使用node应用中timing-attack存在哪些安全漏洞

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了使用node应用中timing-attack存在哪些安全漏洞，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含2023字，纯文字阅读大概需要3分钟。

内容图文

前言

假如你在项目中遇到过 eslint 报错 Potential timing attack ，不可忽视！这是一个涉及到安全的问题：时序攻击。
eslint 报错原因

首先eslint引入了一个叫做eslint-plugin-security的插件，这个插件有助于识别出潜在的安全问题，但同时也会产生误报的问题，附上插件 源码地址。

首先这个插件会判断本次的运算符是否为 ==、===、！=、！==其中一种，其次检查标识符（字段名）是否包含特殊字符串password、secret、api、apiKey、token、auth、pass、hash，如果同时满足二者情况，eslint 就会编译报错 Potential timing attack。

攻击定义

timing attack：时序攻击，属于侧信道攻击 / 旁路攻击，侧信道攻击指的是利用信道外的信息，比如加解密的数据、数据比较时间、密文传输的流量和途径进行攻击的方式，相当于是“旁敲侧击”。

攻击点

首先讲讲js比较两个字符串大小的原理：

• 判断字符串长度是否为0，如果为0，就可以直接比较出结果；反之，进入到第二步。

• 字符串是由一个个字符组成，通过每个字符的charCode进行比较。

• 在第二步中，只要出现一个字符不同，就 return false，剩余的字符不再做比较。

单个字符的比较是很快的，攻击者可以细化测量时间精度到微秒，通过响应时间的差异推算出是从哪一个字符开始不用的，这样一次次实验或者用 Python 写个脚本去跑，就可以试出正确的密码，密码破解的难度也降低了不少。

容易受攻击的写法

防御措施

每次不同的输入会造成处理时间的不同。为了防止它，我们需要使字符串比较花费相同的时间量，无论输入的密码是什么。
不容易受攻击的写法

系统中每一个密码的长度是固定的，每次比较密码是否相同时，使用正确密码的长度作为比较次数，使用异或比较每一个字符的 Unicode 编码是否相等，并且把每一次的比较结果存放到一个数组中，最后再判断数组的每一个元素是否为0（为 0 表示两个字符相同）。

三方包推荐

也可以使用 cryptiles 这个 npm 模块来解决这个问题

上面是我整理给大家的，希望今后会对大家有帮助。

相关文章：

NodeJS父进程与子进程资源共享原理与实现方法

vue中实现图片和文件上传的示例代码

vue axios 表单提交上传图片的实例

以上就是使用node应用中timing-attack存在哪些安全漏洞的详细内容，更多请关注Gxl网其它相关文章！

内容总结

以上是互联网集市为您收集整理的使用node应用中timing-attack存在哪些安全漏洞全部内容，希望文章能够帮你解决使用node应用中timing-attack存在哪些安全漏洞所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端