HTTP tarkoittaa Hyper Text Transfer Protocolia ja sitä käytetään laajalti Internetissä. Internetin alkuvuosina oli okei, että tämä protokolla pyysi kirjautumistunnuksia jne. Koska ei ollut paljon vaaraa, että ihmiset pakottivat datapaketteja varastamaan kirjautumistunnuksesi eri verkkosivustoille. Kun ihmiset havaitsivat vaaran, keksittiin HTTPS (HTTP Secure), joka salaa tiedonsiirron sinun (asiakkaan) ja verkkosivuston välillä, johon olet tekemisissä.
Lukea: Ero HTTP: n ja HTTPS: n välillä.
Kauan muutama vuosi sitten HTTPS: n katsottiin olevan virheettömiä, kunnes Moxie-niminen henkilö todisti väärin väärentämällä HTTPS: tä. Tämä tehtiin käyttämällä tietoliikennepakettien sieppausta HTTPS-suojausavaimen väärennettyä henkilöä vastaan, jotta uskot, että yhteys on edelleen salattu. Tämä artikkeli tutkii HTTPS-huijaus jossa jopa tunnetut yritykset olivat käyttäneet tekniikkaa katsella sinua ja snoop teidän toimintaa. Ennen ymmärrystä Mies keskellä hyökkäys, sinun on tiedettävä HTTPS-sertifikaatti-avaimesta, joka on väärennetty, jotta uskot, että mikään ei ole väärä.
Mikä on HTTPS-sivuston sertifikaattiavain
On olemassa tiettyjä varmenteita tarjoavia viranomaisia, jotka tarjoavat verkkosivustot "fitness" -sertifikaatit. "Fitness" -kertoimen määrittämiseen liittyy monia tekijöitä: salattu yhteys, virusten lataukset ja muutamia muita asioita. HTTPS tarkoittaa, että tietosi ovat turvassa, kun siirryt. Pääasiassa HTTPS: tä käyttävät sähköiset kaupankäynnit ja sivustot, joilla on yksityishenkilöitä koskevia tietoja - kuten sähköpostiosoitteita. Sosiaalisen verkostoitumisen sivustot, kuten Facebook ja Twitter, käyttävät myös HTTPS: ää.
Jokaisella todistuksella on avain, joka on ainutlaatuinen kyseiselle verkkosivustolle. Voit tarkastella verkkosivuston varmenteen avainta napsauttamalla sen verkkosivua hiiren kakkospainikkeella ja valitsemalla PAGE INFO. Selaimen perusteella saat erilaisia valintaikkunoita. Etsi CERTIFICATE ja sitten THUMBPRINT tai FINGERPRINT. Tämä on sivuston todistuksen ainutlaatuinen avain.
HTTPS-tietoturva ja huijaus
Palataksemme siihen, kuinka turvallisia olet HTTPS: n kanssa, kolmannet osapuolet voivat väärennöksen väärennöksillä olla väärennöksiä asiakkaan ja verkkosivustojen keskellä. Tämä tekniikka, joka lohduttaa keskusteluja, kutsutaan Man in the Middleksi.
Näin selaimesi lähetetään HTTPS: lle: joko napsautat LOGIN-painiketta / linkkiä tai kirjoitat URL-osoitteen. Ensimmäisessä tapauksessa lähetät suoraan HTTPS-sivulle. Toisessa tapauksessa, jossa kirjoitat URL-osoitteen, ellet kirjoita HTTPS: tä, DNS ratkaisee sivun, joka ohjaa sinut HTTPS-sivulle automaattisen uudelleenohjauksen avulla (302).
Lähimerenkulussa on tiettyjä menetelmiä, joilla pyydät ensimmäistä pyyntöäsi käyttää verkkosivustoa, vaikka kirjoititkin HTTPS: n. Keskellä oleva mies voi olla selaimesi itse. Opera Mini- ja BlackBerry-selaimet tekevät sen kiinni viestinnästä alusta ja purkaa sen, jotta ne voidaan pakata nopeammin selaamista varten. Tämä tekniikka on mielestäni väärin, koska se helpottaa salakuuntelua, mutta yritykset sanovat, ettei mitään kirjata.
Kun kirjoitat URL-osoitteen, napsauta linkkiä tai kirjanmerkkiä, pyydät selaimen muodostaa yhteyden (mieluiten) verkkosivuston suojattuun versioon. Keskellä oleva mies luo väärennetyn todistuksen, jota on vaikea tunnistaa virheelliseksi, koska verkkosivustotodistukset ovat samat kuin todistuksen myöntävän viranomaisen riippumatta. Keskitason mies onnistuneesti väärentää sertifikaatin ja luo THUMBPRINTin, joka on tarkistettu "sertifikaatin valtuuksille, jotka selaimesi luottaa". Toisin sanoen näyttää siltä, että yritys on myöntänyt sertifikaatin, joka lisätään selaimesi luotettavien varmentajien luetteloon. Tällöin se uskoo, että varmenneavain on kelvollinen ja antaa salausdatan Keski-ihmiselle. Siten Keski-ihmisellä on nyt avain purkaa lähettämäsi tiedot kyseisen yhteyden kautta. Huomaa, että keskellä oleva mies työskentelee myös toisella puolella lähettämällä tietosi verkkosivustolle - vilpittömästi mutta tavalla, joka voi lukea sen.
Tämä selittää verkkosivuston HTTPS-huijausta ja sen toimivuutta. Se myös ilmaisee, että HTTPS ei ole täysin turvallinen. On olemassa muutamia työkaluja, jotka kertovat meille, että keskellä on mies, ellei ole erittäin koulutettua tietoteknistä asiantuntijaa. Tavalliselle ihmiselle GRC: n verkkosivusto tarjoaa menetelmän THUMBPRINTin hakemiseksi. Voit tarkistaa sertifikaatin THUMBPRINT GRC: ssä ja sen jälkeen vastaamaan sitä, jota haettiin käyttämällä PAGE INFO. Jos ne vastaavat, se on kunnossa. Jos he eivät, keskellä on mies.
