هجوم عبر الرد

سارة تريد أن تثبت هويتها لخالد، خالد يطلب كلمة السر الخاصة بها كإثبات لهويتها، سارة تعطي كلمة السر لخالد (ربما مع بعض التحويل باستخدام Hash function). متنصت يقوم بالتنصت على هذا الاتصال بين خالد وسارة ويحتفظ بكلمة السر، بعد انتهاء هذا الاتصال يقوم المتنصت بالاتصال بخالد من موقعه وكأنه سارة وعندما تُتطلَب منه كلمة السر كإثبات هوية، يرسل المتنصت كلمة السر الخاصة بسارة، يقبل خالد القيام بالاتصال لأنه يعتقد أنه على اتصال بسارة.

طريقة لمنع هذا الهجوم يكون باستخدام رمز الجلسة (session token), خالد يرسل رمز يحتوي الوقت إلى سارة، سارة تستخدم هذا الرمز لتحويل رقم السر وتبعث النتيجة إلى خالد (بحساب دالة هاش خاص برمز الجلسة مُضاف لكلمة السر)، يقوم خالد بنفس الحسابات وإذا حصل على نفس قيمة سارة يكون الاتصال أمناً ولا دلائل على وجود هجوم إعادة الإرسال.

لو حصلت المتنصت على هذه القيمة وحاول أن يستخدمها بجلسة أخرى، سيحصل خالد على رمز جلسة جديد، عندما يقوم المتنصت بإعادة الإرسال برمز الجلسة القديم سيكون مختلفاً عن قيمة خالد الجديدة فلا يتم الاتصال، خالد أيضاً يستطيع أن يرسل الرقم الخاص (Nonce) لكن يجب أن يحتوي على رمز تصديق الرسالة (Message Authentication Code MAC) الذي على سارة أن تقوم بفحصه.

ختم الوقت هو طريقة أخرى لمنع هجوم إعادة الإرسال، التزامن يجب أن يكون متحققاً باستعمال بروتوكول آمن.

على سبيل المثال : خالد يقوم ببث الوقت حسب توقيته مع رمز تصديق الرسالة(MAC) في أوقات زمنية متكررة، عندما تريد سارة أن تبعث رسالة إلى خالد، تبعث له بأفضل تقدير للوقت حسب توقيته داخل رسالتها التي تكون مُصَدقة، خالد يقبل فقط الرسائل التي يكون ختم الوقت فيها ضمن حدود المعقول حسب توقيته، الميزة في هذا الأسلوب هو أن خالد لن يتوجب عليه أن يحصل على أو يحسب أرقام عشوائية (أو ما يظهر كالعشوائي).