陳孟峯義守大學資訊管理系mchenisu@isuedutw

1、陳孟峯義守大學資訊管理系.tw2006數(shù)位教學暨資訊實務研討會數(shù)位教學暨資訊實務研討會文件保密機制的分析：以微軟文件保密機制的分析：以微軟office為例為例黃源弘高雄市立右昌國中62006年12月8日2/15研究內(nèi)容研究內(nèi)容v探討office文件加密的方法及步驟。v以市面上常見的破解軟體進行測試。v破解過程中了解其安全性問題。v整理出一般常用的密碼組合及破解困難度。v探討access資料庫密碼破解方式及演算法。v提出各種安全性問題的建議方案 。3/15相關(guān)知識相關(guān)知識v資訊安全背後靠的是技術(shù)，成敗卻是管理。v各種保護機制都有相

2、關(guān)的破解方法。v常見的資料保護方式就是採用密碼。v暴力(蠻力)破解法是將用到的文字符號依序組合拿來做加密檔案的測試。v字典破解法是將密碼字典裡的單字拿來做加密檔案的測試。4/15雙核心雙核心cpu電腦破解密碼時間統(tǒng)計表電腦破解密碼時間統(tǒng)計表密碼組合內(nèi)容密碼長度六位的破解時間密碼長度八位的破解時間數(shù)字密碼1秒以內(nèi)348分鐘大小寫字母33分鐘62天大小寫字母數(shù)字1.5小時253天大小寫字母數(shù)字符號22小時23年本研究整理，資料來源：http:/www.lockdown.co.uk (2006)5/15密碼組合方式及可用字符密碼組合方式及可用字符 密碼組合方式密碼可用之字元、數(shù)字及符號數(shù)字(共10個

3、字符)0123456789大小寫字母(共52個字符)abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwxyz大小寫字母數(shù)字(共62個字符)abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwxyz0123456789大小寫字母數(shù)字符號(共96個字符)abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwxyz0123456789!#$%&()*+,-./:;?_|6/15office文件的加密流程文件的加密流程v微軟office文件檔案都設有密碼保護

4、功能。v密碼保護可防止它人開啟檔案觀看其內(nèi)容。v有密碼保護的檔案在開啟時會被要求輸入密碼，輸入成功才能順利開啟。v設定密碼的畫面還提供進階選項功能，可挑選更複雜的加密演算法來增強安全性。7/15office文件的密碼破解文件的密碼破解v破解密碼的軟體很多，例如lostpassword公司出品的password recovery kit 以及accentsoft公司的accent office password recoveryv實測發(fā)現(xiàn)，密碼如果採用一般的英文單字都能在二十秒內(nèi)破解完成。v如果密碼採用英文、數(shù)字及符號混合，破解時將花很長的時間。v越來越多軟體提供中文密碼，而office 200

5、3必需昇級到sp2才能輸入中文密碼。8/15access 97密碼破解流程密碼破解流程v實測發(fā)現(xiàn)破解的成功率是100%，而且瞬間完成。v加密方式是將密碼與一串關(guān)鍵數(shù)值做xor運算。v運算過後所產(chǎn)生的這一串數(shù)值放在檔案的第67位元組位置以達到加密的目的。v比對加密與未加密的資料庫檔案發(fā)現(xiàn)，密碼或關(guān)鍵數(shù)值是存放在檔案的第67位元組79位元組之間，長度共13個位元組。v未加密前的這13個位元組關(guān)鍵數(shù)值依序為：86 fb ec 37 5d 44 9c fa c6 5e 28 e6 13v將加密檔案的13個位元組數(shù)值與這13個位元組關(guān)鍵數(shù)值做xor運算即可反算出原先輸入的保護密碼。9/15access

6、97密碼破解實例密碼破解實例v有一個資料庫檔案，其加密後的第67位元組之後內(nèi)容如下(以十六進位表示)：v將13個關(guān)鍵數(shù)值與加密後的數(shù)值做xor運算求得密碼為：kj66888866jk00000000000000383836366a6b13e6285ec6fa9c7c6501da91edxor13e6285ec6fa9c445d37ecfb86字元10/15access 2000密碼破解流程密碼破解流程v密碼保護方式跟access 97稍有不同，但加密後的數(shù)值也是存放在第67位元組之後。v配合中文改採兩個位元組為單位，存放密碼的範圍到第106位元組共40個位元組。v將加密前與加密後的這40個位元

7、組進行xor運算可求得當初輸入的密碼。v未加密前的這40個位元組關(guān)鍵數(shù)值會隨著這份文件的建檔日期做變化，它是經(jīng)過特別的演算法加以編碼產(chǎn)生的，不像access 97是固定不變的。v改變系統(tǒng)日期切換到當初的建檔日期，重新再建立一個未加密的資料庫檔案即可取得這40個位元組關(guān)鍵數(shù)值再與加密後數(shù)值進行xor運算求得當初輸入的保護密碼。11/15access 2000密碼破解實例密碼破解實例v將40個未加密前的關(guān)鍵數(shù)值與加密後的數(shù)值做xor運算求得密碼為：abc123321cba00000033323163626137dfb57b148a531bb4ad7e8ea7xor37dfb57b148a53288

8、69c1decc6字元v未加密的第67位元組之後內(nèi)容如下：v加密的第67位元組之後內(nèi)容如下：12/15結(jié)論結(jié)論v任何密碼保護方式都有可能被破解。v增加密碼的複雜度可以有效的延長被破解的時間。vaccess資料庫檔案目前沒有任何有效的保護方法。v最好的資料保護措施還是妥善保管重要文件檔案。13/15建議建議(一一)1.重要檔案不要放在公用電腦。2.用隨身碟存放重要檔案，使用完畢立即拔除勿隨意放置。3.檔案的命名儘量不要加入重要性的字眼，自己看的懂就好，表面上看起來不重要的檔案能降低別人竊取的興趣。妥善保存重要檔案，降低檔案被竊取，提供以下幾點建議：14/15建議建議(二二)1.密碼採用英文、數(shù)字及符號混合。2.密碼的字數(shù)不要太短，建議六個字元以上。3.將office 2003更新至sp2，密碼就可以使用中文。4.使用國語或臺語拼音，組合成較長且無英文字義的字母串，卻又容易記憶。例如wardermeemar（我的密碼）。5.不要使用自己的基本資料當密碼，例如：出生日期、身份證字號、姓名。6.不要依英文及數(shù)字在鍵盤上的排列位置輸入密碼，例如：qwerty、asdfgh等。密碼的命名非常重要，提供以下幾點建議：15/15建議建議(三三)v重要資料不要存放在access資料庫檔案，因為它目前沒