安全でない WiFi でのブラウザ使用に関するベストプラクティス手順

Question 1

安全でないネットワークを使用する場合、HTTPS では知識のある攻撃者に対する保護が提供されません。特に、HTTP と HTTPS の両方を使用する Web サイトの場合に当てはまります。

1 つの例を挙げます。アドレスバーに facebook.com と入力すると、実際には HTTP 接続が開始されます。その後、サイトはユーザーを HTTPS ページにリダイレクトします。ただし、ユーザーと facebook.com の間に適切に配置されている攻撃者は、この HTTPS リダイレクトを HTTP リダイレクトに変更してパスワードを盗んだり、Web サイトの応答にマルウェアを挿入してコンピューターを感染させたりすることもできます。

https://www.facebook.comこの状況を回避するには、の代わりにと入力しますfacebook.com。もう 1 つの方法は、 facebook.com の HTTPS ページをブックマークしておき、入力する代わりにそれを使用することです。

ブラウザを使用してサイトの認証情報を確認することは非常に良いテストですが、最近多くの人気ウェブサイトで認証情報が盗まれたり偽造されたりしています。ハッカーは、アクセスしようとしているウェブサイトの名前に非常によく似たウェブサイト名の認証情報を使用することもありますが、これは簡単な検査では検出されません。

純粋なHTTPSトラフィックでさえも攻撃され、クラックされる可能性があります。過去数年間に、次のような名前を持つハッキングのパンテオンが導入されました。犯罪、獣、ラッキー13、SSLストリップそして違反。

いわゆるオラクルテクニック攻撃者は圧縮を利用して、暗号化されたメッセージの内容に関する重要な手がかりを得ることができます。これは、HTTPS に見られるものを含む多くの形式の暗号化では、攻撃者が暗号化されたペイロードのサイズを確認するのをほとんど、またはまったく阻止できないためです。圧縮オラクル技術は、パスワード (!) など、暗号化されたデータストリーム内の小さなテキストチャンクを探し出すのに特に効果的です。

攻撃者はネットワークを通過するHTTPSパケットを観察するだけでよいことを理解することが重要です。これは、セキュリティ保護されていないネットワークでは、スニファー。

これらの攻撃はいずれも HTTPS が提供するセキュリティを完全に損なうものではありませんが、20 年前の SSL および TLS プロトコル、さらには HTTPS 暗号化に使用されるソフトウェアライブラリの脆弱性を浮き彫りにしています。

VPN を使用すると保護が強化されますが、攻撃者がコンピューターとネットワーク間のトラフィックを監視できる限り、完全に安全というわけではありません。

上で概説した各対策は確かにセキュリティを向上させますが、十分なリソースを持つ攻撃者や、まだ知られていない攻撃方法を使用する可能性のある攻撃者から保護されるという保証はありません。セキュリティの専門家とブラウザは常にハッカーの一歩先を進んでいます。

安全でないネットワークでは、パスワードなどの機密情報を入力しないことがベストプラクティスです。クッキーたとえば、Web サイトがログオンを「記憶する」オプションを提供している場合、ネットワークメッセージを傍受した攻撃者はこれらの Cookie を簡単に抽出できます。

HTTPSが傍受されたことを検出し、認証情報の入力を間に合うように阻止できるツールの1つは、Firefoxです。パースペクティブアドオンただし、スニファーによる HTTPS の復号化からは保護できません。

展望は次のように説明されています:

Perspectives は、インターネットサーバーを安全に識別するための新しい分散型アプローチです。インターネット上の複数の有利な地点にあるサーバーである「ネットワークノータリ」による軽量プローブを使用して、サーバー ID のデータベースを自動的に構築します。安全な Web サイトに接続するたびに、Perspectives はサイトの証明書をネットワークノータリデータと比較し、不一致がある場合は警告します。これにより、証明書が信頼できるかどうかがわかります。Perspectives を使用すると、「中間者」攻撃を防ぎ、自己署名証明書を使用でき、接続が本当に安全であることを信頼できるようになります。

Answer