标签： timing

发布于

Timing Attacks (时间攻击) 在 Web API (如密码哈希比较、验证码生成) 中的利用与防御。

大家好，今天咱们来聊聊一个听起来高深莫测，但实际上离咱们很近的安全问题：Timing Attacks，中文名叫时间攻击。别怕，这玩意儿没那么可怕，就像隔壁老王家的猫，看着凶，其实就是想讨根火腿肠。 咱们主要讲的是在Web API里，这只“猫”是怎么搞事情的，以及咱们怎么喂它，让它别捣乱。 主要围绕密码哈希比较和验证码生成这两个场景展开，因为这俩地方最容易被这只“猫”盯上。 开场白：时间攻击是个啥？ 简单说，时间攻击就是通过测量执行特定操作所需的时间，来推断出一些秘密信息。 这听起来有点像听诊器，医生通过听心跳来判断你的健康状况，攻击者通过听程序的“心跳”（运行时间）来判断你的秘密。 在Web API里，攻击者可能无法直接看到你的密码，但如果你的代码在比较密码哈希时，一旦发现有不同的字符就立即返回，那攻击者就可以通过不断尝试不同的密码，并观察服务器响应的时间，来慢慢猜出你的密码。 这就像玩“猜数字”游戏，你每次猜一个数字，对方告诉你“大了”或“小了”，最终你就能猜出正确的数字。 第一幕：密码哈希比较，timing attack的重灾区 密码哈希比较是Web API里最常见的操作之一。 用 …

继续阅读“Timing Attacks (时间攻击) 在 Web API (如密码哈希比较、验证码生成) 中的利用与防御。”

发布于

Timing Attacks (时间攻击) 如何在浏览器端泄露秘密信息 (如密码哈希比较时间)？如何设计防御措施？

各位听众，早上好/下午好/晚上好！（取决于您阅读的时间啦！） 今天咱们来聊聊一个听起来有点神秘，但其实非常实用的安全话题：浏览器端的Timing Attacks（时间攻击）。 这玩意儿就像是安全领域里的“窃听风云”，攻击者通过分析你的代码执行时间，就能慢慢摸清你隐藏的秘密。 别担心，咱们会用最通俗易懂的方式，把它扒个底朝天。 1. 什么是Timing Attack？（时间攻击的基础概念） 想象一下，你正在试图打开一个保险箱，密码是四个数字。 如果你每次输错一个数字，保险箱都会发出“嘟”的一声，而且声音持续的时间跟你猜对的数字个数有关：猜对的数字越多，“嘟”的声音持续时间越长。 那么，即使你不知道正确的密码，你也可以通过不断尝试，并记录每次“嘟”的声音持续时间，最终找到正确的密码。 这就是Timing Attack的基本原理： 通过测量操作执行的时间，来推断隐藏的信息。 在计算机安全领域，Timing Attack就是指攻击者通过分析代码执行时间的变化，来获取敏感信息，比如密码、密钥等等。 这种攻击通常利用程序在不同条件下执行时间上的差异。 2. Timing Attack在浏览器端的应 …

继续阅读“Timing Attacks (时间攻击) 如何在浏览器端泄露秘密信息 (如密码哈希比较时间)？如何设计防御措施？”

发布于

JS `Timing Attacks` (时间攻击) 在浏览器端的秘密信息泄露

各位听众，大家好！我是今天的讲座嘉宾，咱们今天来聊聊一个听起来有点神秘，但实际上挺常见的浏览器端安全问题：JS Timing Attacks（时间攻击）。这玩意儿就像个悄无声息的小偷，能从你的代码执行时间里偷走一些敏感信息。听起来是不是挺刺激的？ 咱们先来打个比方：你和你朋友玩猜数字游戏。你心里想一个数字，然后你朋友猜。你告诉他猜大了还是猜小了。如果每次猜错，你都要停顿一下，停顿时间根据猜错的大小决定。猜得离谱，停顿时间就长；猜得接近，停顿时间就短。你朋友就能根据你的停顿时间，逐渐缩小范围，最后猜出你的数字。 Timing Attack 的原理跟这个差不多。攻击者通过测量代码执行的时间，来推断你代码的内部状态，从而窃取信息。 一、Timing Attack 的基本原理 简单来说，Timing Attack 就是利用代码执行时间上的差异，来推断秘密信息。 这种差异可能非常小，只有几毫秒甚至更短，但攻击者可以多次测量，然后通过统计分析来提取信息。 二、JS Timing Attack 的常见场景 在浏览器端，Timing Attack 主要发生在以下几个场景： 密码验证： 这是最经典的场景 …

继续阅读“JS `Timing Attacks` (时间攻击) 在浏览器端的秘密信息泄露”

发布于

JS `PerformanceEntry` `resource timing` 与 `navigation timing` 细节分析

大家好！我是你们今天的性能优化导师，咱们今天来聊聊JavaScript中那些藏得很深的性能秘密——PerformanceEntry、resource timing 和 navigation timing。别怕，听名字高大上，其实理解起来就像解一道有趣的数学题。 欢迎来到性能优化的“时间旅行” 在网页性能优化中，时间就是金钱，更准确地说，是用户体验。PerformanceEntry API 就像一个时间旅行的记录仪，记录着网页加载和资源获取过程中发生的各种事件。而 resource timing 和 navigation timing 则是这个记录仪上的两份重要报告，详细记录了资源加载和页面导航过程中的时间数据。 PerformanceEntry：一切性能数据的基石 PerformanceEntry 是一个接口，代表一个单独的性能度量事件。它是一个抽象类，实际使用中，我们主要接触的是它的子类，比如 PerformanceResourceTiming 和 PerformanceNavigationTiming。 PerformanceEntry 都有哪些属性？ 属性名 类型 描述 name …

继续阅读“JS `PerformanceEntry` `resource timing` 与 `navigation timing` 细节分析”

发布于

HTML5 `Resource Timing API`：分析页面资源加载时间

拨开迷雾，让页面加载时间无处遁形：HTML5 Resource Timing API 漫谈 各位看官，咱们今天聊点儿啥呢？不如就来聊聊网页加载速度这件让人“又爱又恨”的事儿。爱的是，谁不希望自己打开网页“嗖”的一下就出来呢？恨的是，现实往往是“转啊转啊七彩霓虹灯”，让人恨不得摔手机。 身为前端攻城狮，优化页面加载速度那是家常便饭。但就像医生看病，光凭经验和感觉是不够的，得有“体检报告”才行。而HTML5 Resource Timing API，就是我们前端的“体检报告”，能把页面资源加载的每一个环节都给你扒个精光。 一、啥是Resource Timing API？别吓唬人，说人话！ 简单来说，Resource Timing API 是一套Web API，它允许我们精准地测量浏览器加载页面资源（比如图片、CSS、JS文件等）的时间。它就像一个超级精准的计时器，记录着每个资源从开始请求到完成加载的每一个时间点。有了这些数据，我们就能清晰地知道，哪个资源加载慢了，哪个环节出了问题，从而对症下药，提升页面性能。 别看名字听起来高大上，其实用起来也没那么复杂。想象一下，你准备做一顿丰盛的晚餐，R …

继续阅读“HTML5 `Resource Timing API`：分析页面资源加载时间”