Category Archives: Backend

[转]老菜鸟致青春，程序员应该选择java 还是 c#

致青春 还记得自己那年考清华失败，被调剂到中科大软院，当初有几个方向可以选，软件设计、嵌入式、信息安全等等，毫不犹豫地选择了信息安全。 为什么选信息安全？这四个字听起来多牛多有感觉，我本科是学物理的，记得做一个光学实验的时候，一个老师看我做的结果，说，学物理不是什么人都可以的，这个是需要一点智商的。 好吧，当初其实并非对我一个人所说，但我确实感觉到受到了鄙视，同时，我没有任何在物理上的精湛技艺可以反击我的老师。 由于整个大学期间，我都在沉迷游戏和小说，以至于辅导员说，现在找你都得预约。 而我的同学基本在学期开始和考试前能见到我，当时为了应付考试，我不得不学习复杂的物理公式和推导，有一门课程是激光原理，老师是双博士学位，大概是很厉害的，在我考试时，过来看我的卷子，说你的”背功“很厉害。 考试时如期通过，但老师大概都对我评价不高。自然，我是感到不愉快的。 回到我的毕业论文，大概是做一个电离层特征参量的反演，其实就是用迭代法解病态方程。 这个论文基本是没有人选的，因为题目本身可能相对比较难，也需要编程实现，好吧，当时下载的是盗版的matlab，参考的是一个日本学者和我导师的论文，铿铿锵锵地写出来了。还做了个所谓的参数优化，以使得结果看起来更平滑。 当时觉得很得意，我女朋友（现在的老婆）也很惊讶，我一个月做完了。 其实这不是第一次领略程序的魅力，在很久之前，高中时期，为了追一个女生，我做过flash，当时我就觉得拖来拖去很麻烦，但苦于没有基础，看不懂actionscript，所以难以深入体会编程的精妙，如果看到网上有一些类似雪花飘落、旋转字等效果，都是直接拷贝修改到完工。 现在回到，为什么选择信息安全上来，因为在大学时，很喜爱游戏，尤爱单机，国情大家是清楚的，而且我没有钱，也不知道哪里可以买到正版，这个猥琐了，呵呵。 仙剑、上古、火炬之光、火焰纹章，各种类型都喜欢。也很喜欢生存类游戏。给一个单机游戏做的exe补丁和用lua拓展的mod至今看来仍让我怀念。 讨厌网游是因为自己没有钱，搞不过RMB玩家，而且砸装备总失败。 唯独一个，2006年时，我玩完美世界，后来玩它的SF，为了砸装备，我第一次想到写封包外挂，由于当时已经有一些socket、tcp/ip的概念了，虽然C++玩不转，还是各种参考，写hook、写字节转换，同时完美当时打击WG很厉害，游戏基址容易变，又加了很多防调试的功能。 但为了不手工砸装备（SF里的石头几乎免费，就是砸上去的几率太低），我欲望那个强啊，所以用OD调试找网络发送的函数地址， 然后C++写代码hook。 程序最终工作很好，我还分享给了几个玩友。 后面也写过一些类似跳舞自动击键的WG，主要也是为了自娱自乐，因为我真的反应不过来屏幕上瞬间出现太多的key！ 与程序为伍的日子很少，但每一次接触，似乎都是为了达到自己的一些目标。 所以凌乱的编程体验，虽然不系统，不精湛，却让我快乐。 再次回到为什么选择信息安全上来？也许答案已经很清楚。 当时觉得虚拟机加密太高深了，联网解密也难搞定，所以觉得信息安全一定是能解决我的问题的！ 后来你猜到了，就是C，就是汇编，就是linux，我当时是多么反感linux，当时还用的是ubuntu，但为了课程，实在是没有办法，为了考研，自己系统自学了数据结构、计算机网络、操作系统、组成原理，当时在考研论坛上还和一个清华搞计算机体系的探讨问题，刷了好几页的帖子，现在看来，多幼稚！但，快乐也是固定在那个过程之中了。 我讨厌汇编，我讨厌C，我讨厌linux，但他们强大，能够满足需求，这就够了。 java还是 c#？ 其实这不应该是我们真正的主题，而且入了行的也很少会java还是c#这么比，但初学的，java和c#往往就代表了两大流派，java代替了j2ee，c#代替了.net，ok，没有关系，这么作为title，不影响我们说事。 如果从语言的角度上来讲，c#毫无疑问胜出，易用、门槛低、优雅、较为简洁。但java和c#的语言特性是相似的。 在很多类的命名上，它们都如出一辙： //java System.out.println("java比C#强！j-a-v-a！"); //C# System.Console.WriteLine("你没看到#是4个+吗，我比c++还强2个+，你就歇菜吧！"); c#出现的时间比java晚，所以自然吸收、借鉴，同时又有它的创新，比如很早就支持lamda表达式、比如event和委托，比如var，比如linq。 但如果从面向接口来讲，java同样可以做到event和listener，只不过对象引用的传递比较直接。 而.Net的类库和jdk则各有千秋。 如果从应用的角度来看，javaee和.Net体系几乎都涵盖了主流的开发方向： 桌面、Web、服务端、数据库、网络、移动端、中间件。 哪个方向，哪个更强？这个留给读者自己体会吧。 微软给.Net一个宇宙最强的IDE，也给了各个方向统一而平滑的编程体验，不得不说，微软的上手要容易的多。 而java则一开始就和开源分不开，多如牛毛的框架、引擎、包，blabla，用java开发，程序员要懂得东西更多一些。应为你大部分情况下得自己整合。但整合的好了就是很强大的，比如SSH。 在近几年很热的大数据和云计算领域，hadoop、spark、tez、leveldb、mongodb、mariadb、hive、hbase，还有oracle，都各自在自己不同的层面发力，大部分的这些都对java是极为友好的。 很多java程序员，都觉得搞.net开发的，就是拖拖控件而已，其实我可以告诉你，说出这种话的java程序员一般都还比较小白，如果你是搞.net的，你也可以说搞java的都是拷贝别人的开源软件的代码，然后改改而已。 当然改改没什么问题，谁都不喜欢重复造轮子，比如，google里面也并非全部是创新，经常”拿“别人的东西自己改吧改吧，淘宝就很不用说了，招了一些能改c、会点编译的程序员，经常拿各种开源框架开刀，然后表明是自己的东西。比如双11的那个问题。 当然不是说淘宝找的人有问题，而是这个企业的文化就是销售和广告文化，后来的google也如此。 回到正题，wpf和silverlight（虽然已经EOL）中最大的创新莫过于xaml技术，如果你认为wpf只是winform的简单升级，或者说你只会在wpf中拖控件，说明你还是一个非常初级的.net程序员，不管你工资上w没有，或者你已经是项目经理了。 xaml天生就是为mvvm模型而生，这一点，搞前端的同学，应该熟悉，即使你不懂wpf，js和html怎么做mvvm，你也应该体会过它的好处。 wpf中在xaml中布局控件，并支持INotifyPropertyChanged接口，可以非常容易的实现界面和数据分离，做出一个mvvm模型出来。 说到标记性语言，我们看看jsp的jstl、struts2的tags，还有asp.net mvc3之后的razor引擎： jstl和aspx的标签类似，自由、强大，可以很容易的穿插交织到html标记中； struts的标签就是个另类，我个人反感这种既不遵循主流标准也不简洁的东西，虽然好多人会说好用，那是个习惯问题，我这么说，不是说这东西难学难掌握，只是比较一下和razor引擎中的标签语法，弱爆了。 razor，强大、简洁、优雅。 你肯定觉得我是微软.net的粉丝，其实我想告诉你的是，最强的标签语言只有两种，html和xml，穿插动态语句到服务端页面上，然后刷出html，从来都不是好的做法，因为不只你一个人写代码，后面可能会有其他人维护这个页面，本来这是需要由web designer来做的事情，但是有了语句，他的维护成本就很高。 规范的页面开发，程序员是不会染指一个css、style的，动态语言在aspx、view、jsp上面应该尽量少用。否则你不如使用php和asp。 这一点，你会在工作中会深有体会的。 青春的你，怎么选择？ 看看现在的招聘吧，动不动就是 精通j2ee，精通struts、spring mvc、hibernate或者mybatis，对mysql、oracle有深入理解，精通webservice、精通多线程，能处理高并发，有的还得懂jvm，最好有hadoop等开发经验。最后再来个211以上。 .net方面呢？ 精通.Net，精通mvc3-5、精通wpf、wcf、多线程，mssql等等等等。 我现在处于离职状态，所以每天收到猎聘上的一些推荐，都很郁闷，因为没有一项是我精通的。 但是不妨碍我在2012年实习中，就拿到了13K的月薪，比一些正式员工可能还要高。 而且，仔细想想，代码中经常讲到要容易维护、这个设计模式、那个AOP，这个大并发，那个高性能，我个人没有见到容易维护的代码。学习一个新公司的一套模式，一套老产品，比学习一门新技术需要的时间长得多，你会发现，99%的情况下，你最需要的，不是什么代码，模式，而是对产品的理解、对业务的理解，很多情况下，除非太菜太小白，大家的代码都差不多，谁有时间重构代码？程序员又为何加班？ 这是行情，一个项目接一个项目，公司需要挣钱的，这是大部分公司的现状。 为了回答java还是c#的问题，我会从我的经历提供一些参考，既然是我的，那就不会是全面的和准确的，你自己判断。 还是从故事开始吧！ 在科大软院（苏州），因为老婆想和我一起在外面过个年，我不得不去临时找实习，当时c和汇编不行啊，所以得选个流行的，什么流行呢，当时是web。 所以我遇到了java还是c#的问题，确切的是我遇到了j2ee还是.net的问题。 因为经常使用windows，又因为.net门槛如此低，所以毫不犹豫选择了.net，当时是不会写SQL的，但是却系统学习了数据库设计原理。 进入公司就接触mvc3，觉得好，外企的技术确实比较新呢，比我学习.net时学的aspx优雅，那个时候开始接触并尝试理解mvc模式和ddd的概念。 当时，时薪25人民币。 6个月的实习，基本能玩javascript和c#，然后sql还是不行，当时记得一个高级开发跟我说，他以前做delphi开发的时候，团队写sql写的好就牛，我深以为然。 只会用Entityframework + mvc3 + javascript，开发网站的我，用理解很浅的.net的web技术体系，支撑了我和老婆在上海的生活费用，当时10年，我们租的拎包式入住公寓1500一个月，不算生活费、水电费。 再一次，通过一项技术，达到了我的目标，支撑了我的计划，当时对技术的理解，但是偏执于.Net，对java阵营是不屑一顾的。 后来很快离开了科大软院和苏州，考取了中科院，到了北京，房租是1580一个月，照样不算生活费、水电费。 没办法，学校发的补贴根本不够押2付3的。 找实习，做过什么呢？office编程，而且当时的老板是从IBM下来的工程师，项目主要是java开发，jsf做页面，招我过去，做word编程，还不能使用.net，你猜到了，我用的是vba。 没做多久，公司发钱就开始拖延，两周后，我没有积蓄，只能被迫离职，后来加入一家公司，从4K到10k，用了8个月，在这里，我完善了程序员生涯中sql能力的快速成长，并且广泛地使用了silvelight、aspx、oracle、mssql技术。记得当时一个北邮毕业的同事，做了6个月的office文档在web展示，因为涉及到了com编程，所以运行非常不稳定也难于调试，更重要的是，拉一个页面到展示，需要20秒。 老板是中科院软件所的博士，架构很厉害，但对于这个技术细节并不擅长，问我有没有办法，我说做过vba，大概了解word的dom结构，我试试。那个同事说，如果你能做到稳定、快速的实现，你可以拿这个做你的毕业论文了。 我说，我试试。 […]

MVC 基架不支持 Entity Framework 6 或更高版本

MVC 基架不支持 Entity Framework 6 或更高版本。有关详细信息，请访问 http://go.microsoft.com/fwlink/?LinkId=276833。 PS:新做一个小型系统时,在开始打框架的时候的碰到的. 查阅了下,在我们辛勤工作的时候,EF已经升级了从EF5已经更新到了EF6了.NuGet程序包更新的时候直接更新到最新版了. 我的VS2012 最高也才MVC4 所以悲剧的不兼容了. 结论就是 MVC4+EF5  或者 MVC5+EF6 调低版本吧. 步骤如下: 工具- 库程序包管理器 – 程序包管理控制台 先看http://blog.csdn.net/sat472291519/article/details/19114921 博文 1.从NuGet 卸载 ef 6.1 2.修改原语句 Install-Package <程序包名> –Version <版本号> Install-Package EntityFramework –Version 5.0.0 <程序包名>从NuGet管理器中就可以查看 或者在  packages.config 中查看 <版本号>知道就直接填上去 不知道 就需要到官网查 总共出了多少版本 选择自己适用的 最后更新下 匹配的中文语言包 Install-Package EntityFramework.zh-Hans –Version 5.0.0   from:http://blog.csdn.net/sat472291519/article/details/39522993

让Entity Framework支持MySql数据库

Entity Framework 4.0 也可以支持大名鼎鼎的MySql,这篇POST将向展示如何实现EF+MySql数据库的结构.首先,你必须下载 MySQL Connector/NET 6.3.5 ,也就是.net下连接MySql数据库的驱动程序. 还是像以往一样的,增加一个Entity data model: 将下面选择DataSource, 选择MySQL database 做为数据源. 接下来几步和以前一样,选择要Mapping的Tables: 好了,让我们来测试一下:

  可以工作.就是这么简单. 另一个消息是Entity Framework Code-First (CTP5 发布了). 如果您有兴趣可以看一下. from:http://www.cnblogs.com/wintersun/archive/2010/12/12/1903861.html

史上最狡猾恶意软件现身：被发现后会自爆

[摘要]它可以拦截任何输入浏览器窗口中的纯文本，如果在安全检查中被发现，会竭力毁掉计算机。 腾讯科技讯 5月6日，思科安全情报研究团队Talos Group日前宣称，他们发现一种代号为Rombertik的新式恶意软件。它可以拦截任何输入浏览器窗口中的纯文本，并通过垃圾邮件和钓鱼邮件传播。如果在安全检查中被发现，这种恶意软件就会“自爆”，竭力毁掉计算机。 一旦用户通过点击链接下载Rombertik，它会通过多项检测。一旦其启动，并在Windows电脑上运行，就可以查看自己是否被发现。与其他恶意软件不同的是，Rombertik会尝试毁掉计算机。 Talos Group的安全专家本·贝克（Ben Baker）与阿历克斯·邱（Alex Chiu）写道：“这款恶意软件之所以十分独特，是因为一旦其发现与恶意软件分析相关的特定属性后（即可能被发现迹象），它就会积极尝试毁掉计算机。” Rombertik 的首要目标是主引导记录区（MBR），即计算机开机后加载操作系统前访问硬盘时所必须要读取的首个扇区。如果未能成功进入这里，Rombertik就会通 过随机使用RC4密匙加密的方法，迅速毁掉用户主文件夹中的所有文件。而一旦MBR或主文件夹被加密，计算机就会重启。MBR此后会陷入无限循环中，从而 阻止计算机重新启动。屏幕上会显示“Carbon crack attempt, failed”的代码。 研究人员称：“Romberik是一款非常复杂的恶意软件，其设计目的就是侵入用户浏览器阅读凭证和其他敏感信息，以帮助攻击者渗透和控制服务器。” 安全专家们发现，Romberik利用社交工程学手段诱使用户下载、解压缩以及打开附件，最终导致用户妥协。在分析样本时，含有Romberik的邮件似乎来自Windows Corporation。 袭 击者竭力说服用户查看附件，看他们的业务是否符合目标用户所在机构。如果用户下载和解压缩文件，随后就会看到类似缩略图的文件。一旦它被安装到电脑上，就 会自己解压。大约97%的解压文件内容看起来都是合法的，包括75张图片和8000多个实际上没有任何用处的诱饵功能。Talos Group专家称：“如此多的功能超过大多数人的分析能力，根本不可能查看每个功能。” 类似Romberik恶意软件过去曾出现过，比如2013年对韩国目标和去年对索尼娱乐有限公司发动的网络袭击。可是Romberik总是保持活跃状态，将一个字节的数据在内存中写下9亿次，这令追踪工具分析起来非常复杂。 Talos Group专家称：“如果分析工具试图记录所有9.6亿次指令，这些记录会暴增到100千兆以上。”该公司建议用户保持良好的安全习惯，比如确保安装杀毒软件、确保时常更新、不要点击未知发件人发送的附件、确保对电子邮件充分扫描等。 FROM:http://www.oschina.net/news/62193/most-cunning-malware

用RSA加密实现Web登录密码加密传输

通常我们做一个Web应用程序的时候都需要登录，登录就要输入用户名和登录密码，并且，用户名和登录密码都是明文传输的，这样就有可能在中途被别人拦截，尤其是在网吧等场合。 这里顺带一个小插曲，我以前有家公司，办公室装修时候安排的网口相对较少，不太够用，于是我和另外一个同事使用了一个hub来共享一个网口，这就导致了很有趣的现象：任何他的网络包我都能抓得到，当然了，我的他也能抓得到。这是不是有很大的安全隐患了？我有可能在不经意间会泄漏自己的密码。 所以，很多安全要求较高的网站都不会明文传输密码，它们会使用https来确保传输过程的安全，https是用证书来实现的，证书来自于证书颁发机构，当然了，你也可以自己造一张证书，但这样别人访问你的网站的时候还是会遇到麻烦，因为你自己造的证书不在用户浏览器的信任范围之内，你还得在用户浏览器上安装你的证书，来让用户浏览器相信你的网站，很多用户并不知道如何操作，就算会操作，也能也不乐意干；另一种选择是你向权威证书颁发机构申请一张证书，但这样有一定的门槛，还需要付费，也不是我们乐意干的事。 所以，我打算自己实现一个密码加密传输方法。 这里使用了RSA非对称加密算法，对称加密也许大家都已经很熟悉，也就是加密和解密用的都是同样的密钥，没有密钥，就无法解密，这是对称加密。而非对称加密算法中，加密所用的密钥和解密所用的密钥是不相同的：你使用我的公钥加密，我使用我的私钥来解密；如果你不使用我的公钥加密，那我无法解密；如果我没有私钥，我也没法解密。 我设计的这个登录密码加密传输方法的原理图如下：   首先，先演练一下非对称加密：

大家可以清楚看到，密码被加密成128字节长度的密文，为什么是固定128字节呢？这是因为我们的RSACryptoServiceProvider默认生成的key的长度是1024，即1024位的加密，所以不管你要加密的密码有多长，它生成的密文的长度肯定是128字节，也因为这样，密码的长度是有限制的，1024位的RSA算法，只能加密大约100个字节长度的明文，要提高可加密的明文的长度限制，就得增加key的长度，比如把key改到2048位，这样能加密的明文的长度限制也就变为大概200出头这样……还是太少啊！而且这样会带来加密速度的显著下降，RSA本来就很慢……是的，比同没有长度限制的对称加密，这种非对称加密的限制可真多，即便是200个字符，又能传输什么东西呢？——密码！这个就够了，传输完密码之后，我们就使用对称加密，所以，RSA往往是用来“协商”一个对称加密的key的。 接下去，真正的难点在于用javascript实现一个和.net的RSA兼容的算法。密码学，对我来说真像天书一般，每次我一看就头大，这个工作是没办法自己做的了，只能到网上找，那是相当的费力啊，找到许多js的RSA实现，但都和.net的这套东西不兼容，最后还是功夫不负有心人，终于找到了一套。不多说，上代码：

这是客户端代码，大家可以看到，基本没有什么服务器端代码，<%=postbackUserName%>用于回显输入的用户名，<%=LoginResult%>用于显示登录结果，<%=strPublicKeyExponent%>和<%=strPublicKeyModulus%>则用来告诉客户端RSA公钥。需要的javascript文件说明： jQuery.md5.js –  用于对密码进行两次md5加密；（我通常在数据库中保存的用户密码是两次MD5后的结果） BigInt.js – 用于生成一个大整型；（这是RSA算法的需要） RSA.js – RSA的主要算法； Barrett.js – RSA算法所需要用到的一个支持文件； 对于密码学，我几乎一无所知，所以没办法跟大家解释清楚RSA算法的原理，抱歉，我只知道怎么用。关于javascript中这行代码：“setMaxDigits(129);”具体表示什么我也不清楚，我只知道，把参数改为小于129的数之后会导致客户端的javascript执行进入死循环。服务器端代码也很简单：

用户名“user1” 密码“123456” 登录成功！ 抓取http报文看看POST的“密码”： 这样的“密码”的破解就成为了理论上的可行了。:) 下面提供完整代码下载（使用VS2010开发环境）：RSALoginTest 我根据博主的例子整理的：RsaDemo   from:http://www.cnblogs.com/AloneSword/archive/2013/09/18/3329359.html

关于使用JS前台加密、JAVA后台解密的RSA实现，RSA加密和签名

需求环境： 西安项目中，客户要求保护用户的密码信息，不允许在http中传递明文的密码信息。   实现： 用RSA非对称加密方式实现。后台生成rsa密钥对，然后在登陆页面设置rsa公钥，提交时用公钥加密密码，生成的密文传到后台，用私钥解密，获取密码明文。 这样客户端只需要知道rsa加密方式和公钥，前台不知道私钥是无法解密的，此解决方案还是相对比较安全的。 附件是参照网友资料的java+JS的实现，放在这里供大家下载。访问方式/RSA/login.jsp。 需要到http://www.bouncycastle.org下载bcprov-jdk14-123.jar文件。 因为后台要转换成bigint，所以对明文长度有些限制： 总长度不超过126（1汉字长度为9），如下两个字符串： 阿送大法散得阿送大法散得阿送 1232132131231231232131232K1232132131231231232131232K1232132131231231232131232K1232132131231231232131232K1234567890123456789012     RSA速度 * 由于进行的都是大数计算，使得RSA最快的情况也比DES慢上100倍，无论 是软件还是硬件实现。 * 速度一直是RSA的缺陷。一般来说只用于少量数据 加密。     Util.java   Java代码 package RSA; /**  *   */ import java.io.ByteArrayOutputStream; import java.io.FileInputStream; import java.io.FileOutputStream; import java.io.ObjectInputStream; import java.io.ObjectOutputStream; import java.math.BigInteger; import java.security.KeyFactory; import java.security.KeyPair; import java.security.KeyPairGenerator; import java.security.NoSuchAlgorithmException; import java.security.PrivateKey; import java.security.PublicKey; import java.security.SecureRandom; import java.security.interfaces.RSAPrivateKey; import java.security.interfaces.RSAPublicKey; import java.security.spec.InvalidKeySpecException; import java.security.spec.RSAPrivateKeySpec; import java.security.spec.RSAPublicKeySpec; import javax.crypto.Cipher; /**  * RSA 工具类。提供加密，解密，生成密钥对等方法。  * 需要到http://www.bouncycastle.org下载bcprov-jdk14-123.jar。  *   */ public class RSAUtil {     private static String RSAKeyStore = "C:/RSAKey.txt";     /**      * * 生成密钥对 *      *       * @return KeyPair *      * @throws EncryptException      */     public static KeyPair generateKeyPair() throws Exception {         try {             KeyPairGenerator keyPairGen = KeyPairGenerator.getInstance("RSA",                     new org.bouncycastle.jce.provider.BouncyCastleProvider());             final int KEY_SIZE = 1024;// 没什么好说的了，这个值关系到块加密的大小，可以更改，但是不要太大，否则效率会低             keyPairGen.initialize(KEY_SIZE, new SecureRandom());             KeyPair keyPair = keyPairGen.generateKeyPair();             System.out.println(keyPair.getPrivate());             System.out.println(keyPair.getPublic());             saveKeyPair(keyPair);             return keyPair;         } catch (Exception e) {             throw new Exception(e.getMessage());         }     }     public static KeyPair getKeyPair() throws Exception {         FileInputStream fis = new FileInputStream(RSAKeyStore);         ObjectInputStream oos = new ObjectInputStream(fis);         KeyPair kp = (KeyPair) oos.readObject();         oos.close();         fis.close();         return kp;     }     public static void saveKeyPair(KeyPair kp) throws Exception {         FileOutputStream fos = new FileOutputStream(RSAKeyStore);         ObjectOutputStream oos = new ObjectOutputStream(fos); […]

非对称加密算法

非对称加密算法是一种密钥的保密方法。 非对称加密算法需要两个密钥：公开密钥（publickey）和私有密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。 非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的信息进行解密。 另一方面，甲方可以使用乙方的公钥对机密信息进行签名后再发送给乙方；乙方再用自己的私匙对数据进行验签。[1] 甲方只能用其专用密钥解密由其公用密钥加密后的任何信息。 非对称加密算法的保密性比较好，它消除了最终用户交换密钥的需要。 非对称密码体制的特点：算法强度复杂、安全性依赖于算法与密钥但是由于其算法复杂，而使得加密解密速度没有对称加密解密的速度快。对称密码体制中只有一种密钥，并且是非公开的，如果要解密就得让对方知道密钥。所以保证其安全性就是保证密钥的安全，而非对称密钥体制有两种密钥，其中一个是公开的，这样就可以不需要像对称密码那样传输对方的密钥了。这样安全性就大了很多。 起源 W.Diffie和M.Hellman 1976年在IEEE Trans.on Information刊物上发表了“ New Direction in Cryptography”文章，提出了“非对称密码体制即公开密钥密码体制”的概念，开创了密码学研究的新方向 2工作原理 1.A要向B发送信息，A和B都要产生一对用于加密 非对称加密算法 和解密的公钥和私钥。 2.A的私钥保密，A的公钥告诉B；B的私钥保密，B的公钥告诉A。 3.A要给B发送信息时，A用B的公钥加密信息，因为A知道B的公钥。 4.A将这个消息发给B（已经用B的公钥加密消息）。 5.B收到这个消息后，B用自己的私钥解密A的消息。其他所有收到这个报文的人都无法解密，因为只有B才有B的私钥。 3主要应用 非对称加密(公钥加密)：指加密和解密使用不同密钥的加密算法，也称为公私钥加密。假设两个用户要加密交换数据，双方交换公钥，使用时一方用对方的公钥加密，另一方即可用自己的私钥解密。如果企业中有n个用户，企业需要生成n对密钥，并分发n个公钥。由于公钥是可以公开的，用户只要保管好自己的私钥即可，因此加密密钥的分发将变得 十分简单。同时，由于每个用户的私钥是唯一的，其他用户除了可以通过信息发送者的公钥来验证信息的来源是否真实，还可以确保发送者无法否认曾发送过该信息。非对称加密的缺点是加解密速度要远远慢于对称加密，在某些极端情况下，甚至能比对称加密慢上1000倍。 DSACryptoServiceProvider 非对称加密算法 RSACryptoServiceProvider //加密 UnicodeEncoding encoding = new UnicodeEncoding(); byte[] PasswordBytes = encoding.GetBytes(password);//将密码转换为字节数组RSACryptoServiceProvider crypt=new RSACryptoServiceProvider();//RSA加密算法，非对称PasswordBytes=crypt.Encrypt(password ,false);//加密字节数组，这是加密后的密码值，放入数据库中的表字段中。 string key=crypt.ToXmlString(true);//输出密钥为XML格式的字符串，且包含私钥，这个字符串要作为数据库表中的一个字段同用户的密码放在一起。 //解密 RSACryptoServiceProvider crypt=new RSACryptoServiceProvider();//已随机生成了一个密钥对 crypt.Clear();//毁掉当前密钥对 crypt.FromXmlString(key)//输入密钥对，key是从数据库表字段中读取的那个XML格式的字符串，即密钥字段PasswordBytes=crypt.Decrypt(password ,false);//解密字节数组，返回原始密码给用户 上面方法的一个特点是每个用户对应一个密钥（包含公钥和私钥），它们都是随机生成的，所以各不相同。不过缺点也是很明显的，就是密钥存储在数据库中，如果数据库被攻破密钥就泄漏了。 还有另外一个方法就是依照上面方法随机生成一个密钥对（包含公钥和私钥），通过ToXmlString(true)方法导出，然后把这个XML字符串格式的密钥放到你的Web程序的Web.config文件的AppSetting节点里面，然后通过FromXmlString(key)方法读入密钥，这样就意味着所有的用户密码都用同一个密钥对加密和解密。 4主要功能 非对称加密体系不要求通信双方事先传递密钥或有任何约定就能完成保密通信，并且密钥管理方便，可实现防止假冒和抵赖，因此，更适合网络通信中的保密通信要求。 5主要算法 RSA、Elgamal、背包算法、Rabin、D-H、ECC（椭圆曲线加密算法）。 使用最广泛的是RSA算法，Elgamal是另一种常用的非对称加密算法。 Elgamal由Taher Elgamal于1985年发明，其基础是DiffieˉHellman密钥交换算法，后者使通信双方能通过公开通信来推导出只有他们知道的秘密密钥值[DiffieˉHellman]。DiffieˉHellman是Whitfield Diffie和Martin Hellman于1976年发明的，被视为第一种 非对称加密算法，DiffieˉHellman 与RSA的不同之处在于，DiffieˉHellman不是加密算法，它只是生成可用作对称密钥的秘密数值。在DiffieˉHellman密钥交换过程中，发送方和接收方分别生成一个秘密的随机数，并根据随机数推导出公开值，然后，双方再交换公开值。DiffieˉHellman算法的基础是具备生成共享密钥的能力。只要交换了公开值，双方就能使用自己的私有数和对方的公开值来生成对称密钥，称为共享密钥，对双方来说，该对称密钥是相同的，可以用于使用对称加密算法加密数据。 与RSA相比，DiffieˉHellman的优势之一是每次交换密钥时都使用一组新值，而使用RSA算法时，如果攻击者获得了私钥，那么他不仅能解密之前截获的消息，还能解密之后的所有消息。然而，RSA可以通过认证（如使用X.509数字证书）来防止中间人攻击，但Diff ieˉHellman在应对中间人攻击时非常脆弱。 6算法区别 非对称加密算法与对称加密算法的区别 首先，用于消息解密的密钥值与用于消息加密的密钥值不同; 其次，非对称加密算法比对称加密算法慢数千倍，但在保护通信安全方面，非对称加密算法却具有对称密码难以企及的优势。 为说明这种优势，使用对称加密算法的例子来强调： Alice使用密钥K加密消息并将其发送给Bob，Bob收到加密的消息后，使用密钥K对其解密以恢复原始消息。这里存在一个问题，即Alice如何将用于加密消息的密钥值发送给 Bob?答案是，Alice发送密钥值给Bob时必须通过独立的安全通信信道（即没人能监听到该信道中的通信）。 这种使用独立安全信道来交换对称加密算法密钥的需求会带来更多问题： 首先，有独立的安全信道，但是安全信道的带宽有限，不能直接用它发送原始消息。 其次，Alice和Bob不能确定他们的密钥值可以保持多久而不泄露（即不被其他人知道）以及何时交换新的密钥值 当然，这些问题不只Alice会遇到，Bob和其他每个人都会遇到，他们都需要交换密钥并处理这些密钥管理问题（事实上，X9.17是一项DES密钥管理ANSI标准[ANSIX9.17]）。如果Alice要给数百人发送消息，那么事情将更麻烦，她必须使用不同的密钥值来加密每条消息。例如，要给 非对称加密算法 200个人发送通知，Alice需要加密消息200次，对每个接收方加密一次消息。显然，在这种情况下，使用对称加密算法来进行安全通信的开销相当大。 非对称加密算法的主要优势就是使用两个而不是一个密钥值:一个密钥值用来加密消息，另一个密钥值用来解密消息。这两个密钥值在同一个过程中生成，称为密钥对。用来加密消息的密钥称为公钥，用来解密消息的密钥称为私钥。用公钥加密的消息只能用与之对应的私钥来解密，私钥除了持有者外无人知道，而公钥却可通过非安全管道来发送或在目录中发布。 Alice需要通过电子邮件给Bob发送一个机密文档。首先，Bob使用电子邮件将自己的公钥发送给Alice。然后Alice用Bob的公钥对文档加密并通过电子邮件将加密消息发送给Bob。由于任何用Bob 的公钥加密的消息只能用Bob的私钥解密，因此即使窥探者知道Bob的公钥，消息也仍是安全的。Bob在收到加密消息后，用自己的私钥进行解密从而恢复原始文档。 from:http://baike.baidu.com/view/1490349.htm

对称加密算法

对称加密算法是应用较早的加密算法，技术成熟。在对称加密算法中，数据发信方将明文（原始数据）和加密密钥（mi yao）一起经过特殊加密算法处理后，使其变成复杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密，这就要求解密方事先必须知道加密密钥。 简介 对称加密(也叫私钥加密)指加密和解密使用相同密钥的加密算法。有时又叫传统密码算法，就是加密密钥能够从解密密钥中推算出来，同时解密密钥也可以从加密密钥中推算出来。而在大多数的对称算法中，加密密钥和解密密钥是相同的，所以也称这种加密算法为秘密密钥算法或单密钥算法。它要求发送方和接收方在安全通信之前，商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意味着任何人都可以对他们发送或接收的消息解密，所以密钥的保密性对通信性至关重要。 2特点 对称加密算法的特点是算法公开、计算量小、加密速度快、加密效率高。 不足之处是，交易双方都使用同样钥匙，安全性得不到保证。此外，每对用户每次使用对称加密算法时，都需要使用其他人不知道的惟一钥匙，这会使得发收信双方所拥有的钥匙数量呈几何级数增长，密钥管理成为用户的负担。对称加密算法在分布式网络系统上使用较为困难，主要是因为密钥管理困难，使用成本较高。而与公开密钥加密算法比起来，对称加密算法能够提供加密和认证却缺乏了签名功能，使得使用范围有所缩小。在计算机专网系统中广泛使用的对称加密算法有DES和IDEA等。美国国家标准局倡导的AES即将作为新标准取代DES。 3具体算法 DES算法，3DES算法，TDEA算法，Blowfish算法，RC5算法，IDEA算法。 4原理应用 对称加密算法的优点在于加解密的高速度和使用长密钥时的难破解性。假设两个用户需要使用对称加密方法加密然后交换数据，则用户最少需要2个密钥并交换使用，如果企业内用户有n个，则整个企业共需要n×(n-1) 个密钥，密钥的生成和分发将成为企业信息部门的恶梦。对称加密算法的安全性取决于加密密钥的保存情况，但要求企业中每一个持有密钥的人都保守秘密是不可能的，他们通常会有意无意的把密钥泄漏出去——如果一个用户使用的密钥被入侵者所获得，入侵者便可以读取该用户密钥加密的所有文档，如果整个企业共用一个加密密钥，那整个企业文档的保密性便无从谈起。DESCryptoServiceProvider RC2CryptoServiceProvider RijndaelManaged TripleDESCryptoServiceProvider //例加密文本文件(RijndaelManaged ) byte[] key = { 24, 55, 102,24, 98, 26, 67, 29, 84, 19, 37, 118, 104, 85, 121, 27, 93, 86, 24, 55, 102, 24,98, 26, 67, 29, 9, 2, 49, 69, 73, 92 }; byte[] IV ={ 22, 56, 82, 77, 84, 31, 74, 24,55, 102, 24, 98, 26, 67, 29, 99 }; RijndaelManaged myRijndael = new RijndaelManaged(); FileStream fsOut = File.Open(strOutName, FileMode.Create,FileAccess.Write);//strOutName文件名及路径 FileStream fsIn = File.Open(strPath, FileMode.Open,FileAccess.Read); CryptoStream csDecrypt=new […]

不对称加密算法

不对称加密算法使用两把完全不同但又是完全匹配的一对钥匙—公钥和私钥。在使用不对称加密算法加密文件时，只有使用匹配的一对公钥和私钥，才能完成对明文的加密和解密过程。 加密原理 加密明文时采用公钥加密，解密密文时使用私钥才能完成，而且发信方（加密者）知道收信方的公钥，只有收信方（解密者）才是唯一知道自己私钥的人。不对称加密算法的基本原理是，如果发信方想发送只有收信方才能解读的加密信息，发信方必须首先知道收信方的公钥，然后利用收信方的公钥来加密原文；收信方收到加密密文后，使用自己的私钥才能解密密文。显然，采用不对称加密算法，收发信双方在通信之前，收信方必须将自己早已随机生成的公钥送给发信方，而自己保留私钥。由于不对称算法拥有两个密钥，因而特别适用于分布式系统中的数据加密。广泛应用的不对称加密算法有RSA算法和美国国家标准局提出的DSA。以不对称加密算法为基础的加密技术应用非常广泛。 2与对称加密的比较 与对称加密算法的不同 与对称加密算法不同，非对称加密算法需要两个密钥：公开密钥（publickey）和私 有 密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加 密，只有用对应的私有密钥才能解密；因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。 非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的信息进行解密。甲方只能用其专用密钥解密由其公用密钥加密后的任何信息。 非对称加密算法的保密性比较好，它消除了最终用户交换密钥的需要，但加密和解密花费时间长、速度慢，它不适合于对文件加密而只适用于对少量数据进行加密。 经典的非对称加密算法如RSA算法等安全性都相当高 对称加密 对称加密算法是应用较早的加密算法，技术成熟。在对称加密算法中，数据发信方将明文（原始数据）和加密密钥一起经过特殊加密算法处理后，使其变成复杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密，这就要求解密方事先必须知道加密密钥。对称加密算法的特点是算法公开、计算量小、加密速度快、加密效率高。不足之处是，交易双方都使用同样钥匙，安全性得不到保证。此外，每对用户每次使用对称加密算法时，都需要使用其他人不知道的惟一钥匙，这会使得发收信双方所拥有的钥匙数量成几何级数增长，密钥管理成为用户的负担。对称加密算法在分布式网络系统上使用较为困难，主要是因为密钥管理困难，使用成本较高。在计算机专网系统中广泛使用的对称加密算法有DES、IDEA和AES。 DES 传统的DES由于只有56位的密钥，因此已经不适应当今分布式开放网络对数据加密安全性的要求。1997年RSA数据安全公司发起了一项“DES挑战赛”的活动，志愿者四次分别用四个月、41天、56个小时和22个小时破解了其用56位密钥DES算法加密的密文。即DES加密算法在计算机速度提升后的今天被认为是不安全的。 AES AES是美国联邦政府采用的商业及政府数据加密标准，预计将在未来几十年里代替DES在各个领域中得到广泛应用。AES提供128位密钥，因此，128位AES的加密强度是56位DES加密强度的1021倍还多。假设可以制造一部可以在1秒内破解DES密码的机器，那么使用这台机器破解一个128位AES密码需要大约149亿万年的时间。（更深一步比较而言，宇宙一般被认为存在了还不到200亿年）因此可以预计，美国国家标准局倡导的AES即将作为新标准取代DES。 from:http://baike.baidu.com/view/7595.htm

System.Security.Cryptography 命名空间

System.Security.Cryptography 命名空间提供加密服务，包括安全的数据编码和解码，以及许多其他操作，例如散列法、随机数字生成和消息身份验证。 有关更多信息，请参见加密服务。 类 类 说明 Aes 表示高级加密标准 (AES) 的所有实现都必须从中继承的抽象基类。 AesCryptoServiceProvider 使用高级加密标准 (AES) 算法的加密应用程序编程接口 (CAPI) 实现来执行对称加密和解密。 AesManaged 提供高级加密标准 (AES) 对称算法的托管实现。 AsnEncodedData 表示 Abstract Syntax Notation One (ASN.1) 编码数据。 AsnEncodedDataCollection 表示 AsnEncodedData 对象的集合。 此类不能被继承。 AsnEncodedDataEnumerator 提供在 AsnEncodedDataCollection 对象中导航的能力。 此类不能被继承。 AsymmetricAlgorithm 表示所有非对称算法的实现都必须从中继承的抽象基类。 AsymmetricKeyExchangeDeformatter 表示所有非对称密钥交换反格式化程序均从中派生的基类。 AsymmetricKeyExchangeFormatter 表示所有非对称密钥交换格式化程序均从中派生的基类。 AsymmetricSignatureDeformatter 表示所有不对称签名反格式化程序实现均从中派生的抽象基类。 AsymmetricSignatureFormatter 表示所有不对称签名格式化程序实现均从中派生的基类。 CngAlgorithm 封装加密算法的名称。 CngAlgorithmGroup 封装加密算法组的名称。 CngKey 定义与下一代加密技术 (CNG) 对象一起使用的密钥的核心功能。 CngKeyBlobFormat 指定与 Microsoft 下一代加密技术 (CNG) 对象一起使用的密钥 BLOB 格式。 CngKeyCreationParameters 包含密钥创建的高级属性。 CngPropertyCollection 提供下一代加密技术 (CNG) 属性的强类型集合。 CngProvider 封装与下一代加密技术 (CNG) 对象一起使用的密钥存储提供程序 (KSP) 的名称。 CngUIPolicy 为用户界面 (UI) 封装可选配置参数，当您访问受保护的密钥时，下一代加密技术 (CNG) 将显示这些配置参数。 CryptoAPITransform 执行数据的加密转换。 此类不能被继承。 CryptoConfig 访问加密配置信息。 CryptographicAttributeObject […]