凯时国际娱乐

产品分类
您现在的位置: 主页 > 产业新闻 > HTTPS也不安全? No 只因没有避开这个误区!

HTTPS也不安全? No 只因没有避开这个误区!

时间:2019-02-03 10:48 来源:未知 作者: 点击:

  当我们在咖啡馆连上WiFi打开网页和邮箱时,殊不知有人正在监视着我们的各种网络活动。在打开账户网页的一瞬间,也许黑客就已经盗取了我们的银行凭证、家庭住址、电子邮件和联系人信息,而这一切我们却毫不知情。这是一种网络上常见的“中间人攻击”(Man-in-the-Middle Attack, MITM),通过拦截正常的网络通信数据,并进行数据篡改和嗅探。

  2014年10月,国内曾出现过非常严重的中间人攻击事件,微软、苹果iCloud、雅虎等知名企业都遭受了大面积SSL中间人攻击,其中国地区大部分用户隐私暴露无遗,用户在这些网站上输入及存储在云端的私房照片、帐号密码等都能够被黑客复制。

  很多不知情的用户可能会问,SSL不就是为了保障HTTP的保密性和完整性,提供端到端安全服务的吗?为什么还会发生SSL中间人攻击,难道HTTPS都不能保证网络通信安全?

  事实上,SSL被设计得十分安全,想要攻破并不容易。SSL是为网络通信提供安全及数据完整性的一种安全协议,它可以验证参与通讯的一方或双方使用的证书是否由权威受信任的数字证书认证机构颁发,并且能执行双向身份认证。

  而我们现在常见的SSL中间人攻击方式都是通过伪造、剥离SSL证书来实现的。换句话说,一旦发生SSL中间人攻击事件,问题并不出在SSL协议或者SSL证书本身,而是出在SSL证书的验证环节。中间人攻击的前提条件是,没有严格对证书进行校验,或者人为的信任伪造证书,因此以下场景正是最容易被用户忽视的证书验证环节:

  场景一:网站没有使用SSL证书,网站处于HTTP明文传输的“裸奔”状态。这种情况黑客可直接通过网络抓包的方式,明文获取传输数据。

  场景二:黑客通过伪造SSL证书的方式进行攻击,用户安全意识不强选择继续操作。

  受SSL证书保护的网站,浏览器会自动查验SSL证书状态,确认无误浏览器才会正常显示安全锁标志。而一旦发现问题,浏览器会报各种不同的安全警告。

  例如,上海闸北:展开牛肉制。SSL证书不是由浏览器中受信任的根证书颁发机构颁发的,或者此证书已被吊销,公司催款催收催缴通知登报公告模,此证书网站的域名与根证书中的域名不一致,浏览器都会显示安全警告,建议用户关闭此网页,不要继续浏览该网站。

  场景三:黑客伪造SSL证书,网站/APP只做了部分证书校验,导致假证书蒙混过关。

  例如,在证书校验过程中只做了证书域名是否匹配,或者证书是否过期的验证,而不是对整个证书链进行校验,那么黑客就可以轻松生成任意域名的伪造证书进行中间人攻击。

  首先,真正的HTTPS是不存在SSL中间人攻击的,因此首当其冲的是要确定网站有SSL证书的保护。

  2、浏览器显示醒目安全锁,点击安全锁,可查看网站线、使用了EV SSL证书的网站,显示绿色地址栏。

  数字证书颁发机构CA是可信任的第三方,在验证申请者的真实身份后才会颁发SSL证书,可以说是保护用户信息安全的第一道关口。在国内认证行业中,以天威诚信(iTrusChina)为代表的CA认证机构,占据着SSL证书市场的绝对份额。由天威诚信颁发的数字证书,浏览器都能够正常识别,用户可以放心使用。

相关文章推荐:

Copyright © 2013 凯时国际娱乐,凯时娱乐人生就是博,凯时娱乐下载,凯时娱乐人生 All Rights Reserved 网站地图