我正在开发一个移动应用程序,它将一些加密数据发送到蓝牙设备,这个蓝牙设备将数据发送到服务器.我的问题是,在这种情况下,我该如何防止重放攻击.有人可能会使用假的蓝牙设备来获取信号并将其发送到服务器.
移动应用程序在脱机模式下工作,并且没有与服务器的连接.所以使用同步的随机数或计数器没有帮助.
我也不能使用时间戳缩小攻击窗口,因为手机的时间可能不正确(与时间服务器同步).
我的移动应用程序和蓝牙设备之间的通信是单向的,我的移动应用程序只能将数据发送到设备.
一种方法是使用计数器，但允许它跳过大量步骤。例如，如果您从电话 A 看到的最后一个计数器值为 123，并且您得到的计数器值为 156，那么您接受它，但超出 [124, 1000123] 范围的任何内容您都会丢弃（1000000 是完全任意的，并且取决于您的用例）。
这可以防止重放攻击，但您必须注意传输的不可延展性，否则伪造计数器号码将很容易。这可以通过为每个设备设置一个秘密 MAC 密钥来实现（这只有在服务器和电话事先通信的情况下才可能实现）。
值得一提的是，最好对交易进行身份验证（只有电话 A 能够生成一条消息，表明该消息来自电话 A），否则攻击者可以非常快速地移动计数器并在电话 A 上执行拒绝服务操作.然而，从你提出问题的方式来看，这听起来像是你已经处理过的事情。