35、密码学：从政策法规到恶意软件的多面剖析

密码学：从政策法规到恶意软件的多面剖析

1. 美国密码学出口政策的演变

美国政府对密码学出口的态度经历了逐步的转变，而非一蹴而就的放松。以下是其主要的发展历程：
- 早期尝试 ：1992 年，40 位的 RC2 和 RC4 可用于出口，且不再由国务院管理，转而由商务部负责。当网景公司开发 SSL 时，促使对密码学出口法律进行重新审视。美国版使用 1024 位及更大密钥的 RSA 以及 3DES 或 128 位的 RC3，而国际版则使用 40 位的 RC4。
- 法律挑战与重新思考 ：20 世纪 90 年代初，密码学出口规则面临各种法律挑战。电子商务和网上银行的发展也要求对这些出口法律进行重新思考。
- 政策放松 ：1996 年，比尔·克林顿总统签署行政命令，将商业密码学从弹药清单中移除，视为标准商业活动。1999 年，法规进一步放松，允许出口 56 位对称密钥（DES）和 1024 位 RSA。
- 豁免情况 ：目前，某些技术可免于任何出口管制，如专门为医疗用途设计的软件或硬件，以及专门用于版权或知识产权保护的密码学。

一般而言，从美国向其他国家出口密码学产品需要获得美国商务部的许可证。而且，这些限制在很大程度上已经放宽。例如，迈克菲的数据保护套件（包含加密功能）已获得美国商务部的“ENC/无限制”许可证例外。

不过，在出口包含密码学功能的软件时，务必与本国相应的政府机构核实。例如，2014 年，英特尔子公司风河系统公司因向包括中国、俄罗斯和以色列在内的多个国家出口加密技术而被罚款 75 万