研究发现HTTPS也不靠谱 5.5%含有TLS漏洞

 为了改进连网安全性，很多网络纷纷向HTTPS协议(超文本加密传输协议)过渡。不过现在来自意大利与奥地利的研究人员却指出，HTTPS并非100%安全。因为他们发现，在Alexa流量排行榜上前1万个HTTPS网站中，有5.5%的TLS加密传输含有安全漏洞。

[[261319]]

近来各大浏览器品牌都致力于推广HTTPS安全传输协议，一些厂商甚至共同创立Let’s Encrypt免费证书组织，以推动全球网站都使用HTTPS，不过，来自意大利与奥地利的研究人员宣称HTTPS并不如想像中的安全，在Alexa流量排行榜上前1万个HTTPS网站中，就有5.5%的TLS加密传输含有安全漏洞。

HTTPS的全名为HyperText Transfer Protocol Secure，基本上是通过HTTP网络协议进行通讯的，再利用SSL/TLS来加密封包。

研究人员指出，HTTPS所仰赖的SSL/TLS近几年已被证实可遭受各种攻击，而且需要同时在服务器端与浏览器端进行修补，市场大量采用复杂且合成的协议版本，令外界更难辨识哪些攻击是有效的或是这些漏洞对各种网络应用在安全性上的影响。

该报告检查了Alexa流量排行榜上前1万个采用HTTPS传输协议的网站，从数字来看，在这5574个含有安全风险的网站中，有4818个可能遭受中间人攻击，733个可能被完全解密，912个可能被部分解密。

这些加密上的漏洞造成898个网站将可完全被危害而遭注入式攻击，其中不乏重要电商网站或网络银行服务;有997个网站的内容可能被骇客篡改;有10%的登入格式存在机密性问题，允许骇客窃取密码;412个网站的Cookie可能被盗用并被用来执行连接挟持;还有142个网站含有检自热门追踪器的主机内容，而相关主机则是含有漏洞的，令使用者曝露在文件攻击中。

【这是首次有研究人员针对网络应用程序与加密漏洞之间的关系系统化地进行量化评估，完整的报告预计于今年5月举行的IEEE安全暨隐私研讨会上发表。】