05身份認(rèn)證(編輯修改稿)
2025-08-31 07:53 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 20 口令攻擊的種類 計(jì)算資源依靠口令的方式來(lái)保護(hù)的脆弱性： 網(wǎng)絡(luò)數(shù)據(jù)流竊聽 。 由于認(rèn)證信息要通過(guò)網(wǎng)絡(luò)傳遞 ， 并且很多認(rèn)證系統(tǒng)的口令是未經(jīng)加密的明文 ， 攻擊者通過(guò)竊聽網(wǎng)絡(luò)數(shù)據(jù) ， 就很容易分辨出某種特定系統(tǒng)的認(rèn)證數(shù)據(jù) ， 并提取出用戶名和口令 。 口令被盜也就是用戶在這臺(tái)機(jī)器上的一切信息將全部喪失 ， 并且危及他人信息安全 ，計(jì)算機(jī)只認(rèn)口令不認(rèn)人 。 最常見的是電子郵件被非法截獲 。 21 認(rèn)證信息截取 /重放 (Record/Replay) 有的系統(tǒng)會(huì)將認(rèn)證信息進(jìn)行簡(jiǎn)單加密后進(jìn)行傳輸 ， 如果攻擊者無(wú)法用第一種方式推算出密碼 ， 可以使用截取 /重放方式 。 攻擊者仍可以采用離線方式對(duì)口令密文實(shí)施字典攻擊； 對(duì)付重放的方法有： 1在認(rèn)證交換中使用一個(gè)序數(shù)來(lái)給每一個(gè)消息報(bào)文編號(hào) ， 僅當(dāng)收到的消息序號(hào)合法時(shí)才接受之； 2使用時(shí)間戳 (A接受一個(gè)新消息僅當(dāng)該消息包含一個(gè) A認(rèn)為是足夠接近 A所知道的時(shí)間戳 )。 3詢問(wèn) /應(yīng)答方式 (A期望從 B獲得一個(gè)新消息 ， 則先發(fā)給 B一個(gè)臨時(shí)值 ， 并要求后續(xù)從 B收到的消息包含正確的這個(gè)臨時(shí)值 ) 22 字典攻擊：由于多數(shù)用戶習(xí)慣使用有意義的單詞或數(shù)字作為密碼 ， 某些攻擊者會(huì)使用字典中的單詞來(lái)嘗試用戶的密碼 。 所以大多數(shù)系統(tǒng)都建議用戶在口令中加入特殊字符 ， 以增加口令的安全性 。 窮舉嘗試 (Brute Force)： 這是一種特殊的字典攻擊 ，它使用字符串的全集作為字典 。 如果用戶的密碼較短 ， 很容易被窮舉出來(lái) ， 因而很多系統(tǒng)都建議用戶使用長(zhǎng)口令 。 窺探： 攻擊者利用與被攻擊系統(tǒng)接近的機(jī)會(huì) ， 安裝監(jiān)視器或親自窺探合法用戶輸入口令的過(guò)程 ， 以得到口令 。 第 5講 認(rèn)證 23 社交工程： 攻擊者冒充合法用戶發(fā)送郵件或打電話給管理人員 ， 以騙取用戶口令 。 比如 ， 在終端上發(fā)現(xiàn)如下信息： Please enter your user name to logon: Your password: 這很可能是一個(gè)模仿登錄信息的特洛伊木馬程序 ，他會(huì)記錄口令 ， 然后傳給入侵者 。 垃圾搜索： 攻擊者通過(guò)搜索被攻擊者的廢棄物 ， 得到與攻擊系統(tǒng)有關(guān)的信息 ， 如果用戶將口令寫在紙上又隨便丟棄 ， 則很容易成為垃圾搜索的攻擊對(duì)象 。 第 5講 認(rèn)證 24 口令猜中概率公式： P=L?R/S L： 口令生命周期 R： 進(jìn)攻者單位時(shí)間內(nèi)猜測(cè)不同口令次數(shù) S： 所有可能口令的數(shù)目 。 為降低猜中的概率： 1減少口令使用壽命 ， 即提高口令更換的頻率 。 2降低進(jìn)攻者單位時(shí)間內(nèi)猜測(cè)嘗試口令的次數(shù) 。 3增加可能口令的數(shù)目 ， 即提高口令的字符個(gè)數(shù) 。 然而 ， 口令的頻繁更換增加了用戶的負(fù)擔(dān) ， 也為資深入侵者提供了條件 (為了便于記憶 ， 人們往往選擇與其個(gè)人相關(guān)的口令 ， 如某重要的日期 )， 口令字符個(gè)數(shù)的增加也會(huì)增加用戶的負(fù)擔(dān)且不會(huì)對(duì)資深入侵者有更大影響 ， 因此 ， 手段 2應(yīng)是較為有效的防猜中手段 。 第 5講 認(rèn)證 25 讓硬件解密商品不能發(fā)揮作用 。 (長(zhǎng)度 、 混合 、 大小寫 ) 先輸入口令 ， 然后口令程序取一個(gè) 12 位的隨機(jī)數(shù) (通過(guò)讀取實(shí)時(shí)時(shí)鐘 )并把它并在用戶輸入的口令后面 。 然后加密這個(gè)復(fù)合串 。 最后把 64 位的加密結(jié)果連同 12 位的隨機(jī)數(shù)一起存入口令文件 。 第 5講 認(rèn)證 26 例：打入一個(gè)用戶名后 ， 不論賬戶是否存在 ， 都在相同時(shí)間里要求輸入口令 。 。 6. 系統(tǒng)中只保存口令的加密形式 第 5講 認(rèn)證 27 （ OTP： One Time Password） 在登錄過(guò)程中加入不確定因素 ， 使每次登錄過(guò)程中傳送的信息都不相同 ， 以對(duì)付重放攻擊 。確定口令的方式： 1） 聲稱者與驗(yàn)證者兩端共同
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1