她是美國最想挖走的中國人！美國專家見他畢恭畢敬，國人十萬知一

|議史紀(jì)

編輯|議史紀(jì)

“你知道是誰先把國際主流加密算法打出漏洞的嗎？”

這個(gè)人不是美國人，也不是哪家跨國公司的首席科學(xué)家，而是一個(gè)來自山東小城的中國女?dāng)?shù)學(xué)家。

在美國的密碼學(xué)圈子里，她的名字被寫進(jìn)教材，被印在頂級會(huì)議論文里，研究者談到特定攻擊方法，干脆直接叫“Wang 攻擊”。

從山東小城到密碼學(xué)冷門

王小云出生在山東諸城，家庭很普通，父親是中學(xué)數(shù)學(xué)老師，母親在家務(wù)農(nóng)，這是公開簡歷里寫得清清楚楚的背景。

她的數(shù)學(xué)啟蒙很早就有土壤，但從現(xiàn)有材料看，她一路走來沒有“全國競賽冠軍”“少年班神童”這種標(biāo)簽。

考入山東大學(xué)數(shù)學(xué)系后，她走的是一條在當(dāng)時(shí)看來再正常不過的學(xué)術(shù)道路：讀完本科、碩士、博士，專業(yè)都在數(shù)學(xué)。她一開始做的是解析數(shù)論這種典型的基礎(chǔ)數(shù)學(xué)方向，導(dǎo)師是著名數(shù)學(xué)家潘承洞。

她 1987 年本科畢業(yè)，1990 年碩士畢業(yè)，1993 年獲博士學(xué)位，全程都在山大數(shù)學(xué)系，這是一個(gè)扎扎實(shí)實(shí)的本土培養(yǎng)過程，沒有所謂“名校跳板”的戲劇性。

變化發(fā)生在博士階段。當(dāng)時(shí)國內(nèi)信息安全、密碼學(xué)遠(yuǎn)沒有今天這么熱，既不熱門，也沒多少人能清楚說清這行是干什么的。

她在讀博后期轉(zhuǎn)向密碼學(xué)，開始做密碼分析相關(guān)的數(shù)學(xué)研究。如果站在今天回看，這是一個(gè)非常關(guān)鍵的選擇：她把自己的數(shù)學(xué)訓(xùn)練，壓在了一個(gè)當(dāng)時(shí)冷門但技術(shù)門檻極高的方向上。

密碼學(xué)聽上去很高深，其實(shí)在具體工作上極其枯燥。

王小云后來的幾次公開演講提到，她做的是對哈希函數(shù)的比特級分析，研究的是每一輪、每一位如何擴(kuò)散、如何產(chǎn)生差分路徑。

這些東西幾乎沒有什么直觀圖景，大部分時(shí)間就是公式、符號、表格，推錯(cuò)一步就要從頭再來。

她把目光盯上的是當(dāng)時(shí)全球用得最廣的哈希函數(shù)家族：以 MD4、MD5、SHA-0、SHA-1 為代表的一系列算法。

按照后來清華大學(xué)等機(jī)構(gòu)的官方介紹，她發(fā)展出一套比特級差分分析框架，能系統(tǒng)性地挖掘這些算法里的弱點(diǎn)。

在外界還普遍相信這些算法“牢不可破”的時(shí)候，她已經(jīng)在辦公室里一點(diǎn)點(diǎn)拆這堵墻的磚。

懷孕、臨產(chǎn)、坐月子都沒完全停下工作。從旁觀者視角看，這是極端密集的體力和腦力消耗，但從事實(shí)層面說，這確實(shí)是她后來能提出一整套攻擊方法的基礎(chǔ)。

長時(shí)間的手工推演，讓她摸清了這些函數(shù)內(nèi)部結(jié)構(gòu)的細(xì)節(jié)，對哪一輪、哪一位更敏感，有非常具體的把握。

美國安全部門先坐不住了

2004 年 8 月，在美國加州圣巴巴拉舉行的 CRYPTO 2004 大會(huì)上，王小云和合作者在著名的“rump session”上公開展示了對多種哈希函數(shù)的碰撞攻擊，其中包括 MD5 和 SHA-0。

國際公開資料已經(jīng)把這一幕寫進(jìn)了密碼學(xué)發(fā)展史：這是第一次真正意義上的實(shí)用性 MD5 碰撞，也是 SHA 系列首次遭遇如此強(qiáng)烈的數(shù)學(xué)攻擊。

MD5 在 1990 年代被廣泛用于數(shù)字簽名、軟件分發(fā)校驗(yàn)、認(rèn)證協(xié)議，是事實(shí)上的行業(yè)標(biāo)準(zhǔn)之一。SHA-1 則是美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）發(fā)布的安全哈希系列中的主力，被寫入聯(lián)邦信息處理標(biāo)準(zhǔn)，在大量政府和商業(yè)系統(tǒng)中使用。

那之前，業(yè)界普遍估算，想在這些函數(shù)上找到一次真正的碰撞，需要接近“2 的 80 次方”級別的運(yùn)算量，對當(dāng)時(shí)的算力來說基本等于不可能。

王小云團(tuán)隊(duì)的成果，把這個(gè)“不可能”的門檻壓到了一個(gè)理論和實(shí)踐上都無法忽視的層級。公開論文顯示，他們通過精細(xì)的差分路徑設(shè)計(jì)和消息修改技巧，把攻擊復(fù)雜度降到遠(yuǎn)低于原先安全強(qiáng)度假設(shè)的范圍。

這并不意味著任何人馬上就能用一臺家用電腦去偽造簽名，但在專業(yè)圈里，結(jié)論已經(jīng)足夠明確：舊的安全線被踩到了。

NIST 在 2005 年正式發(fā)布通告，承認(rèn) SHA-1 的碰撞安全性受到嚴(yán)重威脅，并在 2006 年要求盡快過渡到更安全的 SHA-2 家族，后來又組織了為期數(shù)年的新一代哈希標(biāo)準(zhǔn)甄選，最終選出了基于 Keccak 的 SHA-3。

這一整套動(dòng)作，和對 MD5 與 SHA-1 安全性研究的累積有關(guān)，其中王小云團(tuán)隊(duì)在 2004 年、2005 年的工作，是繞不開的節(jié)點(diǎn)。國際安全工程著作和教學(xué)材料里，都把“Wang 等人在 2004 年打破 MD5”“降低 SHA-1 碰撞復(fù)雜度”寫成重要時(shí)間點(diǎn)。

技術(shù)社區(qū)內(nèi)部的反應(yīng)也很直接。安全軟件和瀏覽器廠商陸續(xù)宣布，不再接受基于 MD5 的證書簽名，后來也逐步淘汰了 SHA-1。

在這之前，很多人把這些算法看作可靠“地基”，在它們之上堆建各種應(yīng)用?，F(xiàn)在地基被證明有裂縫，再怎么補(bǔ)強(qiáng)也難以讓人安心，換一套新的基礎(chǔ)，變成不得不做的事。

在這種背景下，美國科研機(jī)構(gòu)和科技公司對王小云的興趣，很容易理解。根據(jù)多家媒體和院校介紹，在 CRYPTO 2004 之后，她和團(tuán)隊(duì)迅速成為國際密碼學(xué)會(huì)議的?？?，各種合作邀請不斷。

一些國外大學(xué)和研究機(jī)構(gòu)提出的條件，在公開報(bào)道中已經(jīng)非常直白：終身教職、獨(dú)立實(shí)驗(yàn)室、充足甚至近乎“無限”的項(xiàng)目經(jīng)費(fèi)，以及遠(yuǎn)高于國內(nèi)高校薪酬水平的待遇。對任何一位科學(xué)家來說，這都足以改變生活軌跡。

但從結(jié)果看，她并沒有接受這些邀請。2005 年，她受聘為清華大學(xué)高等研究中心“楊振寧講座教授”，轉(zhuǎn)到北京工作，此前長期在山東大學(xué)任教。

從 2000 年代中后期開始，王小云的履歷一路上升：入選中國科學(xué)院院士，獲得包括未來科學(xué)大獎(jiǎng)等在內(nèi)的重量級獎(jiǎng)項(xiàng)，在國際密碼學(xué)會(huì)的年會(huì)上拿到“最具時(shí)間價(jià)值獎(jiǎng)”這類專業(yè)圈高度認(rèn)可的榮譽(yù)

與此同時(shí)，她在工程層面的貢獻(xiàn)，也進(jìn)入了一個(gè)新的階段。官方資料顯示，她主持設(shè)計(jì)了中國的 SM3 哈希函數(shù)，這一算法 2010 年由國家商用密碼管理辦公室發(fā)布，之后先作為行業(yè)標(biāo)準(zhǔn)、再上升為國家標(biāo)準(zhǔn)，用于電子認(rèn)證等多個(gè)場景。

后來，SM3 又被國際標(biāo)準(zhǔn)化組織采納，寫進(jìn) ISO/IEC 10118-3，成為國際認(rèn)可的專用哈希函數(shù)之一。

王小云并不缺榮譽(yù)，她的職稱、獎(jiǎng)項(xiàng)和國際同行的評價(jià)，已經(jīng)說明了專業(yè)圈對她的認(rèn)可程度。就事論事地說，她不需要被包裝成“傳奇人物”，也不需要被神化。

她做的事情，本質(zhì)上是用嚴(yán)密的數(shù)學(xué)方法去驗(yàn)證和設(shè)計(jì)密碼算法，這是一個(gè)長期、艱難、但又非常具體的工作。

由于平臺規(guī)則，只有當(dāng)您跟我有更多互動(dòng)的時(shí)候，才會(huì)被認(rèn)定為鐵粉。如果您喜歡我的文章，可以點(diǎn)個(gè)“關(guān)注”，成為鐵粉后能第一時(shí)間收到文章推送。