Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Такой разный фишинг и авторизация сетей связи
Разный бывает фишинг: веб-сайты и домены-обманки – лишь одна из его граней. Вот у вас корпоративная сеть с Wi-Fi, значит, могут прийти под окно люди со своей точкой доступа, поименовать её похожим образом (или точно так же), а потом вашу подавить на некоторое время (есть готовое оборудование). Обеспокоенные пользователи тут же станут коннектиться к чужой точке. Фишинг? Фишинг. А отчего-то мало кто задумывается о таком варианте.
Понятно, что через “чужую точку” может утечь ценная информация (пароли, почта, документы). Кстати, как противодействовать такой угрозе? Очевидно, нужно добавить в протокол шаг, на котором будет происходить авторизация сети (а не только авторизация пользователя). Если пользовательское оборудование не соединяется с “неавторизованными” сетями, даже если они выглядят так же, как и корпоративная, то проблема решена. Именно с такой проблемой до сих пор “борются” в сетях GSM. (Борются в кавычках – потому, что, на самом деле, у операторов связи проблемы другие.)
()
Похожие записки:
- Браузеры и перехват TLS без участия УЦ
- Про цепочки, RSA и ECDSA
- Смартфон-шпион: восемь лет спустя
- Обновление описания TLS
- Удостоверяющий центр TLS ТЦИ
- Статья о технологии Encrypted Client Hello
- Доверенные программы для обмена сообщениями
- "Яндекс.Браузер" и российские сертификаты TLS в вебе
- TLS для DevOps
- Ретроспектива заметок: деанонимизация по географии
- Статья: DNS в качестве инструмента публикации вспомогательной информации
- Интернет-протокол "дымовой завесы"
Комментарии читателей блога: 4
1. 23rd June 2011, 13:31 // Читатель sarin написал:
да уж, с учётом возрастающей роли 3G-модемов подмена точек доступа становится всё острее.
решается ли проблема в полном объёме использованием например HTTPS?
2. 23rd June 2011, 14:32 // Александр Венедюхин ответил:
Да, решается. В теории. Если хорошо следить за сертификатами удостоверяющих центров и не “подтверждать исключения” в браузере (как едва ли не все пользователи делают).
3. 23rd June 2011, 17:02 // Читатель sarin написал:
gmail кстати периодически отдаёт неверные сертификаты.
а то что самое слабое звено в информационной безопасности это пользователь факт давно известный )
4. 23rd June 2011, 17:37 // Читатель jno написал:
Да нифига HTTPS не решает! Это вообще другого уровня протокол. Если уж сеть – “моя”, то и сайт нужный вместе с его сертификатом в этой сети заменить, как два байта переслать. И получит юзер авторизованное и защищённое соединение с фуфелом. И что?