上传用户：zrqvradxip资料价格：5财富值&&『』文档下载 ：『』&&『』学位专业：&关 键 词 ：&&&&&权力声明：若本站收录的文献无意侵犯了您的著作版权，请点击。摘要:（摘要内容经过系统自动伪原创处理以避免复制，下载原文正常，内容请直接查看目录。）跟着Internet收集的疾速成长，发生了愈来愈多的针对小我的收集办事，这就须要愈来愈多的敏感数据要在公共Internet收集长进行传输。由于这些敏感信息关系到收集用户的小我产业平安和隐私平安所认为了确保这些收集中传输的敏感数据的平安，研讨者们提出了SSL/TLS协定。SSL/TLS自己被证实是平安的，然则它与HTTP一路应用时须要和收集用户停止交互，须要多个协定互相合营，而且在协定现实的安排中存在完成上的破绽和基于机能的平安让步。这就给一些基于SSL/TLS上的进击有了可趁之机，个中威逼较年夜的是SSL/TLS上的中央人进击，这类进击冲破SSL/TLS的平安防护使收集中的传输的敏感信息不再平安，是以对Internet收集应用者来讲是一个伟大的灾害，所以急切的须要研讨人员对SSL/TLS上中央人进击的防护技巧停止研讨。SSL/TLS上的中央人进击重要有两品种型，它们分离是SSL/TLS上密文中央人进击、SSL/TLS上明文中央人进击，密文中央人进击重要以SSL Sniffing进击为代表，明文中央人进击重要以SSLStrip进击为代表。SSL Sniffing进击应用的是SSL/TLS安排完成上的破绽而SSLStrip应用的是用户应用阅读器的阅读习气。因为收集用户对收集常识的懂得和收集平安认识良莠不齐，所以针对应用收集用户常识缺点的收集进击的防护具有相当的难度。天职在剖析SSL/TLS上的中央人进击道理和技巧的基本上，联合SSL/TLS和两种SSL/TLS上中央人进击的特色，以检测和进攻SSL/TLS上中央人进击为目标，分离对SSL/TLS上密文中央人进击和明文中央人进击提出了防护办法。针对SSL/TLS上密文中央人进击，本文提出了一种基于时序剖析和证书检讨的检测进攻办法。该办法起首给定一个初始的时序阈值，然后经由过程时序剖析器、证书检讨器和表决器获得的检测成果修改这个时序阈值，然后再把这个阈值用于时序剖析器。时序剖析的办法是基于统计时序的统计差别性的，这类差别性是用t磨练对有没有中央人进击的情形下统计数据剖析获得的成果。本文中的试验数据和对试验数据的ROC剖析证实了这类进攻框架的可托性。针对SSL/TLS上明文中央人进击，本文基于客户真个汗青拜访数据提出了一个进攻SSL/TLS明文中央进击的办法，称之为HPP，它包含检测规矩集和一些组件。其重要构成部门是一个网页剖析器、一个中央人检测器和一个沾染模块。网页剖析器用于剖析并辨认从阅读器提议的要求和紧跟厥后的办事器呼应，中央人检测器检讨违背检测规矩集的要求和呼应来决议一个网页平安与否，即便在中央人检测器毛病的把一个不平安网页标志为平安的条件下沾染模块也会死力避免私家信息的泄漏。对100个网站的试验数据注解该进攻框架有很好的进攻后果和机能后果。完成数据显示进攻框架的毛病率能可到达4%时光开支和无进攻比拟仅增长0.322秒。针对SSL/TLS上明文中央人进击，本文基于平安cookie协定提出了一个进攻SSL/TLS明文中央进击的办法，称之为Cookie-Proxy。在研讨平安cookie协定的基本上，改良了已有的平安cookie协定，并联合一种新署理模子到达进攻进击的目标。验证性的试验数据注解，该办法到达了很好的进攻后果和很低的额定时空开支。和传统的cookie办法比拟仅增长了0.00385秒的时光开支和2560bit的通讯量开支。应用SVO逻辑对该办法停止了情势化的证实。成果注解该办法取得认证性、秘密性、完全性、抗重放进击、抗SSLStrip进击等平安机能。最初把Cookie-Proxy和其它现存的三种办法比较发明Cookie-Proxy框架在消耗的额定能耗和通讯量不高的条件下获得了很充足的平安性。特别是它能抵抗SSLStrip进击。Abstract:With the rapid growth of Internet collection, there are more and more for the personal collection services, which requires more and more sensitive data to be transmitted in the public Internet collection. Since these sensitive information is related to the personal safety and privacy of the users of the network to ensure that the data collected in the collection of sensitive data security, researchers have proposed SSL/TLS agreement. SSL / TLS was confirmed is safe. However, it and HTTP application needs and collect user interaction, multiple protocols need joint venture with each other, and in the reality of the agreement arrangements are completed on the flaws and based on function of peace concessions. This will give some can take advantage of the machine based on the SSL / TLS onslaught, a Zhongwei forced more Nianye is SSL / TLS's Central People's onslaught, the onslaught of SSL / TLS through the security door to network transmission of sensitive information is no longer safe, in terms of the Internet collection application is a great disaster, so urgently need researchers on the research into the SSL / TLS central onslaught of protection techniques. SSL / TLS's Central People's onslaught of two varieties of type and their separation is SSL / TLS ciphertext central onslaught, SSL / TLS express one central onslaught. Onslaught of ciphertext central people important to SSL sniffing onslaught as the representative, expressly central onslaught important to sslstrip onslaught represented. Application of SSL sniffing onslaught SSL / TLS arrangements for the completion of the flaw and sslstrip application is user application reader's reading habits. Because collecting user to collect common sense know and collect safety awareness of good and bad, so for applications to collect the shortcoming of user knowledge collected onslaught of door with considerable difficulty. Duty in the analysis of SSL / TLS central onslaught sense and skill basically, the characteristic of the combined with SSL / TLS and SSL / TLS central onslaught, to detect and attack SSL / TLS central onslaught as the goal, separation of SSL / TLS ciphertext central onslaught and plaintext central onslaught provided the protective measures. According to the central SSL/TLS ciphertext attack, this paper proposes a timing analysis and review of the attack detection method based on the certificate. Firstly, given an initial timing threshold, and then through the process of timing analysis, certificate review and voting is used to obtain the detection results modify the timing threshold, then put the threshold for timing analysis. Time series analysis method is based on the statistical differences of statistical timing. This kind of difference is used t temper to there is no central onslaught of statistical data analysis results. The test data in this paper and the ROC analysis of the test data confirm the support of this type of attack framework. For SSL / TLS plaintext central onslaught, this paper based on the client's history visit data and puts forward the way to attack a SSL / TLS plaintext central onslaught, called HPP. It contains a set of detection rules and some of the components. The key component is a web page analyzer, a central person detector, and an infected module. Page parser to analyze and identify the reader proposed requirements and immediately following the reversal of server from the echo and the central detector review violation detection rules set requirements and echoed to the resolution of a web page peace or not, even in the central defect detector to a safe web page sign for contamination of the module in the safe condition also will try to avoid the leakage of private information. The test data of the 100 websites comment that the attack framework has good offensive consequences and functional consequences. Completion of the data show that the attack frame rate can reach 4% times the cost of spending and no attack compared to growth of only 0.322 seconds. The SSL / TLS plaintext central onslaught, this paper Christmas Cookie agreement based on the proposed way to attack a SSL / TLS plaintext central onslaught, known as Cookie-Proxy. In the study of peace cookie agreement basically, improved the existing peace cookie agreement, and combined with a new acting mold arrived offensive onslaught. Validation of the test data annotation, the approach has reached a very good offensive consequences and a very low rating of space and time. And the traditional cookie approach is compared to an increase of only 0.00385 seconds of time spending and the amount of 2560bit communication costs. Application of SVO logic to the way to stop the situation of the confirmation. Note the way to get results of authentication, confidentiality, integrity and anti replay attack, anti SSLStrip attack and security. The Cookie-Proxy and other existing three existing methods are compared to the invention of the Cookie-Proxy framework in the consumption of the rated energy consumption and low communication conditions are not high enough to get a very adequate security. Especially it can resist the SSLStrip attack.目录:摘要5-7Abstract7-8第1章 绪论11-17&&&&1.1 课题背景及意义11-12&&&&1.2 国内外研究现状12-15&&&&1.3 论文组织结构15-17第2章 相关理论知识概述17-28&&&&2.1 引言17&&&&2.2 密码学17-20&&&&&&&&2.2.1 对称密钥密码学17-18&&&&&&&&2.2.2 公钥密码学18-20&&&&2.3 公钥密码体制20-22&&&&&&&&2.3.1 公钥基础设施的组件和功能21-22&&&&&&&&2.3.2 公钥证书22&&&&2.4 网络协议22-24&&&&2.5 SSL/TLS 协议24-27&&&&&&&&2.5.1 记录协议25&&&&&&&&2.5.2 握手协议25-27&&&&&&&&2.5.3 修改密文协议27&&&&&&&&2.5.4 警报协议27&&&&2.6 本章小结27-28第3章 SSL/TLS 中间人攻击28-34&&&&3.1 引言28&&&&3.2 中间人攻击28-29&&&&&&&&3.2.1 攻击模型29&&&&&&&&3.2.2 攻击手段29&&&&3.3 SSL SNIFFING 攻击29-31&&&&3.4 SSLSTRIP 攻击31-33&&&&3.5 本章小结33-34第4章 SSL/TLS 密文中间人攻击防护研究34-43&&&&4.1 引言34&&&&4.2 基于时序分析的防护研究34-37&&&&&&&&4.2.1 理论框架34-35&&&&&&&&4.2.2 时序分析35&&&&&&&&4.2.3 证书检验35-36&&&&&&&&4.2.4 安全性表决36&&&&&&&&4.2.5 阈值调整36-37&&&&4.3 实验及结果分析37-42&&&&&&&&4.3.1 时序分析实验37-41&&&&&&&&4.3.2 效果评价实验41-42&&&&4.4 本章小结42-43第5章 SSL/TLS 明文中间人攻击防护研究43-59&&&&5.1 引言43&&&&5.2 基于历史信息的防护方法43-48&&&&&&&&5.2.1 简介43-44&&&&&&&&5.2.2 HPP 框架44-45&&&&&&&&5.2.3 检测规则集45-48&&&&5.3 基于 COOKIE 协议的防护研究48-52&&&&&&&&5.3.1 简介48&&&&&&&&5.3.2 相关理论48-49&&&&&&&&5.3.3 Cookie-Proxy 框架49-52&&&&5.4 方法一实验及结果分析52-54&&&&&&&&5.4.1 安全性分析52-53&&&&&&&&5.4.2 错误率分析53-54&&&&&&&&5.4.3 性能评价54&&&&5.5 方法二实验及结果分析54-58&&&&&&&&5.5.1 性能分析55&&&&&&&&5.5.2 安全性分析55-57&&&&&&&&5.5.3 综合评价57-58&&&&5.6 本章小结58-59结论59-61参考文献61-66攻读硕士学位期间发表的论文和取得的科研成果66-67致谢67-68分享到：相关文献|SSL/TLS中间人攻击工具SSLsplit【渗透吧】_百度贴吧
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&签到排名：今日本吧第个签到，本吧因你更精彩，明天继续来努力！
本吧签到人数：0成为超级会员，使用一键签到本月漏签0次！成为超级会员，赠送8张补签卡连续签到：天&&累计签到：天超级会员单次开通12个月以上，赠送连续签到卡3张
关注：42,846贴子：
SSL/TLS中间人攻击工具SSLsplit收藏
SSL和TLS是基于TCP的加密协议，通过这种加密协议，保证数据的安全。例如HTTPS协议就是基于SSL和TLS工作的。现在网站为了数据安全，大量使用HTTPS协议，如百度、银行、邮箱。Kali Linux提供专门针对SSL/TLS进行中间人工具攻击的工具SSLsplit。从字面意思，它表示SSL分离。实际上，该工具截断客户端和服务器加密连接。它取代客户端和服务器进行加密连接，然后客户端再和SSLtrip进行加密连接。这样，SSLstrip就具有解密数据必须的所有证书或者私钥。渗透人员就可以借助SSLstrip获取客户端和服务器的之间传输的数据。
登录百度帐号推荐应用你正在使用的浏览器版本过低，将不能正常浏览和使用知乎。解析中间人攻击原理
中间人攻击(Man-in-the-Middle Attack,简称“MITM攻击”)是一种“间接”的入侵攻击,这种攻击模式是通过各种技术手段将受入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间,这台计算机就称为“中间人”。中间人攻击常见的两种方法:ARP欺骗、DNS欺骗1.DNS欺骗目标将其DNS请求发送到攻击者这里,然后攻击者伪造DNS响应,将正确的IP地址替换为其他IP,之后你就登陆了这个攻击者指定的IP,而攻击者早就在这个IP中安排好了一个伪造的网站如某银行网站,从而骗取用户输入他们想得到的信息,如银行账号及密码等,这可以看作一种网络钓鱼攻击的一种方式。对于个人用户来说,要防范DNS劫持应该注意不点击不明的连接、不去来历不明的网站、不要在小网站进行网上交易,最重要的一点是记清你想去网站的域名,当然,你还可以把你常去的一些涉及到机密信息提交的网站的IP地址记下来,需要时直接输入IP地址登录。2.ARP欺骗在实现...&
(本文共1页)
权威出处：
Android已经成为世界上最常用的智能机操作系统,它使用SSL协议来保护数据通信,但是如果不充分或不正确使用SSL,就会导致Android应用程序容易受到中间人攻击。本文从移动设备出发,对Android系统中的SSLStrip中间人攻击进行了研究,并在此基础上提出了一种防范的方案,能够在移动网络环境下防止Android手机用户受到SSLStrip中间人攻击的目的。本文首先分析了Android SSLStrip在移动网络环境下的攻击原理和攻击过程,研究了如何利用ARP欺骗对SSL进行攻击。然后针对ARP欺骗设计了一种SSLStrip中间人攻击的防范方案,分别对该方案的服务器端和客户端进行了详细的分析和设计,对其有效性进行了验证,并实现了客户端的基本功能。该方案需要确保路由器IP地址和MAC地址的可靠性,因此论文中扩展了DHCP服务器的功能,通过DHCPACK消息将路由器的IP地址和MAC地址发送给DHCP客户端。DHCP客户端开...&
(本文共70页)
权威出处：
网上银行的便捷性是一目了然的,有了它,您就可以座在家里、办公室里将您的存款安排在各种储蓄种类上,可以便捷地向他人汇款,可以投资外汇、股票、基金、获得贷款等等。一句话、有了网上银行,坐在家里,您就能享受到除了取款外所有的银行服务。各家银行为了保证网上银行的安全纷纷推出了自己的安全措施,例如在客户号输人框采用安全控件;密码输人采用防盗图形小键盘;在登陆界面增加图形验证码;对连续登陆失败次数进行控制,当连续登陆失败次数达到一定数值时(例如三次)将帐户锁定一段时间;设置预留信息,用户登陆网上银行后会看到自己的预留信息,证明自己正在登陆合法服务器;帐户资金变动时发短信给客户,等等。但是这些安全方法并不是最核心的安全措施,网上银行的核心安全措施在于数字证书。1网银的安全屏障:数字证书 顾名思义,数字证书像生活中每个人拥有的身份证件一样,区别在于数字证书以数字信息为介质,用在网络环境中证明某个网络实体的身份。由于其本身的优势,它可以参与到数据...&
(本文共3页)
权威出处：
o引言SSL V.PN是采用协议来实滅通辑接人ft—种?道侍输技术,用于.确保《__部脔源在各分支;机构闾_快捷:而安全_地.共享。由于其具有部署简单、藥審户墙、运维:成:*低等《多优象,目前被广泛应用:T龟子商务.、电子政务等领!然而,SSLVPl T服务器遭受网络攻击,_:扉肘有发生,如2014年_9月以寒难?、微软、苹果等企业YPN:滅參泰讀遭遇:玫击,与此时,国内SSL VPN产‘:品市?上仍然存在不达标(如没霄暴辩国象_:妈管理局指定的安全算法等)等威::參,在目前国内_.SSLvm产品市场需求高速增长的背景下⑴,这类安全隐患可能对企业、政府、用户等造成极大的损失,因而对于运行于企事业机构,尤其是政府、银行等关键领域的SSL VPN产品的运行参数进行检测显得尤为必要。本文基于中间人攻击手段,提出了一种SSL VPN运行参数深度检测方法,通过成为客户端和服务端间通信的中间人,进行截获和转发报文,并在本地后台进行报文解析,...&
(本文共4页)
权威出处：
2015年“3·15晚会”展示了黑客通过无密码免费Wi-Fi连接窃取用户隐私的场景。近日,山石网科的安全专家便详细揭示了这一被称为“Wi-Fi中间人攻击”的攻击原理,并给出了相关防范方案。中间人攻击的概念最早应该是在密码学中定义的。中间人攻击实现必须具备两个技术条件,首先就要让本来应该互相通信的双方的数据流量都从攻击者处转发或中继,称为流量牵引;其次,流量牵引过来后,攻击者还要让通信双方对他没有任何怀疑,这里称为身份伪装。在Wi-Fi环境中,攻击者只需要使用跟合法接入点同样的SSID(如果加密的话,还需要认证/加密算法相同,并且预共享密钥相同),然后让伪造接入点的功率大于合法接入点(相对被攻击者而言)就可以了。攻击者再以客户端的身份连接到合法接入点,中转被攻击...&
(本文共1页)
权威出处：
0引言IEEE 802.1x协议是以太网中广泛应用的协议,它是一种端口接入控制机制,在以太网中主要通过它来解决以太网接入层安全和认证方面的问题。其原理是控制用户的以太网端口,使得只有通过系统认证并授权的用户才有资格继续访问网络中的各业务[1]。针对现有的协议设计并未完全解决中间人攻击以及DoS(拒绝服务)攻击等问题,本文提出一套简捷安全的解决方案,该方案能有效地解决802.1x协议所存在的安全缺陷。1 802.1x协议安全性分析1.1中间人攻击在IEEE 802.1x协议认证中,申请者和认证者所处的状态是不平等的[2],即只有当会话认证申请成功之后认证者的受控端口才会被打开,而申请者的端口却自始至终都处于已认证的状态。也就是说,申请者与认证者之间一直处于单向认证模式,在这种模式下申请者很容易受到中间人攻击。攻击者可以假冒服务器给申请者发送EAP-Success数据包,而当申请者收到EAP-Success数据包时会无条件地转到认证...&
(本文共4页)
权威出处：
OAuth协议是一类授权协议,允许用户利用其在第三方站点(IDP)的帐号和口令,访问某个站点(RP).这个协议常被用来构造开放平台,IDP扮演着用户认证服务器的角色,RP可以依据IDP的认证信息而非用户在IDP的帐号和口令,授权用户访问并定制访问内容,实现单点登录.现有的OAuth版本为2.0,本文所称的OAuth即为这个版本.OAuth由于使用第三方帐号登录,其安全问题一直为人们所关注.OAuth威胁模型定义了OAuth2.0安全指南[1],提供开发者可以遵循的涉及协议本身的威胁综合模型及对策.一些形式化方法被用来确认文献[1]中涉及的安全威胁,例如,PAI等使用Alloy建模语言[2],SLACK等利用Murphi验证了OAuth2.0客户端流[3];CHARI等利用通用可组合安全框架,分析了OAuth2.0的服务器流[4],但这些研究,缺乏对实现细节及应用环境的综合考虑.SUN等对现有的OAuth单点登录实现进行了一些实证...&
(本文共6页)
权威出处：
扩展阅读：
CNKI手机学问
有学问，才够权威！
出版：《中国学术期刊（光盘版）》电子杂志社有限公司
地址：北京清华大学 84-48信箱 大众知识服务
互联网出版许可证 新出网证(京)字008号
京ICP证040431号
服务咨询：400-810--9993
订购咨询：400-819-9993
传真：010-CIO与应用频道-关注CIO职场聚焦企业信息化采购和应用-至顶网
银行业的IT架构也需要在合理的基础架构上提升整体运维质量，提升海量数据存储、分析能力，将AI注入核心流程以提升客户体验，并使应用开发更…
达索系统正在加大与各行业伙伴的深度战略合作，帮助他们运用创新的思维和工具去寻求新的机会点，全面提升中国企业的综合竞争力，推进中国制…
腾讯云在腾讯云+未来峰会发布AI战略新品――AI即服务的智能云，AI即服务是腾讯云为满足市场对AI能力多维度的需求，腾讯云在软件层面、算法框…
企业如何建立一个真正的混合云？CIO在部署和规划混合云时应该注意些什么？作为新型互联网的领军企业，数梦工场从业务视角出发，重新定义了混…
Teradata天睿公司云计算及服务专家、大中华区总监张琦表示，对于松散耦合的数据往往是最会发生创新的地方；无耦合的数据就像是还没有初步筛…
6月6日，由京东集团和英特尔联合主办，创造算法大赛单体赛参赛人数世界纪录的京东JData算法大赛举行了线下决赛。针对“高潜用户购买意向预测…
，为期三天的第九届中国云计算大会在北京国家会议中心拉开序幕。本届大会以“生态构建 深化应用”为主题，重点围绕云计算大数据…
日，IDC中国在上海举办了一年一度的趋势论坛，本次论坛的主题是：重新定义技术产业：数字化转型经济的崛起。…
京东在未来的十二年要进行技术转型，用技术驱动京东从一个被中国消费者认知认可的电商成为中国泛零售基础设施的提供商和服务商，离不开技术…
－16日，中国电子学会主办、至顶网等协办的“第九届中国云计算大会”在北京国家会议中心拉开大幕。工业和信息化部信息化和软件服…
企业运用信息技术取得成功的案例不在少数，通过加快内部流程、减少单位产出的投入以及帮助企业更好地开展业务以提高内部效率。而且现在云计…
6月11日，在深圳卫视直播的“钉钉|中国酷公司”发布会现场，阿里钉钉宣布正式推出行业定制解决方案――“样板房”，企业用户在注册钉钉时可…
今天上海下了一场不小的雨，但云栖大会还是如约而至。作为今年的第四站，上海站的大会聚焦人工智能，并发布了阿里云相关战略和产品服务。…
汇集每日大事小情、甄选业内劲爆语录。我们不制造观点，我们只做观点的汇聚者。――IT最大声…
6月16日也将召开云计算大数据与智能制造论坛，该论坛是第四次亮相中国云计算大会。云计算大数据与智能制造论坛，将深入探讨云计算、大数据在…
由天津市人民政府、国家发展和改革委员会、科学技术部、工业和信息化部、国家互联网信息办公室、中国科学院、中国工程院共同主办的首届世界…
6月3日，以“让家庭不再失孤、让爱回家”为主题的神兔侠APP儿童安全预警平台在北京公安部瑞安宾馆正式发布。…
由于人工智能（AI）将对商业策略及人力雇用带来冲击，首席信息官（CIO）须扮演好重要角色，带领企业做好准备。…
到2020年前将有超过90%的企业部署混合云，Teradata在推出Teradata Everywhere实现Teradata数据库在任何平台实现交付后，现在又发布基础设施…
5月24日，华胜天成通过其下属控股子公司ASL 自动系统（香港）有限公司（简称ASL）以现金代价1.18亿美元收购美国GD公司（Grid Dynamics Inte…
如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。
Power Center
北京第二十六维信息技术有限公司（至顶网）版权所有. 京ICP备号-7 京ICP证161336号京公网安备 00号
举报电话：010-0　举报email: