为何非正式证明还不够
学习由细微缺陷导致的协议失败案例（Needham-Schroeder、WEP）
为何非正式证明还不够 是 CoddyKit 上的免费 Cryptology Academy 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cryptology Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cryptology Academy 课程共包含 4 节课。
设计与安全之间的差距
协议设计者经常提出非形式化的安全论证——通过文字推理说明攻击者为何无法成功。历史表明，即使是专家设计的协议，这类论证也经常出错。
Needham-Schroeder 协议的失败
Needham-Schroeder（1978 年）旨在实现双向认证。1995 年，Gavin Lowe 使用自动化验证发现了一种中间人攻击，距离该协议发布已过去 17 年。非形式化证明遗漏了一次隐蔽的重放攻击。
WEP：非形式化安全与灾难性现实
WEP 于 1997 年获得 IEEE 批准，并提出了非形式化的安全声明。到 2001 年，研究人员发现了 RC4 密钥流重复使用、IV 冲突和缺乏完整性保护等问题，并在几分钟内攻破了它。非形式化推理完全遗漏了这些问题。
复杂性问题
协议安全性取决于许多并发会话、主动攻击者和密码学假设之间的交互。面对状态爆炸和交错的并发执行，人类推理很难应对。
形式化验证提供什么
形式化方法会对协议建立数学模型，并针对所有可能的攻击者策略证明或否证安全属性（保密性、认证、前向保密），而不仅仅是设计者考虑过的策略。
符号模型与计算模型
符号模型（Dolev-Yao）：将密码学视为完美的黑盒，重点关注协议逻辑。计算模型：使用实际的概率安全博弈，更接近现实世界的安全保证。两者都能发现真实错误。
SSL 3.0 / POODLE 漏洞
POODLE（2014 年）利用了 SSL 3.0 CBC 中的填充预言机。该漏洞是协议层面的设计缺陷，而不是实现错误。若在部署前对 SSL 3.0 规范进行形式化分析，就会发现这个预言机。
TLS 1.3：经过形式化验证的设计
TLS 1.3（RFC 8446）在使用 ProVerif 和 miTLS 进行形式化分析的同时完成设计。规范根据形式化分析结果反复迭代，这是标准组织采用形式化方法的里程碑。
形式化验证的范围
形式化工具验证的是协议模型，而不是实现。经过形式化验证的协议，其实现仍可能不安全。F* / HACL* 将验证范围扩展到了密码学代码本身。
成本与收益
形式化验证成本高昂：协议建模需要数周时间，并且需要专业知识。但对于高价值目标（TLS、SSH、Signal）而言，这项成本是值得的——一个协议缺陷就可能影响数十亿用户。
知识检查
Lowe 在 1995 年发现 Needham-Schroeder 攻击的重要意义是什么？
课程回顾
非形式化证明会失败，是因为人类推理容易遗漏并发会话之间的交互以及攻击者的策略。Needham-Schroeder、WEP 和 POODLE 都曾有非形式化的安全论证。TLS 1.3 在设计期间纳入了形式化分析。形式化工具能够在部署前发现协议层面的错误。
常见问题解答
「为何非正式证明还不够」课时是免费的吗？
是的 — 「为何非正式证明还不够」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cryptology Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cryptology Academy 课程共包含 4 节课。
「为何非正式证明还不够」这节课中我会学到什么？
学习由细微缺陷导致的协议失败案例（Needham-Schroeder、WEP） 你通过在浏览器中直接运行的动手代码来练习 Cryptology Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cryptology Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cryptology Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。
「为何非正式证明还不够」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cryptology Academy 课中编写并运行代码吗？
能。每节 Cryptology Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。