Thư viện · Đường truyền
Chống phát lại: nonce, thời gian và gắn với yêu cầu
Một yêu cầu hợp lệ bị ghi lại vẫn hợp lệ nếu server không nhớ đã thấy nó. Nonce một lần, cửa sổ thời gian hẹp và phiên ngắn cùng nhau đóng lại kiểu tấn công này.
Tấn công phát lại
Kẻ tấn công không cần hiểu giao thức. Họ ghi một lần đăng nhập thành công rồi gửi lại y hệt từ máy khác.
Ba lớp chặn
- Nonce một lần: server ghi nhớ mỗi nonce trong một khoảng thời gian và từ chối lần thứ hai.
- Cửa sổ thời gian: yêu cầu cũ hơn khoảng cho phép (ví dụ 60 giây) bị từ chối, nên server chỉ cần nhớ nonce trong khoảng đó.
- Gắn với thiết bị: chữ ký dùng khoá riêng của máy, nên chép yêu cầu sang máy khác cũng không ký lại được.
Đồng hồ lệch
Máy khách có thể sai giờ. Đừng nới cửa sổ; hãy để SDK học độ lệch từ server một lần rồi thử lại.
Phiên ngắn
Một mã phiên bị lộ có giá trị bao lâu? Phiên ngắn cùng nhịp báo đều đặn thu hẹp khoảng đó.
Áp dụng với ClavisAUH
Nonce và cửa sổ ±60 giây luôn bật, đó là Chống replay. Ở Bảo vệ Advanced, bật Session lease ngắn hạn để phiên hết hạn nhanh khi máy ngừng báo.