安全专家Soatok撰文反驳关于NSA和NIST的密码学阴谋论

作者：Soatok 发布日期：2026年10月29日

这段对话每天都会上演几百次，但（谢天谢地）其中只有少数几次和我有关：

如今关于NSA和/或NIST的阴谋论比比皆是。而且，自2013年斯诺登泄密事件以来，我在政治立场上倾向于整体上不信任美国政府。

但人们阴谋论中的大多数技术论证根本狗屁不通。

这种不信任并不只针对美国政府。

这篇博文的目的不是说服你去信任任何政府，而只是想说明它们并非魔法般无所不能、无所不知。

为此，我将探讨NSA、NIST以及密码学标准化的部分历史。然后，梳理围绕这些活动流传过的一些阴谋论，以及这些年来（尤其是过去一个月里）我们了解到的情况。最后，我会审视今天在论坛和社交媒体上流传的一些阴谋论，并解释为什么它们几乎肯定是错的。

系好安全带，这会是一篇冗长的文章。

如果你发现自己问出这样的问题，正确的答案很简单：“你不应该。”

毕竟，我从未持有（更不用说申请过）安全许可，也无法接触任何非公开信息。我也不是现任或前任政府雇员，也无意成为其中一员。我能接触到的事实，和其他任何人能接触到的一模一样。

平心而论，在“谁信任谁”这场竞赛中，我没有任何立场。我只是厌倦了整天听到同样那些推理拙劣的论点，希望遇到时不必再重复自己。

顺便说一下，本文的来源是已解密的美国参议院情报特别委员会文件和美国密码学历史资料。

数据加密标准（DES）于1975年在《联邦公报》上公布，随后于1977年成为标准。

如今我们认为它很弱，但DES在当时是真正的颠覆性创新：它为敏感（但非机密）的商业应用提供了一个标准的块密码。在DES之前，密码学的历史在很大程度上是关于军事用途的（除了零星几位古怪的数学家），可以追溯到凯撒密码之前。

从解密文件中，我们现在知道了完整的故事，但从DES首次标准化之时起，直到近年，一直存在对NSA参与其中的担忧。

我们把S盒送到华盛顿。它们回来时全都变了样。

说学术界不信任DES，那是轻描淡写：Martin Hellman（他与Whitfield Diffie和Ralph Merkle共同发明了公钥密码学）在1975年致信美国国家标准局，信中写道：

Whit Diffie和我开始担心，拟议的数据加密标准虽然可能抵御商业攻击，但可能极易受到情报机构的攻击。

对DES担忧的核心是一种叫做S盒的东西，它简单地将输入映射到输出，但其作用是提供非线性变换，以掩盖密文与密钥之间的关系。

DES使用的S盒是由NSA选定的。这导致很多人怀疑DES的S盒选择中藏有后门。当然，结果恰恰相反：NSA秘密发现了差分密码分析，并选择了能抵抗这种技术的S盒，但不想公开透露（以免失去对竞争对手国家的优势）。

这个故事还有很多细节，我不想让任何人感到无聊，所以如果你对此感兴趣，我建议去读读密码学和密码分析的历史。

平心而论，在NSA的建议下，最终的DES设计只提供了56位的安全性（低于最初128位的密钥长度）。这个短密钥最终让EFF在1998年以约25万美元的硬件成本破解了DES。

当IBM在NSA的反馈下设计DES时，其声明的用途是在美国用于商业密码应用。

事实：NSA利用秘密的密码分析能力，确保最终成为DES的块密码能够抵御他们所知道的攻击，同时不透露该技术。

事实：NSA建议将密钥长度从128位减少到64位（其中8位作为奇偶校验位，因此只有56位的安全性）。

这在不同方面既增强了又削弱了DES。截至2012年，56位密钥可以在24小时内通过分布式计算 effort 被破解。

这令人困惑，直到你想起NSA有两个相互对立的任务，不幸的是，它们用军事术语命名。

COMSEC人员负有保护美国政府、维护美国利益（即私营部门）的使命。

SIGINT人员负有代表美国监视其他国家的使命。

理论上，SIGINT人员根本不应该监视美国人。实践中，他们的五眼联盟伙伴给了他们一个愚蠢的漏洞：盟国可以简单地替他们进行监视，只要联邦检察官愿意进行一点平行构建。

注意前面链接的维基百科页面中关于DEA的部分。

你不能信任政府，但如果你了解每个部门运作所依据的使命，你就能理解他们的激励结构。了解他们的激励结构能让你推断他们的实际活动——或者，如果做不到这一点，就创造出具有连贯叙事的阴谋论。

COMSEC使命可以与S盒的强化有关；SIGINT使命则与较弱的密钥长度有关。

好吧，DES这件事是一团乱麻。让我们看一个NSA明显站在隐私对立面的例子。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）