搜索

[11237] 2017-04-14_揭秘HTTPS中S的另一面

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-04-14_揭秘HTTPS中S的另一面 揭 秘 H T T P S 中   S   的 另 一 面 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 4 - 1 4 就 在 我 们 刚 刚 弄 清 楚 浏 览 器 地 址 栏 中 “ H T T P S ” 的 重 要 性 时 ， 垃 圾 邮 件 发 送 者 和 恶 意 攻 击 者 早 就 已 经 知 道 应 该 怎 么 将 系 统 玩 弄 于 股 掌 之 间 了 。 L e t ’ s   E n c r y p t L e t ’ s   E n c r y p t 是 一 款 自 动 化 服 务 ， 它 可 以 利 用 证 书 来 帮 助 用 户 将 此 前 未 加 密 的 U R L 地 址 转 换 成 经 过 加 密 且 安 全 系 数 更 高 的 H T T P S 地 址 。 这 就 非 常 棒 了 ， 尤 其 是 在 这 个 证 书 价 格 贵 过 黄 金 的 年 代 ， 很 多 永 和 根 本 负 担 不 起 这 样 的 开 销 。 所 以 由 此 不 难 看 出 ， L e t ’ s E n c r y p t 在 提 升 网 络 安 全 性 和 用 户 体 验 度 方 面 毫 无 疑 问 地 做 出 了 巨 大 的 贡 献 。 但 是 ， L e t ’ s   E n c r y p t 也 给 安 全 技 术 部 门 带 来 了 很 大 的 麻 烦 。 因 为 这 是 一 个 免 费 服 务 ， 而 且 任 何 小 白 都 可 以 轻 松 地 将 H T T P S 引 入 自 己 的 网 站 中 ， 而 网 络 犯 罪 分 子 同 样 可 以 利 用 L e t ’ s   E n c r y p t 来 欺 骗 广 大 善 良 的 互 联 网 用 户 。 当 一 个 网 站 使 用 的 是 H T T P S ， 那 么 不 仅 用 户 会 认 为 自 己 可 以 信 任 这 个 网 站 （ 因 为 使 用 了 加 密 链 接 ） ， 而 且 类 似 G o o g l e   C h r o m e 这 样 的 浏 览 器 同 样 会 在 地 址 栏 前 面 显 示 一 个 绿 色 的 安 全 图 标 以 及 “ 安 全 （ S e c u r e ） ” 字 样 。 更 加 重 要 的 是 ， 很 多 隐 私 以 及 安 全 倡 导 者 也 在 不 停 地 敦 促 用 户 当 他 们 访 问 一 个 网 站 时 一 定 要 确 定 这 个 网 站 地 址 栏 拥 有 这 样 的 安 全 标 志 ， 因 为 他 们 认 为 只 要 有 这 种 绿 色 安 全 标 志 的 网 站 都 是 安 全 的 。
安 全 隐 患 安 全 隐 患 可 能 各 位 同 学 看 到 这 里 会 觉 得 世 界 非 常 的 美 好 ， 但 事 实 并 非 如 此 。 实 际 上 ， L e t ’ s   E n c r y p t 现 在 已 经 成 为 了 网 络 犯 罪 分 子 将 钓 鱼 网 站 “ 合 法 化 ” 的 利 器 ， 这 对 于 我 们 来 说 绝 对 是 一 个 噩 耗 ， 而 对 于 那 些 仅 仅 只 能 通 过 地 址 栏 的 绿 色 标 识 来 判 断 网 站 安 全 性 的 用 户 来 说 ， 他 们 的 “ 后 院 ” 随 时 都 会 起 火 。 根 据 证 书 经 销 商 T h e   S S L   S t o r e 提 供 的 信 息 ， 在 2 0 1 6 年 1 月 1 日 之 2 0 1 7 年 3 月 6 日 这 段 时 间 里 ， L e t ’ s   E n c r y p t 总 共 颁 发 了 1 5 2 7 0 份 包 含 有 “ P a y P a l ” 字 样 的 S S L 证 书 。 需 要 提 醒 大 家 的 是 ， T h e   S S L   S t o r e 仅 仅 是 这 些 证 书 的 一 家 提 供 商 ， 所 以 L e t ’ s   E n c r y p t 的 使 命 并 不 是 他 们 所 真 正 关 心 的 东 西 。 而 且 根 据 他 们 提 供 的 信 息 ， 上 述 绝 大 部 分 证 书 颁 发 于 去 年 1 1 月 份 ， 当 时 L e t ’ s   E n c r y p t 几 乎 每 天 都 会 颁 发 将 近 一 百 个 “ P a y P a l ” 证 书 。 根 据 随 机 抽 查 的 数 据 显 示 ， 其 中 有 9 6 . 7 % 的 证 书 被 用 于 伪 装 钓 鱼 网 站 等 恶 意 活 动 。 这 家 经 销 商 表 示 ， 在 研 究 人 员 调 查 伪 造 “ P a y P a l ” 网 站 的 过 程 中 ， 他 们 还 发 现 了 很 多 其 他 的 S S L 钓 鱼 网 站 ， 受 影 响 的 服 务 商 包 括 美 国 银 行 、 A p p l e 以 及 G o o g l e 等 。 这 个 问 题 已 经 存 在 了 很 多 年 了 ， 而 且 目 前 的 情 况 也 是 每 况 日 下 。 在 去 年 一 月 份 ， 来 自 安 全 公 司 趋 势 科 技 （ T r e n d   M i c r o ） 的 研 究 人 员 就 发 现 了 一 个 恶 意 广 告 活 动 ， 而 这 个 活 动 主 要 针 对 的 是 那 些 使 用 了 免 费 L e t ’ s   E n c r y p t 证 书 的 网 站 。 当 用 户 访 问 了 恶 意 广 告 之 后 ， 便 会 被 重 定 向 至 另 一 个 托 管 了 A n g l e r   E x p l o i t   K i t 的 站 点 。 当 用 户 访 问 了 一 个 恶 意 W e b 页 面 之 后 ， A n g l e r 将 可 以 在 用 户 毫 不 知 情 的 情 况 下 让 目 标 主 机 感 染 恶 意 软 件 ， 而 且 整 个 过 程 完 全 不 需 要 任 何 的 用 户 交 互 。 研 究 人 员 表 示 ， 超 过 5 0 % 的 A n g l e r 所 感 染 的 都 是 勒 索 软 件 ， 所 以 在 这 类 活 动 中 ， 绝 大 部 分 的 攻 击 者 都 是 通 过 数 据 赎 金 来 获 取 非 法 受 益 的 。
趋 势 科 技 发 现 ， 这 些 恶 意 广 告 背 后 的 攻 击 者 在 使 用 L e t ’ s   E n c r y p t 申 请 H T T P S 证 书 之 前 ， 还 需 要 创 建 一 个 看 起 来 真 实 性 足 够 高 的 子 域 名 ， 并 以 此 来 欺 骗 大 部 分 的 网 上 用 户 。 这 样 一 来 ， 用 户 就 可 以 看 到 钓 鱼 网 站 是 拥 有 L e t ’ s   E n c r y p t 证 书 的 ， 这 样 就 会 让 用 户 认 为 这 是 一 个 合 法 并 且 安 全 的 网 站 了 。 任 何 技 术 都 存 在 两 面 性 任 何 技 术 都 存 在 两 面 性 一 项 优 秀 的 技 术 诞 生 之 后 ， 即 便 它 的 设 计 初 衷 是 好 的 ， 但 它 同 样 有 可 能 被 网 络 犯 罪 分 子 所 利 用 ， L e t ’ s   E n c r y p t 也 不 例 外 。 那 么 ， 我 们 为 什 么 不 能 直 接 撤 销 掉 那 些 很 明 显 是 伪 造 的 P a y P a l 证 书 呢 ？ 因 为 他 们 认 为 这 并 不 是 他 们 的 问 题 。 J o s h   A a s 是 网 络 安 全 研 究 组 织 （ I S R G ， 即 L e t ’ s   E n c r y p t 项 目 的 管 理 方 ） 的 执 行 总 裁 ， 他 在 一 月 份 接 受 I n f o W o r l d 的 采 访 时 表 示 ， L e t ’ s E n c r y p t 并 不 需 要 对 现 在 的 H T T P S 信 任 问 题 承 担 任 何 的 责 任 ， 而 且 目 前 的 证 书 颁 发 系 统 也 无 法 完 全 帮 助 用 户 去 抵 御 钓 鱼 网 站 以 及 恶 意 软 件 。 L e t ’ s   E n c r y p t 官 方 也 将 这 个 问 题 推 给 了 G o o g l e 、 F i r e f o x 以 及 S a f a r i 等 浏 览 器 安 全 团 队 。 因 为 A a s 认 为 ， 浏 览 器 的 反 钓 鱼 和 反 恶 意 软 件 机 制 相 比 证 书 颁 发 商 而 言 则 更 加 成 熟 和 有 效 。 但 是 ， 即 使 G o o g l e 将 某 个 域 名 标 记 为 了 恶 意 H T T P S 钓 鱼 网 站 ， L e t ’ s   E n c r y p t 也 不 会 撤 销 他 们 的 证 书 。 因 此 ， 我 们 现 在 已 经 不 能 再 通 过 浏 览 器 地 址 栏 前 面 的 绿 色 标 志 以 及 “ S e c u r e ” 标 记 来 判 断 一 个 网 站 是 否 安 全 了 ， 这 也 意 味 着 我 们 之 前 所 做 的 相 关 安 全 普 及 工 作 也 都 白 费 了 。 总 结 总 结 我 们 应 该 尽 可 能 地 使 用 H T T P S ， 这 一 点 毋 庸 置 疑 ， 但 是 我 们 并 不 能 仅 仅 通 过 “ H T T P S ” 就 去 判 断 一 个 网 站 是 否 安 全 。 因 为 广 大 用 户 真 的 应 该 知 道 ， H T T P S 并 不 等 于 合 法 跟 安 全 ， 而 这 也 只 适 用 于 前 几 年 的 网 络 环 境 。 因 此 ， 我 们 应 该 在 点 击 某 个 链 接 之 前 ， 即 使 C h r o m e 将 这 个 链 接 标 记 为 “ 安 全 ” ， 我 们 也 仍 然 要 亲 自 检 查 链 接 的 有 效 性 以 及 地 址 中 的 单 词 拼 写 是 否 存 在 错 误 等 因 素 ， 因 为 浏 览 器 说 它 是 安 全 的 ， 它 也 并 非 真 的 安 全 ， 而 这 就 是 我 们 所 处 的 网 络 安 全 世 界 ， 任 何 人 都 有 可 能 犯 错 。  
*   参 考 来 源 ： e n g a d g e t ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理