⑴ HTTPS/TLS是否可以防重放攻擊
tls具有防重放攻擊機制。加密,時間戳,每個包要有包序號,每次同向加1,收到重復序號認為是攻擊,可以抵禦重放攻擊。此外藉助於HTTPS/TLS其自身機制,保證了消息完整性,並且可以抵禦重放攻擊。由於加密,對方也無法看到明文內容。
即使無法獲取到後台登錄信息, 攻擊者也可以從網路中獲取普通用戶的隱秘信息, 包括手機號碼, 身份證號碼, 信用卡號等重要資料, 導致嚴重的安全事故。進行網路嗅探攻擊非常簡單, 對攻擊者的要求很低。使用網路發布的任意一款抓包工具, 一個新手就有可能獲取到大型網站的用戶信息。
HTTP的缺點:
HTTP雖然使用極為廣泛, 但是卻存在不小的安全缺陷, 主要是其數據的明文傳送和消息完整性檢測的缺乏, 而這兩點恰好是網路支付,網路交易等新興應用中安全方面最需要關注的。
關於 HTTP的明文數據傳輸, 攻擊者最常用的攻擊手法就是網路嗅探, 試圖從傳輸過程當中分析出敏感的數據, 例如管理員對Web程序後台的登錄過程等等, 從而獲取網站管理許可權, 進而滲透到整個伺服器的許可權。
⑵ 各個品牌的代碼簽名中都有時間戳,是干什麼用的
為了避免簽名證書到期後需要重簽軟體和重新發布, 必須使用提供的時間戳服務。當您對代碼簽名時,代碼產生的哈希值將發送給時間戳伺服器進行時間戳反簽名。這樣,當用戶下載簽名代碼後, IE瀏覽器將進行鑒別:
(1) 用已經吊銷的代碼簽名證書簽名的代碼不會被信任;
(2) 用有效的代碼簽名證書簽名的代碼,即使代碼簽名證書已經到被吊銷,但代碼仍然是可以信任的。這意味著您不用擔心代碼簽名證書吊銷後需要重新簽名代碼。
時間戳服務是代碼簽名證書配套服務,是為了方便軟體開發商可以不用擔心由於代碼簽名證書過期而影響在有效期內已經簽名的代碼的正常的使用,也就是說,在代碼簽名證書有效期內簽名的代碼永遠不會過期。