首頁(yè) > - 只要是遭遇釣魚(yú)WiFi，用戶(hù)上網(wǎng)過(guò)程中個(gè)人信息和密碼就都有可能被別有用心的黑客獲取
- 造成用戶(hù)信息泄露并非WiFi設(shè)備惹禍，而是用戶(hù)貪便宜的心理和瀏覽器網(wǎng)絡(luò)傳輸協(xié)議有漏洞
這篇名為《有圖有真相，你還敢用UC上網(wǎng)嗎？》的帖子說(shuō)，“在星巴克、麥當(dāng)勞，黑客只要用一臺(tái)筆記本、一套無(wú)線(xiàn)熱點(diǎn)和一個(gè)叫做Wireshark的軟件，最少只要15分鐘，就能獲取通過(guò)臨時(shí)無(wú)線(xiàn)網(wǎng)絡(luò)上網(wǎng)者的賬號(hào)和密碼。”
“雖然不知是真是假，但是聽(tīng)起來(lái)真有點(diǎn)恐怖�！倍湃饛�(qiáng)擔(dān)憂(yōu)地說(shuō)。
有著同樣憂(yōu)慮的不止杜瑞強(qiáng)一人，自從上述網(wǎng)貼發(fā)布后，網(wǎng)絡(luò)上關(guān)于使用公共場(chǎng)所免費(fèi)WiFi上網(wǎng)究竟是否安全的討論激增，更多市民開(kāi)始對(duì)公共場(chǎng)所WiFi上網(wǎng)的安全性問(wèn)題予以高度關(guān)注。
公共免費(fèi)WiFi，上還是不上，一串串有關(guān)安全的追問(wèn)隨之而來(lái)。
如何防范釣魚(yú)WiFi
天涯網(wǎng)帖的火爆傳播，讓釣魚(yú)WiFi臭名遠(yuǎn)揚(yáng)，也讓不少對(duì)于技術(shù)不太精通的用戶(hù)聞之生畏。有關(guān)專(zhuān)家指出，只要用戶(hù)增強(qiáng)主動(dòng)防范意識(shí)，并建立良好的WiFi使用習(xí)慣，就能夠防止墮入釣魚(yú)WiFi的陷阱。要想做到這一點(diǎn)，有些小技巧可以利用。
第一招 拒絕來(lái)源不明的WiFi
正如“妖妃娘娘”所披露的那樣，設(shè)置釣魚(yú)WiFi陷阱的黑客大多利用的是用戶(hù)想要免費(fèi)蹭網(wǎng)的占便宜心理。因此要想避免墮入類(lèi)似陷阱，首先要做到的就是盡量不要使用來(lái)源不明的WiFi，尤其是免費(fèi)又不需密碼的WiFi。如果是在星巴克、麥當(dāng)勞這樣有商家提供免費(fèi)WiFi網(wǎng)絡(luò)的地方，用戶(hù)也要多留一個(gè)心眼，主動(dòng)向商家詢(xún)問(wèn)其提供的WiFi的具體名稱(chēng)，以免在選擇WiFi熱點(diǎn)接入時(shí)不小心連接到黑客搭建的名稱(chēng)類(lèi)似的釣魚(yú)WiFi。
第二招 及時(shí)更新升級(jí)瀏覽器
和傳統(tǒng)有線(xiàn)網(wǎng)絡(luò)相比，WiFi網(wǎng)絡(luò)環(huán)境下，用戶(hù)信息的安全性挑戰(zhàn)更多。用戶(hù)在使用非加密的WiFi網(wǎng)絡(luò)或者陌生的WiFi網(wǎng)絡(luò)時(shí)，最好提前在筆記本電腦或智能手機(jī)中安裝一些安全防范軟件以作提防。
針對(duì)最容易泄露用戶(hù)信息的瀏覽器軟件，用戶(hù)除了要在官方網(wǎng)站進(jìn)行下載的和安裝之外，還要養(yǎng)成定時(shí)更新升級(jí)的好習(xí)慣。例如此前提到的UC瀏覽器，其最新的版本就加入了連接到無(wú)密碼的WiFi網(wǎng)絡(luò)自動(dòng)提醒用戶(hù)是否要斷開(kāi)的功能，這種功能升級(jí)對(duì)于用戶(hù)防范釣魚(yú)WiFi無(wú)疑會(huì)起到比較實(shí)用的效果。
使用瀏覽器登錄網(wǎng)站時(shí)，如果碰到需要用戶(hù)輸入賬戶(hù)名和密碼并彈出“是否記住密碼”選項(xiàng)框的情況，最好不要選擇“記住密碼”，因?yàn)椤坝涀∶艽a”功能會(huì)將用戶(hù)的賬號(hào)信息存儲(chǔ)到瀏覽器的緩存文件夾中，無(wú)形中方便了黑客進(jìn)行竊取。
第三招 手機(jī)軟件設(shè)置莫偷懶
針對(duì)智能手機(jī)用戶(hù)尤其需要提醒的是，在日常使用時(shí)最好關(guān)閉WiFi自動(dòng)連接這項(xiàng)功能。因?yàn)槿绻@項(xiàng)功能打開(kāi)的話(huà)，手機(jī)在進(jìn)入有WiFi網(wǎng)絡(luò)的區(qū)域就會(huì)自動(dòng)掃描并連接上不設(shè)密碼的WiFi網(wǎng)絡(luò)，這無(wú)疑會(huì)大大增加用戶(hù)誤連釣魚(yú)WiFi的幾率，為了一時(shí)方便而留下安全隱患，未免有些得不償失。
另外，用戶(hù)在使用智能手機(jī)登錄手機(jī)銀行或者支付寶、財(cái)付通的金融服務(wù)類(lèi)網(wǎng)站時(shí)，最好不要直接通過(guò)手機(jī)瀏覽器進(jìn)行，請(qǐng)優(yōu)先考慮使用銀行或者第三方支付公司推出的專(zhuān)用應(yīng)用程序，這些程序的安全性要比開(kāi)放的手機(jī)瀏覽器高上不少。
安全進(jìn)化史
WiFi是一種短程無(wú)線(xiàn)傳輸技術(shù)，能夠在數(shù)百英尺范圍內(nèi)支持互聯(lián)網(wǎng)接入的無(wú)線(xiàn)電信號(hào)。隨著技術(shù)的發(fā)展，以及IEEE802.11a、802.11b、802.11g以及802.11n等標(biāo)準(zhǔn)的出現(xiàn)，現(xiàn)在IEEE802.11這個(gè)標(biāo)準(zhǔn)已被統(tǒng)稱(chēng)作WiFi。
第二次世界大戰(zhàn)后，無(wú)線(xiàn)通訊因在軍事上應(yīng)用的成功而受到重視，但缺乏廣泛的通訊標(biāo)準(zhǔn)。于是，IEEE(美國(guó)電氣和電子工程師協(xié)會(huì))在1997年為無(wú)線(xiàn)局域網(wǎng)制定了第一個(gè)標(biāo)準(zhǔn)——IEEE802.11。IEEE 802.11標(biāo)準(zhǔn)最初主要用于解決辦公室局域網(wǎng)和校園網(wǎng)中用戶(hù)的無(wú)線(xiàn)接入，其業(yè)務(wù)主要限于數(shù)據(jù)存取，速率最高只能達(dá)到2Mbps。
在WiFi技術(shù)的發(fā)展過(guò)程中，除了傳輸速率不斷提升之外，安全加密技術(shù)的不斷增強(qiáng)也是其技術(shù)標(biāo)準(zhǔn)頻繁更新的重要原因。而最早進(jìn)入WiFi標(biāo)準(zhǔn)的加密技術(shù)名為WEP(Wired Equivalent Privacy，有線(xiàn)等效保密)，但由于該技術(shù)的加密功能過(guò)于脆弱，很快就被2003年和2004年推出的WPA(WiFi Protected Access，WiFi網(wǎng)絡(luò)安全存取)和WPA2技術(shù)所取代。
但即使是較新的WPA2加密技術(shù)，仍然在無(wú)線(xiàn)開(kāi)放環(huán)境下存在安全性較弱、無(wú)法滿(mǎn)足電信級(jí)高可靠性要求等問(wèn)題，為此，我國(guó)依據(jù)“商用密碼管理?xiàng)l例”制定了針對(duì)WiFi既有安全加密技術(shù)漏洞自主安全標(biāo)準(zhǔn)WAPI(Wireless LAN Authentication and Privacy Infrastructure，無(wú)線(xiàn)網(wǎng)絡(luò)鑒別保密基礎(chǔ)結(jié)構(gòu))。
2009年6月，工信部發(fā)布新政，宣布加裝WAPI功能的手機(jī)可入網(wǎng)檢測(cè)并獲進(jìn)網(wǎng)許可。當(dāng)月，包括美國(guó)代表在內(nèi)的參會(huì)成員一致同意，將WAPI作為無(wú)線(xiàn)局域網(wǎng)絡(luò)接入安全機(jī)制獨(dú)立標(biāo)準(zhǔn)形式推進(jìn)為國(guó)際標(biāo)準(zhǔn)。
追問(wèn)1
釣魚(yú)WiFi竊取用戶(hù)密碼？
從技術(shù)角度來(lái)說(shuō)，只要使用免費(fèi)WiFi上網(wǎng)，手機(jī)或者電腦都有可能被釣魚(yú)
在那篇引發(fā)公共WiFi安全性問(wèn)題爭(zhēng)議的網(wǎng)帖中，名為“妖妃娘娘”的樓主詳細(xì)演示了如何用“Win7系統(tǒng)電腦、無(wú)線(xiàn)熱點(diǎn)和Wireshark軟件”竊取使用UC瀏覽器用戶(hù)個(gè)人信息和密碼的全過(guò)程。
“妖妃娘娘”稱(chēng)，按照該教程，即使是初級(jí)黑客也只需要兩個(gè)小時(shí)，就能掌握如何在公共場(chǎng)所設(shè)置免費(fèi)WiFi來(lái)進(jìn)行釣魚(yú)，熟練后甚至僅需15分鐘就能夠輕松搞定使用UC瀏覽器上網(wǎng)用戶(hù)的密碼。而這其中的關(guān)鍵在于，UC瀏覽器本身存在安全漏洞，其所謂的“云加速”服務(wù)在傳輸用戶(hù)信息時(shí)使用了明文傳輸密碼，讓泄密成為了可能。
對(duì)于這份“釣魚(yú)WiFi”的詳細(xì)教程，很快就有熱心網(wǎng)友進(jìn)行了親身驗(yàn)證，結(jié)果證明在iPhone上使用版本號(hào)為8.2.1.132的UC瀏覽器，果真可以通過(guò)Wireshark軟件截取到登錄Gmail賬戶(hù)時(shí)輸入的賬號(hào)和密碼信息。
看完網(wǎng)友實(shí)證帖后，杜瑞強(qiáng)想起自己平時(shí)肆無(wú)忌憚地在星巴克蹭網(wǎng)，不由得有些后怕。
然而，這還不是讓公共WiFi安全性問(wèn)題被徹底引爆的關(guān)鍵，在“妖妃娘娘”的網(wǎng)帖和隨后網(wǎng)友實(shí)證帖被廣泛傳開(kāi)后，有關(guān)“釣魚(yú)WiFi”竊取他人信息和密碼的強(qiáng)大能力被越傳越神，“網(wǎng)銀密碼也能輕松搞定”等說(shuō)法更是引起了眾多網(wǎng)友的強(qiáng)烈不安。
作為UC瀏覽器開(kāi)發(fā)廠(chǎng)商——UC優(yōu)視公司對(duì)于這個(gè)問(wèn)題并沒(méi)有太多回避。
該公司CEO俞永福直承，在前期某個(gè)版本的iPhone用UC瀏覽器上的確存在漏洞，但很快就推出了新版本的軟件加以改進(jìn)。不過(guò)他同時(shí)也表示，只要是遭遇“釣魚(yú)WiFi”，用戶(hù)上網(wǎng)過(guò)程中個(gè)人信息和密碼就都有可能被別有用心的黑客獲取，并非只有使用UC瀏覽器的用戶(hù)才會(huì)有這個(gè)風(fēng)險(xiǎn)。
“最大的問(wèn)題其實(shí)是在我們目前網(wǎng)站建設(shè)上普遍采用的HTTP(Hypertext Transfer Protocol，超文本傳輸)協(xié)議本身的安全性較低。”俞永福的說(shuō)法獲得了金山網(wǎng)絡(luò)安全專(zhuān)家李鐵軍的支持。
李鐵軍稱(chēng)，從技術(shù)角度來(lái)說(shuō)“妖妃娘娘”介紹的釣魚(yú)方法是可行的，但這并不止是手機(jī)瀏覽器的問(wèn)題，只要使用免費(fèi)WiFi上網(wǎng)，手機(jī)或者電腦都有可能被釣魚(yú)，這種技術(shù)被業(yè)內(nèi)稱(chēng)為“攻擊中間人”。
李鐵軍進(jìn)一步解釋?zhuān)绻脩?hù)使用黑客設(shè)置的釣魚(yú)WiFi上網(wǎng)，那么黑客使用相關(guān)軟件監(jiān)視并記錄用戶(hù)在網(wǎng)上進(jìn)行的所有操作信息，從中竊取有價(jià)值資料，比如QQ聊天記錄、郵件內(nèi)容等，“獲取網(wǎng)銀賬戶(hù)密碼的可能性較小，但也并不是完全沒(méi)有可能”。
追問(wèn)2
用戶(hù)資料泄露漏洞在哪？
WiFi設(shè)備并沒(méi)有出現(xiàn)安全方面的問(wèn)題，是人們?cè)鯓邮褂肳iFi上出了問(wèn)題
雖然專(zhuān)家證明“釣魚(yú)WiFi”的確有可能導(dǎo)致用戶(hù)的個(gè)人信息泄露，但這究竟是WiFi網(wǎng)絡(luò)本身的問(wèn)題還是其它方面的因素導(dǎo)致，這種泄露的后果究竟又會(huì)有多嚴(yán)重呢？
貝爾金公司技術(shù)工程師梁漢明認(rèn)為，釣魚(yú)WiFi引發(fā)的公共場(chǎng)所WiFi的安全性問(wèn)題和WiFi本身的安全性問(wèn)題，在本質(zhì)上是兩回事，前者更多的是人的問(wèn)題，但后者則只是較為單純的設(shè)備問(wèn)題。
共 2 頁(yè)：1 2
南方日?qǐng)?bào)
