綠色掛鎖的Https一定安全嗎？
也許曾經(jīng)有人建議你所有安全連接都有綠色掛鎖圖標(biāo)，訪問這些有綠色掛鎖的鏈接可以避免網(wǎng)絡(luò)釣魚和惡意軟件攻擊。然而，這條建議現(xiàn)在已經(jīng)無效了。新的研究表明近一半的網(wǎng)絡(luò)釣魚站點(diǎn)現(xiàn)在都部署了安全套接字層(SLL)保護(hù)，并在瀏覽器導(dǎo)航欄中設(shè)置了掛鎖圖標(biāo)，試圖給人們一種虛假的安全感。
貝寶真實(shí)登錄頁面
假冒的貝寶登錄頁面，有綠色掛鎖
來自反網(wǎng)絡(luò)釣魚公司PhishLabs的最新數(shù)據(jù)顯示，2018年第三季度49%的網(wǎng)絡(luò)釣魚站點(diǎn)都在瀏覽器地址欄中顯示有掛鎖圖標(biāo)。這與一年前的25%和2018年第二季度的35%相比有所上升。 這種轉(zhuǎn)變令人擔(dān)憂，因?yàn)榇蠖鄶?shù)互聯(lián)網(wǎng)用戶已經(jīng)對(duì)文章開頭的建議深信不疑，并將掛鎖圖標(biāo)與合法網(wǎng)站聯(lián)系在一起。PhishLabs去年進(jìn)行的一項(xiàng)調(diào)查發(fā)現(xiàn)，超過80%的受訪者認(rèn)為掛鎖表明網(wǎng)站是合法且安全的。 事實(shí)上，地址的https://部分(也稱為安全套接字層或SSL)僅僅表明在您的瀏覽器與站點(diǎn)之間傳輸?shù)臄?shù)據(jù)是安全并隱密的，無法被第三方讀取。有掛鎖圖標(biāo)并不意味著該網(wǎng)站是合法的，也無法保證該網(wǎng)站不會(huì)被黑客攻擊 。
一個(gè)使用SSL的Facebook釣魚網(wǎng)站(有綠色掛鎖)
網(wǎng)絡(luò)釣魚者對(duì)SSL的迅速普及是欺詐者從合法網(wǎng)站獲取新的攻擊思路的一個(gè)很好的例子。 “PhishLabs認(rèn)為這可歸因于Google Chrome瀏覽器現(xiàn)在對(duì)那些不使用SSL的網(wǎng)站顯示“不安全”，這促使網(wǎng)絡(luò)釣魚者使用SSL證書、注冊(cè)域名并為創(chuàng)建證書。”該公司首席技術(shù)官John LaCour說。“最重要的是，有沒有SSL并不能告訴用戶網(wǎng)站是否合法、安全。” 主要的Web瀏覽器制造商與許多安全組織合作索引和阻止新的網(wǎng)絡(luò)釣魚站點(diǎn)，將網(wǎng)絡(luò)釣魚頁面標(biāo)記出來，還會(huì)提供明亮的紅色警告頁面阻止人們?cè)L問這些站點(diǎn)。但并非所有網(wǎng)絡(luò)釣魚都迅速地被標(biāo)記。 研究人員花了幾分鐘瀏覽了一個(gè)使用SSL的網(wǎng)絡(luò)釣魚站點(diǎn)，發(fā)現(xiàn)這個(gè)設(shè)計(jì)巧妙的頁面試圖從加密貨幣交易所Bibox的用戶那里獲取憑證。
仔細(xì)查看地址欄中的URL，您會(huì)發(fā)現(xiàn)Bibox中的“i”上有一個(gè)波浪形的標(biāo)記，這是一個(gè)國(guó)際化的域名，真實(shí)地址是https://www.xn--bbox-vw5a[.]com/login。
在Google Chrome瀏覽器中加載該網(wǎng)址https://www.xn--bbox-vw5a[.]com/login，會(huì)收到一個(gè)紅色的“即將前往欺騙性網(wǎng)站”的警告。而在Mozilla Firefox上加載上面的地址——稱為“punycode”——則不會(huì)有任何警告，至少在撰寫本文時(shí)沒有。 該網(wǎng)絡(luò)釣魚網(wǎng)站利用國(guó)際化域名(IDN)來混淆視聽，Bibox.com中的“i”被渲染為越南字符“ỉ”，這在URL地址欄中很難區(qū)分。 正如KrebsOnSecurity在三月份指出的那樣，Chrome、Safari以及Microsoft最新版本的Explorer和Edge瀏覽器都會(huì)呈現(xiàn)出IDN原本的樣子，而Firefox卻會(huì)在地址欄中將代碼轉(zhuǎn)換為外觀相似的域。 如果您是Firefox(或Tor)用戶，并且希望Firefox在瀏覽器地址欄中始終顯示IDN原本的樣子，請(qǐng)?jiān)贔irefox地址欄中鍵入“about：config”，不帶引號(hào)。
然后在搜索框中輸入“punycode”，你可以看到一到兩個(gè)選項(xiàng)，需要更改的叫做“network.IDN_show_punycode。”在默認(rèn)情況下，它被設(shè)置為“false”; 雙擊該條目將該設(shè)置更改為“true”。
