設(shè)計(jì)HTTP安全的時(shí)候，惡意代理是需要考慮到的很重要的一環(huán)，尤其在這個(gè)“Wifi橫行”的年代。一個(gè)酒店、商廈中不懷好意的免費(fèi)Wifi節(jié)點(diǎn)，可能就會(huì)讓用戶在使用客戶端的過程中，泄漏密碼、資金等重要信息。

本文從常見惡意代理的幾種攻擊方式出發(fā)，談一談如何在安全設(shè)計(jì)上避免被惡意代理攻擊。

一、報(bào)文纂改

這個(gè)是攻擊力比較小的方式，只要稍有一些安全意識(shí)，就容易防范。典型的攻擊方式是通過惡意代理截取到一段明文請(qǐng)求，分析請(qǐng)求格式，然后對(duì)其中的一些參數(shù)進(jìn)行修改，再向模擬用戶向服務(wù)器請(qǐng)求。通過這種方式，可以很容易地破壞用戶在服務(wù)器上的私有數(shù)據(jù)。比如，用戶本意是發(fā)送一個(gè)刪除某條信息的命令，惡意代理把用戶發(fā)送的命令修改為清除所有信息。

對(duì)這種報(bào)文纂改的攻擊，我們可以通過對(duì)請(qǐng)求報(bào)文進(jìn)行摘要即可防范。

二、重放攻擊

這個(gè)主要是針對(duì)服務(wù)器的攻擊。服務(wù)器中總有那么一些API是性能消耗比較大的，或是為了安全，或是業(yè)務(wù)比較復(fù)雜。惡意代理很可能會(huì)截取到用戶的一個(gè)請(qǐng)求之后，向服務(wù)器不停地發(fā)送該請(qǐng)求，進(jìn)行“拒絕服務(wù)”攻擊，如果服務(wù)器對(duì)請(qǐng)求無法簽別，就會(huì)影響對(duì)正常用戶的服務(wù)。對(duì)于這種重放攻擊，我們可以通過在請(qǐng)求中添加隨機(jī)數(shù)驗(yàn)證來設(shè)置請(qǐng)求時(shí)效性的方式來解決。有幾種具體的手段可以借鑒：

1、服務(wù)器與客戶端在第一次請(qǐng)求時(shí)進(jìn)行一次時(shí)間同步，客戶請(qǐng)求時(shí)隨機(jī)數(shù)取請(qǐng)求的當(dāng)前時(shí)間，服務(wù)器根據(jù)客戶端的時(shí)間是否與服務(wù)器的時(shí)間相差太多來判斷是否重放攻擊。這種方式很容易實(shí)現(xiàn)，但由于客戶端與服務(wù)器的網(wǎng)絡(luò)交互存在時(shí)間差，時(shí)效性會(huì)稍差。

2、每次請(qǐng)求服務(wù)器在響應(yīng)時(shí)帶回下一次請(qǐng)求的隨機(jī)數(shù)，服務(wù)器把隨機(jī)數(shù)和正常請(qǐng)求數(shù)據(jù)一起進(jìn)行摘要。服務(wù)器對(duì)每個(gè)請(qǐng)求進(jìn)行驗(yàn)證，如果隨機(jī)數(shù)不正常，則屬于重放攻擊，判定該請(qǐng)求無效。但這種方式對(duì)付比較簡單的惡意代理還可以，更強(qiáng)大的惡意代理可以攔截到這個(gè)隨機(jī)數(shù)。這種方式最大的問題是無法進(jìn)行并發(fā)請(qǐng)求的驗(yàn)證。

3、客戶端和服務(wù)器利用共享密鑰來為每次請(qǐng)求生成隨機(jī)數(shù)。比如安全硬件等，服務(wù)器還可以為每個(gè)客戶端生成一個(gè)對(duì)應(yīng)密鑰，客戶端在發(fā)送請(qǐng)求時(shí)利用密鑰生成隨機(jī)數(shù)，并在請(qǐng)求中包含自己的AppKey。服務(wù)器接收到請(qǐng)求時(shí)，根據(jù)該客戶端的AppKey查詢到該客戶端的密鑰，再利用密鑰生成對(duì)應(yīng)的隨機(jī)數(shù)，如果該隨機(jī)數(shù)與客戶端發(fā)送過來的相同，則請(qǐng)求正常，否則，可判斷該請(qǐng)求為重放攻擊。這種方式的缺點(diǎn)是一旦客戶端的AppSecret被破解，則安全蕩然無存。

三、密碼破解

這種攻擊主要以獲取用戶的密碼等身份認(rèn)證信息為主?？赡苡幸韵聨追N方式：

1、對(duì)HTTPS連接，通過惡意代理對(duì)安全證書做替換。如果設(shè)計(jì)上太多依賴HTTPS安全性，利用HTTP發(fā)送的信息不加密的話，很容易被惡意代理截獲并分析出用戶的原始密碼。

2、對(duì)于簡單的密碼摘要信息認(rèn)證方式，惡意代理可以在攔截到摘要后利用詞典進(jìn)行暴力破解。對(duì)于請(qǐng)求中有隨機(jī)數(shù)的摘要，惡意代理可以模擬服務(wù)器向客戶端響應(yīng)一個(gè)隨機(jī)數(shù)，然后對(duì)攔截到的客戶端請(qǐng)求進(jìn)行暴力破解。

惡意代理在無線互聯(lián)網(wǎng)上的破壞性要遠(yuǎn)大于傳統(tǒng)互聯(lián)網(wǎng)，而安全問題從來也不是一蹴而就的，我們需要在設(shè)計(jì)時(shí)盡量在安全、便捷、性能之間做更慎重的權(quán)衡，從多方面一起下手來保護(hù)我們的用戶。