摘要認證如何防止重放攻擊？

Question

我發現了很多關於使用摘要身份驗證的提示的問題。我無法找到摘要身份驗證如何防止重放攻擊？我使用提琴手工具截取到服務器的http請求。我使用相同的工具將請求重播到服務器，但服務器要求進行身份驗證。

我需要準確理解如何防止重放攻擊的實現。服務器如何檢測HTTP請求的重播？

任何鏈接/資源，將不勝感激。

Answer 1

摘要式身份驗證通過使用服務器指定的nonce來防止重放攻擊。當客戶端嘗試進行未經身份驗證的請求時，服務器會生成隨機數，客戶端必須將該隨機數併入其響應中。服務器要管理有效的隨機數，並在使用它們時使其無效，以防止重放。