信息安全与数据安全是当今社会中不可或缺的技术领域，它们保障了个人隐私、企业数据以及国家安全不受到威胁。OWASP（开放式Web应用程序安全项目）是一个全球性的非盈利组织，致力于改进软件的安全性。2016年6月，OWASP发布了一份关于加密攻击的文档，这份文档聚焦于加密实现中的实际攻击，分析了近年来现实世界中出现的多种加密攻击手段，如Bleichenbacher攻击、padding oracle攻击以及Invalid Curve攻击等。同时，文档还提供了一系列针对这些攻击的对策和建议。
加密攻击是信息安全领域中的一大挑战，它们通常涉及破坏加密系统，窃取、篡改或破坏加密数据。加密攻击的成功与否往往依赖于攻击者对加密算法的理解和实现的弱点。比如，Bleichenbacher攻击就是一种针对RSA加密系统的攻击方式，它利用了PKCS#1标准中的一些缺陷进行攻击。攻击者通过分析加密消息的错误信息，可以推断出加密的原始信息，使得原本安全的加密系统变得易于破解。由于这种攻击的普遍性和危害性，相应的标准也进行了更新，提出了使用RSA-OAEP (Optimal Asymmetric Encryption Padding) 替代旧版的PKCS#1 v1.5。
padding oracle攻击则是一种针对加密通信中的填充错误的攻击方式。在某些加密算法中，为了使数据长度符合加密要求，会添加一些随机的填充字节。如果攻击者能够观察到当添加了特定填充字节时系统的反应（比如错误消息），那么攻击者就可能推断出这些填充字节，进而推断出加密数据的结构。这种攻击方式尤其在SSL/TLS协议的实现中被发现过，导致了很多应用和服务需要更新以修补此类漏洞。
Invalid Curve攻击则是一种针对椭圆曲线密码学(ECC)实现的攻击方式。攻击者利用某些实现对曲线参数选择不当或验证不严的问题，可以减少求解离散对数问题的难度，进而破解加密。
在面对这些攻击时，文档提出了若干应对策略，比如：
1. 使用RSA-OAEP作为RSA加密的标准模式，它比PKCS#1 v1.5更安全，提供了更强的防御能力。
2. 对解密后的填充进行校验。如果填充不正确，则返回一个随机结果，而不是错误信息，从而使得攻击者无法利用错误信息进行攻击。
3. 在设计加密算法实现时，确保所有的输入都经过严格的验证。比如，在处理椭圆曲线加密时，应确保输入点是在正确的有限域内。
4. 应用多种加密技术组合使用的混合加密方式，比如在XML加密中使用RSA PKCS#1 v1.5进行密钥加密，AES 128位加密用于消息本身。这样即使攻击者破解了其中一个加密，另一层加密仍然能提供保护。
OWASP的这份文档不仅仅关注加密攻击的理论分析，还着眼于实际应用中的安全事件检测，以及如何对抗黑色产业对加密系统的威胁。文档中还提到，安全人才的培养和工控安全（工业控制系统的安全）也是当前信息安全领域需要重点关注的方向。
通过这份文档，我们可以看到信息安全领域的深入研究，以及面对日益增长的网络威胁，业界不断更新的安全技术和应对策略。同时，也反映出了当前安全领域对于人才的需求，特别是在数字取证、应用审计、事件检测和威胁检测等领域需要更多的专业人才。安全体系的构建需要从多个角度进行考虑，不仅仅限于技术层面，更包括管理和人才的培养。
