關于冰盾 | 使用條款 | 網站地圖
 
SSL面對惡意攻擊不堪一擊
SSL面對惡意攻擊不堪一擊
作者:冰盾防火墻 網站:www.1604100.live 日期:2009-08-04
 

    Moxie Marlinspike就是其中的一位研究員,這次在拉斯維加斯,他向人們展示的是SSL是怎樣變成一推就倒的紙房子。你認為SSL是安全的嗎?再想想吧。但是據Marlinspike說,這不是SSL本身的問題,這項用于保護Web(http)安全的協議本身是沒問題的。

  沒有哪次黑帽大會在結束前不向IT界扔出幾個重磅炸彈的。黑帽大會的聽眾們經常在現場目瞪口呆的發現他們以前認為鋼筋鐵骨一般的安全措施在一些黑帽研究員面前瞬間變成了撲克牌搭成的紙房子。

  Moxie Marlinspike就是其中的一位研究員,這次在拉斯維加斯,他向人們展示的是SSL是怎樣變成一推就倒的紙房子。你認為SSL是安全的嗎?再想想吧。但是據Marlinspike說,這不是SSL本身的問題,這項用于保護Web(http)安全的協議本身是沒問題的。而問題出在大多數的SSL執行方法是完全不安全的。這包括大多數的主要銀行、電子郵件系統,還有社交網站等等。甚至包括大多數軟件自動更新機制。為了更多了解一些關于這個似乎會讓整個網絡崩潰的SSL問題,我特意訪問了Marlinspike。

  “基本的想法就像是對橋梁進行攻擊,”Marlinspike告訴我。“SSL部署在網頁的方式比較特別。SSL本是一項安全協議,但卻很少直接調用,總是要經過一些HTTP連接才起作用。比方說你正在使用HTTP,你的瀏覽器一般碰到了類似于“登錄”或“我的購物車”或“去結帳”之類的鏈接,你按一下,然后才可以進入SSL的安全世界。請你考慮一下,SSL協議本身很安全,但它實際上要建立在HTTP的基礎上,而HTTP是很不安全的。所以就算再安全的東西如果搭建在不安全的基礎上也就喪失了它的安全性。

  雖然過去和現在我也一直在討論直接攻擊SSL的問題。但是用另一種方式攻擊SSL卻方便的多,那就是改為攻擊HTTP。” 我們來更好的理解一下Marlinspike的話,想想你自己上網的親身經歷,你用過幾個網站是以HTTPS前綴開頭的呢(這時你發送的請求是經過加密的,好在Gmail是這樣做的)。大多數用戶要么是輸入“www”(這樣默認為HTTP),或者點擊搜索結果,或者各種鏈接,還有收到的電子郵件等等。讓人吃驚的地方是,據統計有90%的購物網站直到讓你確認實際支付的時候才會向你發送HTTPS的網頁。

  當你看到瀏覽器下方出現安全鎖標志(請注意,最近偽裝的安全鎖標志已經到處都是了),你就會認為“好,點擊鏈接會是安全的。沒什么問題。” 再想一遍吧。所謂的中間人攻擊(MITM,man in the middle)如今已經非常常見而且簡單,黑帽大會早已經不把它當成一個議題來討論,它如今只能作為其它攻擊的探路兵。有各種各樣的MITM攻擊,比如你可以到一個公共的WiFi接入點發布相同的SSID,這樣你就可以獲取周圍用戶的連接信息,這是一個簡單的MITM攻擊。

  有很多更復雜的。例如,Marlinspike曾經運行TOR出口節點將自己放到之間數百個用戶和他們正在訪問的網站之間。作為一種安全防護措施,很多人使用TOR來讓自己和他們的行為保持匿名。他們經過Marlinspike的TOR出口節點只有幾分鐘時間,但是在24小時中,Marlinspike共收集了114份Yahoo登錄信息、50份Gmail登錄信息、42份Ticketmaster、13份Hotmail、9份PayPal、9份LinkedIn和3份Facebook的登錄信息。

  他是怎么做的呢?答案簡單得可笑。使用自己編寫的SSLStrip工具,他觀察所有的HTTP連接,當他看到帶有HTTPS鏈接的網頁被送回最終用戶時,就截住網頁把所有的HTTPS鏈接中的“S”去掉。結果如何呢?那些原先帶有安全鏈接的頁面中現在全都是不安全的鏈接,這意味著用戶點擊這些鏈接傳送回來的任何信息(密碼,信用卡號碼等)都一目了然。

  Marlinspike說,“SSLStrip所做的就是HTTP連接的中間人,觀察流量,如果看到出現安全鏈接或重定向,就簡單的把這些換成看上去相同但不安全的鏈接。因此,用戶根本不會用到SSL。這個辦法在絕大多數用戶身上都能成功,他們不會引起注意。” 最后,作為中間人,Marlinspike并不會終止連接或偽造目標網站。相反,他會讓連接流量繼續通行,這樣連接雙方誰都不會注意到這個問題。我問Marlinspike后果是什么。

  “后果是你的數據不再安全?;旧峡梢哉f今后我們可以擁有你所有的安全信息。你的用戶名、你的密碼、信用卡、銀行信息……所有的一切。因為現在的SSL實施狀況,所有這些都不能得到保護。另外的結果是,我們還可以控制你的計算機,因為有很多自動更新機制也使用SSL,我們可以劫持它們,把我們自己的軟件安裝在計算機上。這樣,我們有你的所有信息,還可以控制你的機器里的軟件運行。所以,這是致命的。” 這的確是致命的。黑帽大會的聽眾又是如何回應Marlinspike的報告的呢?只要在Twitter上搜索“Marlinspike”就能得到答案。你會看到無數“可怕”和“恐怖”這樣的字眼。

 

 

 
最新內容:
互聯網安全分析:Botnet,北京,中國,美國[2009-08-04]
網絡癱瘓案專案組:近期網絡攻擊案明顯增長[2009-08-04]
美國終于拿下最怕的黑客[2009-08-03]
墨爾本電影節官網再遭中國黑客襲擊[2009-08-03]
黑客攻擊越鬧越大 電信網絡接連告急[2009-08-03]
連續斷網是不良企業作惡的結果[2009-08-01]
相關內容:
时时彩连挂赚钱 浙江股票微信交流群 股票融资融券啥意思 今日股票排名 买一千块股票亏了两千 融资融券的股票不能 股票价格指数 北信源股票股吧 博实股份股票 怎么炒股票入门 一个公司可以发行多

合作伙伴: 黑基網 補天科技 威盾科技 站長下載 新飛金信 北京電信 ZOL應用下載
中華人民共和國增值電信業務經營許可證京ICP備14024464 公安備案號 京1081234 
版權所有©2003-2014 冰盾防火墻  www.1604100.live 法律聲明
總機:(010)51661195
浙江股票微信交流群 股票融资融券啥意思 今日股票排名 买一千块股票亏了两千 融资融券的股票不能 股票价格指数 北信源股票股吧 博实股份股票 怎么炒股票入门 一个公司可以发行多