安全是有分量的

cc攻击防御_ddos防火墙源码_精准

2022-01-12 21:06栏目:科技报

cc攻击防御_ddos防火墙源码_精准

审核您的代码是否正确使用加密非常重要。但是,如果这不是您的重点怎么办?如果您今天的工作是查找应用程序א的加密组件中的缺陷,您应该从哪里开始?

我喜欢通过检查使用了哪些加密原语来开始审核。这通常会让您了解密码的质量,并且只需查看一行代码即可发现可利用的漏洞。

识别弱密码原语的最简单方法是在代码中查找它们的名称。例如,我不久前发布的这个一行脚本,部分是作为一个笑话,幻盾ddos动态防御系统,将发现一些最明显的原语需要避免:

12#/bin/shexec rg-i-e'md2 | md4 | md5 | sha1 | rc2 | rc4 | mersenne | mt19937 | ecb | 3des | getpid | srand | oee | crc | rot13 |

1

您可以将其视为类似于缺陷发现工具的加密,有效的ddos防御方案有哪些,这些工具试图从基于模式的规则中发现缺陷。

当然,这种愚蠢的递归grep会让您产生大量误报,它并不全面,网站如何防御ddos,例如,它不会捕获DES,但是它可以帮助您发现明显的错误,而无需手动检查代码库。而且速度很快,这要感谢ripgrep(它将跳过二进制文件,忽略隐藏和忽略的文件)。例如,免费ddos防御墙,我可以在大约一秒钟内处理价值5千兆字节的git存储库。

那么,在审计的前30分钟,您应该寻找什么呢?常见的例子是:

CRC或其他用来代替加密哈希的弱哈希非加密PRNGs,如Mersenne Twister或srand()/rand()MD5或SHA-1用于预期抗冲突的情况(作为公钥证书中的签名方案,用于引导加载程序中的二进制blob签名等)ECB模式下的分组密码,或具有可预测IV的CBC模式,或具有重复nonce的CTR模式传统密码,如DES、TripleDES或RC4弱密码散列(仅加密散列,或迭代次数太少的PBKDF2)Hash函数用于MAC或PRF是预期的

这些都是初学者的错误,服务器防御ddos攻击,但一般来说,许多开发人员对加密一无所知,只会在Google和Stack Overflow的帮助下尽最大努力。

如果到目前为止一切看起来都很好,你没有发现任何明显的缺陷,您的加密仍有一百万种失败的方式,您必须提出以下问题:

所选协议和原语是否提供了威胁模型所需的安全性(当您与主动攻击者打交道时,该协议可能对被动攻击者是安全的)应用程序中有没有缺少加密的部分?不需要或多余的零件(也可能发生)各种协议和原语的安全级别有多一致(如果密钥由1024位RSA加密,则将AES与256位密钥而不是128位密钥一起使用是毫无意义的加密方案的实现方式是否符合其官方规范(可能不会)所有应该随机化的东西都随机化了吗(RSA-OAEP、ECDSA等)密码有多快?如果一个算法特别慢,是否可以利用它来DoS应用程序?如果使用操作系统的PRNG,那么它在运行应用程序的平台上的可靠性如何?是否使用了任何第三方组件/库?这些有多安全?应用程序是否使用其最新版本?是否检测到无效的输入值?是否检查返回值是否存在错误?在应用程序执行后,内存中是否还留有秘密值?

这只是我在写这篇文章剩下的几分钟里能想到的几件事。底线是,检查加密软件远不止检查使用了什么算法。

共享:点击打印(在新窗口中打开)点击发送邮件给朋友(在新窗口中打开)点击在LinkedIn上共享(在新窗口中打开)点击在Twitter上共享(在新窗口中打开)点击在Reddit上共享(在新窗口中打开)相关的开源加密不比闭源加密好2018年10月2日CIA crypto上的"crypto"2017年3月13日"crypto"中的"crypto":第一个小时2019年2月7日"crypto"