天威诚信|ssl证书|ssl证书购买|ssl证书申请|ev ssl证书
行业新闻 | 公司新闻 | 安全播报
巴西银行被攻击后的案例分析及如何保护网站安全
  本月初在圣马丁召开的安全分析峰会(Security Analyst Summit)上,针对巴西银行被攻击的案例巴斯基实验室研究人员Fabio Assolini 和 Dmitry Bestuzhev进行了分析。

巴西银行被攻击后的案例分析及如何保护网站安全

  据了解,从去年10月份开始,三个月里巴西银行的所有36个银行域名、企业电子邮件和DNS都被黑客控制。攻击者利用伪造的HTTPS页面网络钓鱼获取用户凭证和访问行为,还向访问者分发恶意软件。

  研究人员介绍称,这可能是攻击者通过钓鱼攻击银行内部员工,获取DNS的访问权限,从而把银行的流量定向到他们的服务器,并实现网络钓鱼和恶意软件分发。大多数DNS服务商提供双因素身份认证,但该银行没有使用这项功能,增加了DNS账户被盗的风险。

  研究人员深入调查发现,引诱受害者输入支付卡信息的钓鱼页面是加载到银行域名上的,并显示一张免费SSL证书机构颁发的有效证书。免费SSL证书仅验证域名所有权,不需要进行其他身份信息验证(如组织验证、银行验证、电话验证等),攻击者控制银行DNS后,即可轻松地匿名获取银行域名的免费SSL证书。

  匿名恶意证书的攻击隐匿性非常强,对于普通用户来说,他们在正确的网站上使用HTTPS连接,一切看起来都很正常,用户很难察觉网站已经被劫持。精通技术的用户可能会通过查看DNS记录或发现网站突然更换了CA而注意到网站出了问题,但在没有任何异常的情况下,用户很难会突然去检查这些细节,而这些细节内容往往是最容易被忽视的。

对于网站来说,做好以下几点将有助于降低这类攻击的威胁,保护网站安全:

1、对DNS更好地控制和监督至关重要,案例中的银行没有使用双因素身份验证,使得DNS账号很容易被盗。

2、银行网站应使用EV级别的SSL证书。一方面,EV SSL证书需要严格验证申请单位的身份,攻击者很难申请到这类证书;另一方面,EV SSL证书显示醒目的绿色地址栏和单位名称,一旦页面被劫持,醒目的绿色地址栏突然消失,会引起用户的警觉,从而发现网站出现异常。

3、银行还应该加强HTTPS的配置,HTTP公钥订(HPKP)是可选择的SSL/TLS安全功能,通过HTTP头部设置实现。它允许网站向客户端提供一组被授权用于HTTPS连接的公钥,如果客户端连接该网站时接收的不是被授权的公钥,它将拒绝创建连接。

4、证书颁发机构授权(CAA)是另一项保护网站免受恶意证书攻击的安全措施,它是由设置DNS记录实现,允许网站选择可接受哪些CA颁发的证书。CA/B论坛最近投票批准了将CAA(证书颁发机构授权)作为证书颁发标准的基本要求之一,这项措施将在2017年9月正式生效。

  互联网逐步迁移到HTTPS加密后,让网站充分展现真实身份信息变得越来越重要,教会用户识别真实网站身份信息,免受匿名恶意证书的攻击,是互联网安全发展的另一重要步伐。