美文网首页
关于登陆的加密思考

关于登陆的加密思考

作者: _Vitality | 来源:发表于2018-01-05 10:44 被阅读0次

几乎每一个App都离不开登录注册这个功能模块,那么作为前端开发,在实现登录注册的时候我们应该进行什么样的处理,才能提高登录注册信息在数据传输过程中的安全性?这里我总结了以下几个方面:

  • “裸体”明文信息,直接将登录注册信息传送给服务器;
  • MD5加密处理后,传输给服务器;
  • MD5和“固定盐”加密处理后,传输给服务器;
  • HMAC加密处理后,传输给服务器;
  • 增添登录请求的时效性。

“裸体”明文

这个没什么好说的,如果你不是写Demo的话,使用明文传输用户信息,想想你的支付宝、银行卡里面的钱不翼而飞,整天被各种销售、房地产给你打电话吧。

MD5加密处理

通常在我们做开发前期,说到登录注册加密,可能最初都是使用MD5进行加密的,并且以为天衣无缝,因为我们都知道MD5是不可逆的。但是:在计算机的世界里,哪有绝对的安全,无时无刻不是在进行加护破解的博弈。MD5也是一样的,针对MD5可以进行暴力破解,至于如何暴力破解,这里附一个网址,它会告诉你一切
CMD5 : http://www.cmd5.com

MD5和“固定”盐加密处理

盐(Salt)
在密码学中,是指通过在密码任意固定位置插入特定的字符串,让散列后的结果和使用原始密码的散列结果不相符,这种过程称之为“加盐”。
                         -----维基百科


static NSString * salt = @"ladsuf89asufiajfdi2oj3rw;oef()fkdk%^%839u48923ksjfklsdjflkf";
- (IBAction)login:(id)sender {
    NSString * user = self.UserText.text;
    pwd = [pwd stringByAppendingString:salt].md5String;
    // do something
}

以上代码块,就是对明文密码进行加盐MD5化,盐Salt是前端和后台服务器提前商定的结果。这样的话,暴力破解的方式就几乎可以避免(如果这样还被暴力破解,只能说运气太差)。
这种方式在一定程度上降低了在传输过程中被中间人攻击后破解得到原文的可能性。
当然上面代码块的加密是最简单的,在此基础上,我们还可以延伸。比如将传输的参数和盐Salt进行字典序排序后进行MD5加密,获取的字符串作为Signature签名,然后再将Signature、参数和盐进行MD5加密,获得最终的加密结果,进行传输。传输到后台后,后台会对传输信息进行匹配。
但是:固定盐加密的方式,有一个严重的弊端。就是固定,不可修改。如果我们的盐Salt无意间泄漏,那么这就是一个大麻烦,因为我们之前的用户密码都是根据这个固定盐生成,如果盐Salt泄漏,当我们想要替换之前的Salt时,会造成之前所有注册过的用户密码失效,这种后果的严重性,不用我说大家也都明白。而这种盐泄漏的风险还是很高的,比如人为泄漏,比如反编译泄漏(App被反编译后,可以看到很多信息,而盐,说不定就是其中一个。)

HMAC加密

- (IBAction)login:(id)sender {
    NSString * user = self.UserText.text;
    NSString * pwd = self.PwdText.text;
    // 拿到注册时从服务器获取的密钥Key
    NSString * key = [KeyChain getSaltWithAccount:user];
    if (key == nil) {
        //1.发送网络请求!获取密钥!!
        key = [self getKeyWithAccunt:user];
        //2.将密钥存储到KeyChain中
        [KeyChain setSaltWithAccount:user];
    }
    //Hamc+key后的密码,进行网络传输
    pwd = [pwd hmacMD5StringWithKey:key];

以上代码块就是简略的HMac和“动态盐”的加密方式。

它的优势在于:Key是由用户注册账号时由服务器分配的,正常情况下,每个账号都拥有一个唯一的Key。这样的方式,在具备了“MD5和固定盐加密”的优点,同时也避免了“固定盐”泄漏所带来的风险。这个方式的大致流程如下图: 屏幕快照 2018-01-05 上午10.23.10.png

特别说明一下登录中步骤5:
当我们注册账户后,会将密钥Key存储在KeyChain中方便以后登录取出使用,但是:当我们更换设备时,就取不到登录所需的密钥Key,针对这种情况,我们需要重新向服务器获取账户对应的密钥Key,这个获取的过程我们可以做成设备锁,类似QQ那种效果的设备锁。当用户重新获取密钥Key时,需要注册时填写的手机号进行短信验证或者回答注册时填写的一些信息。同样,当获取到密钥Key时,需要存储在设备的KeyChain中。

时效性

至此,我想我们的登录请求的安全系数已经提高了很多,但是还存在一定的风险,比如当中间人直接拦截获取登录授权信息,模拟成用户操作。针对这种情况,我们可以对登录请求增添时效性,过期不候。
具体就是在我们的HMAC加密过程中,加密参数增添一个时间戳,这个时间戳应该是从服务器获取的,客户端的时间由于多方面原因吧,可能会造成和服务器时间不一致。当客户端将具有时效特性的信息传输给服务器后,服务器会根据规定的加密规则,进行相同的算法,来和客户端传递的数据相比对。这样即使中间人截获了登录传输的信息,如果是一个过期的数据信息,传输给服务器也是无效的。当然这个有效时间也是客户端和服务器的协定的。

相关文章

  • 关于登陆的加密思考

    几乎每一个App都离不开登录注册这个功能模块,那么作为前端开发,在实现登录注册的时候我们应该进行什么样的处理,才能...

  • 前端登陆加密方式RSA+AES

    前言 为了提高用户登陆的安全性,公司准备整理一份相对安全的登陆模式。 想法 主流加密算法 (一)对称加密AES ,...

  • thinkphp 后台登陆密码加密传入密钥

    后台登陆密码加密验证设置: 相关函数: /*** 对用户的密码进行加密* @param $password* @p...

  • 关于加密货币借贷的思考

    关于加密货币借贷的思考 加密货币借贷有两种基本模式,即,监管和非监管。绝大多数都是选监管,这意味着,第三方拥有你的...

  • SSH的总结

    ssh的相关总结ssh登陆的过程非对称加密RSA登陆过程免密登陆linux相关文件及操作公钥与秘钥的保存格式用密码...

  • 会员支付要点

    注册中的同步和异步 登陆 联合第三方登陆 混合开发技术 加密 支付架构流程 同步回调 PayController同...

  • 「弹琴吧」登录流程还原

    登陆流程 思考路径

  • 对于登陆注册的加密

    关于各种加密方式的使用场景## 1.通过简单的URLENCODE + BASE64编码防止数据明文传输2.对普通请...

  • ssl/tls是什么?是怎么工作的?

    最近在思考一个关于邮箱服务器的问题,其中涉及到了SSL/TLS加密传输,于是想研究一下什么,到底是怎么实现加密的,...

  • 2020-02-19

    关于加密数据

网友评论

      本文标题:关于登陆的加密思考

      本文链接:https://www.haomeiwen.com/subject/vhoawxtx.html