5.5 安全警示：绝对不能用的ECB模式

第 31 / 78 篇 · Crazy Boy

在上一节，我们简单提到了ECB模式的缺陷。这一节，我们要用一个真实的案例告诉你：ECB模式不仅是不推荐，而是绝对不能使用——即使是最外行的开发者，也应该知道这个禁忌。

电子密码本模式（Electronic Codebook，ECB）是最简单、最直观的分组密码工作模式。它把明文分成一个个固定长度的块，然后对每个块独立加密：

明文块1  →  AES加密  → 密文块1
明文块2  →  AES加密  → 密文块2
明文块3  →  AES加密  → 密文块3
...

每个块之间没有任何联系，就像查一本巨大的“密码本”——每个明文块对应一个密文块，反过来也一样。

这个设计的致命缺陷在于：相同的明文块总是产生相同的密文块。

你可能会问：这有什么大不了？反正攻击者不知道块里是什么。

但问题是，攻击者不需要知道块里是什么，他们只需要看到模式就够了。

让我们做一个实验。取一张简单的位图图片（比如Linux的企鹅图标），用ECB模式加密，然后看结果。

（这里需要配一张著名的ECB模式加密对比图。如果无法配图，可以用文字描述：原始图片能看到清晰的企鹅轮廓；ECB加密后的图片虽然颜色杂乱，但企鹅的轮廓依然清晰可见；而其他模式加密后的图片完全是随机噪点）

这张图片在密码学史上非常有名。它生动地展示了ECB模式的本质问题：它不能隐藏数据的模式。即使加密后每个像素都变了，但只要原始图片中有大面积相同颜色的区域，加密后这些区域就会表现为相同的密文块——于是轮廓就保留下来了。

这意味着什么？意味着攻击者可以从密文中推断出原始数据的结构信息。对于一张图片，他们可能不知道具体颜色，但能看出这是一只企鹅。对于一个加密的数据库，他们可能不知道具体数值，但能看出哪些记录是相同的。对于一个加密的文档，他们可能不知道内容，但能看出哪些段落重复了。

模式泄露只是ECB问题的冰山一角。更严重的是，由于块之间没有关联，攻击者可以任意操纵密文。

假设你的消息是一个银行转账指令，分成多个块。攻击者可以：

因为每个块独立解密，攻击者不需要知道密钥，就能对密文进行这些操作——只要他们知道块的边界。

你可能会想：这么明显的缺陷，怎么会有人用？

不幸的是，确实有。原因往往是：

但生产环境不是测试环境。真正的攻击者会用各种手段寻找系统的弱点，ECB就是他们最喜欢的目标之一。

2010年，微软的BitLocker磁盘加密曾被曝出使用ECB模式加密某些元数据。研究人员发现，通过分析这些元数据的模式，可以推断出磁盘的使用情况——哪些区域是空的，哪些区域是满的，甚至能猜测出文件系统的类型。

另一个著名案例是：某些早期的Wi-Fi加密协议在特定情况下会退化成ECB模式，导致数据包可以被分析出模式。

这些教训告诉我们：ECB不是“不够好”，而是“不能用”。

那么，不用ECB，该用什么？

这些模式的共同点是：同一个明文块在不同位置会被加密成不同的密文块，彻底消除了模式泄露的风险。

ECB有没有合法的用途？有，但非常有限：当你要加密的数据本身就是随机的、且每个块都是唯一的时，ECB可以是安全的。比如，加密一个加密密钥本身——密钥是随机生成的，没有重复模式。

但即使是这种情况，绝大多数密码学家仍然建议使用更安全的模式，因为“随机”很难保证，而且一旦出错后果严重。

ECB模式告诉我们一个深刻的道理：加密不仅仅是让数据“看起来乱”，更要隐藏数据的任何模式。一个看似微小的设计缺陷，可能导致整个系统变得脆弱不堪。

在密码学中，安全的方案往往是经过无数攻击检验的方案。不要试图“简化”或“优化”它们——因为那些被你简化掉的部分，很可能就是安全的关键。

下一章，我们将进入一个全新的领域：非对称加密。它解决了对称加密最头疼的密钥分发问题，让两个从未见过面的人也能安全地交换秘密。