web应用开发中的安全算法使用策略

《web应用开发中的安全算法使用策略》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、WEB应用开发中的安全算法使用策略安天实验室2012-2-20自我介绍姓名:童志明简介:ASM/C/C++程序员，专科肄业，自学未成才职务:目前任安天反病毒引擎研发中心总经理Mail:andy@antiy.com2021/6/26创造安全每一天第2页演讲内容背景介绍我们所面临的威胁那些错误的实现安全算法使用策略结束2021/6/26创造安全每一天第3页背景介绍关于演讲中的名词说明以及泄密事件的背景2021/6/26创造安全每一天第4页背景介绍—名词相关HASH:简单的说就是一种将任意长度的消息压缩到某一固定长度的消息摘要。加密/密文:把口令变换的过程称为加密，以及把口令变换

2、后的结果称为密文并不科学，但却是公众所能理解的。计算速度:关于HASH的计算速度，本文所指的是单位时间内的计算次数2021/6/26创造安全每一天第5页背景介绍—泄密事件索尼索尼数据遭窃受影响的用户可能超过1亿世嘉世嘉欧洲分公司承认世嘉的通行证系统遭到非法入侵，有129.0755万用户的资料被盗取。花旗银行约有36万用户受到影响，约有20万位客户的帐户信息被窃CSDN600万用户数据泄密多玩800万用户数据泄密天涯约3000万用户数据泄密2021/6/26创造安全每一天第6页我们所面临的威胁我们所面临的安全威胁2021/6/26创造安全每一天第7页威胁无处不在—安全是一个整

3、体在当前0day横行的时代，几乎没有网站和应用可以绝对保证自己数据库系统的安全2021/6/26创造安全每一天第8页数据泄露系统服务运维备份威胁无处不在—信息的二次利用信息被盗后，攻击者会对信息进行二次利用2021/6/26创造安全每一天第9页那些错误的实现在泄密事件发生后我们听到了各种各样的声音……2021/6/26创造安全每一天第10页那些错误的实现—使用标准HASH算法不合理但比较靠谱的实现如何应对统计攻击?2021/6/26创造安全每一天第11页那些错误的实现—使用标准HASH算法不合理但比较靠谱的实现如何应对高频碰撞?2021/6/26创造安全每一天第12页那些错

4、误的实现—联合使用HASH与使用标准HASH算法相同如何应对彩虹表?2021/6/26创造安全每一天第13页简写功能应用场景md5对密码做MD5大量常见网站md5(md5($pass))对密码的MD5值再做MD5大量常见网站md5($pass.$salt)将密码与盐连接，做MD5Joomla等开源CMS系统md5($salt.$pass)将盐与密码连接，做MD5osCommerce等开源电子商务系统md5(md5($pass).$salt)将密码的MD5值与盐连接，再做MD5Vbulletin、IceBB、Discuz等论坛系统md5(md5($salt).$pass)将盐

5、的MD5值与密码连接，再做MD5md5($salt.$pass.$salt)将盐、密码、盐连接到一起，做MD%TBDev等在线P2P系统md5($salt.md5($pass))将盐与密码的MD5值连接，再做MD5md5(md5($pass).md5($salt))将密码的MD5值与盐的MD5值连接，再做MD5md5(md5($salt).md5($pass))将盐的MD5值与密码的MD5值连接，再做MD5ipb、mybb等论坛系统MD5(Unix)对密码做MD5，以Unixshadow风格存储phpBB3等论坛系统、WordPress等博客系统md5(unicode)对密

6、码的Unicode做MD5Unix/Linux系统sha1对密码做SHA-1大量常见网站sha1($salt.$pass)将盐与密码连接，做SHA-1sha1(lower($username).$pass)将小写用户名与密码连接，做SHA-1SMF等论坛系统sha1(upper($username).’:’.upper($pass))将大写用户名连接字符’:’、连接大写密码，做SHA-1ManGOS等网游服务器系统sha1($username.’:’.$pass)将用户名连接字符’:’、连接密码，做SHA-1sha256对密码做SHA-256sha512对密码做SHA-51

7、2mysqlMySQL账户密码加密方式MySQL数据库系统第4版及以前mysql5MySQL账户密码加密方式MySQL数据库系统第5版及以后mssqlSQLServer账户密码加密方式微软SQLServer服务器系统Des(unix)对密码做DES加密，以Unixshadow风格存储Unix/Linux系统NTLMWindowsNT域认证协议加密方式WindowsNT、WindowsServer2000等操作系统serv-uServ-U账户密码加密方式Serv-UFTP服务器系统radminv2.xRadmin账户