绿色挂锁的Https一定安全吗？

[[251020]]

也许曾经有人建议你所有安全连接都有绿色挂锁图标，访问这些有绿色挂锁的链接可以避免网络钓鱼和恶意软件攻击。然而，这条建议现在已经无效了。新的研究表明近一半的网络钓鱼站点现在都部署了安全套接字层(SLL)保护，并在浏览器导航栏中设置了挂锁图标，试图给人们一种虚假的安全感。  

贝宝真实登录页面

假冒的贝宝登录页面，有绿色挂锁

来自反网络钓鱼公司PhishLabs的最新数据显示，2018年第三季度49%的网络钓鱼站点都在浏览器地址栏中显示有挂锁图标。这与一年前的25%和2018年第二季度的35%相比有所上升。 这种转变令人担忧，因为大多数互联网用户已经对文章开头的建议深信不疑，并将挂锁图标与合法网站联系在一起。PhishLabs去年进行的一项调查发现，超过80%的受访者认为挂锁表明网站是合法且安全的。 事实上，地址的https://部分(也称为安全套接字层或SSL)仅仅表明在您的浏览器与站点之间传输的数据是安全并隐密的，无法被第三方读取。有挂锁图标并不意味着该网站是合法的，也无法保证该网站不会被黑客攻击 。 

一个使用SSL的Facebook钓鱼网站(有绿色挂锁)

网络钓鱼者对SSL的迅速普及是欺诈者从合法网站获取新的攻击思路的一个很好的例子。 “PhishLabs认为这可归因于Google Chrome浏览器现在对那些不使用SSL的网站显示“不安全”，这促使网络钓鱼者使用SSL证书、注册域名并为创建证书。”该公司首席技术官John LaCour说。“最重要的是，有没有SSL并不能告诉用户网站是否合法、安全。” 主要的Web浏览器制造商与许多安全组织合作索引和阻止新的网络钓鱼站点，将网络钓鱼页面标记出来，还会提供明亮的红色警告页面阻止人们访问这些站点。但并非所有网络钓鱼都迅速地被标记。 研究人员花了几分钟浏览了一个使用SSL的网络钓鱼站点，发现这个设计巧妙的页面试图从加密货币交易所Bibox的用户那里获取凭证。 

仔细查看地址栏中的URL，您会发现Bibox中的“i”上有一个波浪形的标记，这是一个国际化的域名，真实地址是https://www.xn--bbox-vw5a[.]com/login。  

在Google Chrome浏览器中加载该网址https://www.xn--bbox-vw5a[.]com/login，会收到一个红色的“即将前往欺骗性网站”的警告。而在Mozilla Firefox上加载上面的地址——称为“punycode”——则不会有任何警告，至少在撰写本文时没有。 该网络钓鱼网站利用国际化域名(IDN)来混淆视听，Bibox.com中的“i”被渲染为越南字符“ỉ”，这在URL地址栏中很难区分。 正如KrebsOnSecurity在三月份指出的那样，Chrome、Safari以及Microsoft最新版本的Explorer和Edge浏览器都会呈现出IDN原本的样子，而Firefox却会在地址栏中将代码转换为外观相似的域。 如果您是Firefox(或Tor)用户，并且希望Firefox在浏览器地址栏中始终显示IDN原本的样子，请在Firefox地址栏中键入“about：config”，不带引号。  

然后在搜索框中输入“punycode”，你可以看到一到两个选项，需要更改的叫做“network.IDN_show_punycode。”在默认情况下，它被设置为“false”; 双击该条目将该设置更改为“true”。