如何防止再次使用已签名的请求？

Question

假设Bob发送该HTTP请求的API来更新他的电子邮件：

/user/[email protected]&userid=1234&sig=x1zz645

现在，一个名为Zerocool嗅探器记录以备后用此请求。

几天后，鲍勃再次将他的电子邮件更新为[email protected]。

几个小时后Zerocool现在决定用什么，他闻了闻，前几天和运行要求：

/user/[email protected]&userid=1234&sig=x1zz645

服务器接受它，而Bob是现在困惑，为什么是旧的电子邮件回来。

如何在不使用SSL的情况下防止这种情况发生？

Answer 1

保留最近请求的日志。在此类请求中嵌入时间戳，并拒绝日志中或日志以前的任何内容。为了更好的衡量，请使用私人md5校验和签名时间戳，以免造成错误。

Answer 2

按照您的标签中所述使用SSL。它对嗅探和重放攻击都是免疫的。它存在。使用它是免费的。有用。完成。

如果您不能使用SSL，请将其从您的代码中移除。

Answer 3

您可以使用Hash based message authentication code (HMAC)来确保API 的安全，以避免类似于您所提及的重播攻击。 服务器和客户端都有一个共享的秘密API密钥。

Amazon S3 Rest API使用相同的过程来验证和验证请求。请参阅文档here.

更新：由于布鲁诺指出HMAC本身无法防止重放攻击。您必须在消息中包含一些使用密钥签名的唯一标识符，并在服务器上对其进行验证。