赵 梁,李 磊,李向丽

(郑州大学 信息工程学院,郑州 450000)

0 概述

在Web应用的安全保障措施中,通常使用各类权限框架来保证整个系统的安全性以及数据的完整性。虽然权限框架能够实现客户端请求的合法性校验,但是攻击者仍可以通过拦截合法的请求报文来获取交互过程中的请求信息,从而对Web应用程序执行重放攻击,入侵系统获取用户的数据信息。

针对重放攻击防御的问题,现有基于权限认证框架的方案多为每一次请求设置一个新鲜性标识来确定此次请求是否为新请求,从而过滤重放攻击。设置消息新鲜性标识的方法可以使用基于时间戳[1-2]、序列号[3]、版本号[4]和计数器[5]等。然而服务端权限框架针对每次请求的新鲜性检测能力较弱,使得服务端应用程序在重放攻击方面的防御能力有限。

文献[1]提出一种利用传递消息时系统的时间戳进行消息新鲜性标识的方法,当攻击者执行重放攻击时,通过将报文的时间戳与已缓存时间戳进行比较判断消息的新鲜性,从而过滤重放攻击报文。该方法能有效地防御重放攻击,但存放时间戳信息会耗费大量的存储空间,从而影响服务端程序运行效率。文献[2]提出一种基于时间戳比较的请求过滤方案,即当消息时间戳超出服务端预定的范围时即拒绝消息请求。该方案在一定的请求时延内可有效防御重放攻击,但是如果服务端的时钟与客户端的时钟不同步,就会导致服务端拒绝客户端的请求。……