互联网是一项惊人的发明。我们惊叹于它如何将人与人联系起来，将思想联系起来，使世界变得更小。但互联网并不完美。它是通过公共资助的研究、私人投资和有机增长拼凑起来的，给我们留下了一幅不完美的挂毯。它也在发展。人们不断地开发创造性的应用程序，并为现有的互联网技术寻找新的用途。像隐私和安全这样的问题在互联网早期是事后考虑的问题，现在变得极其重要。人们正在被跟踪和赚钱，网站和网络服务正在以有趣的新方式受到攻击，而建立在互联网上的基本信任体系正在显示出老化的迹象。互联网需要升级，其中一个可以让事情变得更好的工具是密码学。每一个本周的某一天，Cloudflare将宣布对一种新技术的支持，该技术使用加密技术使互联网变得更好（提示：订阅博客以确保您不会错过任何新闻）。我们本周宣布的所有内容都是免费使用的，为支持新功能或结构加固提供了有意义的一步。那我们为什么要这么做？因为这对用户和互联网都有好处。欢迎来到加密周！第1天：分布式Web网关Cloudflare走向星际-引入Cloudflare的IPFS网关端到端完整性第2天：DNSSECExpanding DNSSEC采用第3天：RPKIRPKI-需要对BGP routingRPKI和BGP进行加密升级：我们的互联网路由安全之路第4天：洋葱路由引入Cloudflare洋葱服务第五天：粗糙时间：使用数字签名确保时间安全更可靠的互联网我们在网上做的一切都取决于用户、服务和网络之间的关系，而这种关系是由某种信任机制支持的。这些关系可以是物理关系（我把我的路由器插入你的），契约关系（我为这个域名向注册商付费），或者依赖可信的第三方（我通过苹果向我的朋友发送了一条消息）。访问一个网站的简单行为涉及数百种信任关系，有些是显性的，有些是隐性的。互联网的巨大规模和参与方的数量使得网络信任变得异常复杂。密码学是一种可以用来编码和执行的工具，最重要的是扩展这些信任关系。到举例说明一下，让我们来分析一下当你访问一个网站时会发生什么。但在我们做这件事之前，我们需要知道行话。自主系统（大约10万个活动）：AS对应于连接到Internet的网络提供商。每个都有一个唯一的自治系统号（ASN）。IP范围（大约100万个）：每个AS都分配了一组称为IP地址的数字。当连接到Internet上的其他网络时，AS可以使用这些IP地址中的每一个来标识其网络上的计算机。这些地址由区域互联网注册中心（RIR）分配，其中有5个。从一个IP地址发送到另一个IP地址的数据根据一个IP地址到另一个IP地址的"路由"跳到另一个IP地址BGP.域名称（>10亿）：域名是与互联网服务相对应的人类可读名称（如"cloudflare.com网站"或"mail.google.com"). 这些互联网服务是通过互联网连接到他们的IP地址来访问的，这个地址可以通过域名系统（DNS）从他们的域名中获得。内容（无限）：互联网的主要使用情况是使特定的数据从网络上的一点传输到另一点。此数据可以是任何形式或类型。什么时候您键入的网站如blog.cloudflare.com在你的浏览器中，会发生很多事情。首先，联系一个（递归）DNS服务来获取站点的IP地址。此DNS服务器由ISP在连接到Internet时配置，也可以是公共服务，如1.1.1.1或8.8.8.8。对DNS服务的查询沿着BGP公告确定的路径从一个网络传递到另一个网络。如果递归DNS服务器不知道查询的答案，那么它将联系相应的权威DNS服务，从根DNS服务器开始，一直到顶级域服务器（如com或org），再到对该域具有权威性的DNS服务器。一旦DNS查询得到应答，浏览器将向其IP地址发送一个HTTP请求（遍历一系列网络），作为响应，服务器发送网站。所以这张照片有什么问题？首先，为了信任站点的内容，每个DNS查询和每个网络跃点都需要被信任。任何DNS查询都可以修改，一个网络可以公布属于另一个网络的IP，而路径上的任何机器都可以修改内容。当互联网还很小的时候，就有了对付这种诡计的机制。网络运营商之间有着私人关系，可以对不良行为进行惩罚，但考虑到截至本周已存在的网络数量近40万个，这变得很难做到规模。密码学是一个可以编码这些信任关系并使整个系统依赖于硬数学而不是物理握手的工具以及希望。建筑加密技术提供的两个主要工具是加密哈希和数字签名。哈希函数是获取任何数据并将其转换为固定长度的数据字符串的一种方法，称为摘要或哈希。如果哈希函数在计算上不可行（读：很难）找到两个导致相同摘要的输入，并且即使更改输入的一个位也会导致完全不同的摘要，则认为哈希函数在密码学上是强的。最流行的被认为是安全的散列函数是SHA-256，它有256位的输出。例如，单词"crypto"的SHA-256散列为a2f073e06f78938166f247273729dfe465bf7e46105c13ce7cc651047bf0ca4"crypt0"的SHA-256散列是7ba359d3742595f38347a0409331ff3c8f3c91ff855ca277cb8f1a3a0c829c4另一个主要工具是数字签名。数字签名是一个只有拥有私钥的人才能计算出来的值，但是任何拥有相应公钥的人都可以验证这个值。数字签名是私钥持有者"签名"或以任何人都可以验证的方式证明特定消息的真实性它。这些两种工具可以结合起来巩固互联网上的信任关系。通过向负责定义ASs、ip、域名和内容之间关系的受信任方提供私钥，可以创建可公开验证的信任链。而不是希望和祈祷，这些关系可以在秤。让以我们的网页加载为例，看看数字签名在哪里已应用。路由. 有时限的信任委托是通过一个名为RPKI的系统定义的。RPKI定义了一个称为资源证书的对象，它声明给定的IP范围在这段时间内属于特定的ASN，由负责分配IP范围的RIR数字签名。网络通过BGP共享路由，如果一个路由被通告为不符合资源证书的IP，网络可以选择不接受it.DNS. 向路由中添加加密保证功能强大，但如果网络对手可以更改数据的内容（如DNS响应），则系统仍处于危险之中。DNSSEC是一个在名称和IP地址之间提供可信链接的系统。DNSSEC中信任的根是DNS根密钥，它通过精心设计的签名进行管理仪式.HTTPS. 当您连接到一个站点时，您不仅希望它来自正确的主机，还希望内容是私有的。webpki是一个向站点颁发证书的系统，允许您将域名绑定到有时间限制的私钥上。因为有许多CA，所以需要包括额外的责任系统，如证书透明性，以帮助保持系统的正常运行检查一下。这个密码脚手架将互联网变成一个编码的信任系统。有了这些系统，互联网用户不再需要信任这个图表中涉及的每一个网络和各方，他们只需要信任RIR、DNSSEC和CAs（并且知道正确的时间）。本周我们将发布一些公告，帮助加强这一问责体系。私密性和朋友的诚信互联网之所以伟大，是因为它把我们联系在一起，但它如何连接我们的细节却很重要。互联网设计时的技术选择伴随着一些有趣的人类暗示。一可追踪性就是暗示。你的IP地址包含在你通过互联网发送的每个数据包中。它可以作为任何人（公司、政府等）的唯一标识符来跟踪你在网上做什么。此外，如果您连接到一个服务器，该服务器的身份将在请求时以明文形式发送，甚至可以通过HTTPS发送，从而将您的浏览模式透露给任何关心的中介看，又一个含义是延展性。因特网上的资源是由它们在哪里定义的，而不是它们是什么。如果你想上CNN或BBC，那么你可以连接到美国有线电视新闻网或者英国广播公司并验证证书以确保它是正确的站点。但是一旦你建立了联系，就没有什么好办法知道实际内容是你所期望的。如果服务器被黑客攻击，它会向你发送任何信息，包括危险的恶意代码。HTTPS是一个安全的管道，但是没有固有的方法来确保通过管道发送的内容是您的期望。可追踪性延展性并不是互联性的固有特征。设计没有这些缺点的网络是可能的。在现有互联网的基础上，还可以建立具有更好特性的新网络。关键因素是密码学。跟踪-弹性网络建立在互联网之上的一种网络，提供良好的