让 Python 更快地进行验证

你知道什么事情最捉急么?慢的网站。

不幸的是,验证过程中某些特定部分就应该是缓慢的。这似乎违反直觉,但是验证过程中的慢速是保证安全的很大一部分。

本文介绍 Python 中的验证过程(不仅仅是散列法),还有如何在不降低安全性的条件下提高 Python 的验证速度。

我将带你读一下 Python 伪代码,并教你如何保证验证系统尽可能快而需要掌握的知识。

密码散列法很慢

当用户在网站上注册时,给了密码——最好的方法是在存储之前去散列用户密码。这意味着你可以用一个散列算法,比如 bcrypt 或 scrypt 这样,可以把一个密码字符串翻译为不能被反向破解的胡言乱语。

一旦用了散列法,就没有办法回复原始密码了。

有个重要的点:强大的散列函数,比如 bcrypt 和 scrypt ,是命中注定般的慢啊

散列法需要更多的 CPU、RAM 和时间用来计算,这意味着一个攻击者会需要花费更长的时间来暴力破解一个密码。

现在,假设你已经黑入了数据库,还有可以访问全部用户密码的散列。

也可以说是有10个 bcrypt 散列。

如果想要找到密码,你只能去:暴力破解它们。

想做到这点,你会写一些代码来遍历所有可能的密码组合(在下面的例子中我用 PyPI 中的brute):

上面的例子中,我们会遍历所有8个字母或以下的可能密码,并试图去暴力破解它。

每次新生成一个可能的密码,通过 bcrypt 函数运行,得到散列,将它和你已经黑了的密码散列比较。如果你得到了一对儿,意味着你已经成功暴力破解了用户密码!

但是有个重点:bcrypt 和 scrypt 会花很长时间去计算,占用很多资源。

因为bcrypt和scrypt在数学意义上计算很慢,攻击者会因为占用太多计算机资源而很艰难地花费时间来暴力破解。

因此,我们现在理解了散列的原理,以及为什么时间密集——我们来讨论一下验证。

:如果你对于了解密码安全有兴趣,你也许会想要去读篇写了有点时间的文章对于密码安全的正确方法——是个好的阅读材料。如果你想更加了解,看看这个.

如何进行验证工作

当用使用传统的方法注册或登录网站时,你需要散列他们的密码,然后存储到数据库或与数据库中的值进行比较——然后发生了什么?你要记住,用户不是有一个会话ID就是有某种API秘钥。

看看这些伪代码:

这个办法的思路是用户 ID 存储到用户的浏览器缓存中,下一次用户请求你网站时,用户浏览器就发送缓存中的用户 ID 给你的服务器,并允许你浏览用户账号下的信息,而不需要再次输入邮件地址或密码。

再看看这些伪代码:

正如你料想的——通过 ID 查询用户账号是非常快的(密码不散列是必要的)。

因此——这就意味着初始创建账户和登录密码的过程较慢——剩下的就都很快了!

我们继续。

优化速度

一旦用户数据请求网站的每个页面,数据就要接收的非常频繁。

如过你使用了 Postgres  或  MySQL 之类的数据库,这就意味着你的网站如果有100个用户,那你每秒要查询数据库的users表数百次。

如果你的网站还需要做其他事,你可能忍不了这么慢的网页加载。

你可以做什么来提速呢?缓存!

缓存是速度和性能问题的解决方案——提升访问你网站的速度时,让用户数据快速加载速度的有效方法之一。

这种方法超简单:存储键值对到持久化存储中,用户ID作为键,用户的账户数据作为散列值。

这很有用,因为下次用户请求你网页时,就可以发送会话缓存,而不是通过数据库查询账户,你也可以直接从内存数据库缓存查询这些信息。

对于缓存,你也许更想要存储数据到 memcached 或 redis 之类的缓存系统中,令人开心的是,python都有对应的库

在伪代码里,你可以这么做:

实现

如果你用了 Django之类的web框架,那用(框架)内置的校验系统就可以很容易的完成这篇文章提及的所有内容。

如果你用了另一个框架/工具,你也许想到google搜寻一下相关库。不管你用什么工具,本文的几个典型选项都能帮到你。

最后,如果你在用 Python / Flask / Django,并且想要得到关于用户存储和安全最全、最好的实践,你可以看看我们的开发者服务 Stormpath

我们的服务为你存储用户账户和用户数据,负责处理密码散列、加密、数据安全、最好的实践和其他的所有。

可以免费用于大多数应用,也有轻松整合到Python、Flask 和 Django 应用。

我们最新发布的 Python 库中包含了内建的支持内存数据库、memcached 和 redis 缓存,以确保总是尽可能快速访问你的网站。

如果你想用Stormpath,你可以从下面地址得到我们的库:

1 1 收藏 3 评论

关于作者:zer0Black

目前工作为移动开发,兴趣广泛,计算机各方面均有强烈兴趣。 个人主页 · 我的文章 · 18 ·  

相关文章

可能感兴趣的话题



直接登录
最新评论
跳到底部
返回顶部