部署安全的網站系統(tǒng)(編輯修改稿)
2025-03-26 10:34 本頁面
【文章內容簡介】 ms loginUrl= / /authentication Encrypted connection 存放 Login Passwords 格式 說明 Plaintext passwords 如果資料庫被入侵則所有帳號密碼都會被偷走 Encrypted passwords 比 plaintext 好 , 但如過解密金鑰被竊取則還是會被取走 1way password hashes 比 encrpted password 好 ,但是仍會受到 dictionary attacks 的威脅 Salted password hashes 不易受到 dictionary attacks ? 不要用 plaintext 存放 passwords ? 存放加密過的密碼或密碼 hashes 來增加安全性 Password Hashes string hash = (password, SHA1))。 ? ForStoringInConfigFile 讓 hashing 變的容易 ? SHA1 hashes ? MD5 hashes 建立 Salted Hashes string CreateSaltedPasswordHash (string password) { // Generate random salt string RNGCryptoServiceProvider csp = new RNGCryptoServiceProvider ()。 byte[] saltBytes = new byte[16]。 (saltBytes)。 string saltString = (saltBytes)。 // Append the salt string to the password string saltedPassword = password + saltString。 // Hash the salted password string hash = (saltedPassword, SHA1)。 // Append the salt to the hash string saltedHash = hash + saltString。 return saltedHash。 } 檢驗 Salted Hashes bool ValidatePassword (string password, string saltedHash) { // Extract hash and salt string string saltString = ( 24)。 string hash1 = (0, 24)。 // Append the salt string to the password string saltedPassword = password + saltString。 // Hash the salted password string hash2 = (saltedPassword, SHA1)。 // Compare the hashes return ( (hash2) == 0)。 } Authentication Cookies Defense Comments 使用 SSL 限制 cookies 避免 cookie 竊取 (strongest defense) 縮短 cookies 壽命 減緩 replay attacks 的機會 停用 sliding renewal 減緩 replay attacks 的機會 ? Forms authentication cookies 預設會被加密並驗證過 ? 避免讀取與修改 ? 但是無法避免被竊取並 replay ? 需要採取避免措施來防止未經授權的存取 Auth Cookie 壽命 ? Temporary authentication cookies ? 壽命預設值 30 分鐘 ? 透過 forms timeout attribute 控制 ? 會受到 sliding renewal 影響 ? Sliding renewal 在 版本中預設是停用的 ? 透過 forms slidingE
教學課件相關推薦
鄂ICP備17016276號-1