发。每个混合节点用自己的私钥解密一层然后打乱消息的顺序再转发给下一个节点。这样最终的计票方可以看到所有投票的内容但无法知道每个投票来自哪个投票者。混合网络的安全性依赖于至少有一个混合节点是诚实的。我在分析这类方案的时候会特别注意“信任假设”。也就是说方案的安全性依赖于哪些参与方是诚实的如果所有参与方都合谋方案还能保证什么这个分析能帮你判断方案在现实世界中的可行性因为现实世界中的攻击者可能控制多个参与方。6. 做题之外如何把课后习题变成真正的能力课后习题的价值不在于答案本身而在于它能否帮你建立起一套分析安全问题的思维框架。我自己的经验是做完一道题之后至少要问自己三个问题这道题涉及的核心安全属性是什么如果改变题目中的一个条件答案会怎么变在实际系统中这个知识点通常怎么实现比如做完RSA的计算题之后你可以问自己如果p和q太接近会有什么问题如果e选择得太小会有什么问题如果明文没有填充会有什么问题这些问题在课后习题里可能不会出现但在实际的安全审计中都是常见的漏洞点。RSA的Coppersmith攻击就是利用了p和q太接近的弱点而RSA的广播攻击则利用了e太小且明文相同的场景。再比如做完哈希函数的题之后你可以问自己如果哈希函数的输出长度太短会有什么问题如果哈希函数的输入空间太小会有什么问题如果哈希函数的设计存在结构性弱点会有什么问题这些问题能帮你理解为什么SHA-1被弃用为什么密码存储不能用简单的哈希为什么HMAC的设计比简单的哈希拼接更安全。我建议你在做题的时候准备一个“知识卡片”笔记本。每做完一道题就把这道题涉及的核心概念、攻击面、实际案例和防御措施记录在一张卡片上。日积月累你就会拥有一套属于自己的密码学知识体系。这套体系比任何教材都更适合你因为它是你在解决问题的过程中亲手建立起来的。最后分享一个我自己的习惯每学完一个密码学原语我都会尝试用代码实现一个简化版本。比如学完AES之后我会用Python实现一个简化版的AES比如把轮数减少到4轮把分组大小减少到64位然后尝试对它进行差分分析或者线性分析。这个过程能让你深刻理解算法的内部结构和安全边界也能让你在做题的时候更有底气。毕竟密码学是一门实践性很强的学科光看书不做题、光做题不写代码都很难真正掌握。