攻击者运用过期安全证书传播恶意软件
发布时间：2022-06-04 10:58:21 所属栏目：安全 来源：互联网
导读：背后的恶意软件运营者显然是指望用户不知道安全证书是什么，也不了解安全证书的更新情况，于是利用了用户希望保持网络安全的心理。 旧技巧的新玩法 恶意软件运营者多年来一直在使用虚假警报来促使用户下载特定版本的、广泛使用的某个软件(例如Adobe Flash Pl
|
背后的恶意软件运营者显然是指望用户不知道安全证书是什么，也不了解安全证书的更新情况，于是利用了用户希望保持网络安全的心理。 旧技巧的新玩法 恶意软件运营者多年来一直在使用虚假警报来促使用户下载特定版本的、广泛使用的某个软件(例如Adobe Flash Player、Google Chrome)的新版本，而利用过时安全证书的警报其实只是一个很老的技巧，做了点新花样。 近期用户看到安全证书相关警报的频次相比平时会更高，这和Let’s Encrypt将从3月4日起会撤销近300万个TLS证书有关，恶意软件分发者利用这个时机在积极活动。 为什么ssl证书会过期? 很多人第一直觉是CA机构为了收费所以设置了有效期，这确实是其中一个原因，还处于对安全方面的考虑，CA机构也不能保证一个网站永远是合法的，所以需要定期的来检查一下网站，此外还有一个重要的原因是吊销，当网站的私钥丢失时，网站应该向证书颁发机构CA申请将他们的证书加入到证书吊销列表里。当用户访问https站点时，浏览器会自动向CA请求吊销列表，如果用户访问的站点提供的证书在CRL里，浏览器就不信任这个证书，因为攻击者可能拥有同样的证书。 所以如果证书永久有效，随着越来越多的私钥丢失，吊销列表也越来越大，因为只有加进去的，没有剔出去的，这既给CA增加流量压力，也会增加浏览器的流量。而一旦有效期只有几年，那么CA就可以将那些已经过期了的证书从CRL里剔除就可以了，是不是很专业，总之就是把一些不信任的证书剔除掉。 使用过期的证书会发生的风险 ssl证书能保证网站流量不被劫持，一旦ssl证书过期失效，那么网站流量就很有可能被劫持。对于普通网民来说，如果他们的浏览器警告他们网站不安全，或者在这种情况下他们的连接不安全，那么大多数网民一定会选择不再继续访问该网站。 （编辑：PHP编程网 - 黄冈站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330482号