守住网络安全的第一道防线

随着互联网的普及，网络上的各种活动越来越活跃，然网络的安全越来越来越受到关注，然安全的第一道防线就是登录，也是黑客攻击的第一步。第一道防线失守，你的站也就不是你的了。那会员登录要怎么防守才安全?现有两种安全机制：HTTPS(Hypertext Transfer Protocol Secure) 与图片验证机制(CAPTCHA)。

　　其实这二个机制都有破解的方式，先就HTTPS来看，它可以被SSLStrip的攻击手法攻陷，举例来说，当使用者点击有HTTPS的登录页面时，SSLStrip会修改网站未加密的回应，使“HTTPS变成HTTP”，甚至可以在浏览器位址栏中显示https的安全锁logo。其过程如下：

　　1.设定iptables转向HTTP传输SSLstrip。(iptables -t nat -A PREROUTING -p tcp destination-port 80 -j REDIRECT to-port)

　　2.开启SSLstrip。(sslstrip.py -l <listenPort>)

　　3.使用ARP Spoofing攻击。(arpspoof -i-t)

　　流程如下图：

　　由此来看，有了https传输当然不可能完全阻挡黑客攻击，但企业亦无须太过担心，这种攻击方式有限制，必须要在同一个区网环境并且使用ARP Spoofing攻击才会成功，因此，环境上只需要锁好IP与MAC之对应，就可以挡住这种中间人攻击手法，也不必担心由ARP Spoofing攻击延伸做到DNS Spoofing的风险。

　　至于图片验证机制(CAPTCHA)，一般来说可以用来阻挡以下几种情况：

　　第一、列举攻击(也叫尝试攻击，登录、注册或密码重置表单往往容易受到列举攻击，倘若没有使用图片验证机制，攻击者可以在很短的时间内得到有效帐号，或其它敏感信息)，或是暴力破解攻击手段。

　　第二、在短时间内自动发送许多不需要的GET/POST请求(例如：短信/电子邮件泛滥)，CAPTCHA可达到速率限制功能。

　　第三、自动建立线上服务的使用帐户。

　　第四、出于商业促销、骚扰或破坏目的行为。

　　第五、任何从应用程式大量收集或滥用敏感资讯的自动攻击行为。

　　而图片验证机制的破解方式有二种，一是利用程序先将图片经过加强对比、锐化，然后再透过图形比对就可以还原出图片中的数字。二则是透过人工来做，人工解验证码的工作叫做打码任务(captcha human bypass)，这就是所说的另一种黑客经济，不过这就是苦力活了。

　　从会员登入机制的攻防两方来看，图片验证码只是第一道防线!防守方可以设计，当尝试登入失败一定次数后，自动锁住帐号使用权限，或阻挡来源IP，让此来源的IP无法存取服务，虽然说黑客可以再去找肉鸡或是Proxy更改IP，但这总是需要一段时间。换句话说，图片验证机制虽然不能完全阻止黑客攻击，但若能搭配监控制度，增加黑客攻击时的难度，延缓黑客破解成功之时间，只要能延缓到以年为单位，大部分的黑客都会放弃对此站台进行攻击。

　　没有任何一种安全机制可以做到百分百的安全，但只要做好配套，就能提升安全强度，以会员登入机制来看，除了HTTPS与图片验证码之外，还可以搭配使用动态密码( One-time password)，增加身份认证机制的强度，比较安全的设计是，在做身份验证时，除了帐号、密码外，还要输入OTP密码，此时即使OTP被他人取得，只要前面的两项信息不是一起泄漏，就能降低被破解之风险。

守住网络安全的第一道防线相关推荐

网络安全的第一道防线：AI
2017年对于网络安全来说并不是顺利的一年,我们看到了大量的网络被攻击:包括优步,德勤,Equifax以及现在臭名昭着的WannaCry勒索软件攻击,并且随着冬奥会的开幕,黑客攻势在2018年也开始大 ...
网络安全的第二道防线：区块链
在网络安全第一部分中,我们将AI作为网络安全的第一道防线,目标是让网络犯罪分子受到AI的困境,然后落网,但如果他们设法进入并渗透到网络中,我们需要启动第二道防线:区块链.事实上,网络犯罪和网络安全攻击 ...
99%的网络安全人都没想到！办公网的第一道防线应该是它
谁才是办公网的第一道防线?有人说是上网行为管理,有人说是杀毒软件.不过这种答案只适用于十年前. 时代变了.在管理员工上网行为.给员工电脑杀毒之前,先把DNS解析抓起来才是正经事. 为什么是DNS?在讲 ...
气体传感器如何为城市燃气安全守好第一道防线？
自去年湖北十堰"6.13"燃气爆炸事故发生后,辽宁沈阳.大连等地又接连发生多起燃气爆炸事故,造成多人伤亡,引起了政府部门和社会大众对燃气管道安全的空前关注. 今年全国两会中的< ...
网易易盾助力工信部装备工业发展中心守卫网站安全第一道防线
近日,网易易盾与工业和信息化部装备工业发展中心(以下将简称:工信部装备工业发展中心)达成合作.借助网易易盾行为式验证码,工信部装备工业发展中心能有效防止机器的暴力登录和破解的同时,又能给用户带来无感知 ...
科达智能交通构筑上海迪士尼大客流第一道防线
上海申迪(集团)限公司副总裁程放介绍上海迪士尼度假区进展情况时表示,迪士尼乐园年客流预计1000万人次.对照香港.东京迪斯尼的状况,专家预测,至运营成熟期,上海迪士尼的日均客流预计达到6万~8万人.根 ...
重保特辑｜筑牢第一道防线，云防火墙攻防演练最佳实践
近年来,随着企业业务上云加速,云上安全成了一个不容忽视的问题.当前许多企业面临着云上资产管理难.漏洞风险高.流量不可控等难题.在重要活动保障期间,攻击者对云上资源的攻击也越来越频繁. 云防火墙是云网络 ...
React用户安全的第一道防线
React用户安全的第一道防线是什么?React是怎么预防XSS攻击的? 首先简单介绍下JSX 当你在写 JSX 时,其实你在调用createElement方法. React.createElemen ...
第一道防线__SpringMVC配置拦截器
这几天在公司自己开发一个小系统,但是系统的安全性也得考虑,起初没注意,赶急就光关心业务逻辑和实现效果.最后老大一出手,就把最严重的问题指出来了,他说你这根本没安全性可言,于是我试着将公司使用的spri ...

守住网络安全的第一道防线

守住网络安全的第一道防线相关推荐

最新文章

热门文章