• “一带一路”论坛 值得世界期待 2019-05-13
  • 地铁上索座不成 蛮横老汉掌掴大妈 2019-05-13
  • 为祝贺你们!为你们自豪,为你们骄傲——中国核电的创新者!这是“两弹一星”精神的延续,是“两弹一星”精神的发扬!有良心的中国人,更要感谢以毛泽东为首的老一辈无产阶 2019-05-10
  • 新版泰坦尼克2018年首航 杰克肉丝这回要从中国上船了泰坦尼克号首航 2019-05-10
  • 牢记宗旨,不忘初心,奋勇前行,开创中华民族伟大复兴! 2019-04-23
  • 【学习时刻】管清友:归本源、化风险、促改革,让金融成为经济发展的重要动力 2019-04-23
  • (原创首发)看《换了人间》有感——蒋介石和国民党依靠歪门邪道夺取天下;毛泽东和共产党依靠正义正气打天下! 2019-04-14
  • 高考评卷在三所高校进行 确保高质高效完成评卷任务 2019-04-12
  • 一语惊坛(5月31日):“我们不一样”,中国向世界许下一个承诺。 2019-04-08
  • 扎根沙漠的孙晟中创业团队“什么都能省,研发经费不能省” 2019-04-03
  • 这是没文化和懒人的语言。瞎扯淡! 2019-04-03
  • 广州市食药监局:端午粽抽检全部合格 2019-04-01
  • 关于益寿丹 竹林日记(0073) 2019-04-01
  • 央视解读不动产登记体系全面运行 房价会下跌 2019-03-31
  • 出租车司机涉嫌猥亵女乘客 乐山警方:拘留10日 2019-03-31
  • 首页 > 信息安全 > 正文

    区分攻击:研究人员提出解决在线密码猜测攻击的新方法

    藏宝阁玄机资料 www.zir1.net 2019-03-13 15:17:37  来源:安全牛

    摘要:现在解决在线密码攻击的典型方法是阻止或者限制对一个账户的重复尝试。研究人员表示,这个方法能够对付深度优先攻击,但是针对大量账户发起的密码猜测确不太有效。
    关键词: 安全
      自动在线密码猜测攻击——攻击者通过不断尝试不同的用户和密码组合来试图入侵用户账户,在近年来已经成为Web服务提供商面对的重大威胁。
     
      近日,两名研究人员在圣地亚哥的NDSS会议(Network and Distributed System Security Symposium)发表一篇文章,提出一种更具有扩展性的新解决方法。
     
      这个方法在其论文《在大量合法身份验证中区分攻击》(Distinguishing Attacks from Legitimate Authentication Traffic at Scale)中,被描述为针对非定向在线密码猜测攻击设计的方案。 在这些攻击中,攻击者可以对大量账户发起自动密码猜测攻击。
     
      论文指出,对于大型组织机构来说,这些 “广度优先(breadth-first)”的攻击方式比目标明确的 “深度优先(depth-first)”攻击更难解决。“深度优先(depth-first)”攻击中,一个攻击者可能会针对一小部分在线账户尝试大量密码猜测。
     
      现在解决在线密码攻击的典型方法是阻止或者限制对一个账户的重复尝试。研究人员表示,这个方法能够对付深度优先攻击,但是针对大量账户发起的密码猜测确不太有效。
     
      对于拥有数千万或数亿账户大型供应商,广度优先的攻击可以进行数百万甚至数十亿的猜测,而不触发深度优先防御。
     
      微软研究员的首席研究员,也是该报告的主要作者Cormac Herley表示,组织机构面临的挑战是找到一个能够有效区分合法流量和攻击流量方法。
     
      密码验证服务器上的流量混合着来自未知的正常用户和攻击者的流量。
     
      每个请求包含着一个用户名,密码和其他数据,例如IP地址和浏览器信息。Herley表示,很难区分来自合法用户发出的尝试登陆其账户的请求和攻击者的密码猜测请求,特别是在攻击量大的时候。例如像微软这样的公司,每天都能检测到数百万次针对其身份系统的攻击。
     
      解决这一问题首先要计算出网络中良性流量的百分比和攻击流量的百分比。
     
      攻击者和合法用户都可能在一次登录尝试中失败。然而正常用户在大概5%的情况下会失败,但是一个攻击者在99%的情况下都在失败。
     
      Herley的研究展示了组织机构如何通过这一事实来估计登录请求中的良性流量与攻击流量的比率。然后如何通过这一预估来识别包含最多攻击的流量段和少量或者没有攻击的部分。
     
      发现没有攻击的流量段可以帮助我们认识正常用户流量是什么样的,这样我们就可以处罚那些偏离这一模式的流量段。
     
      开发解决在线密码攻击的新方法的动力源于该领域缺乏创新。Herely表示,很长一段时间,都推荐锁定账户的方法,但是很少有人花时间去了解它们的实际效果。
     
      他说几乎没有科学依据或者分析表明,一个单一固定账户锁定阈值(例如在10次失败之后),对于小型组织机构和那些拥有大量用户的组织机构(例如谷歌和微软)同样有效。
     
      这个问题需要一个全新的,系统的解决方法,而不是那些被大量使用确很少被研究的杂乱无章的探索方法。这个方法依赖于从输入通信量中收集到的正确统计数据。

    第二十八届CIO班招生
    法国布雷斯特商学院MBA班招生
    法国布雷斯特商学院硕士班招生
    法国布雷斯特商学院DBA班招生
    责编:kongwen
  • “一带一路”论坛 值得世界期待 2019-05-13
  • 地铁上索座不成 蛮横老汉掌掴大妈 2019-05-13
  • 为祝贺你们!为你们自豪,为你们骄傲——中国核电的创新者!这是“两弹一星”精神的延续,是“两弹一星”精神的发扬!有良心的中国人,更要感谢以毛泽东为首的老一辈无产阶 2019-05-10
  • 新版泰坦尼克2018年首航 杰克肉丝这回要从中国上船了泰坦尼克号首航 2019-05-10
  • 牢记宗旨,不忘初心,奋勇前行,开创中华民族伟大复兴! 2019-04-23
  • 【学习时刻】管清友:归本源、化风险、促改革,让金融成为经济发展的重要动力 2019-04-23
  • (原创首发)看《换了人间》有感——蒋介石和国民党依靠歪门邪道夺取天下;毛泽东和共产党依靠正义正气打天下! 2019-04-14
  • 高考评卷在三所高校进行 确保高质高效完成评卷任务 2019-04-12
  • 一语惊坛(5月31日):“我们不一样”,中国向世界许下一个承诺。 2019-04-08
  • 扎根沙漠的孙晟中创业团队“什么都能省,研发经费不能省” 2019-04-03
  • 这是没文化和懒人的语言。瞎扯淡! 2019-04-03
  • 广州市食药监局:端午粽抽检全部合格 2019-04-01
  • 关于益寿丹 竹林日记(0073) 2019-04-01
  • 央视解读不动产登记体系全面运行 房价会下跌 2019-03-31
  • 出租车司机涉嫌猥亵女乘客 乐山警方:拘留10日 2019-03-31
  • 决胜21电影免费观看 河南快赢481视频在电视 2018海南环岛赛吉祥物 时时彩后二 超级大乐透开奖规则 北京赛车pk10攻略 竞彩足球比分-彩客网 彩票投注站怎么申请 超音波捕鱼机 排列3试机号 重庆市幸运农场直播 澳洲幸运5开奖直播现场 11选5技巧 刮刮乐甜蜜蜜规则 彩票平台如何制作 中国体育彩票开奖