最新消息:

Chrome浏览器上显示绿色标识,你就安全了吗?

WEB安全 Eternal 7315浏览 0评论

据相关数据显示,在网络上有超过50%的用户使用的浏览器为Chrome浏览器。而长期使用Chrome浏览器的用户其实都不难发现,每当你访问使用SSL(也称为HTTPS或TLS)的网站时,在URL地址栏的HTTPS旁就会显示醒目的绿色“安全标识”。那么Chrome浏览器中的“安全”标识,就真的意味着“安全”了吗?下面,我将带大家深入分析和探讨这个问题,并提出我的解决方案。

以下是我们将要在这篇文章中深入探讨内容的总结:

  1. 据我们调查发现,在许多假冒知名公司例如Google,微软,苹果等的钓鱼网站,所使用的SSL证书来自多个认证机构(CA)的颁发。
  2. Chrome浏览器只对SSL证书的有效性进行判断,如果有效则直接将网站显示为“安全”。
  3. 即使网站证书已被CA认证机构撤销,Chrome浏览器仍将站点标识为“安全”。已撤销”状态仅在Chrome开发人员工具中可见。
  4. 已发布有效SSL证书的恶意网站,需要一段时间后才会被拉入Chrome的恶意网站列表中。安全浏览列表不该成为备份机制,这样能更好的避免用户免遭有效SSL证书恶意站点的侵害。

Chrome浏览器中“安全”标识的真正含义是什么?

我们先来简单了解下,一个网站获取“证书”的实际过程。首先,网站拥有者向证书颁发机构(CA)提出证书申请,CA机构会验证申请人是否为申请该站点的所有者,这个过程被称为“域验证”。而除了验证域所有者是否拥有该网站之外,CA不会再做其他任何验证操作。

因此,通过以上简单的了解我们可以知道,当Chrome浏览器地址栏上显示“安全”标识时,只是说明你当前浏览的该网站通信过程是加密的,但并不意味着该域名为“受信任”,“安全”,“非恶意”或其他任何内容。

LetsEncrypt向网络钓鱼站点提供有效的SSL证书

通常情况下,CA证书机构不会向那些恶意明显的假冒apple.com或microsoft.com的站点发放SSL证书。但我们发现,有一个称为LetsEncrypt的新CA,会向所有申请使用SSL的网站免费发放证书。

LetsEncrypt的宗旨是,使用SSL自由的加密网络上的各种连接。不过,他们从不检查网站所有者的身份是否为伪造的。因此,这样带来的结果就是,许多恶意的钓鱼网站就这样被堂而皇之的挂上了LetsEncrypt颁发的有效SSL证书,并在Chrome浏览器中显示为“安全”。

以下是使用LetsEncrypt证书,并在Chrome中显示为“安全”的网站示例。在撰写本文时(2017年3月28日),该网站仍未被Chrome或Google安全浏览列表列为恶意站点,并依旧显示为“安全”。

letsencrypt-playstore-locationbar.png

如上图所示,Chrome将该恶意站点标识为“安全”。从该恶意站点的链接中我们也可以看出,攻击者试图假冒Google Play应用商店,并通过以“.com”的混淆名称来迷惑用户的判断。这是一个典型的钓鱼网站,用于钓取用户的Google Play商店登录凭证信息。

要查看有关该网站的证书信息,你可以通过开发者工具选项(在页面点击F12 键进入开发者工具),并选择安全标签(Security)进行查看。如下图所示:

letsencrypt-playstore-devtab.png

如果你点击“查看证书”按钮,你将会看到以下信息:

letsencrypt-playstore-validcert.png

该证书被列为属于geoduo.fr,但实际上也被许多其他网站在使用。在网络标签中,你可以看到网站列表:(仅显示前几个)

letsencrypt-playstore-allsites.png

所有列表中的这些网站,都使用相同的证书。这说明这些网站的所有者,可能是同一人。同时也说明了,该网站的托管服务提供商OVH SAS France,向该网站发放了免费证书,并将许多其他站点集中到同一SSL证书下。

因此在这种情况下,“安全”仅仅意味着你正在使用加密连接与恶意站点建立通话,而并不代表你所访问的站点是“安全的”。

LetsEncrypt并不是个案

尽管目前许多钓鱼网站,使用的CA都为LetsEncrypt所颁发,但是这类问题却不仅限于LetsEncrypt。下图所示的是一个假冒Apple.com的钓鱼站点,用于窃取用户的Apple登录凭据:

comodo-phishing-site-location-bar.png

在撰写本文时(2017年3月28日),该网站仍未被Chrome或Google安全浏览列表列为恶意站点,并依旧显示为“安全”。而证书的颁发机构则为Comodo。

即使CA撤销证书,Chrome仍将其标识为“有效”和“安全”

让我们来看看以上示例,Comodo证书的详细信息。 首先,我们在Chrome中转到“开发工具”,然后打开“安全”选项卡:

comodo-phishing-site-dev-tab.png

正如你所看到的,在安全概述中该站点被描述为“安全的”。我们点击“查看证书”按钮:

comodo-phishing-site-revoked-cert.png

可以看到,这张证书实际已被发现问题的Comodo给“撤销”,并将其标识为无效。

由于Chrome不会实时的检查证书撤销列表,因此它该证书在Chrome看来仍为有效和安全的证书,并会继续在Chrome浏览器中将其标识为“安全”。

你不能依赖Chrome的Google安全浏览列表中的恶意网站警告

为了更进一步的研究,我们使用了一个名为?Censys.io的服务来查找与特定模式匹配的网站证书。我们发现那些使用相同证书的域名,他们之间通常是相关的,并且域的持有者也可能为同一人。

下图显示了我们在研究中发现的,许多共享证书的网络钓鱼域。由Chrome标记为恶意的域名呈红色,其余的都为绿色。它们都共享SSL一张证书:

phishing-site-cluster-gsb-comparison-1.png

放大图片我们不难发现,有许多恶意站点都假冒了知名的公司例如google.com或microsoft.com等。其中一些已被Chrome浏览器列为恶意站点,而绝大多数却仍被标记为“安全”。

值得庆幸的是,所有恶意域名最终都将会被Chrome浏览器列入“安全浏览列表”。以上列表的生成时间为3月27日上午,到了晚上我们发现一些原本为绿色“安全”标识的网站也出现在了“安全浏览列表”中,并被Chrome安全警告。但可以看出这需要一定的时间,而不是实时的。

Google的安全浏览项目虽然有效,但Chrome用户却不能完全依赖它来,可靠地识别恶意网站并发出安全警告。

那么,我们应该如何保证我们的安全浏览呢?

在这种情况下,为了最大程度的避免遭受恶意站点的攻击,我的建议是:用户应在浏览网页时仔细检查URL地址栏,并仔细查看出现在该网站上的完整网站主机名。

例如你当前访问的为FreeBuf官网,你的URL地址栏应该显示为“http://www.freebuf.com/…”。当你访问任何需要交换敏感数据的网站时,请务必仔细检查“https://”后和下一个正斜杠之前的完整主机名。如果你发现域名中带有一些正常域名之外的字符,那么我们可以初步判断,该域名可能为假冒的钓鱼站点。

Google Chrome可以做些什么来提高安全性?

在今年早些时候,我们曾发布揭露了关于Gmail网络钓鱼的欺诈行为。谷歌对于我们的报告很快作出了回应,并积极的与我们取得了联系解决了该问题。在这一点上,我认为谷歌做的相当地好。

Chrome必须对证书吊销列表进行实时的更新检查,以修复上面出现的Comodo证书问题。但是,这样做会对Chrome用户造成一定的性能损失,并且由于访问的网站在查找期间也会将数据发送到CA,因此也可能会对用户的隐私带来安全隐患。所以,这不是一个简单的修复问题。

我认为谷歌安全浏览(GSB)团队可以利用证书关系,实现自动化的识别其他恶意域名。这样可以大大缩短在GSB上,列出恶意站点的时间。

同时,对于Chrome浏览器位置栏,我们建议Chrome团队应该增加一个滑动比例的参考值,例如CA是谁,有多少个证书共享域,以及域的年龄等,这些信息可以合并估算出一个安全分数,而不仅仅是通过一个二进制的“安全”或“不安全”指示符来判断网站的安全性。

LetsEncrypt可以做些什么来提高安全性?

LetsEncrypt团队必须开始在SSL证书应用程序上执行关键字搜索。这完全可以自动化实现,LetsEncrypt需要拒绝包含诸如“.apple.com”,“.paypal.com”,“.google.com”和其他常见的网络钓鱼模式之类的字符串的证书。

他们可以实施审查程序,如果你的证书申请被拒绝,你可以申请一个令牌证明你需要一些与“.apple.com”的东西让你免于检查。

其他CA如Comodo呢?

在以上关于Comodo的例子中我们可以看到,虽然Comodo意识到了该网站为恶意站点并撤销了其证书,但是Chrome却并没有第一时间检测撤销证书情况。

CA颁发证书的方式,已经有一段时间的争论。Google已经在桌面上提出了一项建议,以撤销赛门铁克根据CA的不良历史记录颁发证书的能力。该提案建议立即撤销赛门铁克发布EV(扩展验证)证书的权限,并逐渐不信任他们发布的常规SSL证书。

一直以来浏览器制造商和CA之间对于应该如何颁发证书,以及构成有效证书的条件是什么存在着激烈分歧和讨论。

总结

虽然Chrome浏览器位置栏的”安全”标识,并不一定意味着安全。但是作为我们普通用户而言,通过查看位置栏的主机名在很大程度上,可以让我们免受恶意站点的侵害。如下图红色下划线部分所示:

hostname-example.png

同时请确保:

  • 你可以在浏览器位置栏中查看到完整的主机名。
  • 你可以正确的识别该主机名。
  • 你的浏览器已提示当前为加密连接。 Chrome显示为“Secure”字样。

*参考来源 :wordfence,FB小编 secist 编译,转载请注明来自FreeBuf(FreeBuf.COM)

转载请注明:即刻安全 » Chrome浏览器上显示绿色标识,你就安全了吗?

您必须 登录 才能发表评论!

网友最新评论 (1)



合作伙伴