如何防止再次使用已簽名的請求？

Question

假設Bob發送該HTTP請求的API來更新他的電子郵件：

/user/update?email=bob@example.com&userid=1234&sig=x1zz645

現在，一個名爲Zerocool嗅探器記錄以備後用此請求。

幾天後，鮑勃再次將他的電子郵件更新爲email=newbob@example.com。

幾個小時後Zerocool現在決定用什麼，他聞了聞，前幾天和運行要求：

/user/update?email=bob@example.com&userid=1234&sig=x1zz645

服務器接受它，而Bob是現在困惑，爲什麼是舊的電子郵件回來。

如何在不使用SSL的情況下防止這種情況發生？

Answer 1

保留最近請求的日誌。在此類請求中嵌入時間戳，並拒絕日誌中或日誌以前的任何內容。爲了更好的衡量，請使用私人md5校驗和簽名時間戳，以免造成錯誤。

Answer 2

按照您的標籤中所述使用SSL。它對嗅探和重放攻擊都是免疫的。它存在。使用它是免費的。有用。完成。

如果您不能使用SSL，請將其從您的代碼中移除。

Answer 3

您可以使用Hash based message authentication code (HMAC)來確保API 的安全，以避免類似於您所提及的重播攻擊。 服務器和客戶端都有一個共享的祕密API密鑰。

Amazon S3 Rest API使用相同的過程來驗證和驗證請求。請參閱文檔here.

更新：由於布魯諾指出HMAC本身無法防止重放攻擊。您必須在消息中包含一些使用密鑰簽名的唯一標識符，並在服務器上對其進行驗證。