首页
社区
课程
招聘
[原创]防盗库的终极解决方案-账号黑盒子云
发表于: 2012-4-6 12:27 27981

[原创]防盗库的终极解决方案-账号黑盒子云

2012-4-6 12:27
27981

账号黑盒子介绍
一、        原理简介
创意来源于飞机的黑盒子概念,用最安全的方式保护最关键的核心资产。应用我的WEB安全体系的基础理论,对外界提供唯一端口的单向密码输入认证服务。因为密码的单向输入有进无出保证了密码数据的安全性,可以100%的抵御网上的拖库入侵。即使是在机房物理连接到主机也不能通过任何接口获得账号和密码的数据。同时输入的密码保存了大量的散列数据可以供多个平台调用验证,也可以应用在网上交易类的网站,单向保存信用卡的特殊信息。可以彻底的防止信用卡信息盗取的问题不仅在国内具有很大的市场,国外的各个领域也可以广泛应用。使用云技术分布也可以做成云的安全产品。

二、        应用的软件及相关技术
系统平台使用centos手工进行商业化精简及安全加固,预计额外软件包使用nginx、redis、tornado。因为世界上redis最大规模的应用是新浪微博,每天产生上亿条信息都可以正常运行,所以我们数据的并发调用上不存在问题。 根据经验服务器上起一个实例大概可以承担1000多的qps,一般服务器可以起内核数量×2的实例数。按普通服务器2个四核cpu就可以承担2*4*2*1000=16000的qps,即单机可承担16000的链接数,如主机性能提升或多设备集群可以承担目前已知的任何网站的正常峰值访问。

三、        完成后SDK功能简介
1.注册用户(uid只能是数字,考虑到新浪或者其他网站有各种各样的验证方式邮箱,ID,用户名等,让应用自己去存email,用户名和id的对应关系,我们这只用ID来做所有操作)
curl -X POST "878K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9#2k6X3y4J5k6h3q4@1k6g2)9K6c8Y4g2A6k6q4)9K6c8o6p5I4x3e0q4Q4x3U0k6H3j5i4y4K6N6$3!0J5k6q4)9K6c8o6p5`."
2.验证(支持明文/MD5/SHA1三种方式)
curl -X POST "
75aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9#2k6X3y4Z5k6h3y4C8i4K6y4r3N6h3W2V1i4K6y4p5x3e0p5I4x3g2)9J5y4X3k6#2L8X3y4Q4x3@1c8H3j5i4y4K6N6$3!0J5k6q4)9J5y4Y4m8S2M7%4y4%4L8%4u0V1i4K6y4p5x3b7`.`."
curl -X POST "
5d5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9#2k6X3y4Z5k6h3y4C8i4K6y4r3N6h3W2V1i4K6y4p5x3e0p5I4x3g2)9J5y4X3k6#2L8X3y4Q4x3@1c8E0k6o6g2Q4x3U0k6H3j5i4y4K6N6$3!0J5k6q4)9K6c8r3x3@1j5$3p5@1x3U0x3^5j5e0m8T1z5e0t1K6z5o6t1H3k6r3y4U0y4e0l9&6j5e0k6X3y4K6f1^5y4o6W2T1
"
curl -X POST "
462K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9#2k6X3y4Z5k6h3y4C8i4K6y4r3N6h3W2V1i4K6y4p5x3e0p5I4x3g2)9J5y4X3k6#2L8X3y4Q4x3@1c8K6K9r3p5I4i4K6t1$3M7r3q4K6M7%4N6G2M7X3c8Q4x3@1b7K6y4e0k6S2x3e0V1J5j5U0M7&6x3e0y4T1x3o6c8U0y4e0b7#2y4K6c8V1x3e0S2U0x3U0S2V1y4o6k6W2y4U0x3&6y4e0b7J5z5r3q4T1
"
3.修改密码:(验证支持明文/MD5/SHA1三种方式,新密码必须传明文)
curl -X PUT "
874K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9J5c8U0p5I4x3e0q4Q4x3@1k6X3N6h3&6U0i4K6y4p5M7r3q4K6M7%4N6G2M7X3c8Q4x3U0k6H3j5i4y4K6N6$3!0J5k6q4)9K6c8o6q4Q4x3U0k6X3K9h3g2D9k6q4)9K6c8s2m8S2M7%4y4%4L8%4u0V1i4K6t1$3N6X3q4D9N6h3g2Q4x3@1b7J5
"
curl -X PUT "
2a5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9J5c8U0p5I4x3e0q4Q4x3@1k6X3N6h3&6U0i4K6y4p5L8h3b7#2i4K6t1$3M7r3q4K6M7%4N6G2M7X3c8Q4x3@1c8U0y4r3y4S2y4o6t1K6z5r3p5H3j5U0V1J5x3K6R3J5x3r3c8U0j5K6f1H3z5h3p5$3k6U0M7#2z5o6b7&6j5W2)9J5y4X3k6A6k6h3I4V1i4K6y4p5M7r3q4K6M7%4N6G2M7X3c8Q4x3U0k6$3j5h3I4#2k6g2)9K6c8o6t1`.
"
curl -X PUT "
b73K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9J5c8U0p5I4x3e0q4Q4x3@1k6X3N6h3&6U0i4K6y4p5M7$3S2S2x3g2)9J5y4Y4m8S2M7%4y4%4L8%4u0V1i4K6y4p5x3K6f1$3j5e0p5&6x3X3t1%4z5e0p5K6j5U0l9@1j5K6f1@1y4e0M7@1k6o6p5^5j5K6t1^5k6o6b7$3k6e0j5K6z5e0f1@1x3U0S2S2j5W2)9J5y4X3k6A6k6h3I4V1i4K6y4p5M7r3q4K6M7%4N6G2M7X3c8Q4x3U0k6$3j5h3I4#2k6g2)9K6c8o6t1`.
"
4.修改信息:(验证支持明文/MD5/SHA1三种方式)
curl -X POST "
671K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9J5c8U0p5I4x3e0q4Q4x3@1k6X3N6h3&6U0i4K6y4p5M7r3q4K6M7%4N6G2M7X3c8Q4x3U0k6H3j5i4y4K6N6$3!0J5k6q4)9K6c8o6q4Q4x3U0k6X3K9h3g2D9k6q4)9K6c8r3N6W2L8X3c8W2M7W2)9J5y4Y4k6S2L8s2g2W2i4K6y4p5x3b7`.`.
"
5.获取其他信息(验证支持明文/MD5/SHA1三种方式)
curl -X GET "
4ddK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2S2j5h3q4S2j5h3q4)9J5k6h3y4G2L8g2)9J5c8X3E0$3L8r3I4*7i4K6u0r3N6i4y4W2M7W2)9J5c8U0p5I4x3e0q4Q4x3@1k6X3N6h3&6U0i4K6y4p5M7r3q4K6M7%4N6G2M7X3c8Q4x3U0k6H3j5i4y4K6N6$3!0J5k6q4)9K6c8o6q4Q4x3U0k6X3K9h3g2D9k6q4)9K6c8r3N6W2L8X3c8W2M7R3`.`."


[培训]科锐逆向工程师培训第53期2025年7月8日开班!

收藏
免费 7
支持
分享
最新回复 (25)
雪    币: 165
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
3.修改密码:(验证支持明文/MD5/SHA1三种方式,新密码必须传明文)

嗅探行不
2012-4-6 12:34
0
雪    币: 703
活跃值: (332)
能力值: (RANK:380 )
在线值:
发帖
回帖
粉丝
3
理论上可以嗅探新用户,因为进来的是哈希,获得哈希的意义不大。另外要是web使用我的web安全模型理论,想进来嗅探应该也很困难。呵呵
2012-4-6 12:38
0
雪    币: 639
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
这个看得不太明白...
2012-4-6 13:41
0
雪    币: 144
活跃值: (42)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
5
本来写了一大串,想想算了,何必呢,就说一句话吧.
我觉得咱们做计算机安全行业的,还是不要动辄就说100%.
2012-4-6 14:46
0
雪    币: 55
活跃值: (265)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
看来搞安全的还要会忽悠
2012-4-6 15:22
0
雪    币: 199
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
即使是在机房物理连接到主机也不能通过任何接口获得账号和密码的数据。
那么如何访问数据呢!
2012-4-6 15:54
0
雪    币: 278
活跃值: (709)
能力值: ( LV15,RANK:520 )
在线值:
发帖
回帖
粉丝
8
有攻就有防,有防就有攻,关键是要看动力。
2012-4-6 17:13
0
雪    币: 27
活跃值: (127)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
9
什么什么,好像很牛X的名字。
2012-4-6 17:25
0
雪    币: 3273
活跃值: (4036)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
10
那 只模拟发包登入呢?
2012-4-6 17:28
0
雪    币: 703
活跃值: (332)
能力值: (RANK:380 )
在线值:
发帖
回帖
粉丝
11
拖库的100%抵御,这个不是瞎编的也不是过于绝对的说法。因为接口只有一个端口开放,就是你人在机房也拿它没办法,无键盘接口无其它公共接口。内部定义的硬件接口,如果应用数据加密存储就是主机给你,你也脱不出库来。当然你说的不要百分百还是有道理的,我这也只是夸张一下。不是100%也差不多99%了,因为这个当初给要投资人评估所以写的大了一些,懒得改了。 呵呵
2012-4-6 18:06
0
雪    币: 703
活跃值: (332)
能力值: (RANK:380 )
在线值:
发帖
回帖
粉丝
12
不访问数据 只是把账号和密码的哈希发过来 接口比对后返回是真还是假
2012-4-6 18:09
0
雪    币: 703
活跃值: (332)
能力值: (RANK:380 )
在线值:
发帖
回帖
粉丝
13
如果在内网里模拟发包理论是没有问题的,关键这个东东抵御的是你把所有账号打包偷走的风险。个别账号盗用和欺骗不再这个产品的考虑范围,你说的这些要在交互的前端做抵御。
2012-4-6 18:12
0
雪    币: 144
活跃值: (42)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
14
希望在没有违反 XX协议的情况下,再次的详细描述一下,安全环境,这样才能够和你深入的讨论.你懂的。
2012-4-6 18:56
0
雪    币: 131
活跃值: (98)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
15
忽悠,接着忽悠…………
2012-4-7 13:33
0
雪    币: 1491
活跃值: (985)
能力值: (RANK:860 )
在线值:
发帖
回帖
粉丝
16
希望能更详细说下,完全不明白
2012-4-7 17:19
0
雪    币: 112
活跃值: (16)
能力值: ( LV9,RANK:290 )
在线值:
发帖
回帖
粉丝
17
神器,强烈支持!
2012-4-8 11:27
0
雪    币: 415
活跃值: (34)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
18
看的一头雾水啊。
2012-4-9 19:44
0
雪    币: 358
活跃值: (88)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
19
人家没必要买你产品,自己把密码库独立出来做个加固基本就OK
但最主要的问题是,那些网站根本没把脱裤当回事,所以你这产品注定没啥市场
2012-4-10 14:01
0
雪    币: 205
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
是的 产品 的 市场不大

盗库的目的是 洗钱

问题 是 官方 发现 洗钱 很简单 就 可以回滚

这个周期 决定了 盗库的收益
2012-4-12 04:26
0
雪    币: 177
活跃值: (141)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
硬件接口的想法不错,安全系数很高,不过成本也高。要调用的数据就不方面了
中小企业一般建议以软件的形式封装加密关键信息,如用户的手机号、密码、真实姓名等。封闭接口再做一轮安全设计(我的设计是报警机制)。。当然这个不如DIY硬件接口的安全性高
2012-4-16 07:14
0
雪    币: 364
活跃值: (71)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
22
传说中的单点登录
2012-4-16 13:50
0
雪    币: 703
活跃值: (332)
能力值: (RANK:380 )
在线值:
发帖
回帖
粉丝
23
这个产品对于云的账户安全,还有金融相关的一些用户,例如 visa 等信息还是具有很高的可用性,盗库回滚一般是游戏的服务器做法,但是如果高明的xx把回滚前的备份数据和日志干掉,那么也有的头痛了。
详细的拓扑结构,等过两天单位的事情忙完我会给出,因为这个硬件的位置在内网对外没有路由,所以攻破是基本没戏。连不上网的东东是安全的,物理安全再搞搞就很强大了。
2012-4-19 17:47
0
雪    币: 703
活跃值: (332)
能力值: (RANK:380 )
在线值:
发帖
回帖
粉丝
24
这两天比较忙,等下周有空我做个拓扑图出来
这个事情和well说过他们评估后认为仿制较容易放弃了,目前没有版权问题。另外代码部分我和朋友说了打算做一个开源项目,这个看精力了。最近是没有时间搞了
2012-4-19 17:50
0
雪    币: 101
活跃值: (16)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
25
看看,学习学习
2012-4-21 23:21
0
游客
登录 | 注册 方可回帖
返回