HTTPS也不安全?No,只因没有避开这个误区

当我们在咖啡馆连上WiFi打开网页和邮箱时,殊不知有人正在监视着我们的各种网络活动。在打开账户网页的一瞬间,也许黑客就已经盗取了我们的银行凭证、家庭住址、电子邮件和联系人信息,而这一切我们却毫不知情。这是一种网络上常见的“中间人攻击”(Man-in-the-Middle Attack, MITM),通过拦截正常的网络通信数据,并进行数据篡改和嗅探。

2014年10月,国内曾出现过非常严重的中间人攻击事件,微软、苹果iCloud、雅虎等知名企业都遭受了大面积SSL中间人攻击,其中国地区大部分用户隐私暴露无遗,用户在这些网站上输入及存储在云端的私房照片、帐号密码等都能够被黑客复制。

[[250735]]

很多不知情的用户可能会问,SSL不就是为了保障HTTP的保密性和完整性,提供端到端安全服务的吗?为什么还会发生SSL中间人攻击,难道HTTPS都不能保证网络通信安全?

SSL中间人攻击的三大场景

事实上,SSL被设计得十分安全,想要攻破并不容易。SSL是为网络通信提供安全及数据完整性的一种安全协议,它可以验证参与通讯的一方或双方使用的证书是否由权威受信任的数字证书认证机构颁发,并且能执行双向身份认证。

而我们现在常见的SSL中间人攻击方式都是通过伪造、剥离SSL证书来实现的。换句话说,一旦发生SSL中间人攻击事件,问题并不出在SSL协议或者SSL证书本身,而是出在SSL证书的验证环节。中间人攻击的前提条件是,没有严格对证书进行校验,或者人为的信任伪造证书,因此以下场景正是最容易被用户忽视的证书验证环节:

  • 场景一:网站没有使用SSL证书,网站处于HTTP明文传输的“裸奔”状态。这种情况黑客可直接通过网络抓包的方式,明文获取传输数据。
  • 场景二:黑客通过伪造SSL证书的方式进行攻击,用户安全意识不强选择继续操作。

受SSL证书保护的网站,浏览器会自动查验SSL证书状态,确认无误浏览器才会正常显示安全锁标志。而一旦发现问题,浏览器会报各种不同的安全警告。

例如,SSL证书不是由浏览器中受信任的根证书颁发机构颁发的,或者此证书已被吊销,此证书网站的域名与根证书中的域名不一致,浏览器都会显示安全警告,建议用户关闭此网页,不要继续浏览该网站。

  • 场景三:黑客伪造SSL证书,网站/APP只做了部分证书校验,导致假证书蒙混过关。

例如,在证书校验过程中只做了证书域名是否匹配,或者证书是否过期的验证,而不是对整个证书链进行校验,那么黑客就可以轻松生成任意域名的伪造证书进行中间人攻击。

如何防御SSL中间人攻击?

首先,真正的HTTPS是不存在SSL中间人攻击的,因此首当其冲的是要确定网站有SSL证书的保护。

那么用户如何判断网站有没有SSL证书保护呢?

  • 可使用https:// 正常访问。
  • 浏览器显示醒目安全锁,点击安全锁,可查看网站真实身份。
  • 使用了EV SSL证书的网站,显示绿色地址栏。

如果用户访问的网站呈现以上特征,说明该网站已受SSL证书保护。

其次,采用权威CA机构颁发的受信任的SSL证书。

数字证书颁发机构CA是可信任的第三方,在验证申请者的真实身份后才会颁发SSL证书,可以说是保护用户信息安全的第一道关口。

最后,对SSL证书进行完整的证书链校验。

如果是浏览器能识别的SSL证书,则需要检查此SSL证书中的证书吊销列表,如果此证书已经被证书颁发机构吊销,则会显示警告信息:“此组织的证书已被吊销。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页,并且不要继续浏览该网站。”

  • 如果证书已经过了有效期,一样会显示警告信息:“此网站出具的安全证书已过期或还未生效。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页,并且不要继续浏览该网站。”
  • 如果证书在有效期内,还须检查部署此SSL证书的网站域名是否与证书中的域名一致。

如果以上都没有问题,浏览器还会查询此网站是否已经被列入欺诈网站黑名单,如果有问题也会显示警告信息。

总而言之,企业能够做到证书部署和校验环节完整,个人用户能够认真观察HTTPS安全标识,识别证书真实性、有效期等信息,HTTPS几乎是无法攻破的,所谓的SSL中间人攻击就是一个伪命题。

在网络安全事件频发的时代,部署HTTPS已是大势所趋,它用复杂的传输方式降低网站被攻击劫持的风险。当然,实现全网HTTPS不是一件立竿见影的事情,而是需要参与互联网的每一家企业都承担起网络安全的责任,我们每一个个体都增强保护自我隐私的意识,从而共同缔造一个安全的网络空间。

文章来源网络,作者:运维,如若转载,请注明出处:https://shuyeidc.com/wp/124525.html<

(0)
运维的头像运维
上一篇2025-02-23 07:52
下一篇 2025-02-23 07:54

相关推荐

  • 黑客滥用 Google AMP 进行规避性网络钓鱼攻击

    近日,有安全研究人员警告称,有越来越多的网络钓鱼活动利用谷歌加速移动页面(AMP)绕过电子邮件安全措施,进入企业员工的收件箱。 谷歌AMP是由谷歌和30个合作伙伴共同开发的一个开源…

  • AveMaria 传播手段的变化

    AveMaria 是一种最早在 2018 年 12 月出现的窃密木马,攻击者越来越喜欢使用其进行攻击,运营方也一直在持续更新和升级。在过去六个月中,研究人员观察到 AveMaria…

  • 内网计算机安全技术十大策略

    几乎所有企业对于网络安全的重视程度一下子提高了,纷纷采购防火墙等设备希望堵住来自Internet的不安全因素。然而,Intranet内部的攻击和入侵却依然猖狂。事实证明,公司内部的…

  • 无服务器开源安全工具TOP5

    如今,无服务器架构在企业中越来越流行,因为该架构可以帮企业节省大量基础架构维护时间,把更多时间和精力放在软件开发、营销和部署上。 但是与其他企业基础设施一样,无服务器架构同样面临严…

  • 御用保镖平民化 阿里聚安全5.0正式发布

     历年的双11活动,成交额都会让人无法想象马云背后到底有多少女人在支持,但我们似乎从没看到过某某在淘宝平台上购物而被盗刷的新闻。当然,这要归功于阿里聚安全平台,作为淘宝的…

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注