python-3.x - 我应该使用 == 进行字符串比较吗？

Question

抱歉，如果这是一个奇怪的问题。

我实际上对定时攻击很好奇，所以我做了一些研究并理解了这个概念。我明白了，代码如下:

if token == password:
    print('Welcome')
else:
    print('Wrong password')

相当于:

def equal(s1, s2):
    if len(s1) != len(s2):
        return False

    for i in range(len(s1)):
        if s1[i] != s2[i]:
            return False
    return True

PS - 我使用的是 python 3.9.2

所以我制作了一个易受攻击的代码，如下所示:-

f = open('pass.txt', 'r')
password = f.read()
f.close()

def equal(s1, s2):
    if len(s1) != len(s2):
        return False

    for i in range(len(s1)):
        if s1[i] != s2[i]:
            return False
    return True

def login(upass):
    if equal(upass, password):
        print('Login successful')
    else:
        print('Login failed')

login()

这个简单的程序会将用户给定的密码(通过 upass 参数)与存储在同一目录中的文件 pass.txt 中的密码进行比较。如果密码匹配，它将向用户发送欢迎消息，否则，它将提醒用户登录失败。

假设:-

1. 密码长度为 4 个字符。
2. 仅包含大写字母(无数字值或特殊字符)。

我能够通过使用以下方法来利用密码:-

def attack():

    leaked = ''

    for i in range(4):

        result = { letter : 0 for letter in ascii_uppercase }

        for _ in range(50000):
            for letter in ascii_uppercase:
                string = leaked + letter + '.' * ( 4 - len(leaked) - len(letter) )
                start = time_ns()
                login(string)
                end = time_ns()
                result[letter] += end - start

        leaked += sorted(result.items(), key = lambda item : item[1], reverse=True)[0][0]
        print(leaked)

我得到的输出为TEST，这是正确的。但是，您可以清楚地看到我没有使用 == 进行字符串比较，事实上我正在使用其等效方法。所以我决定切换回 == 并检查我的漏洞是否有效。所以我将 equal() 方法修改为:-

def equal(s1, s2):
    # if len(s1) != len(s2):
    #   return False

    # for i in range(len(s1)):
    #   if s1[i] != s2[i]:
    #       return False
    # return True

    if s1 == s2:
        return True
    else:
        return False

因此，使用这段代码，当我调用 attack 方法时，令我惊讶的是，它给了我非常奇怪的结果。当我多次运行它时，我得到了以下输出:AOAD、BVCB & LGAZ。这显然不是存储在 pass.txt 文件中的密码。

所以我的问题是，== 不容易受到定时攻击吗？

Answer 1

TL;DR 是的，它很容易受到攻击!但是，您仍然应该使用 ==进行比较，因为这是最好的事情。

---

是否执行str.__eq__()是否容易受到定时攻击很容易验证。让我们像这样定义四个字符串:

import random

# Lots of random characters from A to Z
s1 = ''.join(chr(random.randint(65, 90)) for _ in range(1000000))


s1c = s1                      # This string is equal and at the same memory location
s2 = ''.join(c for c in s1)   # This string is equal but not at the same memory loc
s3 = s1[:-1] + "?"            # This is not equal because of a mismatch at the end
s4 = "?" + s1[1:]             # This is not equal because of a mismatch at the start
s5 = s1[:-1000]               # This is not equal because of mismatched lengths

为了计算相等性检查的时间，我们可以使用 timeit模块。

import timeit

t1_1c = timeit.timeit('s1 == s1c', 'from __main__ import s1, s1c', number=10000)
t1_2  = timeit.timeit('s1 == s2', 'from __main__ import s1, s2', number=10000)
t1_3  = timeit.timeit('s1 == s3', 'from __main__ import s1, s3', number=10000)
t1_4  = timeit.timeit('s1 == s4', 'from __main__ import s1, s4', number=10000)
t1_5  = timeit.timeit('s1 == s5', 'from __main__ import s1, s5', number=10000)

我得到以下数字:

<表类=“s-表”><标题>变量值 <正文> t1_1c 0.0003349999997226405 t1_2 0.7978945999993812 t1_3 0.7638719000005949 t1_4 0.0011733000001186156 t1_5 0.0003372000001036213

显然，同一内存位置的字符串几乎立即报告它们相等，但我们不希望在实际情况中出现这种情况。开头有错误的字符串比结尾有错误的字符串报告“不等于”的时间要少几个数量级，所以我认为您的发现不广泛适用。这可能是版本/操作系统问题，或者可能是 TEST字符串太短，无法真正注意到这些问题。

---

也许改变不匹配的位置会提供一些见解？这么长的字符串似乎有些过大，所以我将把它的大小减少一个数量级

s1 = ''.join(chr(random.randint(65, 90)) for _ in range(100000))

timings = []
for i in range(len(s1)):
    # Force a mismatch at index i
    s_temp = s1[0:i] + "?" + s1[i+1:]
    tm = timeit.timeit('s1 == s_temp', 'from __main__ import s1, s_temp', number=100)
    print(f"\r{i/len(s1)*100:.2f}".ljust(20, " "), end="")
    timings.append(tm)

根据不匹配的位置绘制此图，得出以下(绝对不是恒定的)图:

红点是字符串相等(没有不匹配)的时候。很明显，不匹配的字符串越往下，相等性检查所需的时间就越长。如果我们将这种分布归因于我的计算机也在处理其他事情，并且只看这个形状的下边缘，它看起来相当线性(y轴是对数，线性轴here如果你愿意的话)，因此，这将为 str.__eq__() 的论点提供一定的分量。方法以线性时间运行，具体取决于需要检查的字符数量。

---

总结一下，

1. 不，==或str.__eq__()方法不能免受定时攻击。您的密码"TEST"只是太小，无法看到比较时间的影响。
2. 是的，您应该使用==用于字符串比较，因为这是检查字符串相等性的正确方法。
3. 如@ MisterMiyagi comment 中的注释，针对定时攻击的正确防御方法是强制您的响应延迟时间比处理长且错误的密码所需的时间更长，而不是依赖其他操作来提供延迟。