搜索

[7819] 2014-02-24_关于yubikey对web应用的杞人之忧

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-02-24_关于yubikey对web应用的杞人之忧 关 于 y u b i k e y 对 w e b 应 用 的 杞 人 之 忧 F r e e B u f   2 0 1 4 - 0 2 - 2 4 Y u b i k e y   是 一 个 小 型 的 是 一 个 小 型 的 U S B 设 备 ， 在 电 脑 看 来 ， 它 是 一 个 设 备 ， 在 电 脑 看 来 ， 它 是 一 个 U S B 键 盘 设 备 。 当 将 键 盘 设 备 。 当 将 Y u b i k e y 接 入 电 脑 后 ， 其 上 会 亮 起 一 个 绿 接 入 电 脑 后 ， 其 上 会 亮 起 一 个 绿 色 的 圆 环 ， 代 表 这 个 色 的 圆 环 ， 代 表 这 个 U S B 键 盘 已 经 可 以 正 常 传 输 字 符 了 。 键 盘 已 经 可 以 正 常 传 输 字 符 了 。 应 用 的 比 较 多 ， 同 类 的 有 u m i k e y （ 这 个 有 国 产 和 销 售 ， 官 网 好 像 不 大 好 使 了 ~ ） 最 近 看 一 个 内 容 不 错 的 网 站 ， 习 惯 性 的 看 下 源 代 码 ， 发 现 了 / w p - x x x x x 这 样 的 内 容 ， 然 后 果 断 习 惯 性 的 又 访 问 了 了 下 / w p - a d m i n / 出 现 了 后 台 ~ 当 然 了 ~ 只 是 来 看 看 而 已 ~ 但 是 居 然 有 三 个 输 入 框 ~ 不 科 学 啊 ~ 随 即 ， 看 到 了 y u b i k e y   O T P ~ 什 么 是 O T P ? 大 家 应 该 相 当 熟 悉 了 ~ 把 鼠 标 放 上 去 ， 就 会 显 示 这 样 一 段 话 ~ “ I f   Y o u   d o n ' t   h a v e   a   Y u b i k e y   e n a b l e d   f o r   Y o u r   W o r d p r e s s   a c c o u n t ,   l e a v e   t h i s . f i e l d . e m p t y . ” 恩 ， 是 的 ， O T P 就 是 O n e - T i m e - P a s s w o r d , 这 玩 意 就 是 跟 各 种 U 盾 啊 ~ 游 戏 令 牌 一 样 的 东 西 ， 根 据 一 定 算 法 随 机 产 生 密 码 的 输 入
设 备 。 但 是 呢 ， y u b i k e y 还 有 别 的 功 能 ， 就 是 存 储 一 些 复 杂 密 码 ， 比 如 超 级 变 态 的 3 2 位 随 机 大 小 写 + 数 字 + 符 号 等 等 . 并 且 支 持   记 录 验 证 和 自 动 验 证 填 写 。 怎 么 说 呢 ， 就 是 说 我 把 所 有 要 记 录 的 密 码 全 部 存 储 后 加 密 ， 我 只 需 要 记 住 这 一 个 密 码 就 可 以 了 ， 而 且 这 个 密 码 又 很 变 态 ， 那 我 就 把 他 存 储 在 y u b i k e y 里 ， 这 样 我 只 需 要 验 证 y u b i k e y 和 保 护 好 y u b i k e y 就 行 了 。 之 前 说 的 那 个 w o r d p r e s s 后 台 就 是 w o r d p r e s s 提 供 的 一 个 y u b i k e y 插 件 ， 如 图 ： 这 是 一 个 很 不 错 的 想 法 ， 当 我 输 入 了 账 户 和 密 码 以 后 ， 没 有 y u b i k e y 硬 件 也 没 有 其 生 成 的 O T P 时 就 没 办 法 登 陆 后 台 了 ！ 而 且 密 码 不 用 你 去 记 住 ， 他 存 储 后 只 用 你 轻 轻 触 碰 以 下 他 ， 就 可 以 自 动 填 写 密 码 。 说 了 这 么 多 ， 来 看 看 他 的 样 子 ： 官 网 ： w w w . y u b i c o . c o m
可 以 看 到 最 便 宜 的 只 要 2 5 刀 ， 相 当 的 便 宜 了 ~ — — — — — — — — — — - 分 割 线 — — — — — — — — — — 好 了 ， 言 归 正 传 ， 其 实 这 个 东 西 最 初 并 不 被 运 用 在 w e b 上 ~ 他 其 实 是 为 了 搭 配 其 他 软 件 而 生 的 ， 相 信 大 家 见 过 很 多 密 码 管 理 器 ， 密 码 管 理 软 件 等 等 。 他 们 去 加 密 你 所 有 的 密 码 ， 而 你 用 的 这 个 软 件 的 m a s t e r   k e y 就 由 y u b i k e y 保 管 。 但 是 这 样 的 软 件 有 个 问 题 ， 就 是 同 步 ~ 我 不 能 每 个 电 脑 都 装 一 个 软 件 管 理 密 码 吧 ？ 后 来 有 了 百 度 云 ， 3 6 0 云 ， 还 有 之 前 f r e e b u f 上 讨 论 过 的 l a s t p a s s ,
反 正 各 种 云 存 储 ， 是 解 决 了 同 步 的 问 题 ， 可 是 如 果 百 度 云 这 样 的 账 号 密 码 忘 了 或 者 不 够 强 大 ？ 或 者 被 社 工 者 猜 出 了 ？ 或 者 谁 谁 谁 的 裤 子 又 满 天 飞 了 ？ 怎 么 办 ？ 大 家 再 次 想 到 了 硬 件 ， y u b i k e y 因 为 他 的 廉 价 ， 又 被 广 泛 运 用 了 。 现 在 来 看 ， y u b i k e y 确 实 是 一 种 不 错 的 密 码 管 理 m a s t e r   k e y 存 储 的 一 个 很 好 的 解 决 方 式 。 但 是 回 到 文 章 开 头 的 那 个 画 面 ， 运 用 在 独 立 网 站 后 台 ， 如 博 客 ， 门 户 ， 论 坛 的 后 台 登 陆 上 是 否 真 的 万 无 一 失 ， 或 者 说 能 彻 底 阻 断 黑 客 入 侵 方 式 ？ 先 总 结 下 ： 1 . 首 先 ， y u b i k e y ， 只 对 后 台 验 证 登 录 时 加 了 一 层 t o k e n 验 证 2 . y u b i k e y 还 无 法 做 出 对 c o o k i e ，   s e s s i o n ， 以 及 不 同 平 台 的 权 限 的 控 制 和 识 别 3 . Y u b i k e y 还 在 发 展 ， 后 面 可 能 会 支 持 更 多 协 议 的 保 护 和 自 动 识 别 现 在 相 信 很 明 显 了 ， 必 须 承 认 ， 在 后 台 登 陆 上 ， y u b i k e y 比 其 他 c m s 所 提 供 的 认 证 码 要 靠 谱 的 多 。 但 是 并 不 能 保 证 整 个 w e b 应 用 的 安 全 （ 老 实 说 这 么 看 下 去 ， 估 计 永 远 没 有 啥 硬 件 能 保 证 w e b 应 用 的 安 全 ， 哪 怕 是 相 对 安 全 ） 。 因 为 ， 你 要 保 护 的 地 方 太 多 了 ， 你 要 保 护 的 协 议 太 多 了 ， 你 要 识 别 的 认 证 太 多 了 ， 还 有 尼 玛 更 多 的 平 台 不 同 的 权 限 控 制 有 木 有 ？ 是 的 ， 这 里 我 们 还 不 谈 数 据 库 方 面 的 验 证 ~ 我 们 也 不 谈 各 大 系 统 和 浏 览 器 对 你 验 证 方 式 的 支 持 ！ 更 不 谈 高 深 的 加 密 算 法 。 仅 仅 是 一 个 w e b 应 用 依 赖 或 辅 助 的 一 些 服 务 ， 恐 怕 靠 y u b i k e y 还 都 无 法 保 证 ， 比 如 大 牛 们 可 以 搞 定 你 的 f t p ， 搞 定 你 的 远 程 桌 面 ， 或 者 各 种 漏 洞 上 传 了 一 个 w e b s h e l l ， 然 后 单 手 倒 立 撸 着 ， 就 把 你 的 y u b i k e y 认 证 插 件 给 删 除 了 ~
好 吧 ， 再 总 结 下 ， y u b i k e y 在 独 立 中 小 型 网 站 中 的 后 台 上 做 验 证 ， 究 竟 带 来 了 哪 些 安 全 ？ 恩 ， 真 的 有 一 点 ， s q l 注 入 没 意 义 了 ， 知 道 账 号 密 码 ， 没 y u b i k e y 登 陆 不 了 ！ 好 吧 ！ 你 赢 了 ！ 附 ： 顺 便 附 上 一 个 小 截 图 ， 开 头 那 个 网 站 开 放 的 端 口 我 擦 ， s s h 试 了 弱 密 码 ， 第 六 次 就 进 去 了 ~ P a s s = 域 名 + f t p 1 2 3 擦 ， 你 这 安 全 意 识 ， 用 毛 的 y u b i k e y 啊 ! 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理