HTTPS也不安全？No 只因没有避免这个误区
发布时间：2022-05-24 09:03:48 所属栏目：安全 来源：互联网
导读：当我们在咖啡馆连上WiFi打开网页和邮箱时，殊不知有人正在监视着我们的各种网络活动。在打开账户网页的一瞬间，也许黑客就已经盗取了我们的银行凭证、家庭住址、电子邮件和联系人信息，而这一切我们却毫不知情。这是一种网络上常见的中间人攻击(Man-in-the-M
|
当我们在咖啡馆连上WiFi打开网页和邮箱时，殊不知有人正在监视着我们的各种网络活动。在打开账户网页的一瞬间，也许黑客就已经盗取了我们的银行凭证、家庭住址、电子邮件和联系人信息，而这一切我们却毫不知情。这是一种网络上常见的“中间人攻击”(Man-in-the-Middle Attack, MITM)，通过拦截正常的网络通信数据，并进行数据篡改和嗅探。 而我们现在常见的SSL中间人攻击方式都是通过伪造、剥离SSL证书来实现的。换句话说，一旦发生SSL中间人攻击事件，问题并不出在SSL协议或者SSL证书本身，而是出在SSL证书的验证环节。中间人攻击的前提条件是，没有严格对证书进行校验，或者人为的信任伪造证书，因此以下场景正是最容易被用户忽视的证书验证环节： 场景一：网站没有使用SSL证书，网站处于HTTP明文传输的“裸奔”状态。这种情况黑客可直接通过网络抓包的方式，明文获取传输数据。 场景二：黑客通过伪造SSL证书的方式进行攻击，用户安全意识不强选择继续操作。 受SSL证书保护的网站，浏览器会自动查验SSL证书状态，确认无误浏览器才会正常显示安全锁标志。而一旦发现问题，浏览器会报各种不同的安全警告。 场景三：黑客伪造SSL证书，网站/APP只做了部分证书校验，导致假证书蒙混过关。 例如，在证书校验过程中只做了证书域名是否匹配，或者证书是否过期的验证，而不是对整个证书链进行校验，那么黑客就可以轻松生成任意域名的伪造证书进行中间人攻击。 如何防御SSL中间人攻击? 首先，真正的HTTPS是不存在SSL中间人攻击的，因此首当其冲的是要确定网站有SSL证书的保护。 最后，对SSL证书进行完整的证书链校验。 如果是浏览器能识别的SSL证书，则需要检查此SSL证书中的证书吊销列表，如果此证书已经被证书颁发机构吊销，则会显示警告信息：“此组织的证书已被吊销。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页，并且不要继续浏览该网站。” （编辑：PHP编程网 - 黄冈站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330482号