读书频道 > 网站 > 网页设计 > 信息安全工程(第2版)
2.5.3 对密码输入的攻击
12-07-29    叶孤城
收藏    我要投稿   

本文所属图书 > 信息安全工程(第2版)

本书第1版于2001年问世后,受到了全球广大读者的热烈欢迎。今天的安全领域已经发生了巨大变化:垃圾邮件发送者、病毒编写者、网络钓鱼者、洗钱者以及间谍们的作案水平不断提升,搜索引擎、社交网络乃至电子投票机...立即去当当网订购

密码输入的保护机制通常很脆弱。

1. 接口设计

有时考虑不周的接口设计会产生问题。比如,某些常用提款机被设计为在人头部的高度放置一个垂直键盘,这样小偷很容易看到顾客输入PIN,然后再偷走顾客手袋中的钱包。键盘的高度是以设计者的高度为标准的,但是女人以及很多国家的男人的身高会比其设计者矮几英寸,这样输入PIN时就非常容易暴露。有一种提款机还迫使顾客只能从一个窄缝中盯住屏幕,以"保护客户隐私"。你的收支是隐秘了,但是PIN并没有隐秘!很多付费电话也有类似的问题,在某些地方,比如大型火车站和飞机场,通过肩窥方式获得电话卡详细数据的攻击非常普遍。

为了防范起见,我在公共场合输入卡号和PIN时,一般都用身体或者另一只手覆盖住拨号的手-- 但系统设计时不应假设所有顾客都会这样做。很多人会因为输入PIN时刻意挡住别人而感到不安,因为这是明显不信任他人的表现,在超市的付款队列中并且朋友就站在附近时,这种不安尤其严重。比如,在英国,根据银行的说法,20%的用户在输入PIN时从不进行遮挡。然而,在我作为专家证人出席的法庭案例中,只有少数一部分客户在输入PIN时进行了足够的遮挡,以便防止空中摄像机的拍摄(就等着犯罪分子开始使用红外成像仪吧)。

2. 窃听

留心密码输入可以防止坏人在机场电话旁通过肩窥获取密码,但是却不能防止其他窃听攻击。攻击者们最新的惯技是在公共场所提供免费的WiFi访问,并获取用户输入到Web站点的密码。获取那些没有使用加密就输入到很多Web站点的密码是很简单的,通过中间人攻击,适当做一些工作就可以获取大部分这种密码。这样的攻击已有多年的历史,过去,饭店经理可能会使用电话总机记录你在房间内电话上键入的号码,通过这种方式,他还可能获取你使用的信用卡号-- 如果这不是你付饭费使用的信用卡,他就可以以更小的风险来非法攫取你账号上的财富。在企业环境,很多联网的计算机系统在局域网内按明文方式发送密码,如果有人在局域网的某台计算机上设计程序或者挂上自己的嗅探设备,就能取得密码(将在下一章描述Windows如何使用Kerberos协议来阻止这种攻击,ssh也使用得比较广泛-- 但仍然有很多未施加保护机制的系统)。

3. 密码重试计数器的技术突破

很多小孩子发现,只要松开自行车暗码锁的每个环,在几分钟内就可以解开它。同样的想法也适用于很多计算机系统。比如,PDP-10-TENEX操作系统检查密码时每次检查一个字符,只要其中一个字符有错就马上停止。这导致了计时攻击:攻击者把一个猜测密码反复放在内存中的合适位置,在文件访问请求时检查它,等着看多长时间以后被拒绝[493]。第一个字符错误马上就会被报告,第二个字符错误会花稍长的时间,第三个字符错误会花更长的时间,依此类推。就有可能依次猜测到每个字符,相对于从A个字符的表中找出N个字符的密码平均要猜测AN/2次,这个方法只需要猜测AN/2次(记住,30年以后,你现在建立的系统可能就是有报道价值的安全失败实例)。

在嵌入式系统中,这样的错误有很多,遥控汽车门锁设备就是一个:只要钥匙链发出错误的字节,接收器的报警红灯就亮。对于有些智能卡,通过输入每个可能的值并查看卡的功耗,在输入错误时重置,这样就能确定顾客的PIN。原因在于,错误的PIN导致PIN重试计数器减1,而把结果写到含有该计数器的EEPROM存储器中要耗费几毫安的电流,这样在计数器写完之前可以及时检测到并对卡进行充值[753]。这些实现细节都有一定意义

点击复制链接 与好友分享!回本站首页
分享到: 更多
您对本文章有什么意见或着疑问吗?请到论坛讨论您的关注和建议是我们前行的参考和动力  
上一篇:1.3 功能
下一篇:1.5 小结
相关文章
图文推荐
JavaScript网页动画设
1.9 响应式
1.8 登陆页式
1.7 主题式
排行
热门
文章
下载
读书

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训
版权所有: 红黑联盟--致力于做最好的IT技术学习网站