設計HTTP安全的時(shí)候，惡意代理是需要考慮到的很重要的一環(huán)，尤其在這個(gè)“Wifi橫行”的年代。一個(gè)酒店、商廈中不懷好意的免費Wifi節點(diǎn)，可能就會(huì )讓用戶(hù)在使用客戶(hù)端的過(guò)程中，泄漏密碼、資金等重要信息。
本文從常見(jiàn)惡意代理的幾種攻擊方式出發(fā)，談一談如何在安全設計上避免被惡心代理攻擊。
一、報文纂改
這個(gè)是攻擊力比較小的方式，只要稍有一些安全意識，就容易防范。典型的攻擊方式是通過(guò)惡意代理截取到一段明文請求，分析請求格式，然后對其中的一些參數進(jìn)行修改，再向模擬用戶(hù)向服務(wù)器請求。通過(guò)這種方式，可以很容易地破壞用戶(hù)在服務(wù)器上的私有數據。比如，用戶(hù)本意是發(fā)送一個(gè)刪除某條信息的命令，惡意代理把用戶(hù)發(fā)送的命令修改為清除所有信息。
對這種報文纂改的攻擊，我們可以通過(guò)對請求報文進(jìn)行摘要即可防范。
二、重放攻擊
這個(gè)主要是針對服務(wù)器的攻擊。服務(wù)器中總有那么一些API是性能消耗比較大的，或是為了安全，或是業(yè)務(wù)比較復雜。惡意代理很可能會(huì )截取到用戶(hù)的一個(gè)請求之后，向服務(wù)器不停地發(fā)送該請求，進(jìn)行“拒絕服務(wù)”攻擊，如果服務(wù)器對請求無(wú)法簽別，就會(huì )影響對正常用戶(hù)的服務(wù)。對于這種重放攻擊，我們可以通過(guò)在請求中添加隨機數驗證來(lái)設置請求時(shí)效性的方式來(lái)解決。有幾種具體的手段可以借鑒：
1、服務(wù)器與客戶(hù)端在第一次請求時(shí)進(jìn)行一次時(shí)間同步，客戶(hù)請求時(shí)隨機數取請求的當前時(shí)間，服務(wù)器根據客戶(hù)端的時(shí)間是否與服務(wù)器的時(shí)間相差太多來(lái)判斷是否重放攻擊。這種方式很容易實(shí)現，但由于客戶(hù)端與服務(wù)器的網(wǎng)絡(luò )交互存在時(shí)間差，時(shí)效性會(huì )稍差。
2、每次請求服務(wù)器在響應時(shí)帶回下一次請求的隨機數，服務(wù)器把隨機數和正常請求數據一起進(jìn)行摘要。服務(wù)器對每個(gè)請求進(jìn)行驗證，如果隨機數不正常，則屬于重放攻擊，判定該請求無(wú)效。但這種方式對付比較簡(jiǎn)單的惡意代理還可以，更強大的惡意代理可以攔截到這個(gè)隨機數。這種方式最大的問(wèn)題是無(wú)法進(jìn)行并發(fā)請求的驗證。
3、客戶(hù)端和服務(wù)器利用共享密鑰來(lái)為每次請求生成隨機數。比如安全硬件等，服務(wù)器還可以為每個(gè)客戶(hù)端生成一個(gè)對應密鑰，客戶(hù)端在發(fā)送請求時(shí)利用密鑰生成隨機數，并在請求中包含自己的AppKey。服務(wù)器接收到請求時(shí)，根據該客戶(hù)端的AppKey查詢(xún)到該客戶(hù)端的密鑰，再利用密鑰生成對應的隨機數，如果該隨機數與客戶(hù)端發(fā)送過(guò)來(lái)的相同，則請求正常，否則，可判斷該請求為重放攻擊。這種方式的缺點(diǎn)是一旦客戶(hù)端的AppSecret被破解，則安全蕩然無(wú)存。
三、密碼破解
這種攻擊主要以獲取用戶(hù)的密碼等身份認證信息為主?？赡苡幸韵聨追N方式：
1、對HTTPS連接，通過(guò)惡意代理對安全證書(shū)做替換。如果設計上太多依賴(lài)HTTPS安全性，利用HTTP發(fā)送的信息不加密的話(huà)，很容易被惡意代理截獲并分析出用戶(hù)的原始密碼。
2、對于簡(jiǎn)單的密碼摘要信息認證方式，惡意代理可以在攔截到摘要后利用詞典進(jìn)行暴力破解。對于請求中有隨機數的摘要，惡意代理可以模擬服務(wù)器向客戶(hù)端響應一個(gè)隨機數，然后對攔截到的客戶(hù)端請求進(jìn)行暴力破解。
惡意代理在無(wú)線(xiàn)互聯(lián)網(wǎng)上的破壞性要遠大于傳統互聯(lián)網(wǎng)，而安全問(wèn)題從來(lái)也不是一蹴而就的，我們需要在設計時(shí)盡量在安全、便捷、性能之間做更慎重的權衡，從多方面一起下手來(lái)保護我們的用戶(hù)。
聯(lián)系客服
