安全令牌URL - 它的安全性如何？代理验证作为替代？

作者: v-star*위위
发布时间: 2024-12-13 08:25:45 (11天前)
转自：

4 条回复

0#
回复此人
绵绵 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 您有许多方法可以保护令牌： </p> <UL> <LI> X失败令牌解码后阻止IP </LI> <LI> 在令牌（散列或加密）中添加时间戳，以在X天或X小时后撤消令牌 </LI> <LI> 我最喜欢的：使用一个快速的数据库系统，如Memcached或更好的：Redis来收集你的令牌 </LI> <LI> 像Facebook一样：生成带有时间戳，IP等的令牌......并加密它！ </LI> </UL> </DIV>

编辑
1#
回复此人
樱花弄๑•ั็•็ | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 您基本上可以将您的问题重新表述为：需要多长时间才能保密。 </p> <P> 要回答这个问题，请考虑可能的字符数（字母数字+大写字母已经是每个字符62个选项）。其次，确保秘密令牌是随机的，而不是字典或其他东西。然后，例如，如果您将采用长度为10个字符的秘密令牌，则需要62 ^ 10（= 839.299.365.868.340.224）尝试暴力（最坏情况;平均情况将是当然的一半）。我真的不会害怕这一点，但如果你是，你可以随时确保秘密令牌至少100个字符长，在这种情况下需要62 ^ 100次尝试暴力（这是三个行中的数字）我的终端）。 </p> <P> 总而言之：只需要一个足够大的标记，它就足够了。 </p> <P> 当然，代理身份验证确实为您的客户提供了额外的控制，因为他们可以更直接地控制谁可以看，而不是，这也可以打败电子邮件。但是我不认为在给定足够长的令牌的情况下，强拆需要成为一个问题。 </p> </DIV>

编辑
2#
回复此人
子阳 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 它被称为 <a href="http://en.wikipedia.org/wiki/Message_authentication_code" rel="nofollow"> 苹果电脑 </A> 据我所理解。 </p> <P> 我不明白哈希有什么问题。简单的计算表明，SHA-1散列（160位）为我们提供了非常好的保护。例如。如果你有一个每秒10亿次尝试的超级云，那么你需要大约3000亿亿次才能实现它。 </p> </DIV>

编辑

登录后才能参与评论