企业官网建设流程全解析

Tang安全模型深度剖析：3大攻击路径下盲化技术为何能击败中间人攻击

【免费下载链接】tangTang binding daemon项目地址: https://gitcode.com/gh_mirrors/ta/tang

Tang 是一款无状态、零配置的加密绑定守护进程（Tang binding daemon）。本文剖析它的安全模型，带你逐一拆解3 大攻击路径，并讲清楚盲化技术（blinding）为什么能让中间人攻击彻底失效——即使 Tang 服务不使用 TLS、不要求身份认证，你的数据密钥依然安然无恙。

一分钟认识 Tang：把密钥"绑"在网络上

Tang 解决一个常见需求：你有一批加密数据，只希望它在"连接到指定网络"时才能自动解密。

传统做法是"密钥托管"（Key Escrow）：把解密密钥存到远程服务器，需要时取回。但托管服务器有状态、必须做认证、必须上 TLS，攻击面很大。

Tang 的思路完全不同：

• ✅无状态：服务器从不存储任何客户端密钥
• ✅零配置：默认监听9090端口，无需证书、无需账号
• ✅匿名：服务器拿不到任何客户端身份信息

对比一目了然：

绑定流程：Provisioning 与 Recovery 两步曲

整个协议只有两步（协议细节见 README.md 的 "Tang Protocol" 章节）：

第 1 步 配置（Provisioning）📦

1. 客户端获取 Tang 服务器公开的交换密钥（sJWK）
2. 客户端生成随机密钥对（cJWK），与服务器公钥做 ECDH 交换，得到解密密钥dJWK
3. 用dJWK加密数据后，立刻销毁dJWK和cJWK的私钥，只把cJWK公钥存在本地

第 2 步 恢复（Recovery）🔑

当机器重新连上网络，客户端发起一次带"盲化"的 ECDH 交换，让服务器帮它重建dJWK。

服务器端的核心处理在 src/tangd.c 的rec函数中：校验请求必须是 EC 类型、deriveKey用途、ECMR算法的 JWK，然后执行密钥交换返回结果；密钥文件的读取与签名查找逻辑则在 src/keys.c 中。

盲化技术：中间人看到的只是"随机噪声"

盲化是 Tang 安全模型的灵魂。恢复阶段，客户端会额外生成一个一次性临时密钥eJWK，用它把自身身份和密钥同时"搅乱"：

1. 客户端用椭圆曲线群加法算出xJWK = cJWK + eJWK，发送xJWK给服务器
2. 服务器执行 ECDH 算出yJWK = xJWK × S，返回给客户端
3. 客户端用临时密钥算出zJWK = sJWK × E，再做dJWK = yJWK − zJWK，还原出解密密钥

关键效果：请求里的xJWK和响应里的yJWK对任何人（包括服务器自己）都等同于随机数，只有持有eJWK私钥的客户端能"去盲"还原。

3 大攻击路径逐一击破 🛡️

Tang 文档明确考虑了三种攻击场景，我们逐个分析。

攻击路径 1：中间人攻击（MitM）——盲化直接获胜

听网上任何"HTTP 传输不安全"的声音都不必担心。中间人能看到的就是被eJWK盲化过的xJWK和yJWK：

• 它无法去盲（没有eJWK私钥），看到的是随机数
• 它无法伪造响应冒充服务器，因为去盲后的数学结果会对不上
• 它无法把客户端的cJWK偷梁换柱，因为盲化值对不上 ECDH 校验

📌 结论：中间人攻击在数学上失效。这正是"无 TLS、无认证"设计仍然安全的原因。

攻击路径 2：客户端被攻破，窃走 cJWK

攻击者偷到了本地保存的cJWK。此时威胁是真实的——cJWK就是"网络通行证"。

Tang 的对策是客户端责任最小化：文档建议用文件权限、SELinux 等安全框架，甚至 TPM 硬件加密来保护cJWK（参考 doc/tang.8.adoc）。好消息是，cJWK只是公钥，保护好它就是普通文件保护问题，复杂度远低于托管方案中的证书体系。

攻击路径 3：服务器被攻破，窃走 sJWK 私钥

这是最严重场景：攻击者拿到服务器私钥后，可以对任何恢复请求做密钥交换。

Tang 的防线是分层隔离：

• 密钥文件默认以 0600 权限存于/var/db/tang，生成工具 src/tangd-keygen.in 会保证权限正确（测试脚本 tests/adv 中专门校验了权限）
• 服务以最小权限运行，可配合 SELinux/HSM 硬件加密
• 定期轮换密钥是最后一道保险：用 src/tangd-rotate-keys.in 生成的轮换工具，把旧密钥加前缀.归档即可退出广告，再等新客户端全部迁移后删除

⚠️ 注意：盲化保护的是在线传输，一旦私钥落盘泄露，数学无法补救——所以密钥权限与轮换纪律比算法本身更重要。

为什么说这套安全模型"简单即安全"？

Tang 的攻击面几乎等于零：服务器不存数据、不认身份、不用大协议栈（无 TLS 就没有 Heartbleed 这类漏洞）。HTTP 解析层由独立的 src/http.c 与 src/socket.c 实现，代码量极小，便于审计。

上手体验：3 条命令跑起来

想亲手验证？仓库可以这样获取：

git clone https://gitcode.com/gh_mirrors/ta/tang cd tang && mkdir build && cd build meson setup .. --prefix=/usr && ninja

安装启用后，一条命令启动服务（首次启动自动生成签名/交换密钥）：

sudo systemctl enable tangd.socket --now

然后访问http://localhost:9090/adv获取广告签名公钥集，向/rec/{thumbprint}发起 POST 即可完成一次完整的盲化恢复。项目自带 tests/rec 等脚本覆盖 socat 与独立运行两种模式，方便复现协议测试。

总结：安全不必复杂 ✅

回到标题的答案：盲化技术让中间人看到的永远是随机数，所以 Tang 敢用裸 HTTP 依然安全。而 3 大攻击路径中，第 1 条被数学击碎，第 2、3 条被"最小化 + 权限 + 轮换"的工程纪律覆盖。

对新手来说，Tang 的价值不在于协议多花哨，而在于它示范了如何用最少的信任假设换取最强的安全边界——这也正是无状态服务设计的精髓。

【免费下载链接】tangTang binding daemon项目地址: https://gitcode.com/gh_mirrors/ta/tang