专题：临时区iOS收藏积累

iOS 登录注册那点事

2017-04-27  本文已影响968人  SunshineBrother
第一种:明文

有一些APP的登录注册就直接明文，其实这是十分危险的，危险因素多的数不胜数。
譬如

以前听一个朋友讲他们公司最开始的时候就是用明文进行登录注册的，然后有一个大三的学生把他们公司的服务器给攻破了。辛亏那位学生并没有按什么坏的心眼，只是把攻破的结果告诉了他们公司，然后他们公司的程序员一个兑一两千块钱给了那个学生，算是息事宁人了。由此可见，使用明文登录注册是多么危险。其实现在一般公司都是会对数据进行加密的，除非是那些外包公司做的外包项目，他们实在是懒得跟你加密，才回使用明文。

第二种：MD5加密

MD5是一个安全的散列算法，输入两个不同的明文不会得到相同的输出值，根据输出值，不能得到原始的明文，即其过程不可逆；所以要解密MD5没有现成的算法，只能用穷举法，把可能出现的明文，用MD5算法散列之后，把得到的散列值和原始的数据形成一个一对一的映射表，通过比在表中比破解密码的MD5算法散列值，通过匹配从映射表中找出破解密码所对应的原始明文。

MD5有一下四个特点：

苹果内部用C语言写了MD5加密算法，但是我们对只用用C语言来写的话，会感到一点点的麻烦，所以，网上有很多的人都对MD5进行了一些简单的封装，我这里就随便摘抄一段

+(NSString *)MD5ForLower32Bate:(NSString *)str{
    const char* input = [str UTF8String];
    unsigned char result[CC_MD5_DIGEST_LENGTH];
    CC_MD5(input, (CC_LONG)strlen(input), result);
    
    NSMutableString *digest = [NSMutableString stringWithCapacity:CC_MD5_DIGEST_LENGTH * 2];
    for (NSInteger i = 0; i < CC_MD5_DIGEST_LENGTH; i++) {
        [digest appendFormat:@"%02x", result[i]];
    }
    
    return digest;
}

我来对上一段的代码进行简单的分析啊。

8BBC7766-23C5-4352-8412-52501B14B8DB.png

加密结果：e10adc3949ba59abbe56e057f20f883e
然后把这个字符串放到MD5解密网站上

F45FFEF6-A246-46B0-A937-7D1ADCA7EC97.png

所以，单纯的MD5对我们的登录密码进行加密也不是十分完善的。那些比较懒的用户可能会输入一个比较简单的密码，我们也要保护这部分用户的密码不会被轻易的破解。这时候我们就引入了下一个概念。

第三种：加盐

普通的MD5加密，现在已经有软件可以进行破解，所有我们想出来一种方法，使MD5这种加密更加复杂，更难被破解。这种方式就是加盐(原始密码 + 盐) MD5 运算.保证密码不被破解,就要保证盐值足够长/足够咸

什么是加盐值

为了加强MD5的安全性（本身是不可逆的），从而加入了新的算法部分即加盐值，加盐值是随机生成的一组字符串，可以包括随机的大小写字母、数字、字符，位数可以根据要求而不一样，使用不同的加盐值产生的最终密文是不一样的。

代码中如何使用加盐值

由于使用加盐值以后的密码相当的安全，即便是你获得了其中的salt和最终密文，破解也是一个耗费相当多时间的过程，可以说是破解单纯MD5的好几倍，那么使用加盐值以后的密文是如何产生的呢？
1).首先我们得到的是明文的hash值
2).进行计算获取MD5明文hash值
3).随机生成加盐值并插入
4).MD5插入加盐值得到的hash
5).得到最终的密文

我们就简单的使用一下


82E362E1-CB8B-41E0-A487-AA41A05BF145.png

同样的字符串123456在加盐以后就解密不出来了

C5B552CD-6BCE-4F1B-971E-64CCE0DCA581.png

当然盐后台传给我们是最好的，使用后台传来的盐（salt）时，登录注册我们需要考虑一下逻辑

第四种：HMAC加密

其实上面的思想都有一点HMAC加密的思想，现在国外HMAC加密用的十分广泛了。

HMAC加密算法是一种安全的基于加密hash函数和共享密钥的消息认证协议．它可以有效地防止数据在传输过程中被截获和篡改，维护了数据的完整性、可靠性和安全性.
HMAC加密算法是一种基于密钥的报文完整性的验证方法，其安全性是建立在Hash加密算法基础上的。它要求通信双方共享密钥、约定算法、对报文进行Hash运算，形成固定长度的认证码。通信双方通过认证码的校验来确定报文的合法性。HMAC加密算法可以用来作加密、数字签名、报文验证等。

HMAC加密算法的定义

HMAC加密算法是一种执行“校验和”的算法，它通过对数据进行“求和”来检查数据是否被更改了。在发送数据以前，HMAC加密算法对数据块和双方约定的公钥进行“散列操作”，以生成称为“摘要”的东西，附加在待发送的数据块中。当数据和摘要到达其目的地时，就使用HMAC加密算法来生成另一个校验和，如果两个数字相匹配，那么数据未被做任何篡改。否则，就意味着数据在传输或存储过程中被某些居心叵测的人作了手脚。
代码如下:

+  (NSString *)HMacHashWithKey:(NSString *)key data:(NSString *)data{

    const char *cKey  = [key cStringUsingEncoding:NSASCIIStringEncoding];
    const char *cData = [data cStringUsingEncoding:NSASCIIStringEncoding];


    unsigned char cHMAC[CC_SHA256_DIGEST_LENGTH];

    //关键部分
    CCHmac(kCCHmacAlgSHA256, cKey, strlen(cKey), cData, strlen(cData), cHMAC);

    NSData *HMAC = [[NSData alloc] initWithBytes:cHMAC
    length:sizeof(cHMAC)];

    //将加密结果进行一次BASE64编码。
    NSString *hash = [HMAC base64EncodedStringWithOptions:0];
    return hash;
}

其中被加密的字段data，我们可以设定一种特殊的生成方式。
加密的密匙key也可以和server端商定一致。

我们做了这些已经为保护用户账号安全做了很多了，但是，我们还有改进的机会。

我们知道，现在用户经常连接公共Wi-Fi，而黑客可以通过这个公共Wi-Fi来获取我们加密后的密码以及key，这个时候我们还可以添加一层新的防护

第五种：时间戳密码+HMAC

基本介绍

补充介绍：token值

token 值: 登录令牌.利用 token 值来判断用户的登录状态.类似于 MD5 加密之后的长字符串.

用户登录成功之后,在后端(服务器端)会根据用户信息生成一个唯一的值.这个值就是 token 值.

基本使用:

登录状态判断

token 值有失效时间:

唯一性判断: 每次登录,都会生成一个新的token值.原来的 token 值就会失效.利用时间来判断登录的差异性.

上一篇下一篇

猜你喜欢

热点阅读