吳銳wr大規(guī)?；ヂ?lián)網(wǎng)用戶密碼泄露風(fēng)險(xiǎn)控制對策(已改無錯(cuò)字)
2023-06-26 22:23:27 本頁面
【正文】 戶端向服務(wù)器端請求獲取挑戰(zhàn)碼： 得到 Code Code=隨機(jī)數(shù)挑戰(zhàn)碼 密碼校驗(yàn)過程 HashA=sha1_9999(user+PassWord) 從存儲(chǔ)中取 Key,Hash Var=AES(Key, HashA, Code) 通過 Key解密 Var，獲取 HashA， Code 判斷 Code是否正確 判斷 sha1(HashA)與 Hash是否相等 優(yōu)點(diǎn)： 1）無論是數(shù)據(jù)存儲(chǔ)，還是傳輸過程，都非常安全。 2）即使摘要算法被進(jìn)一步破解，該方法一樣能確保安全。 3）便于實(shí)現(xiàn)業(yè)務(wù)的分層安全，例如客戶端保存密碼登錄使用 sha1_9999(PassWord)，普通登錄使用 sha1_9998(PassWord)，安全性要求更高時(shí)，例如修改密碼時(shí)使用sha1_9995(PassWord) 。 其他安全做法 使用加密方法保護(hù)用戶密碼。 加密密鑰存儲(chǔ)與互聯(lián)網(wǎng)隔離。 加密主機(jī) 硬件加密卡 密鑰 注冊 登錄 密碼加密 密碼校驗(yàn) 密碼傳輸安全 ——安全的傳輸方式 呼吁行業(yè)內(nèi)各個(gè)公司一起重視并提升密碼存儲(chǔ)與傳輸安全！ 安全的密碼存儲(chǔ)與傳輸可以做到 現(xiàn)狀令人堪憂 目錄 ?一、避免密碼泄露 ? 二、泄露賬號風(fēng)險(xiǎn)控制措施 密碼存儲(chǔ)安全、密碼傳輸安全 防批量登錄與余額查詢、 風(fēng)險(xiǎn)賬號檢測、控制盜號轉(zhuǎn)出 背景 入侵系統(tǒng)，盜走用戶賬戶密碼數(shù)據(jù)庫 拖庫 轉(zhuǎn)移財(cái)產(chǎn) 用于詐騙、廣告 刷活動(dòng)、投票等 批量查詢網(wǎng)絡(luò)財(cái)產(chǎn)余額 在各個(gè)平臺(tái)批量驗(yàn)證密碼是否正確 洗號 獲利 買賣、公開泄露等方式 黑客 盜號團(tuán)伙 防批量登錄嘗試不余額查詢 ——IP策略 繞過驗(yàn)證碼 說明 對抗辦法 重新?lián)芴栕儞Q新 IP 盜號者可以通過 ADSL重新?lián)芴柅@得一個(gè)新的 IP，大多數(shù)情況和之前 IP處在同一個(gè)網(wǎng)段 結(jié)合 IP和 IP段進(jìn)行限制策略 使用代理 IP 利用 Http代理、 VPN代理等手段，獲得大量可使用的 IP地址 代理 IP檢測機(jī)制 IP偽造 當(dāng)用戶到服務(wù)的 web訪問通過了 F5，nginx等代理進(jìn)行轉(zhuǎn)發(fā)時(shí)， Web程序一般會(huì)獲取 Http頭中的 xforwardedfor中的 IP，如果處理丌當(dāng)，存在用戶 IP被偽造可能。 規(guī)范開發(fā)運(yùn)維，避免獲取的用戶 IP被偽造。 盜號者獲取到大量賬號密碼后，必然要進(jìn)行批量登陸嘗試，可利用針對 IP的控制策略，對非法的嘗試行為進(jìn)行控制。 作用：可將批量的登錄嘗試控制在一定規(guī)模內(nèi) 局限： （一）由于存在較多用戶共用相同 IP的情況，存在誤殺的情況。 （二）盜號者往往采用如下幾種方式繞過針對 IP的限制策略。 防批量登錄嘗試不余額查詢 ——IP策略 IP偽造原理與防
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號-1