验证时间攻击 Verification Timing Attack

验证时间攻击 Verification Timing Attack

一种感觉比较另类的碰撞tag的方式，主要是利用服务端的反馈时间。

比如：攻击者想上传个文件给服务器，苦于无法得到该文件相应的Tag，就想办法碰撞tag。

步骤：

1.随机一个tag，目的为获取服务器响应时间。

2.从头开始尝试第一字节所有情况，如果响应时间不变，则依旧为错，直到响应时间变长了一点，说明服务器比较两个mac的时候第一字节是一样的。

3.下一个字节重复以上操作，直到tag完全吻合。

防御措施：

1.响应时间相同，比如完全比较完之后再响应。

2.将得到的mac和服务器计算的mac再进行依次哈希后再比较，这样就得不到真正的响应时间了。