《RSA非对称加密的一些非常规应用》的评论 http://huaidan.org/archives/1381.html 关注网络安全 Sat, 04 Feb 2012 06:18:55 +0000 hourly 1 http://wordpress.org/?v=3.3.1 作者：excelsight http://huaidan.org/archives/1381.html/comment-page-1#comment-14618 excelsight Tue, 02 Feb 2010 15:57:33 +0000 #comment-14618 首先，我在http://mail.icylife.net/publickey.txt存放我的公钥文件，私钥自己保存好。然后对邮件服务器进行一些改进，对于本域发出去的所有邮件，包括邮件正文和接受者一起做一个签名，把签名附在邮件中一起发出去。而 mail.ph4nt0m.org域中的邮件服务器在接收邮件时，从http://mail.icylife.net/publickey.txt取得我的公钥，对签名进行验证，如果签名不对，马上提示用户遭受源域名伪造攻击。对于攻击者来说，他没有我的私钥，是不可能伪造出同样的签名的。 提个问题：有人自己架设了mail服务器，伪装成 webmaster@icylife.net给webmaster@ph4nt0m.org发邮件，他的邮件里没有签名，也没有提供链接http://mail.icylife.net/publickey.txt，那么接收者既不知道该邮件应该提供公钥链接，也不知道必须用公钥验证签名，那么是否他还是可以得逞？ 首先，我在http://mail.icylife.net/publickey.txt存放我的公钥文件，私钥自己保存好。然后对邮件服务器进行一些改进，对于本域发出去的所有邮件，包括邮件正文和接受者一起做一个签名，把签名附在邮件中一起发出去。而 mail.ph4nt0m.org域中的邮件服务器在接收邮件时，从http://mail.icylife.net/publickey.txt取得我的公钥，对签名进行验证，如果签名不对，马上提示用户遭受源域名伪造攻击。对于攻击者来说，他没有我的私钥，是不可能伪造出同样的签名的。

提个问题：有人自己架设了mail服务器，伪装成 webmaster@icylife.net给webmaster@ph4nt0m.org发邮件，他的邮件里没有签名，也没有提供链接http://mail.icylife.net/publickey.txt，那么接收者既不知道该邮件应该提供公钥链接，也不知道必须用公钥验证签名，那么是否他还是可以得逞？

]]>