Web

世界上有两种密码：一种是防止你的小妹妹偷看你的文件；另一种是防止当局阅读你的文件。

—— Bruce Schneier《应用密码学》
传说中的 “明文密码” 有两种形式：明文传输和明文存储。明文传输的密码不一定明文存储，明文存储的密码也不一定明文传输。去年沸沸扬扬的明文密码事件，就是密码明文存储，网站的数据库一旦被窃取，用户的密码也就随之失窃了。密码明文传输也是非常危险的，网络中的很多位置都可能安装有嗅探装置，明文传输的密码对这些嗅探者来说也就无密可言了。本文关注的是密码传输中的安全问题。

什么是 “明文”？如果密码以 ASCII 字符的形式直接发出去，对任何人来说这都是明文；如果密码用 base64 编码一下（例如 123456 经过 base64 编码就是 MTIzNDU2），对多数人来说这也许是密文，而对任何专业程序员来说就是明文。有些人认为，把“加密”算法弄得复杂些，再用代码混淆工具弄乱，就没人能分析出来了。这样的做法叫做隐藏，而不是安全，属于防止小妹妹偷看文件的级别。真正的安全依赖于公开的、被广泛使用的密码学算法，靠密钥而不是算法本身来保证安全。

可惜，密码学算法和协议并不是随便拼凑起来就安全的。