🔑 A02 加密机制失效

📌 一句话概括

加密机制失效（原"敏感信息泄露"）指系统因加密实现不当导致敏感数据（密码、信用卡、个人信息）被窃取或暴露——问题往往不在于"没有加密"，而在于"用了错的加密方式"。

💡 核心原理

① 常见失效场景

• 传输层：HTTP 明文传输、TLS 版本过低（TLS 1.0/1.1）、证书配置错误
• 存储层：密码明文存储、使用 MD5/SHA1 等已破解哈希算法、加密密钥硬编码
• 响应层：API 返回过多敏感字段（身份证号、手机号未脱敏）、错误信息泄露堆栈

② 银行业特殊关注

• 客户姓名+身份证+银行卡号组合泄露可导致严重合规事件
• 交易流水数据在传输链路中必须全程加密
• 日志系统不得输出敏感字段明文

🔍 测试实战

1. 传输加密检查

操作：使用 curl 测试服务器支持的 TLS 版本和密码套件，确认最低 TLS 1.2

工具：nmap --script ssl-enum-ciphers -p 443 target.com、SSL Labs

指标：TLS 版本 ≥ 1.2、无弱密码套件、证书链完整

2. 敏感数据泄露检查

操作：用 Burp Suite 抓取所有 API 响应，检查是否包含身份证号、手机号、银行卡号等明文敏感字段

工具：Burp Suite + 正则扫描

指标：敏感字段泄露数量、脱敏覆盖率

3. 密码存储审计

操作：查看数据库用户表，确认密码字段存储的是 bcrypt/argon2 哈希还是明文/MD5

指标：使用 bcrypt/scrypt/argon2（目标100%）、无 MD5/SHA1 密码哈希

⚠️ 常见坑点

1. "内网不需要 HTTPS"：内网链路同样可能被嗅探，尤其是微服务调用和数据库连接
2. 仅加密传输不加密存储：HTTPS 只保护传输过程，数据库自身仍需加密
3. 自签证书的运维隐患：自签证书导致客户端无法验证，容易被中间人攻击绕过

📖 延伸阅读

• OWASP 加密存储速查表
• OWASP TLS 速查表
• NIST SP 800-63 身份认证指南