侵權(quán)投訴
訂閱
糾錯
加入自媒體

接入公共Wi-Fi不要使用支付類應(yīng)用

最近,關(guān)于Wi-Fi的新聞總讓人有些憂慮。前不久,央視3·15晚會曝光了Wi-Fi探針盒子,它可以迅速識別出用戶手機(jī)的MAC地址,在神不知鬼不覺中進(jìn)行所謂的用戶畫像。近日,在加拿大溫哥華舉辦的世界頂級信息安全峰會CanSecWest2019上,又有安全專家指出了Wi-Fi的重大新問題——基于WPA/WPA2的防止重放機(jī)制(PN號)設(shè)計上存在缺陷,攻擊者可以利用這一缺陷,精確攻擊使用某個Wi-Fi網(wǎng)絡(luò)中的一個或幾個用戶。

這一問題由阿里安全獵戶座實(shí)驗(yàn)室資深安全專家謝君和高級安全工程師汪嘉恒在大會上披露。

謝君介紹,WPA全稱為WiFi Protected Access,有WPA、WPA2兩個標(biāo)準(zhǔn),是一種保護(hù)無線網(wǎng)絡(luò)Wi-Fi存取安全的技術(shù)標(biāo)準(zhǔn)。目前,WPA2是使用最廣泛的安全標(biāo)準(zhǔn)。不過自2004年推出以來,已陸續(xù)有研究人員指出其存在的缺陷可導(dǎo)致安全問題。

“我們這次發(fā)現(xiàn)的缺陷更加底層,攻擊者只需知道目標(biāo)網(wǎng)絡(luò)的密碼,無需接入目標(biāo)網(wǎng)絡(luò)即可直接發(fā)起攻擊。”謝君告訴科技日報記者,攻擊者可以利用防止重放機(jī)制的設(shè)計缺陷,將用戶和接入點(diǎn)之間的連接直接劫持,轉(zhuǎn)化為中間人攻擊。具體來說,就是攻擊者可監(jiān)聽用戶與Wi-Fi接入點(diǎn)的通信,在合適的時機(jī)發(fā)送偽造的數(shù)據(jù)或者劫持用戶與Wi-Fi接入點(diǎn)的連接,篡改正常的通信內(nèi)容,導(dǎo)致用戶訪問交互的數(shù)據(jù)中途被篡改。

通俗理解,這種攻擊可以欺騙用戶訪問假的網(wǎng)站,甚至篡改真實(shí)網(wǎng)站的內(nèi)容!氨热缭瓉砭W(wǎng)站顯示的是不要把驗(yàn)證碼告訴第三方,我可以給你改成請把驗(yàn)證碼發(fā)送到xxxx之類!敝x君說。如果訪問虛假的網(wǎng)站被釣魚,用戶的賬號密碼就有被竊取的風(fēng)險,進(jìn)而有可能遭受經(jīng)濟(jì)損失。

發(fā)動攻擊的可能性有多高?答案是,近乎100%。只要Wi-Fi密碼被攻擊者知曉,攻擊者即可對接入網(wǎng)絡(luò)的任何一個端發(fā)起攻擊。不過,目前來看,利用這一防止重放機(jī)制設(shè)計缺陷來進(jìn)行攻擊的技術(shù)門檻非常高。因此,用戶也不用太過緊張。謝君建議,接入公共Wi-Fi后,還是要盡量避免使用敏感應(yīng)用,比如銀行類或者支付類產(chǎn)品,或者登錄某些需要輸入用戶名和密碼的網(wǎng)站!斑@種攻擊只能誘使用戶輸入敏感內(nèi)容,而不能從什么都不做的用戶那里竊取信息,只要小心即可!

當(dāng)然,還有更簡單直接的風(fēng)險規(guī)避方式,那就是在公共場所盡量避免使用公共Wi-Fi,盡量使用移動網(wǎng)絡(luò)上網(wǎng)。

謝君表示,保護(hù)Wi-Fi安全需要行業(yè)各界共同努力。去年6月國際上已推出新標(biāo)準(zhǔn)WPA3協(xié)議,他呼吁應(yīng)加速推行這一新標(biāo)準(zhǔn)的普及落地,更好地保障用戶上網(wǎng)安全。

聲明: 本文系OFweek根據(jù)授權(quán)轉(zhuǎn)載自其它媒體或授權(quán)刊載,目的在于信息傳遞,并不代表本站贊同其觀點(diǎn)和對其真實(shí)性負(fù)責(zé),如有新聞稿件和圖片作品的內(nèi)容、版權(quán)以及其它問題的,請聯(lián)系我們。

發(fā)表評論

0條評論,0人參與

請輸入評論內(nèi)容...

請輸入評論/評論長度6~500個字

您提交的評論過于頻繁,請輸入驗(yàn)證碼繼續(xù)

  • 看不清,點(diǎn)擊換一張  刷新

暫無評論

暫無評論

安防 獵頭職位 更多
文章糾錯
x
*文字標(biāo)題:
*糾錯內(nèi)容:
聯(lián)系郵箱:
*驗(yàn) 證 碼:

粵公網(wǎng)安備 44030502002758號