应用错误收集

时间：2017-02-24 12:53:04

标签： security ssl https dns web

我已经在论坛上看到了这个问题，只是我希望知道的内容与我想象的略有不同。

我将举例说明我面临的问题：

让我们说黑客已经设法渗透到系统并能够欺骗DNS。现在，如果这个黑客会克隆一个网站，让我们说这个网站是facebook，到目前为止我读到的是他会创建一个HTTP网站，因为HTTPS会显示出错误。

现在我想知道的是，使用现代SSL，似乎每个人都能够获得自己的网站证书。因此，如果某人连接到该网站，则会说该连接是受信任的，因为它具有合法连接的SSL。

那么如果这个黑客会在他的克隆/欺骗网络钓鱼网站上添加证书呢？这不意味着我作为用户会去他的Facebook页面，而在搜索栏中它会说连接是合法的（因为他添加了证书）？因为如果那就是必须检查我随时打开的每个网站的证书，看看它是否真的是属于facebook的证书（例如。）

如果有人对此有任何了解，请告诉我，我很好奇，看看它是如何运作的！

答案 0 :(得分：1)

提供

让我们说黑客已经设法渗透到系统并且能够欺骗DNS。

表示攻击者控制名称facebook.com的记录（换言之，他可以将www.facebook.com指向他选择的IP）然后是的，您的方案是正确的。

他会

有人会去那个网站看到（www.facebook.com将是域名）

这意味着访问此网站的流量在浏览器和该网站之间得到了正确保护，，没有别的。具体而言，这并不能说明该网站是否真正属于Facebook。

有些网站更进一步，Extended Validation Certificates，发卡行进行一些检查，以“确保”证书已交付给服务的实际所有者。你看到像

如您所见，工具栏上的网站所有者可见。其他浏览器通常使用亮绿色工具栏来指示此类网站。

答案 1 :(得分：0)

不确定这是否是您要求的，但您已将可信CA导入您的浏览器（默认情况下）。攻击者需要拥有由此特定域的受信任机构签名的密钥。我不希望这发生。

另一个选择是打破密钥 - 主要浏览器提供商提供的当前技术/定期更新的可能性非常小。

主要的浏览器提供商都在弃用vunerable alghorighms以确保您没问题。例如 - 最近由于这个原因，SHA1被贬低了。有关SHA1的详细信息，请参见此处：

总结一下 - 您的浏览器会告诉您网站存在“错误”（警告而不是绿框）。只需选中绿色框（和域）即可。保持浏览器的更新。