防重放攻擊

以前總是通過timestamp來防止重放攻擊，但是這樣並不能保證每次請求都是一次性的。今天看到了一篇文章介紹的通過nonce（number used once）來保證一次有效，感覺兩者結合一下，就能達到乙個非常好的效果了。

重放攻擊是計算機世界黑客常用的攻擊方式之一，所謂重放攻擊就是攻擊者傳送乙個目的主機已接收過的包，來達到欺騙系統的目的，主要用於身份認證過程。

首先要明確乙個事情，重放攻擊是二次請求，黑客通過抓包獲取到了請求的http報文，然後黑客自己編寫了乙個類似的http請求，傳送給伺服器。也就是說伺服器處理了兩個請求，先處理了正常的http請求，然後又處理了黑客傳送的篡改過的http請求。

每次http請求，都需要加上timestamp引數，然後把timestamp和其他引數一起進行數字簽名。因為一次正常的http請求，從發出到達伺服器一般都不會超過60s，所以伺服器收到http請求之後，首先判斷時間戳引數與當前時間相比較，是否超過了60s，如果超過了則認為是非法的請求。

假如黑客通過抓包得到了我們的請求url：

其中

$sign=md5($uid.$token.$stime);

// 伺服器通過uid從資料庫中可讀出token

如果黑客修改stime引數為當前的時間戳，則sign引數對應的數字簽名就會失效，因為黑客不知道token值，沒有辦法生成新的數字簽名。

但這種方式的漏洞也是顯而易見的，如果在60s之後進行重放攻擊，那就沒辦法了，所以這種方式不能保證請求僅一次有效。

nonce的意思是僅一次有效的隨機字串，要求每次請求時，該引數要保證不同，所以該引數一般與時間戳有關，我們這裡為了方便起見，直接使用時間戳的16進製制，實際使用時可以加上客戶端的ip位址，mac位址等資訊做個雜湊之後，作為nonce引數。

我們將每次請求的nonce引數儲存到乙個「集合」中，可以json格式儲存到資料庫或快取中。

每次處理http請求時，首先判斷該請求的nonce引數是否在該「集合」中，如果存在則認為是非法請求。

假如黑客通過抓包得到了我們的請求url：

其中

$sign=md5($uid.$token.$nonce);

// 伺服器通過uid從資料庫中可讀出token2

nonce引數作為數字簽名的一部分，是無法篡改的，因為黑客不清楚token，所以不能生成新的sign。

這種方式也有很大的問題，那就是儲存nonce引數的「集合」會越來越大，驗證nonce是否存在「集合」中的耗時會越來越長。我們不能讓nonce「集合」無限大，所以需要定期清理該「集合」，但是一旦該「集合」被清理，我們就無法驗證被清理了的nonce引數了。也就是說，假設該「集合」平均1天清理一次的話，我們抓取到的該url，雖然當時無法進行重放攻擊，但是我們還是可以每隔一天進行一次重放攻擊的。而且儲存24小時內，所有請求的「nonce」引數，也是一筆不小的開銷。

那我們如果同時使用timestamp和nonce引數呢？

nonce的一次性可以解決timestamp引數60s的問題，timestamp可以解決nonce引數「集合」越來越大的問題。

我們在timestamp方案的基礎上，加上nonce引數，因為timstamp引數對於超過60s的請求，都認為非法請求，所以我們只需要儲存60s的nonce引數的「集合」即可。

假如黑客通過抓包得到了我們的請求url：

其中

$sign=md5($uid.$token.$stime.$nonce);

// 伺服器通過uid從資料庫中可讀出token12

綜上，我們認為一次正常的http請求傳送不會超過60s，在60s之內的重放攻擊可以由nonce引數保證，超過60s的重放攻擊可以由stime引數保證。

因為nonce引數只會在60s之內起作用，所以只需要儲存60s之內的nonce引數即可。

我們並不一定要每個60s去清理該nonce引數的集合，只需要在新的nonce到來時，判斷nonce集合最後一次修改時間，超過60s的話，就清空該集合，存放新的nonce引數集合。其實nonce引數集合可以存放的時間更久一些，但是最少是60s。

驗證流程

//判斷stime引數是否有效

if( $now - $stime > 60)
//判斷nonce引數是否在「集合」已存在
if( in_array($nonce,$noncearray) )
//驗證數字簽名 
if ( $sign != md5($uid.$token.$stime.$nonce) )
//判斷是否需要清理nonce集合
if( $now - $noncearray->lastmodifytime > 60 )
//記錄本次請求的nonce引數
$noncearray.push($nonce);
//開始處理合法的請求

防重放攻擊實現

1.防重放攻擊 請求被攻擊者獲取，並重新傳送給認證伺服器，從而達到認證通過的目的。2。解決方案 a.基於timestamp防止重放攻擊 每次 http 請求時，都新增 timestamp 時間戳的引數，服務端接收到請求時，解析 timestamp 值，並與當前時間進行比較，判斷是否超過60s，如果超...

API設計中防重放攻擊

否，加密可以有效防止明文資料被監聽，但是卻防止不了重放攻擊。我們在設計介面的時候，最怕乙個介面被使用者擷取用於重放攻擊。重放攻擊是什麼呢？就是把你的請求原封不動地再傳送一次，兩次.n次，一般正常的請求都會通過驗證進入到正常邏輯中，如果這個正常邏輯是插入資料庫操作，那麼一旦插入資料庫的語句寫的不好，就...

web api的設計 防重放攻擊

重放攻擊 replay attacks 指攻擊者傳送乙個目的主機已接收過的包，來達到欺騙系統的目的，主要用於身份認證過程，破壞認證的正確性。重放攻擊。防重放攻擊中，最重要的手段是給訊息打上乙個唯 一 不可以重新生成的編號，保證這個編號只能使用一次。一 利用timestamp。在引數中加入timest...