建站
咨詢
售后
建站咨詢
新聞中心
1、案例回放
成都創(chuàng)新互聯(lián)公司于2013年創(chuàng)立，先為交城等服務(wù)建站，交城等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為交城企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問題。
據(jù)2006年2月13日發(fā)表于《華盛頓郵報(bào)》網(wǎng)站上的《The new face of phishing》一文中聲稱，美國猶他州著名的信用合作社“Mountain America”的網(wǎng)站被冒用，而假冒網(wǎng)站上居然也使用了頒發(fā)自第三方CA認(rèn)證機(jī)構(gòu)的SSL證書，導(dǎo)致大量用戶受騙上當(dāng)。幸運(yùn)的是，在事發(fā)當(dāng)日下午2點(diǎn)13分，該網(wǎng)站被美國相關(guān)監(jiān)察部們SANS Internet Storm Center及時(shí)關(guān)閉，從而避免了更大的損失。這一案例充分證明了線下鑒證工作的必要性和重要性。
引用： http://blog.washingtonpost.com/securityfix/2006/02/the_new_face_of_phishing_1.htm
這個(gè)轟動(dòng)當(dāng)?shù)匾粫r(shí)的案件大致經(jīng)過是這樣的——某個(gè)冒用了“Mountain America”信用合作社之名的假網(wǎng)站，通過Email的方式通知用戶：“您的信用卡已被自動(dòng)登入了Verified by VISA程序”（該程序是VISA提供的一個(gè)用來保障“只有本人才可以在網(wǎng)上使用自己的VISA卡”的、合法的安全程序）。
假冒的“Mountain America”網(wǎng)站
Email中包含了用戶會(huì)員卡號(hào)的前5位數(shù)字，而這5位數(shù)字是每張Mountain America銀行卡上都會(huì)有的。因此，大部分郵件接收者都沒有懷疑這封郵件的真實(shí)性。部分用戶在接收到這封Email后，就立即通過郵件中的鏈接，上到該假冒網(wǎng)站上進(jìn)行注冊(cè)，以盡早成為Verified by VISA會(huì)員。并且，這些用戶發(fā)現(xiàn)，該網(wǎng)站采用了SSL證書，這更降低了他們的警惕性。畢竟，這個(gè)來自合法的、第三方CA認(rèn)證機(jī)構(gòu)的SSL證書可以證實(shí)該網(wǎng)站的真實(shí)性。
然而，意想不到的事情發(fā)生了。當(dāng)用戶打開網(wǎng)頁時(shí)，VISA網(wǎng)就立刻要求用戶輸入完整的信用卡卡號(hào)。但是，用戶卻發(fā)現(xiàn)，當(dāng)輸入完卡號(hào)后，再點(diǎn)擊任何Verified by VISA網(wǎng)站上的鏈接時(shí)，都會(huì)顯示“找不到該網(wǎng)頁”的出錯(cuò)信息。這時(shí)，一些用戶隱約感覺到，他們的用戶信息可能已經(jīng)被盜……！
由Visa.com生成的錯(cuò)誤網(wǎng)頁
2、癥結(jié)所在
按道理，當(dāng)網(wǎng)站擁有一個(gè)頒發(fā)自合法的、第三方CA認(rèn)證機(jī)構(gòu)的SSL證書，即可證明該網(wǎng)站的真實(shí)性。而且，目前所有合法的銀行網(wǎng)站都在應(yīng)用此技術(shù)。讓人疑惑的是，這個(gè)假冒網(wǎng)站又是如何獲得合法的SSL證書的呢？
頒發(fā)給Mountain-America.net的SSL證書
最終的調(diào)查報(bào)告揭示了真相——該假冒網(wǎng)站使用的SSL證書，是一種鑒證流程相對(duì)簡單的SSL證書，用戶只需通過線上注冊(cè)和簡單的電話溝通，即可獲得SSL證書。從而導(dǎo)致了該假冒網(wǎng)站在無需經(jīng)過嚴(yán)格的身份審查的情況下，就輕易的獲取了合法的SSL證書。此案件充分暴露了一些CA認(rèn)證機(jī)構(gòu)缺乏必要的鑒證流程和專業(yè)的鑒證服務(wù)。
3、解決之道
雖然業(yè)內(nèi)領(lǐng)先的VeriSign公司從不提供不經(jīng)身份驗(yàn)證的SSL證書產(chǎn)品，但大量廉價(jià)低端證書的存在，讓SSL證書市場面臨巨大挑戰(zhàn)。至此，EV SSL 擁有綠色地址欄的高端證書計(jì)劃得以浮出水面。經(jīng)過瀏覽器、操作系統(tǒng)、SSL證書技術(shù)廠商等多方努力，2007年EVSSL正式推向市場，其首要客戶便是PayPal、eBay、Travelocity、Schwab等網(wǎng)絡(luò)領(lǐng)域的知名公司。2008年，隨著***、最安全的網(wǎng)絡(luò)瀏覽器版本在全球范圍內(nèi)占據(jù)了主導(dǎo)市場地位，EV SSL的采用率也進(jìn)一步上升。
2008年上旬，VeriSign經(jīng)過慎重評(píng)估，決定在欺詐釣魚網(wǎng)站高發(fā)的東亞地區(qū)，正式推出EVSSL證書，其中國境內(nèi)的官方合作伙伴天威誠信協(xié)助EVSSL在國內(nèi)的簽發(fā)。國內(nèi)一些金融機(jī)構(gòu)隨后積極跟進(jìn)，工商銀行，招商銀行、中信銀行等機(jī)構(gòu)率先完成了SSL證書升級(jí)，反欺詐釣魚網(wǎng)站的克星“綠色地址欄”正式在中國開啟安全之門。
本文名稱：SSL證書也有打眼時(shí)
本文地址：http://www.5511xx.com/article/dpoedjp.html
