1.3 密碼學基礎：雜湊、加密與簽章#

安全的數學地基#

密碼學是唯一讓「信任」可以計算的工程學：不用相信網路中間的任何人，只需要相信數學與密鑰的保管。

\[ H: \text{任意長度} \to \text{固定長度}， \quad H(x) \text{ 易算}， \quad x \text{ 難反推} \]

好雜湊的三性質：

echo -n "hello" | shasum -a 256
# 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

教訓：密碼學演算法會過期。1990 年代「MD5 很安全」是當時的事實，工程師必須追蹤成本曲線 —— 對抗雜湊碰撞的算力需求每年下降，密碼學壽命是可以預估的倒數計時。

純雜湊密碼的弱點：攻擊者預先計算常用密碼的雜湊表（彩虹表），查表即破解。

\[ \text{儲存} = H(\text{salt} \| \text{password})， \quad \text{salt 為每用戶隨機值} \]

鹽讓彩虹表失效（同一密碼不同鹽 → 不同雜湊）。但鹽不防暴力破解 —— 對付 GPU 叢集需要慢雜湊（1.4 節 Argon2）。

# 用 openssl 體驗 AES-256-GCM
openssl enc -aes-256-gcm -in file -out file.enc -K $KEY -iv $IV

\[ \text{AES-256 的暴力破解} \approx 2^{256} \text{ 次} \gg \text{宇宙時間} \]

對稱加密的數學強度不是問題，鑰匙的保管與分發才是——這正是非對稱加密存在的理由。

flowchart LR
    A[明文] -->|Bob 的公鑰加密| B[密文]
    B -->|Bob 的私鑰解密\n私鑰永不離開 Bob| C[明文]

歷史插曲：公鑰密碼學 1976 年由 Diffie–Hellman 公開發表；英國 GCHQ 的 Ellis 與 Cocks 其實早在 1973 年秘密發明 —— 軍方保密 vs 學術開放，開放版本改變了世界（密碼學從軍事科技變成 HTTP 標配）。

\[ \text{簽章} = \text{Sign}(\text{私鑰}， \text{資料})； \quad \text{任何人可用公鑰驗證} \]

簽章提供完整性 + 不可否認性：JWT 的第三段、TLS 憑證鏈、軟體套件簽章（4.2 供應鏈防禦）全是它。

\[ \text{HMAC}(k, m) = H((k \oplus opad) \| H((k \oplus ipad) \| m)) \]

一般雜湊任何人都能算；HMAC 只有持鑰者能算 —— 用於 API 簽名（AWS）、JWT HS256、webhook 驗證。要辨別「誰傳的」用 HMAC/簽章，只驗「沒被改」用雜湊。

不要自己發明密碼演算法（ Schneider 原則）：業餘設計的密碼系統幾乎必破；用 vetted 函式庫（libsodium、WebCrypto、Rust 的 ring）
nonce/IV 永不重複使用（相同 IV+金鑰 = 災難，WPA2 的 KRACK 類問題）
演算法可替換設計：存「演算法版本」欄位，未來可遷移（密碼儲存特別重要，見 1.4）