HMAC 挑戰響應雙向認證

hmac的乙個典型應用是結合「挑戰/響應」（challenge/response）來保障客戶端和伺服器傳輸資料的安全性。

使用的金鑰是雙方事先約定的，第三方不可能知道。從整個流程可看出，攻擊者只能截獲作為「挑戰」的隨機數和作為「響應」的hmac結果，無法根據這兩個資料推算出金鑰。由於不知道金鑰，所以攻擊者無法偽造出正確的響應。同時，由於每次請求獲得的「挑戰」隨機數都不一樣，攻擊者也無法對請求進行重放攻擊。

客戶端**：

#coding:utf-8,
#!/usr/bin/env python
import xmlrpclib,hmac,hashlib
key = "d5ea6c5905746ebb826a9c8ad31db1be" #金鑰
name = "andy"
address = "waltstreet";

server = xmlrpclib.serverproxy(「

challenge = server.getchallenge(); #向伺服器獲取「挑戰」碼

message = name + address + challenge; #組合明文訊息和「挑戰」碼

signature = hmac.new(key,message).hexdigest() #獲取明文訊息摘要

print server.updatemsg(signature,name,address) #提交使用者資訊的請求

服務端**：

#coding:utf-8,
#!/usr/bin/env python
#說明：伺服器驗證來客戶端的請求是否合法，以及對請求進行處理。
import ******xmlrpcserver,hmac,hashlib,random
key = "d5ea6c5905746ebb826a9c8ad31db1be" #金鑰，實際應用中可以從資料庫中獲取

class myclass:

challenge = 『』;

def getchallenge(self): #生成32位的隨機數「挑戰」碼

self.challenge = 「」.join([random.choice(「0123456789abcdefghjijklmnopqrstuvwxyz」) for i in range(0,32)])

return self.challenge;

def updatemsg(self, signature, name , address): #請求處理

message = name + address + self.challenge; #組合明文訊息和「挑戰」碼

if hmac.new(key,message).hexdigest() != signature: #對比兩者是否一致

return 「authen failed! forbidden !」

else:

return 『update success!』

server_object = myclass()

server = ******xmlrpcserver.******xmlrpcserver((「0.0.0.0」, 8888))

server.register_instance(server_object) #註冊rpc服務

print 「listening on port 8888」

server.serve_forever()

（1）、在伺服器端啟動監聽：

（2）、執行客戶端**，wireshark抓包如下：

（3）、伺服器返回認證通過：

（4）、修改**使得客戶端和伺服器金鑰不一致，則認證失敗。

分類:

安全知識庫

好文要頂

關注我收藏該文

fish_ou

關注 - 0

粉絲 - 29

+加關注 0 0

smart config風險分析與對策

橢圓曲線加密演算法（ecc）原理和c++實現原始碼（摘錄）

posted on 2015-01-06 20:57

收藏

HMAC 挑戰響應雙向認證

訊息認證碼 hmac

雙向認證什麼是單向認證和雙向認證？

ssl雙向認證

HMAC 挑戰 響應雙向認證

訊息認證碼 hmac

雙向認證 什麼是單向認證和雙向認證？

ssl雙向認證

相關推薦

HMAC 挑戰響應雙向認證

雙向認證什麼是單向認證和雙向認證？