05身份認(rèn)證(編輯修改稿)
2024-08-31 07:53 本頁面
【文章內(nèi)容簡介】 20 口令攻擊的種類 計算資源依靠口令的方式來保護(hù)的脆弱性： 網(wǎng)絡(luò)數(shù)據(jù)流竊聽 。 由于認(rèn)證信息要通過網(wǎng)絡(luò)傳遞 ， 并且很多認(rèn)證系統(tǒng)的口令是未經(jīng)加密的明文 ， 攻擊者通過竊聽網(wǎng)絡(luò)數(shù)據(jù) ， 就很容易分辨出某種特定系統(tǒng)的認(rèn)證數(shù)據(jù) ， 并提取出用戶名和口令 。 口令被盜也就是用戶在這臺機(jī)器上的一切信息將全部喪失 ， 并且危及他人信息安全 ，計算機(jī)只認(rèn)口令不認(rèn)人 。 最常見的是電子郵件被非法截獲 。 21 認(rèn)證信息截取 /重放 (Record/Replay) 有的系統(tǒng)會將認(rèn)證信息進(jìn)行簡單加密后進(jìn)行傳輸 ， 如果攻擊者無法用第一種方式推算出密碼 ， 可以使用截取 /重放方式 。 攻擊者仍可以采用離線方式對口令密文實施字典攻擊； 對付重放的方法有： 1在認(rèn)證交換中使用一個序數(shù)來給每一個消息報文編號 ， 僅當(dāng)收到的消息序號合法時才接受之； 2使用時間戳 (A接受一個新消息僅當(dāng)該消息包含一個 A認(rèn)為是足夠接近 A所知道的時間戳 )。 3詢問 /應(yīng)答方式 (A期望從 B獲得一個新消息 ， 則先發(fā)給 B一個臨時值 ， 并要求后續(xù)從 B收到的消息包含正確的這個臨時值 ) 22 字典攻擊：由于多數(shù)用戶習(xí)慣使用有意義的單詞或數(shù)字作為密碼 ， 某些攻擊者會使用字典中的單詞來嘗試用戶的密碼 。 所以大多數(shù)系統(tǒng)都建議用戶在口令中加入特殊字符 ， 以增加口令的安全性 。 窮舉嘗試 (Brute Force)： 這是一種特殊的字典攻擊 ，它使用字符串的全集作為字典 。 如果用戶的密碼較短 ， 很容易被窮舉出來 ， 因而很多系統(tǒng)都建議用戶使用長口令 。 窺探： 攻擊者利用與被攻擊系統(tǒng)接近的機(jī)會 ， 安裝監(jiān)視器或親自窺探合法用戶輸入口令的過程 ， 以得到口令 。 第 5講 認(rèn)證 23 社交工程： 攻擊者冒充合法用戶發(fā)送郵件或打電話給管理人員 ， 以騙取用戶口令 。 比如 ， 在終端上發(fā)現(xiàn)如下信息： Please enter your user name to logon: Your password: 這很可能是一個模仿登錄信息的特洛伊木馬程序 ，他會記錄口令 ， 然后傳給入侵者 。 垃圾搜索： 攻擊者通過搜索被攻擊者的廢棄物 ， 得到與攻擊系統(tǒng)有關(guān)的信息 ， 如果用戶將口令寫在紙上又隨便丟棄 ， 則很容易成為垃圾搜索的攻擊對象 。 第 5講 認(rèn)證 24 口令猜中概率公式： P=L?R/S L： 口令生命周期 R： 進(jìn)攻者單位時間內(nèi)猜測不同口令次數(shù) S： 所有可能口令的數(shù)目 。 為降低猜中的概率： 1減少口令使用壽命 ， 即提高口令更換的頻率 。 2降低進(jìn)攻者單位時間內(nèi)猜測嘗試口令的次數(shù) 。 3增加可能口令的數(shù)目 ， 即提高口令的字符個數(shù) 。 然而 ， 口令的頻繁更換增加了用戶的負(fù)擔(dān) ， 也為資深入侵者提供了條件 (為了便于記憶 ， 人們往往選擇與其個人相關(guān)的口令 ， 如某重要的日期 )， 口令字符個數(shù)的增加也會增加用戶的負(fù)擔(dān)且不會對資深入侵者有更大影響 ， 因此 ， 手段 2應(yīng)是較為有效的防猜中手段 。 第 5講 認(rèn)證 25 讓硬件解密商品不能發(fā)揮作用 。 (長度 、 混合 、 大小寫 ) 先輸入口令 ， 然后口令程序取一個 12 位的隨機(jī)數(shù) (通過讀取實時時鐘 )并把它并在用戶輸入的口令后面 。 然后加密這個復(fù)合串 。 最后把 64 位的加密結(jié)果連同 12 位的隨機(jī)數(shù)一起存入口令文件 。 第 5講 認(rèn)證 26 例：打入一個用戶名后 ， 不論賬戶是否存在 ， 都在相同時間里要求輸入口令 。 。 6. 系統(tǒng)中只保存口令的加密形式 第 5講 認(rèn)證 27 （ OTP： One Time Password） 在登錄過程中加入不確定因素 ， 使每次登錄過程中傳送的信息都不相同 ， 以對付重放攻擊 。確定口令的方式： 1） 聲稱者與驗證者兩端共同
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1