هجوم عبر الرد

طرق لمنع هجوم إعادة الإرسال

وعلى صعيد آخر، مثلًا : خالد يقوم ببث الوقت حسب توقيته مع رمز تصديق الرسالة(MAC) في أوقات زمنية متكررة، عندما تريد سارة أن تبعث رسالة إلى خالد، تبعث له بأفضل تقدير للوقت حسب توقيته داخل رسالتها التي تكون مُصَدقة، خالد يقبل فقط الرسائل التي يكون ختم الوقت فيها ضمن حدود المعقول حسب توقيته، الميزة في هذا الأسلوب هو أن خالد لن يتوجب عليه أن يحصل على أو يحسب أرقام عشوائية (أو ما يظهر كالعشوائي).

كذلك، هو طريقة أخرى لمنع هجوم إعادة الإرسال، التزامن يجب أن يكون متحققاً باستعمال بروتوكول آمن.

ومن جهة أخرى، طريقة لمنع هذا الهجوم يكون باستخدام رمز الجلسة (session token), خالد يرسل رمز يحتوي الوقت إلى سارة، سارة تستعمل هذا الرمز لتحويل رقم السر وتبعث النتيجة إلى خالد (بحساب دالة هاش خاص برمز الجلسة مُضاف لكلمة السر)، يقوم خالد بنفس الحسابات وإذا حصل على نفس قيمة سارة يكون الاتصال أمناً ولا دلائل على وجود هجوم إعادة الإرسال.

من جهة ثانية، لو حصلت المتنصت على هذه القيمة وحاول أن يستعملها بجلسة أخرى، سيحصل خالد على رمز جلسة جديد، عندما يقوم المتنصت بإعادة الإرسال برمز الجلسة القديم سيكون مختلفاً عن قيمة خالد الجديدة فلا يتم الاتصال، خالد كذلك يستطيع أن يرسل الرقم الخاص (Nonce) لكن يجب أن يحتوي على رمز تصديق الرسالة (Message Authentication Code MAC) الذي على سارة أن تقوم بفحصه.

مثال

ومن ناحية أخرى، متنصت يقوم بالتنصت على هذا الاتصال بين خالد وسارة ويحتفظ بكلمة السر، بعد انتهاء هذا الاتصال يقوم المتنصت بالاتصال بخالد من موقعه وكأنه سارة وعندما تُتطلَب منه كلمة السر كإثبات هوية، يرسل المتنصت كلمة السر الخاصة بسارة، يقبل خالد القيام بالاتصال لأنه يعتقد أنه على اتصال بسارة.

من جهة ثانية، سارة تريد أن تثبت هويتها لخالد، خالد يطلب كلمة السر الخاصة بها كإثبات لهويتها، سارة تعطي كلمة السر لخالد (ربما مع بعض التحويل باستخدام Hash function).