客户随机数的用途是什么？

#1 楼

随机数是一个实体在协议中选择的唯一值，用于保护该实体免受巨大的“重播”攻击。

例如，考虑一个密码基于身份的身份验证协议，如下所示：


服务器向客户端发送“挑战”（假定为随机值c）
客户端应通过发送h（c | | p）其中h是安全哈希函数（例如SHA-256），p是用户密码，“ ||”表示级联
服务器在其自己的数据库中查找密码，重新计算预期的客户端响应，并查看其是否与客户端发送的密码匹配

密码是适合人脑的秘密值；这样，它们就不会非常复杂，并且有可能构建一个大的字典，其中将包含用户密码的可能性很高。 “大”是指“可以在几周内用一个中等规模的集群来枚举”。在当前的讨论中，我们认为攻击者只需花几周的时间就能破解一个密码。这是我们要实现的安全级别。

想象一个被动的攻击者：攻击者窃听但不更改消息。他看到了c和h（c || p），因此他可以使用其群集枚举潜在的密码，直到找到匹配项。这对他来说将是昂贵的。如果攻击者想攻击两个密码，那么他必须做两次该工作。攻击者希望使用预先计算的表（“彩虹表”只是一种具有优化存储的预先计算的表）在两个攻击实例之间进行一些成本分摊；但是构建彩虹表仍然需要枚举完整的字典并对每个哈希进行哈希处理密码）。但是，随机质询击败了攻击者：由于每个实例都涉及一个新质询，因此即使使用相同的密码，每个会话的哈希函数输入也会有所不同。因此，攻击者无法构建有用的预先计算表，尤其是Rainbow表。

现在假定攻击者已处于活动状态。他将不只是观察消息，而是会主动更改消息，删除某些消息，复制其他消息或插入自己的消息。攻击者现在可以拦截来自客户端的连接尝试。攻击者选择并发送自己的质询（c'），然后等待客户端响应（h（c'|| p））。请注意，没有联系真正的服务器。攻击者只是在客户端响应后立即突然断开连接，以模拟良性网络错误。在这种攻击模型中，攻击者取得了很大的进步：他仍然具有挑战c'和相应的响应，但是挑战是攻击者认为合适的值。攻击者将要做的始终是应对相同的挑战c'。每次使用相同的挑战，攻击者就可以执行预先计算：他可以构建使用特殊“挑战”的预先计算表（即Rainbow表）。现在，攻击者可以攻击几个不同的密码，而无需为每个密码承担字典枚举的费用。

客户现时避免了此问题。协议变为：


服务器发送随机质询c

客户端选择随机数n（每次均应不同）
客户端发送n | | h（c || n || p）

服务器重新计算h（c || n || p）（使用数据库中的p），并查看此值是否与客户端发送的值匹配

由于客户端在每个会话的哈希函数输入中包含一个新的随机值（“ nonce”），因此即使攻击者可以选择挑战，哈希函数输入也会每次都不同。这将破坏预先计算的（彩虹）表并恢复我们预期的安全级别。同一系统中的两个不同的用户将具有不同的名称。但是，用户在更改密码时将保留其姓名；并且两个不同的用户在两个不同的系统上可能具有相同的名称（例如，每个类Unix系统都有一个“ root”用户）。因此，用户名不是一个很好的随机数（但总比根本没有客户端随机数更好）。

总而言之，客户端随机数用于保护客户端免受重放攻击（ “服务器”实际上是攻击者，他将向他希望攻击的每个客户端发送相同的挑战）。如果质询是在包含强服务器身份验证（例如SSL）的通道上执行的，则不需要这样做。密码认证密钥交换是高级协议，可确保客户端和服务器之间基于密码的相互认证，而无需先验信任（SSL客户端认证SSL服务器证书时称为“根证书”），并防止主动和被动攻击者（包括对单个密码的“两周集群”攻击，因此，它比上面的协议（随机数或无随机数）严格更好。

#2 楼

让我尝试回答您的问题：“假设攻击者一秒钟不想进行中间人攻击并希望恢复身份验证详细信息，那么Cnonce如何提供附加信息？保护？”

通常，客户端不仅会在请求中包含随机数，还会在整个请求（包括随机数）上签名。这意味着即使攻击者在客户端和服务器之间截获了一条消息：


重播攻击也不会起作用（因为服务器正在跟踪客户端的随机数）。 >攻击者不能只使用新的客户端随机数生成新消息，因为它不知道如何正确签名新消​​息（即，它缺少客户端机密或私钥）。

#3 楼

我认为一个好主意是阅读有关Oauth之类的nonce值的用法。简而言之，当使用OAuth的应用向支持OAuth的服务发出请求时，该请求必须包含一堆字段，其中两个是时间戳记和随机数。该表格的目的很明显：它可以指示发送消息的时间范围，以便服务器可以更好地猜测消息是否陈旧。显然，后者是一堆随机字符/字节。然后，将具有签名附加到请求（无论是查询参数还是HTTP标头）并发送到服务器。请求的实际主体不会被散列。

OAuth服务器应跟踪给定客户端的N个随机数的前一组，以确保它们不会被重用。鉴于消息的主体可以更改（本质上对哈希没有影响），因此必须进行其他更改（例如，随机数）以确保请求是唯一的，这一点很重要。鉴于HTTP的开放/纯文本性质，这非常重要。

这是否有助于阐明其目的？ （希望如此：））。

#4 楼

根据RFC 2617，cnonce和nc参数可防止选择的明文攻击。

如果Eve更改了服务器发送给客户端的随机数，Eve获得了什么？夏娃无法从h(password || nonce)生成h(password || fake_nonce)，从理论上讲，服务器似乎也不应该接受h(password || fake_nonce)，因为服务器应该知道发出的是现时是什么，没有知道是什么现时。