[閒聊] 2017.W12 - Store your password

看板NetSecurity (資安資訊安全)作者CMJ0121 (請多指教!!)時間7年前 (2017/03/21 23:10)推噓0(0推 0噓 0→)

留言0則, 0人參與討論串1/1

2017.W12 - Store your password > 依然是工作上的抱怨... ## 前言 ## 依然分享一下工作上遇到的故事這次分享如何在不得已的情況之下儲存使用者的密碼 ... ## 內容 ## 實務上資訊安全專家或者是相關人員都會告誡開發者千～～萬不要儲存明文密碼相關的慘案可以參考 [0] 在技術上認證一個使用者的密碼透過 Hash + Salt 來處理使用者的密碼在伺服器端就可以不用儲存密碼當因為不知名的資安事件造成駭客可以任意存取伺服器上的資料時也不至於造成使用者最敏感的密碼資料外洩在某些不得已的情況之下開發者需要儲存明文密碼像是 browser[1] 就需要儲存使用者的明文密碼下次需要的時候就可以自動填入 (auto-complete[2]) 密碼但是這種情況下駭客一定可以有辦法拿到儲存的密碼因此如何有誠意的儲存密碼則是一門技巧 Level 0 最沒有誠意的方式就是直接將密碼明文的儲存在某個檔案/設定檔中其中這個儲存方式又顯著的標出來這個值是密碼像是 loginPassword = XXXXXXXX 比這個方式好一點的方式則是針對這個檔案額外賦予存取權限只有系統管者才能夠存取 Level 1 相對有誠意的方式則是儲存密碼的時候做一些混淆在這種方式中會存在一種方式 (e.g. 函數 F) 密碼會透過這個函數 1-1 對應到另一個不容易被發現是密碼的格式但因為還是需要逆轉成原本的密碼如果駭客知道逆轉的方式與儲存的位址則還是可以獲得原始的明文密碼在實務上會使用對稱式加密[3]的方式來處理原始的密碼在這個之外還有降低使用者經驗/UX[4] 前提下的誠意做法像是強迫使用者在程式執行初期重新輸入一次密碼在程式運作期間利用作業系統提供的保護方式將密碼儲存在一個程式-唯讀寫的記憶體空間像是在 Linux 的環境中可以透過 mprotect[5] 將資料寫入之後沒有使用的期間中重新設定為 PROT_NONE 讓這塊記憶體空間無法被其他程式讀取只有在需要的時候才重新設定為 PROT_READ [0]: https://www.facebook.com/PlainPass/ [1]: http://raidersec.blogspot.tw/2013/06/how-browsers-store-your-passwords-and.html [2]: https://en.wikipedia.org/wiki/Autocomplete [3]: https://zh.wikipedia.org/wiki/%E5%B0%8D%E7%A8%B1%E5%AF%86%E9%91%B0%E5%8A%A0%E5%AF%86 [4]: https://zh.wikipedia.org/zh-tw/%E4%BD%BF%E7%94%A8%E8%80%85%E7%B6%93%E9%A9%97 [5]: http://man7.org/linux/man-pages/man2/mprotect.2.html -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 123.193.122.171 ※ 文章網址: https://www.ptt.cc/bbs/NetSecurity/M.1490109027.A.F1E.html