【摘要】：瀏覽器緩存主要用于加快用戶對(duì)網(wǎng)絡(luò)資源的請(qǐng)求速度,然而攻擊者可以通過中間人攻擊等方式實(shí)施緩存污染攻擊。首先提出了一種基于Zipf定律的持久化緩存污染攻擊模式,然后考慮到傳統(tǒng)的緩存污染防御策略無法全面覆蓋各種攻擊方式,為此提出一種可調(diào)控的瀏覽器緩存污染防御策略,這種策略部署于用戶與服務(wù)器之間,對(duì)用戶所請(qǐng)求的緩存資源進(jìn)行時(shí)間戳判斷、請(qǐng)求相應(yīng)延時(shí)判斷、資源代表性判斷、哈希驗(yàn)證和眾包策略,可以有效防御瀏覽器緩存污染問題。實(shí)驗(yàn)選取200個(gè)JavaScript資源文件作為實(shí)驗(yàn)樣本,利用中間人攻擊的方式污染其中100個(gè)樣本,在訪問這些資源的同時(shí)啟用防御腳本,分析污染樣本的檢測(cè)率和正常樣本的誤判率,結(jié)果表明,在松弛條件下,污染樣本的檢測(cè)率達(dá)到87%,正常樣本誤判率為0%。而在嚴(yán)格條件下,污染樣本的檢測(cè)率達(dá)到95%,正常樣本誤判率為4%。同時(shí)所有實(shí)驗(yàn)樣本的請(qǐng)求響應(yīng)時(shí)間差分別為5277ms和6013ms,均小于全部重新加載資源的時(shí)間差,在防御了絕大部分的受污染資源的同時(shí)還縮短了用戶訪問的時(shí)間,最后還提出基于支持向量機(jī)的資源代表性檢測(cè)方法降低了污染樣本的漏判率。該策略簡(jiǎn)化了緩存污染攻擊防御的流程并可以通過不同的參數(shù)在用戶體驗(yàn)性和安全性中取得平衡。
【圖文】：

芯可，

本文編號(hào)：2664649