防御手段网络编程瑞客03 file.pdfVIP

雪崩效应-明⽂⼩幅变化密⽂剧烈变化

密⽂-明⽂⽆法反推

密⽂固定⻓度md5sha1sha256

密码传输安全

https传输

频次限制

前端加密意义有限-传输层加密不会泄露但不代表不能登录

摘要加密的复杂度

md5反查

/

讨论⼀下下列情况

两次MD5是否可取

只加盐好不好

中间的字符串的作⽤

盐泄露是否会泄露密码

盐和字符串泄露密码是否可以反推但密码很复杂是否会被泄露是否会被泄露

2.⼈机验证与验证码

样式和反⾯教材/

/1232.html/1232.html

前端后端后端⻛控服务器

验证码请求

验证码请求

随机⽣成背景抠图（服务端保存随机抠图位置坐标）（服务端保存随机抠图位置坐标）

滑动距离值

⻛控信息(滑动⾏为⻚⾯⾏为)

⻛险处理

前端后端⻛控服务器

滑动验证码实现原理

1.服务端随机⽣成抠图和带有抠图阴影的背景图⽚，服务端保存随机抠图位置坐标；

2.前端实现滑动交互，将抠图拼在抠图阴影之上，获取到⽤户滑动距离值；

3.前端将⽤户滑动距离值传⼊服务端，服务端校验误差是否在容许范围内；

备注说明：单纯校验⽤户滑动距离是最基本的校验,处于更⾼安全考虑，可以考虑⽤户滑动整个轨迹、

⽤户在当前⻚⾯上的⾏为等,可以将其细化复杂地步,可以根据实际情况设计。亦或借助⽤户⾏为数据分

析模型,最终的⽬标都是增加⾮法的模拟和绕过的难度。

3.HTTPS配置（30min）

https和密码学/hai-blog/p/8311671.html浏览器如何验证SSL证书

wemedia.shtml

HTTP的弱点

危害

窃听

密码敏感信息

篡改

插⼊⼴告重定向到其他⽹站(JS和Head头)

时代趋势

⽬前全球互联⽹正在从HTTP向HTTPS的⼤迁移

Chrome和⽕狐浏览器将对不采⽤HTTPS加密的⽹站提示不安全

苹果要求所有APP通信都必须采⽤HTTPS加密

⼩程序强制要求服务器端使⽤HTTPS请求

特点

保密性(防泄密)

完整性（防篡改）

真实性（防假冒）

HTTP+SSL=HTTPS

什么是SSL证书

SSL证书由浏览器中“受信任的根证书颁发机构”在验证服务器身份后颁发,具有⽹站身份验证和加密传输

双重功能

密码学

对称加密

对称加密的⼀⼤缺点是密钥的管理与分配，换句话说，如何把密钥发送到需要解密你的消息的对称加密的⼀⼤缺点是密钥的管理与分配，换句话说，如何把密钥发送到需要解密你的消息的

⼈的⼿⾥是⼀个问题。在发送密钥的过程中，密钥有很⼤的⻛险会被⿊客们拦截。现实中通常

⼈的⼿⾥是⼀个问题。在发送密钥的过程中，密钥有很⼤的⻛险会被⿊客们拦截。现实中通常

的做法是将对称加密的密钥进⾏⾮对称加密，然后传送给需要它的⼈。

的做法是将对称加密的密钥进⾏⾮对称加密，然后传送给需要它的⼈。

DES

不对称加密

产⽣⼀对秘钥

公钥负责加密

私钥负责解密

私钥⽆法解开说明公钥⽆效-抗抵赖

计算复杂对性能有影响(极端情况下1000倍)

常⻅算法RSA（⼤质数）、Elgamal、背包算法、Rabin、D-H、ECC（椭圆曲线加密算法）。

RSA原理

/blog/2013/06/rsa_algorithm_part_one.html

只能被1和本身整除的数叫质数,例如13,质数是⽆穷多的.得到两个巨⼤质数的乘积是简单的事,但

想从该乘积反推出这两个巨⼤质数