安全攻防基础

The Straggling Crow

已于 2024-06-24 16:05:39 修改

阅读量366

点赞数 11

分类专栏：系统文章标签：安全

于 2024-05-23 15:38:28 首次发布

本文链接：https://blog.csdn.net/qq_41834780/article/details/139145533

版权

系统专栏收录该内容

6 篇文章 0 订阅

订阅专栏

安全—主要是数据

增删改查权限的控制，授权谁，哪个role能干哪些事这个要能控制。
谁什么时间做了什么，要有记录
密码加密。人家得到了也没用
数据加密
存储密码，密码加了盐值，彩虹表就对不出来原始密码，存储时通常哈希和盐值一块存储或者分别存储。这样就能判断输入密码是否正确
哈希函数的一个基本性质是单向性，即很难从哈希值反推出原始输入数据
强制用户设置强密码，定期修改密码。通过加密信道( HTTPS )来防止窃听。也可以给下发的凭证设置一个有效期来限制凭证暴露时间，以此来减少重放攻击
单点登录（Single Sign On, SSO）
允许用户使用一个单一的登陆凭证访问多个相关但独立的应用。
微软账号登录微软的邮箱，office，teams就是单点登录；各大网站都用可以使用qq登录，也是
通过防火墙控制

在这里插入图片描述

一、安全是什么？就是三个基础原则

安全就是保护数据

1. 机密性

对未授权的主体不可见

开发人员不能拥有敏感数据的访问权限
密钥要复杂
显示器伤的数据被别有用心的人窥探

2. 完整性

没授权的人不可修改数据

3. 可用性

被授权的主体可读

二、如何解决安全问题

解决方案：先登录，再操作，最后留下记录
在这里插入图片描述
审计不仅是看日志，还有机器学习、异常检测的算法也能运用进来

三、How to make your password “invisible”?你懂加密嘛？

了解这些加密算法的概念和优缺点，就足够你选取合适的了

对称加密，一把钥匙

在这里插入图片描述
常见的对称加密算法

数据加密后，即使物理硬盘被盗，也不会导致信息外泄。
对称加密的密钥被盗就很麻烦。非对称密钥就解决了这个问题

非对称加密算法

在这里插入图片描述
除了加密功能，大部分非对称算法还提供签名功能。就是我用私钥加密，你用公钥解密，你就知道这段话是我说的。

大部分的认证和签名场景，其实使用的都是非对称加密算法。比如SSH，Git上传等，私钥留本地，公钥放服务端

散列算法

利用它可以对任意长度的输入，计算出一个定长的id。
其价值还体现在不可逆性。明文密码通过散列算法计算后，存储最终的散列值。后续登录过程中，计算出的散列值一样。登录成功
同样的消息生成同样的摘要；
不存在不同的输入，输出相同
在这里插入图片描述
使用散列算法的时候，记得加盐（一串随机字符）。用户密码和盐拼接后，再进行散列计算。这样即使两个用户设置了相同的密码，也会有不同的散列值。此举还能对抗黑客
彩虹表通过预先计算和存储大量的密码及其对应的哈希值，在实际破解时通过查找表中的匹配项来减少计算时间。
黑客往往会提前计算一个彩虹表来提升暴力破解散列值的效率。
使用盐（salt）增加了破解难度。盐是一个随机值，与密码组合后再进行哈希，从而使彩虹表无效。

总结

对称加密具备较高的安全性和性能 (通常比非对称加密快，资源消耗低)，要优先考虑；首选 AES-CTR
一对多的场景（如多人登录服务器），存在密钥分发难题的时候，用非对称加密； ECC
不需要可逆计算的时候（如存储密码），使用散列算法。 SHA256 加盐

四、除了账号密码，对于身份认证还有什么选择？

在这里插入图片描述
强制用户设置强密码，定期修改密码。通过加密信道( HTTPS )来防止窃听。也可以给下发的凭证设置一个有效期来限制凭证暴露时间，以此来减少重放攻击

对于身份认证，单点登录是一种集大成的解决方案。基于CAS流程，衍生出了很多成熟的单点登录流程，可以供你使用

单点登录（Single Sign On, SSO）

允许用户使用一个单一的登陆凭证访问多个相关但独立的应用。
微软账号登录微软的邮箱，office，teams就是单点登录；各大网站都用可以使用qq登录，也是
下面是几种典型的SSO 方式

CAS (Central Authentication Service, 集中式认证服务)

在这里插入图片描述

JWT (JSON Web Token)

它会在客户端保存一个凭证信息，之后你每一次登录的请求中都带上这个凭证

OAuth (Open Authorization) 授权

我们使用qq、微信登录其他应用所用的协议。
想要维持应用内的登录状态，应用还得颁发自己的登录凭证。这也就是为什么QQ授权后，应用还需要绑定你的手机号码

要求额外信息：为了增强安全性和提供更好的服务，MyApp 可能要求用户绑定手机号码。这样做有几个目的：
安全性：通过手机号码验证可以防止账号被盗，提供双重认证等安全功能。
联系用户：便于在需要时与用户联系，如密码重置、重要通知等。
应用特定功能：一些功能可能需要手机号码，例如社交功能、支付功能等。

当你在第三方应用中选择“通过微信登录”或“通过微博分享”，实际上就是通过OAuth授权。过程包括同意应用访问你的部分微信或微博信息。你被导向微信或微博进行登录，然后会被询问是否允许该应用访问你的某些数据（如头像、昵称、发布内容等）。一旦同意，应用就会收到一个访问令牌，它可以用这个令牌在限定范围内代表你执行操作，比如读取或写入数据，而无需获取你的密码。