重放攻击以及防御手段
今天讨论在不使用HTTPS的情况下如何保证文本传输的安全性问题上被授课了
什么是重放攻击?
入侵者从网络上截取主机A发送给主机B的报文,并把由A加密的报文发送给B,使主机B误以为入侵者就是主机A,然后主机B向伪装成A的入侵者发送应当发送给A的报文。
防御手段
防止重放攻击的方法是使用不重数
客户端传给服务器:
nonstr = md5(时间戳 +随机数+ token)&time=时间戳&random=随机数
服务器端:
验证 md5(用客户端传入的时间戳+ 随机数+特定字符串) 与 nonstr 对比&验证是否是客户端的请求, 然后将这个 nonstr 存入set集合中, 同一个 nonstr 如果已经存在, 则为重放攻击
还要解决时间戳不能传入当前时间15分钟之前的时间戳,保证访问时效性。
还没有评论,来说两句吧...