巧妙的定时攻击：如何利用微小的时间差异破解密码
2025-01-18
本文揭示了一种名为定时攻击的巧妙攻击方法。攻击者通过反复调用一个看似安全的函数 `checkSecret`，并精确测量其执行时间，来推断出秘密值。即使 `checkSecret` 函数本身没有明显的安全漏洞，但由于其内部实现中存在“提前退出”机制，导致部分匹配的猜测耗时更长，从而泄露信息。文章详细介绍了利用这种时间差异，结合汤普森采样算法和Trie树数据结构，高效地猜测密码的过程，并讨论了如何在网络环境下应对更复杂的噪声。最终，文章强调了避免直接比较敏感数据的重要性，建议使用哈希或其它安全算法，并设置合理的速率限制。
(ostro.ws)
安全
定时攻击