एक खुले चैनल पर प्रसारण के दौरान पासवर्ड सुरक्षा (भाग 1)

प्रमाणीकरण के लिए https का उपयोग करना लंबे समय से एक अच्छा अभ्यास रहा है। हालांकि, प्रमाण पत्र खरीदने की आवश्यकता इस तथ्य की ओर ले जाती है कि कई वेब-संसाधन स्वामी अभी भी प्रमाणीकरण के लिए एक खुले चैनल का उपयोग करते हैं और आपके एक्सेस पासवर्ड को एक हमलावर द्वारा इंटरसेप्ट किया जा सकता है, जिसके पास उस नेटवर्क तक पहुंच है जहां आप काम करते हैं। यह ध्यान दिया जाना चाहिए कि सामान्य रूप से https का उपयोग संचरित यातायात के अवरोधन से सुरक्षा की गारंटी नहीं देता है। आज, विशेष प्रॉक्सी और डोमेन नीतियों के उपयोग के आधार पर समाधान हैं जो आपको कॉर्पोरेट नेटवर्क पर सफलतापूर्वक https ट्रैफ़िक पढ़ने की अनुमति देते हैं। पासवर्ड को इंटरसेप्शन से बचाने के तरीके पर आगे।

अब चीजें कैसी हैं? सबसे विशिष्ट स्थिति यह है कि सर्वर हैश डेटाबेस में उपयोगकर्ता पासवर्ड H (pwd) को संग्रहीत करता है और प्रमाणीकरण प्रक्रिया के दौरान, उपयोगकर्ता से पासवर्ड प्राप्त करता है, हैश की गणना करता है और मानक के साथ तुलना करता है। डेटाबेस में पासवर्ड हैश वैल्यू को पासवर्ड के बजाय संग्रहीत करना, आपको एक बेईमान व्यवस्थापक या तीसरे पक्ष के उल्लंघनकर्ता द्वारा प्रमाणीकरण डेटा की चोरी से खुद को बचाने की अनुमति देता है। लेकिन इसके बावजूद, प्रमाणीकरण के दौरान हर बार, संचार चैनल पर स्पष्ट चैनल में पासवर्ड प्रसारित होता है। और पासवर्ड इंटरसेप्ट करने से हमलावर को संबंधित खाते तक पूर्ण पहुंच मिलती है। पासवर्ड अवरोधन से बचाने के लिए, डाइजेस्ट प्रमाणीकरण तंत्र का आविष्कार किया गया था। मैंने समझने में आसानी के लिए एल्गोरिथ्म को थोड़ा सरल किया। प्रत्येक सत्र में, सर्वर क्लाइंट को रैंड की एक यादृच्छिक संख्या भेजता है, क्लाइंट H (Rnd + H (pwd)) को वापस भेजता है। नतीजतन, अवरोधन एक हमलावर को कुछ भी नहीं देगा, लेकिन अब एक कमजोर बिंदु है - सर्वर डेटाबेस। डेटाबेस या पासवर्ड हैश में संग्रहीत पासवर्ड आपको प्राधिकरण के लिए आवश्यक ग्राहक की प्रतिक्रिया को फिर से बनाने की अनुमति देगा। ऐसे डेटाबेस की चोरी प्रमाणीकरण तंत्र की सुरक्षा के लिए एक गंभीर खतरा बन जाती है।

निम्नलिखित एक उदाहरण है कि कैसे एक अतिरिक्त खतरा पैदा किए बिना ट्रांसमिट किए गए पासवर्ड को इंटरसेप्ट होने से बचाया जाए। इसी समय, छोटे परिवर्तन केवल आपकी सेवा को प्रभावित करेंगे और आपके उपयोगकर्ताओं को प्रभावित नहीं करेंगे।

तो:

1. सर्वर डेटाबेस में क्लाइंट H (pwd) के पासवर्ड हैश को स्टोर करता है;
2. क्लाइंट अपना लॉगिन सर्वर पर भेजता है;
3. सर्वर क्लाइंट को क्लाइंट के H (pwd) पर एन्क्रिप्ट किया गया एक यादृच्छिक रैंड नंबर भेजता है;
4. क्लाइंट अपने पासवर्ड के साथ एक रैंडम रैंड नंबर की गणना करता है, फिर एक रैंड रैंड नंबर के साथ अपने pwd पासवर्ड को एन्क्रिप्ट करता है और इसे सर्वर पर भेजता है;
5. सर्वर एक यादृच्छिक संख्या रैंड का उपयोग करके क्लाइंट पासवर्ड को डिक्रिप्ट करता है, पासवर्ड हैश की गणना करता है और मानक के साथ तुलना करता है।

उन लोगों के लिए जो समझने में आसान हैं, कोड पढ़ना उदाहरण हैं । PHP में सर्वर साइड। ग्राहक - जावास्क्रिप्ट। आप डेमो भी देख सकते हैं। एईएस एन्क्रिप्शन क्रिसा वेनस पुस्तकालयों पर बनाया गया है
बेशक, यह समाधान रामबाण नहीं है, और इसका उपयोग केवल तभी करना है जब https का उपयोग करने का कोई तरीका नहीं है। हालांकि, वर्णित एल्गोरिथ्म का उपयोग करके प्रेषित पासवर्ड को सूँघने और मिटएम हमलों से बचाएगा।

भाग २