SSL證書也有打眼時
1、案例回放
據2006年2月13日發表于《華盛頓郵報》網站上的《The new face of phishing》一文中聲稱,美國猶他州著名的信用合作社“Mountain America”的網站被冒用,而假冒網站上居然也使用了頒發自第三方CA認證機構的SSL證書,導致大量用戶受騙上當。幸運的是,在事發當日下午2點13分,該網站被美國相關監察部們SANS Internet Storm Center及時關閉,從而避免了更大的損失。這一案例充分證明了線下鑒證工作的必要性和重要性。
引用: http://blog.washingtonpost.com/securityfix/2006/02/the_new_face_of_phishing_1.htm
這個轟動當地一時的案件大致經過是這樣的——某個冒用了“Mountain America”信用合作社之名的假網站,通過Email的方式通知用戶:“您的信用卡已被自動登入了Verified by VISA程序”(該程序是VISA提供的一個用來保障“只有本人才可以在網上使用自己的VISA卡”的、合法的安全程序)。
然而,意想不到的事情發生了。當用戶打開網頁時,VISA網就立刻要求用戶輸入完整的信用卡卡號。但是,用戶卻發現,當輸入完卡號后,再點擊任何Verified by VISA網站上的鏈接時,都會顯示“找不到該網頁”的出錯信息。這時,一些用戶隱約感覺到,他們的用戶信息可能已經被盜……!
由Visa.com生成的錯誤網頁
2、癥結所在
按道理,當網站擁有一個頒發自合法的、第三方CA認證機構的SSL證書,即可證明該網站的真實性。而且,目前所有合法的銀行網站都在應用此技術。讓人疑惑的是,這個假冒網站又是如何獲得合法的SSL證書的呢?
頒發給Mountain-America.net的SSL證書
最終的調查報告揭示了真相——該假冒網站使用的SSL證書,是一種鑒證流程相對簡單的SSL證書,用戶只需通過線上注冊和簡單的電話溝通,即可獲得SSL證書。從而導致了該假冒網站在無需經過嚴格的身份審查的情況下,就輕易的獲取了合法的SSL證書。此案件充分暴露了一些CA認證機構缺乏必要的鑒證流程和專業的鑒證服務。
3、解決之道
雖然業內領先的VeriSign公司從不提供不經身份驗證的SSL證書產品,但大量廉價低端證書的存在,讓SSL證書市場面臨巨大挑戰。至此,EV SSL 擁有綠色地址欄的高端證書計劃得以浮出水面。經過瀏覽器、操作系統、SSL證書技術廠商等多方努力,2007年EVSSL正式推向市場,其首要客戶便是PayPal、eBay、Travelocity、Schwab等網絡領域的知名公司。2008年,隨著***、最安全的網絡瀏覽器版本在全球范圍內占據了主導市場地位,EV SSL的采用率也進一步上升。
2008年上旬,VeriSign經過慎重評估,決定在欺詐釣魚網站高發的東亞地區,正式推出EVSSL證書,其中國境內的官方合作伙伴天威誠信協助EVSSL在國內的簽發。國內一些金融機構隨后積極跟進,工商銀行,招商銀行、中信銀行等機構率先完成了SSL證書升級,反欺詐釣魚網站的克星“綠色地址欄”正式在中國開啟安全之門。

























