安全套接層中間人攻擊與防護(hù)研究.pdf

1、隨著Internet網(wǎng)絡(luò)的快速發(fā)展,產(chǎn)生了越來越多的針對(duì)個(gè)人的網(wǎng)絡(luò)服務(wù),這就需要越來越多的敏感數(shù)據(jù)要在公共Internet網(wǎng)絡(luò)上進(jìn)行傳輸。因?yàn)檫@些敏感信息關(guān)系到網(wǎng)絡(luò)用戶的個(gè)人財(cái)產(chǎn)安全和隱私安全所以為了確保這些網(wǎng)絡(luò)中傳輸?shù)拿舾袛?shù)據(jù)的安全,研究者們提出了SSL/TLS協(xié)議。SSL/TLS本身被證明是安全的,但是它與HTTP一起使用時(shí)需要和網(wǎng)絡(luò)用戶進(jìn)行交互,需要多個(gè)協(xié)議相互配合,并且在協(xié)議實(shí)際的部署中存在實(shí)現(xiàn)上的漏洞和基于性能的安全妥協(xié)。這就

2、給一些基于SSL/TLS上的攻擊有了可趁之機(jī),其中威脅較大的是SSL/TLS上的中間人攻擊,這種攻擊突破SSL/TLS的安全防護(hù)使網(wǎng)絡(luò)中的傳輸?shù)拿舾行畔⒉辉侔踩?因此對(duì)Internet網(wǎng)絡(luò)使用者來說是一個(gè)巨大的災(zāi)難,所以迫切的需要研究人員對(duì)SSL/TLS上中間人攻擊的防護(hù)技術(shù)進(jìn)行研究。
　　SSL/TLS上的中間人攻擊主要有兩種類型,它們分別是SSL/TLS上密文中間人攻擊、SSL/TLS上明文中間人攻擊,密文中間人攻擊主要以SS

3、LSniffing攻擊為代表,明文中間人攻擊主要以SSLStrip攻擊為代表。SSLSniffing攻擊利用的是SSL/TLS部署實(shí)現(xiàn)上的漏洞而SSLStrip利用的是用戶使用瀏覽器的瀏覽習(xí)慣。由于網(wǎng)絡(luò)用戶對(duì)網(wǎng)絡(luò)知識(shí)的了解和網(wǎng)絡(luò)安全意識(shí)參差不齊,所以針對(duì)利用網(wǎng)絡(luò)用戶知識(shí)缺陷的網(wǎng)絡(luò)攻擊的防護(hù)具有相當(dāng)?shù)碾y度。本分在分析SSL/TLS上的中間人攻擊原理和技術(shù)的基礎(chǔ)上,結(jié)合SSL/TLS和兩種SSL/TLS上中間人攻擊的特點(diǎn),以檢測(cè)和防御SSL

4、/TLS上中間人攻擊為目的,分別對(duì)SSL/TLS上密文中間人攻擊和明文中間人攻擊提出了防護(hù)方法。
　　針對(duì)SSL/TLS上密文中間人攻擊,本文提出了一種基于時(shí)序分析和證書檢查的檢測(cè)防御方法。該方法首先給定一個(gè)初始的時(shí)序閾值,然后通過時(shí)序分析器、證書檢查器和表決器得到的檢測(cè)結(jié)果修正這個(gè)時(shí)序閾值,然后再把這個(gè)閾值用于時(shí)序分析器。時(shí)序分析的方法是基于統(tǒng)計(jì)時(shí)序的統(tǒng)計(jì)差異性的,這種差異性是用t檢驗(yàn)對(duì)有無中間人攻擊的情況下統(tǒng)計(jì)數(shù)據(jù)分析得到的結(jié)

5、果。本文中的實(shí)驗(yàn)數(shù)據(jù)和對(duì)實(shí)驗(yàn)數(shù)據(jù)的ROC分析證明了這種防御框架的可信性。
　　針對(duì)SSL/TLS上明文中間人攻擊,本文基于客戶端的歷史訪問數(shù)據(jù)提出了一個(gè)防御SSL/TLS明文中間攻擊的方法,稱之為HPP,它包括檢測(cè)規(guī)則集和一些組件。其主要組成部分是一個(gè)網(wǎng)頁分析器、一個(gè)中間人檢測(cè)器和一個(gè)感染模塊。網(wǎng)頁分析器用于分析并識(shí)別從瀏覽器發(fā)起的請(qǐng)求和緊跟其后的服務(wù)器響應(yīng),中間人檢測(cè)器檢查違反檢測(cè)規(guī)則集的請(qǐng)求和響應(yīng)來決定一個(gè)網(wǎng)頁安全與否,即使在

6、中間人檢測(cè)器錯(cuò)誤的把一個(gè)不安全網(wǎng)頁標(biāo)記為安全的前提下感染模塊也會(huì)極力防止私人信息的泄露。對(duì)100個(gè)網(wǎng)站的實(shí)驗(yàn)數(shù)據(jù)表明該防御框架有很好的防御效果和性能效果。實(shí)現(xiàn)數(shù)據(jù)顯示防御框架的錯(cuò)誤率能可達(dá)到4％時(shí)間開銷和無防御相比僅增加0.322秒。
　　針對(duì)SSL/TLS上明文中間人攻擊,本文基于安全cookie協(xié)議提出了一個(gè)防御SSL/TLS明文中間攻擊的方法,稱之為Cookie-Proxy。在研究安全cookie協(xié)議的基礎(chǔ)上,改進(jìn)了已有的安

7、全cookie協(xié)議,并結(jié)合一種新代理模型達(dá)到防御攻擊的目的。驗(yàn)證性的實(shí)驗(yàn)數(shù)據(jù)表明,該方法達(dá)到了很好的防御效果和很低的額外時(shí)空開銷。和傳統(tǒng)的cookie方法相比僅增加了0.00385秒的時(shí)間開銷和2560bit的通信量開銷。使用SVO邏輯對(duì)該方法進(jìn)行了形式化的證明。結(jié)果表明該方法獲得認(rèn)證性、機(jī)密性、完整性、抗重放攻擊、抗SSLStrip攻擊等安全性能。最后把Cookie-Proxy和其它現(xiàn)存的三種方法對(duì)比發(fā)現(xiàn)Cookie-Proxy框架在