若是涉及到賬戶密碼等安全需求較高的數(shù)據(jù)傳輸，中間人攻擊無疑是一場(chǎng)“噩夢(mèng)”。所以，為了保護(hù)您的好隱私，將中間人攻擊拒之門外，人人都應(yīng)該選擇權(quán)威的數(shù)字證書，對(duì)公鑰進(jìn)行有效驗(yàn)證和保護(hù)，才能讓“中間人”攻擊無處下手。
2015年4月1日，谷歌突然在官方微博上宣布其旗下產(chǎn)品將刪除中國(guó)互聯(lián)網(wǎng)信息中心（CNNIC）數(shù)字證書，隨后Firefox（火狐瀏覽器）也發(fā)布了類似聲明。根據(jù)最新Mozilla安全博客的博文，CNNIC被發(fā)現(xiàn)向埃及MCS公司頒發(fā)了用于中間人攻擊的數(shù)字證書，存在重大安全隱患。拋開這次事件，到底是CNNIC蒙冤還是谷歌正義不說，消息一出，除了專業(yè)人士，幾乎人人都對(duì)此無動(dòng)于衷，絲毫沒有危機(jī)感，那是由于大多數(shù)網(wǎng)民對(duì)中間人攻擊以及數(shù)字證書的重要性都沒有足夠的了解。
中間人攻擊，最常見的是ARP欺騙。ARP指地址轉(zhuǎn)換協(xié)議，在以太網(wǎng)中，兩臺(tái)主機(jī)在進(jìn)行網(wǎng)絡(luò)通訊時(shí)，彼此需要知道對(duì)方的主機(jī)地址，好比兩人之間寫信，需要知道對(duì)方的家庭住址，但網(wǎng)絡(luò)通訊使用MAC地址，而不是IP地址，ARP的任務(wù)則是將主機(jī)的IP地址轉(zhuǎn)換成MAC地址，顧名思義，RARP則相反。而“中間人”則通過欺騙兩臺(tái)主機(jī)，讓他們誤以為對(duì)方的“地址”是中間人的“地址”，導(dǎo)致“中間人”成功成為兩者通訊的中介，造成數(shù)據(jù)泄露或者遭到篡改。
數(shù)字證書的功能在于對(duì)主機(jī)的“權(quán)威”證明，好比身份證發(fā)放機(jī)構(gòu)給每個(gè)公民發(fā)放身份證，證明其真實(shí)身份。那么，在通訊過程中，為了防范中間人攻擊，現(xiàn)在大都采用密鑰交換協(xié)議，每臺(tái)主機(jī)都配有公鑰和私鑰。公鑰，顧名思義，屬于公開的，包括電子簽證機(jī)關(guān)的信息、公鑰用戶信息、權(quán)威機(jī)構(gòu)的數(shù)字簽字和有效期等，可以發(fā)送給其它任何主機(jī)，用于加密發(fā)送的數(shù)據(jù)、私鑰屬于私密的，每臺(tái)主機(jī)的私鑰都不能公開，用于解密接收到的數(shù)據(jù)。公鑰和私鑰一一對(duì)應(yīng)，每臺(tái)主機(jī)的公鑰所加密的數(shù)據(jù)只有用這臺(tái)主機(jī)的私鑰才能解開。
那么，“中間人”是如何實(shí)施攻擊的呢？比如A主機(jī)和B主機(jī)在進(jìn)行數(shù)據(jù)交換(例如QQ聊天)，C主機(jī)想“偷聽”它們的談話。首先，A向B索取B公鑰，B發(fā)送的公鑰被C截取了，然后，C向A發(fā)送自己的公鑰(我們記為“B”公鑰)，聲稱是B的公鑰（實(shí)際上是C公鑰），A相信了（結(jié)果是A和B得到了C的公鑰，但兩臺(tái)主機(jī)都以為是對(duì)方的證書，而C同時(shí)獲得了A和B的公鑰）。然后A用“B”公鑰對(duì)數(shù)據(jù)進(jìn)行加密后，將數(shù)據(jù)包發(fā)送給B，C截獲了數(shù)據(jù)包，用C私鑰進(jìn)行解密，于是獲取了數(shù)據(jù)信息，當(dāng)然，C可以修改A的數(shù)據(jù)后，重新用截獲的B公鑰加密后發(fā)送數(shù)據(jù)包給B，B這時(shí)相信數(shù)據(jù)包是A直接發(fā)過來的。在這個(gè)過程中，C其實(shí)充當(dāng)中間人的角色。若至少一臺(tái)主機(jī)安裝的數(shù)字證書出現(xiàn)漏洞，則很容易遭到以上的“中間人攻擊”。
若是涉及到賬戶密碼等安全需求較高的數(shù)據(jù)傳輸，中間人攻擊無疑是一場(chǎng)“噩夢(mèng)”。所以，為了保護(hù)您的好隱私，將中間人攻擊拒之門外，人人都應(yīng)該選擇權(quán)威的數(shù)字證書，對(duì)公鑰進(jìn)行有效驗(yàn)證和保護(hù)，才能讓“中間人”攻擊無處下手。
聯(lián)系客服
