搜索

[16602] 2021-03-27_更好还是更坏？Chrome浏览器新默认安全策略的两面性

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2021-03-27_更好还是更坏？Chrome浏览器新默认安全策略的两面性 更 好 还 是 更 坏 ？ C h r o m e 浏 览 器 新 默 认 安 全 策 略 的 两 面 性 三 分 浅 土   F r e e B u f   2 0 2 1 - 0 3 - 2 7 从 C h r o m e   9 0 开 始 ， 用 户 将 会 被 自 动 引 导 到 任 何 网 站 的 安 全 版 本 。 这 听 上 去 很 好 ， 但 它 或 许 并 不 像 我 们 想 象 的 那 么 好 。 H T T P S 也 可 能 保 护 钓 鱼 网 站 也 可 能 保 护 钓 鱼 网 站 C h r o m e 新 版 本 的 好 处 显 而 易 见 。 在 新 版 本 中 ， C h r o m e 浏 览 器 将 默 认 尝 试 加 载 经 过 传 输 层 安 全 （ T L S ） 保 护 的 网 站 版 本 。 这 些 网 站 在 C h r o m e   O m n i b o x 中 显 示 出 一 个 封 闭 的 锁 ， 也 就 是 我 们 大 多 数 人 所 熟 知 的 C h r o m e 地 址 （ U R L ） 栏 。 但 坏 消 息 是 ， 一 个 网 站 如 果 仅 仅 因 为 被 H T T P S 保 护 就 完 全 信 任 它 ， 是 不 合 理 的 。 数 年 前 ， 知 名 W o r d P r e s s 安 全 公 司 W o r d F e n c e 发 现 ， 证 书 颁 发 机 构 （ C A ） 向 冒 充 其 他 网 站 的 钓 鱼 网 站 颁 发 了 S S L 证 书 。 因 为 这 些 证 书 是 有 效 的 ， 所 以 即 使 它 们 是 钓 鱼 网 站 ， C h r o m e 仍 然 会 将 这 些 网 站 报 告 为 安 全 的 网 站 。 当 然 ， C A 不 应 该 向 这 些 虚 假 网 站 颁 发 证 书 ， 然 而 事 件 已 经 发 生 了 ， 往 者 不 可 谏 。 据 悉 ， 这 个 名 为 L e t ’ s   E n c r y p t 的 免 费 C A ， 曾 被 用 来 为 非 法 使 用   “ P a y P a l   “ 作 为 其 名 称 一 部 分 的 钓 鱼 网 站 创 建 数 千 张 S S L 证 书 。 此 外 ， 零 信 任 安 全 公 司 M e t a C e r t 的 创 始 人 兼 首 席 执 行 官 、 万 维 网 联 盟 （ W 3 C ） U R L 分 类 标 准 的 联 合 创 始 人 保 罗 · 沃 尔 什 认 为 ， 如 果 认 为 仅 靠 H T T P S 就 足 以 保 证 互 联 网 连 接 的 安 全 ， 将 会 产 生 很 多 问 题 。 “ 当 基 于 D N S 的 安 全 服 务 刚 推 出 时 ， 大 多 数 网 络 都 没 有 加 密 ， 黑 客 也 没 有 使 用 谷 歌 、 微 软 、 G i t H u b 等 可 信 的 域 名 ， 所 以 它 们 在 过 去 是 有 效 的 ， 但 在 今 天 就 不 那 么 有 效 了 。 ” 在 今 天 ， 8 2 . 2 % 的 网 站 已 经 被 H T T P S 保 护 。 理 论 上 的 巨 人 ， 行 为 上 的 矮 子 理 论 上 的 巨 人 ， 行 为 上 的 矮 子 除 了 上 述 存 在 的 客 观 情 况 ， 沃 尔 什 认 为 谷 歌 的 执 行 力 也 是 一 个 问 题 。 他 认 为 ， 谷 歌 是 理 论 上 的 巨 人 ， 行 动 上 的 矮 子 。 他 在 分 析 网 站 安 全 时 发 现 ， 基 本 的 U R L 挂 锁 是 为 了 告 诉 用 户 他 们 与 网 站 的 链 接 是 加 密 的 。 但 是 ， 一 个 挂 锁 并 不 代 表 任 何 信 任 或 身 份 的 信 息 。 C h r o m e 的 U I 设 计 师 应 该 让 网 站 身 份 更 加 明 显 ， 比 如 在 工 具 栏 上 设 置 一 个 单 独 的 图 标 来 与 挂 锁 区 别 开 。 换 句 话 说 ， 谷 歌 现 在 的 设 计 ， 可 以 让 用 户 “ 安 全 ” 地 进 入 一 个 钓 鱼 网 站 ， 这 样 的 安 全 性 不 过 是 徒 有 其 表 罢 了 。 这 种 情 况 的 发 生 不 仅 仅 是 因 为 那 些 拥 有 真 实 H T T P S 证 书 的 虚 假 网 站 。 M o d l i s h k a 攻 击 会 在 用 户 和 其 想 访 问 的 网 站 之 间 创 建 一 个 反 向 代 理 。 它 使 用 户 以 为 自 己 连 接 到 了 真 实 的 网 站 ， 因 为 可 以
从 合 法 的 网 站 获 得 真 实 的 内 容 ， 但 反 向 代 理 默 默 地 将 用 户 所 有 的 流 量 重 定 向 到 M o d l i s h k a 服 务 器 。 这 样 就 导 致 了 ， 用 户 的 凭 证 和 敏 感 信 息 ， 如 用 户 输 入 的 密 码 或 加 密 钱 包 地 址 会 自 动 传 递 给 黑 客 。 反 向 代 理 也 会 在 网 站 提 示 要 求 用 户 提 供 2 F A 令 牌 ， 黑 客 就 可 以 实 时 收 集 这 些 2 F A 令 牌 ， 来 访 问 受 害 者 的 账 户 。 除 此 之 外 ， 沃 尔 什 也 完 全 不 相 信 免 费 和 简 易 的 H T T P S 证 书 是 一 件 好 事 。 在 他 看 来 ， 大 量 使 用 自 动 发 放 的 免 费 D V 证 书 的 网 络 攻 击 已 经 削 弱 了 互 联 网 的 可 信 计 算 基 础 （ T C B ） 。 免 费 D V 证 书 对 网 络 安 全 是 一 种 生 存 威 胁 。 沃 尔 什 认 为 ： C A 应 该 收 紧 他 们 的 身 份 验 证 过 程 ； C A 应 该 减 少 获 取 身 份 验 证 的 成 本 、 时 间 和 精 力 ； 谷 歌 应 该 为 浏 览 器 工 具 栏 设 计 一 个 有 意 义 的 身 份 验 证 图 标 区 别 于 挂 锁 ； 谷 歌 应 该 改 善 用 户 体 验 ， 使 网 站 的 真 实 身 份 能 够 被 直 观 地 显 示 出 来 。 只 有 这 样 ， 网 络 才 会 走 上 真 正 安 全 的 道 路 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理