Извините за неудобства, так как английский не является моим родным языком.
Я использую его hostsдля доступа к некоторым веб-сайтам, так как DNS загрязнен.
Мой вопрос: возьмем www.google.comв качестве примера.
Если злоумышленник успешно подвергнется социальной инженерии и изменит перевод hostsна фишинговый веб-сайт.
Если я использую http, то мне конец, верно?
Если я использую https, то браузер выдаст предупреждение, если мой ПК не взломан.
В этом httpsслучае возможно ли, что фишинговый сайт простопроходитьсертификат от www.google.comменя, подтверждающий его подлинность?
решение1
Рассмотрим следующие утверждения:
ВсеЦентры сертификации, которым доверяет ваш веб-браузер, отказываются выдавать сертификат
examplebank.comзлоумышленнику без подтверждения права собственности на домен.Ключи подписи всех органов надежно хранятся, и неуполномоченное лицо не может выдать себе сертификат. (См. последниеВзлом Comodo.)
Ваш веб-браузер правильно проверяет, выдан ли SSL-сертификат сервера действительным центром сертификации, не отозван ли он, действителен ли для использования серверами и выдан ли для домена
examplebank.com.Не существует активного вредоносного ПО или ошибки браузера, позволяющей обойти такие проверки.
Вы всегда открываете
https://examplebank.com, явно запрашивая SSL, вместо того, чтобы надеяться, что веб-сайт перенаправит вас.Вы на самом делечитатьсообщения об ошибках SSL вместо того, чтобы слепо нажимать на них Ignoreпри открытии веб-сайта.
Если все вышеперечисленное верно, HTTPS будетпредупредить васчто вы пытались подключиться к поддельному веб-сайту. Однако HTTPS не может обойти перенаправления более низкого уровня (такие как подмена examplebank.comDNS или /etc/hosts), поэтому если вы проигнорируете предупреждения, ваши данные попадут к злоумышленнику, а не в настоящий банк.
Подводя итог, да, это опасно.
В ответ на отредактированный вопрос:
Если вы используете простой HTTP, то вам конец.
Если вы используете HTTPS, вы получите большое красное предупреждение (см. первую часть ответа).
Каждый "сертификат" имеет пару ключей RSA (иногда DSA, ECDSA). Открытый ключ пары является частью сертификата, в то время как закрытый ключ заперт на веб-сервере и никогда не отправляется по сети. Оба ключа необходимы для успешного завершения рукопожатия TLS/SSL.
Если злоумышленник предоставит сертификат, но не будет иметь соответствующего закрытого ключа, он не сможет расшифровать любой трафик, проходящий через TLS. В Википедии естьописание рукопожатия TLS.
решение2
SSL (HTTPS) защитит вас только до тех пор, пока ваш клиент не будет скомпрометирован..
Если кому-то удастся изменить /etc/hosts, он также сможет изменить ваш браузер так, чтобы он не выполнял проверку SSL сервера, к которому вы подключаетесь, или он может добавить поддельный сертификат своего мошеннического сервера в базу данных доверенных сертификатов вашей системы.
Однако если ваш клиент не скомпрометирован и кому-то удастся перенаправить ваш браузер на другой IP-адрес (например, с помощью какого-либо взлома DNS или обманным путем заставив вас изменить /etc/hosts без каких-либо дополнительных действий), браузер предупредит вас о том, что с сертификатом сервера что-то не так, и, если вы не проигнорируете предупреждение и продолжите работу, вы в безопасности.
По вашему второму вопросу:
В случае https, возможно ли, что фишинговый сайт просто передает мне сертификат от www.google.com, чтобы доказать его подлинность?
Нет, это невозможно, если только злоумышленнику не удалось получить доступ к серверу.закрытый ключ(например, взломав сам сервер). Даже если сервер-мошенник «передал» сертификат сервера, он не сможет доказать его подлинность клиенту, если у него нет этого закрытого ключа. Если он попытается это сделать, у него ничего не получится, и браузер выдаст предупреждение.
решение3
Данте, твои правки приветствуются. Но ответ остается. Если файл hosts скомпрометирован, вся твоя безопасность может быть скомпрометирована в отношении тех доменов, которые были подвергнуты социальной инженерии в этом файле.
HTTPS является исключением и обеспечивает некоторую форму защиты благодаря системе сертификации, которая даст вам знать, что просматриваемый вами веб-сайт может быть не тем, чем кажется.