リプレイ防止REST URLのリプレイ攻撃

Question

私は、以下のロジックを使用してクライアントリクエストを認証するセキュリティカスタムリストフィルタを使用しました。ヘッダ内

ヘッダフィールド

1. 日
2. HMACハッシュ署名

ボディ

1. HMAC暗号化されたデータ

iOSクライアントはPOSTを使用してこのリクエストを行い、サーバでは の有効期限が15秒に設定されています。

今、誰もがチャールズまたは他の 何かのようなデバッグツールを使用した場合の質問は、と彼はURLと 火15秒と同じにブレークポイントを置くために発生した場合、nonceが有効であるとするサーバー プロセス2回目のリクエスト。これを防ぐにはどうすれば が起こるのでしょうか。この場合、ノンスは機能しません。ハッカーが 発射されようとしている最後のURLを取得した場合、一回だけの有効期限が切れる前に、彼はそれを複数回 を発射する可能性もあることができ、アプローチでどのような

......

これを防ぐ方法を教えてください。

誰にでも私にとって最高の春のセキュリティ実装を見つけるのを助けることができますか？

また、HTTPSはデフォルトでリプレイ攻撃から私たちを守っていますか？ SSLクライアント側の検証（ビルド でフォーマット証明書を取得し、サーバ証明書でこれを検証する必要がありますか）を実行して、再生攻撃がhttps で動作するようにしますか？またはデフォルトでhttpsで利用可能ですか？

つまり、私はAFNetworkingを使用しています。SSLを使用する必要があります https再生攻撃を利用するために固定しますか？または ssl固定なしで動作しますか？

Answer 1

HTTPSを使用してREST APIを呼び出す場合は、ネットワークレベルでthe protocol protects you from replay attacksを使用します。つまり、誰かが暗号化されたトラフィックを記録してそれを正常に再生することはできません。

しかし、正当なクライアントが同じリクエストを複数回発行しないようにする方法を探している場合は、そのリクエストをidempotentにするか、ビジネスロジックに再生メカニズムを実装する必要があります。これはnonceを使用して行うことができます。ナンスは期限切れではありませんが、1回のトランザクションでのみ使用できます。