常见的弱点枚举

在某些情况下,知道什么时候方可以提供一个恶意用户之间的数据传输具有特权的信息。同时,外部监控操作的时机可能暴露敏感数据。例如,加密操作可以暴露其内部状态如果执行操作的时间各不相同,但是基于状态。

秘密渠道通常分为存储或定时通道。一些秘密的例子时间通道系统的分页率,时间一定事务需要执行,所花费的时间获得一个共享的公共汽车。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

示例1

在这个例子中,攻击者观察到身份验证需要多长时间,当用户输入正确的密码。

当攻击者尝试自己的价值观时,他们可以先尝试各种长度的字符串。当他们找到一个字符串的长度,计算需要一段时间,因为for循环将至少运行一次。此外,这段代码中,攻击者可能学习一个字符的密码,因为当他们想第一个字符正确,计算将超过一个错误的猜测。这种攻击可以打破即使是最复杂的密码和几百的猜测。

注意,在这个例子中,实际的密码必须处理在常数时间,攻击者而言,即使实际的密码是一个不寻常的长度。这就是为什么好使用一种算法,除此之外,存储的加密的单向散列密码,然后比较散列,这将永远是相同的长度。