吳銳wr大規(guī)?；ヂ?lián)網(wǎng)用戶密碼泄露風(fēng)險(xiǎn)控制對(duì)策(參考版)
2025-05-18 22:23本頁(yè)面
【正文】 目錄 ?一、避免密碼泄露 ? 二、泄露賬號(hào)風(fēng)險(xiǎn)控制措施 密碼存儲(chǔ)安全、密碼傳輸安全 防批量登錄與余額查詢、風(fēng)險(xiǎn)賬號(hào)檢測(cè)、 控制盜號(hào)轉(zhuǎn)出 防盜號(hào)財(cái)產(chǎn)轉(zhuǎn)移 是否被盜賬號(hào) 特征是否異常 （ IP、 Cookie等） 交易類型 （贈(zèng)送他人，購(gòu)買可轉(zhuǎn)移的物品等） 是否風(fēng)險(xiǎn)交易 交易成功 要求進(jìn)行補(bǔ)充驗(yàn)證 （手機(jī)、郵箱、資料等） 防盜號(hào)財(cái)產(chǎn)轉(zhuǎn)移 ——技術(shù)實(shí)現(xiàn) 其他基礎(chǔ)服務(wù)（ IP庫(kù)等） 特征計(jì)算引擎 風(fēng)控策略規(guī)則引擎 業(yè)務(wù)數(shù)據(jù) 用戶行為習(xí)慣服務(wù) 風(fēng)控結(jié)果查詢審計(jì)系統(tǒng) 數(shù)據(jù)采集模塊 中間數(shù)據(jù) （黑白名單庫(kù)等） 防盜號(hào)財(cái)產(chǎn)轉(zhuǎn)移 最終主要的瓶頸在于覆蓋率不準(zhǔn)確率之間的平衡。 防批量登錄嘗試不余額查詢 ——驗(yàn)證碼 目錄 ?一、避免密碼泄露 ? 二、泄露賬號(hào)風(fēng)險(xiǎn)控制措施 密碼存儲(chǔ)安全、密碼傳輸安全 防批量登錄與余額查詢、 風(fēng)險(xiǎn)賬號(hào)檢測(cè)、 控制盜號(hào)轉(zhuǎn)出 風(fēng)險(xiǎn)賬號(hào)檢測(cè) （一）惡意行為特征 訪問量集中 不存在賬號(hào)比例較高 密碼錯(cuò)誤比例較高 異地登錄賬號(hào)比例較高 已發(fā)現(xiàn)風(fēng)險(xiǎn)賬號(hào)占比較高 驗(yàn)證碼圖片拉取頻繁 驗(yàn)證碼驗(yàn)證正確率較低 登錄后馬上查詢余額的賬號(hào)比例較高 登錄時(shí)間分布，業(yè)務(wù)分布 。 防批量登錄嘗試不余額查詢 ——IP策略 IP偽造原理與防范 client F5/Nginx Web Server HTTP_X_FORWARDED_FOR =“ ,” client F5/Nginx Web Server HTTP_X_FORWARDED_FOR =“,” HTTP_X_FORWARDED_FOR =“” CDN HTTP_X_FORWARDED_FOR =“” 獲得 IP 正確！ 獲得 IP 錯(cuò)誤！ 正常情況 被偽造情況 防批量登錄嘗試不余額查詢 ——代理 IP檢測(cè) 代理 IP檢測(cè) 技術(shù)檢測(cè) 用戶行為特征檢測(cè) 爬蟲檢測(cè) 防批量登錄嘗試不余額查詢 ——驗(yàn)證碼 缺點(diǎn)： 1）國(guó)外被證明防破解效果比較好的驗(yàn)證碼，如 google和 recaptcha，對(duì)國(guó)內(nèi)用戶來說難度過大 2）而識(shí)別相對(duì)容易的驗(yàn)證碼，則面臨被自動(dòng)破解的問題 動(dòng)態(tài)運(yùn)營(yíng)非常重要，可采用多種方式優(yōu)化驗(yàn)證碼效果，例如： 1）針對(duì)不同風(fēng)險(xiǎn)等級(jí)的場(chǎng)景，顯示不同難度的驗(yàn)證碼圖片。 作用：可將批量的登錄嘗試控制在一定規(guī)模內(nèi) 局限： （一）由于存在較多用戶共用相同 IP的情況，存在誤殺的情況。 規(guī)范開發(fā)運(yùn)維，避免獲取的用戶 IP被偽造。 加密密鑰存儲(chǔ)與互聯(lián)網(wǎng)隔離。 3）便于實(shí)現(xiàn)業(yè)務(wù)的分層安全，例如客戶端保存密碼登錄使用 sha1_9999(PassWord)，普通登錄使用 sha1_9998(PassWord)，安全性要求更高時(shí)，例如修改密碼時(shí)使用sha1_9995(PassWord) 。 密碼傳輸安全 ——丌采用 SSL情況下安全的做法 客戶端：
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1