用途
该技能用于对应用程序执行密码学审计，系统性地审查应用对密码学原语、协议和密钥管理的使用，以识别弱算法、不安全模式、硬编码密钥、熵不足以及协议配置错误等漏洞。其核心是构建一个自动化密码审计工具，扫描 Python 代码和配置文件中的常见密码学弱点。
主要能力
审计目标包括：
- 检测已弃用算法的使用（MD5、SHA-1、DES、RC4）
- 识别不安全的密码模式（ECB）和填充方案
- 查找源代码中硬编码的密钥、密码和机密
- 验证 TLS/SSL 配置强度
- 检查密钥派生函数参数
- 验证随机数生成器的使用
- 生成包含发现项与修复建议的结构化审计报告
技能中列出的密码学弱点类别及风险等级：
- 弱哈希：用于完整性/签名的 MD5、SHA-1，风险高
- 不安全加密：DES、3DES、RC4、Blowfish，风险高
- 不良密码模式：任何分组密码使用 ECB 模式，风险高
- 密钥长度不足：RSA < 2048、长期使用 AES-128，风险中
- 硬编码机密：源代码中的密钥/密码，风险严重
- 弱 KDF：低迭代次数的 PBKDF2、纯 MD5，风险高
- 熵不足：基于时间的种子、可预测的 IV，风险高
- 已弃用协议：SSLv3、TLS 1.0、TLS 1.1，风险高
使用方式
适用时机包括：
- 开展涉及应用程序密码学审计的安全评估时
- 遵循相关安全事件的事件响应流程时
- 执行计划内的安全测试或审计活动时
- 通过动手测试验证安全控制时
前置条件：
- 熟悉密码学概念与工具
- 具备用于安全执行的测试或实验环境访问权限
- Python 3.8+ 并安装所需依赖
- 拥有开展任何测试活动的适当授权
适用场景
适用于安全评估、事件响应、定期安全测试与审计、安全控制验证等需要审查应用密码学实现强度的场景。
安全注意事项
- 同时审查应用程序代码和配置文件
- 检查第三方依赖是否存在已知密码学漏洞
- 验证已部署服务器上的证书和 TLS 配置
- 确保机密从环境变量或保险库加载
- 审查密钥存储与轮换实践
验证标准
- 扫描器检测出所有注入的测试弱点
- 用于安全目的的 MD5/SHA-1 使用被标记
- ECB 模式使用被标记
- 硬编码密钥/密码被检测到
- 弱 KDF 参数被识别
- 报告包含严重程度、位置和修复建议
- 误报率低于 10%
限制
资料未提供该技能的具体安装命令、依赖清单、支持的平台范围、收费方式或实际效果数据，这些内容暂未提供。