【安全編碼】Web平臺如何設計防止重放攻擊

我們先來做一道關于防重放的題，答案在文末

防止重放攻擊最有效的方法是（）。

A.對用戶密碼進行加密存儲使用
B.使用一次一密的加密方式
C.強制用戶經常修改用戶密碼
D.強制用戶設置復雜度高的密碼

如果這道題目自己拿不準，或者根本就不知道，那么下面的內容你就要好好的讀一讀^_^

Web如何防止重放攻擊：使用時間戳和唯一標識符、加密通信、使用令牌、雙因素認證、限制請求速率

展開詳細描述：使用時間戳和唯一標識符，每次請求附帶一個唯一的時間戳和隨機生成的標識符，這樣即使攻擊者截獲了請求，也無法在有效時間內重新發送。

我們先來看看關于防重放攻擊的一些簡單問答：

什么是重放攻擊

重放攻擊（Replay Attack）是指攻擊者通過重復或延遲傳送合法數據包來實現欺騙或獲取未經授權訪問的行為。在Web環境中，重放攻擊通常涉及截獲和重新發送合法用戶的請求，以冒充該用戶進行操作。
重放攻擊的危害

重放攻擊可能導致多種安全問題，包括但不限于：

未經授權的訪問：攻擊者可以冒充合法用戶訪問敏感數據或功能。
重復交易：金融交易或購買過程中被重復執行，導致經濟損失。
數據篡改：通過重放合法請求，攻擊者可能篡改數據或狀態。

使用時間戳和唯一標識符

時間戳和唯一標識符的原理

通過在每次請求中包含唯一的時間戳和標識符，可以確保每次請求都是獨一無二的。服務器在接收到請求時，會驗證時間戳和標識符的有效性，如果發現重復或過期的請求，會直接拒絕

實現步驟

生成時間戳和唯一標識符：客戶端在發送請求時，生成當前時間的時間戳和一個隨機數作為標識符。
附加到請求：將時間戳和標識符附加到請求的頭部或參數中。
服務器驗證：服務器接收到請求后，驗證時間戳是否在允許的時間范圍內（例如5分鐘內），并檢查標識符是否已經使用過。
存儲和更新：服務器將已使用的標識符存儲一段時間，以防止重復使用。

function generateUniqueIdentifier() {return Date.now().toString() + Math.random().toString(36).substr(2, 9)}let timestamp = Date.now();let uniqueIdentifier = generateUniqueIdentifier();// 將timestamp和uniqueIdentifier附加到請求中fetch('/api/secure-endpoint', {method: 'POST',headers: {'Content-Type': 'application/json','Timestamp': timestamp,'Unique-Identifier': uniqueIdentifier},body: JSON.stringify({ /* your data */ })});

http協議加密通信

使用HTTPS

HTTPS（HyperText Transfer Protocol Secure）通過在HTTP協議上加入SSL/TLS層來加密通信內容，確保數據在傳輸過程中不會被竊聽和篡改。雖然HTTPS不能完全防止重放攻擊，但它可以大幅度提高攻擊的難度。

實現步驟

獲取SSL證書：從受信任的證書頒發機構獲取SSL證書。
配置服務器：在Web服務器上配置SSL/TLS。
強制HTTPS：將所有HTTP請求重定向到HTTPS。

Nginx配置使用ssl傳輸配置：

server {listen 80;server_name example.com;return 301 https://$host$request_uri;}server {listen 443 ssl;server_name example.com;ssl_certificate /path/to/certificate.crt;ssl_certificate_key /path/to/private.key;location / {proxy_pass http://localhost:8080;}}

令牌（Token）

什么是令牌

令牌（Token）是一種用于驗證用戶身份的字符串，通常在用戶登錄時生成，并在后續請求中使用。令牌可以包含用戶信息、有效期等數據，使用加密算法進行簽名，防止篡改。

JSON Web Token（JWT）

JSON Web Token（JWT）是一種常見的令牌格式，包含三個部分：頭部（Header）、載荷（Payload）和簽名（Signature）。JWT可以在客戶端和服務器之間安全傳輸用戶信息，并且可以防止重放攻擊。

實現步驟

用戶登錄時生成令牌：服務器在用戶登錄成功后生成JWT，并返回給客戶端。
客戶端存儲令牌：客戶端將令牌存儲在本地（例如LocalStorage或SessionStorage）。
附加到請求：客戶端在發送后續請求時，將令牌附加到請求頭部。
服務器驗證令牌：服務器在接收到請求后，驗證令牌的有效性和簽名。

// 客戶端發送帶有JWT的請求fetch('/api/secure-endpoint', {method: 'GET',headers: {'Authorization': 'Bearer ' + localStorage.getItem('token')}
});// 服務器驗證JWTconst jwt = require('jsonwebtoken');
function verifyToken(req, res, next) {const token = req.headers['authorization'].split(' ')[1];if (!token) return res.sendStatus(403);jwt.verify(token, 'secret-key', (err, user) => {if (err) return res.sendStatus(403);req.user = user;next();});}

雙因素認證（2FA）

什么是雙因素認證

雙因素認證（2FA）是指在用戶登錄時，除了用戶名和密碼外，還需要提供另一種驗證方式，例如短信驗證碼、郵件驗證碼或認證應用生成的動態密碼。

2FA的優點

雙因素認證可以有效增加賬戶的安全性，即使攻擊者獲得了用戶的用戶名和密碼，也無法通過重放攻擊登錄賬戶，因為他們還需要第二個驗證因素。

實現步驟

用戶登錄：用戶輸入用戶名和密碼進行登錄。
發送驗證碼：服務器生成驗證碼并通過短信或郵件發送給用戶。
用戶輸入驗證碼：用戶在登錄頁面輸入驗證碼。
服務器驗證：服務器驗證驗證碼的有效性，允許用戶登錄。

使用Node.js和Express實現2FA的代碼實現：

const express = require('express');
const bodyParser = require('body-parser');
const nodemailer = require('nodemailer');
const speakeasy = require('speakeasy');
const app = express();
app.use(bodyParser.json());let users = {}; // 存儲用戶信息和2FA密鑰app.post('/login', (req, res) => {const { username, password } = req.body;// 驗證用戶名和密碼if (username === 'user' && password === 'pass') {const secret = speakeasy.generateSecret({ length: 20 });users[username] = secret.base32;// 發送驗證碼const token = speakeasy.totp({ secret: secret.base32, encoding: 'base32' });// 發送郵件示例let transporter = nodemailer.createTransport({ /* 郵件服務配置 */ });transporter.sendMail({from: 'your-email@example.com',to: 'user-email@example.com',subject: 'Your 2FA Code',text: `Your verification code is ${token}`});res.json({ message: 'Verification code sent' });} else {res.sendStatus(403);}
});app.post('/verify', (req, res) => {const { username, token } = req.body;const secret = users[username];const verified = speakeasy.totp.verify({ secret: secret, encoding: 'base32', token: token });if (verified) {res.json({ message: 'Login successful' });} else {res.sendStatus(403);}
});
app.listen(3000, () => console.log('Server running on port 3000'));

限制請求速率

什么是速率限制

速率限制（Rate Limiting）是一種通過限制特定時間內允許的請求數量來防止濫用或惡意攻擊的策略。速率限制可以有效防止重放攻擊，因為攻擊者無法在短時間內大量發送請求。

實現步驟

選擇速率限制策略：根據應用需求選擇合適的速率限制策略，例如每分鐘允許的請求數量。
實現速率限制：在服務器端實現速率限制邏輯，可以使用中間件或插件。
配置速率限制參數：配置速率限制參數，例如時間窗口和允許的請求數量。

使用Node.js和Express實現速率限制的代碼：

const express = require('express');const rateLimit = require('express-rate-limit');const app = express();
// 配置速率限制
const limiter = rateLimit({windowMs: 1 * 60 * 1000, // 1分鐘max: 10 // 每分鐘最多允許10個請求
});app.use(limiter);
app.get('/api/secure-endpoint', (req, res) => {res.json({ message: 'This is a secure endpoint' });
});
app.listen(3000, () => console.log('Server running on port 3000'));